Microsoft 365 Güvenlik Rehberi: Exchange Online ve Teams

Modern Çalışma Alanı & Bulut Güvenliği

Microsoft 365 Güvenlik ve Mimari Rehberi: Exchange Online ve Teams Ortamlarında En İyi Uygulamalar

Kurumsal e-posta güvenliği (SPF/DKIM/DMARC), Exchange Online anti-spam korumaları ve Microsoft Teams dış iletişim güvenlik ilkelerinin mimari detaylarını inceliyoruz.

Kurumların buluta geçiş sürecinde en kritik duraklardan biri Microsoft 365 (M365) ekosistemidir. E-posta trafiğinin kalbi olan Exchange Online ve kurumsal iş birliğinin merkezi olan Microsoft Teams, siber saldırganların da en hedefteki noktalarıdır. Bulut ortamında sadece kullanıcı adı ve şifreye güvenmek kurumsal güvenliği riske atar.

Bu rehberde, M365 ortamlarında e-posta sahteciliğini önleyen protokollerden Exchange Online koruma katmanlarına ve Teams dış federasyon güvenliğine kadar kritik mimari başlıkları ele alıyoruz.

Şekil 1: Microsoft 365 Kapsamlı Katmanlı Güvenlik ve Tehdit Koruma Mimarisi

1. E-posta Güvenliğinin Üç Silahşörü: SPF, DKIM ve DMARC

Kurum adına gönderilen e-postaların kimlik avı (Phishing) ve sahtecilikte (Spoofing) kullanılmasını engellemek için DNS üzerinde mutlaka üç temel kayıt yapılandırılmalıdır:

Kayıt Türü	Açıklama ve Amacı	Örnek DNS Tanımı
SPF (Sender Policy Framework)	Hangi sunucuların kurumunuz adına e-posta göndermeye yetkili olduğunu bildirir.	v=spf1 include:spf.protection.outlook.com -all
DKIM (DomainKeys Identified Mail)	E-postaları dijital olarak imzalayarak yolda değiştirilmediğini garanti eder.	selector1._domainkey.kurum.com (CNAME kayıtları)
DMARC (Domain-based Message Authentication)	SPF ve DKIM doğrulamasından geçmeyen e-postalara ne yapılacağını (karantinaya alma veya reddetme) belirler.	_dmarc.kurum.com TXT "v=DMARC1; p=reject; rua=mailto:dmarc@kurum.com"

2. Exchange Online PowerShell ile Posta Kutusu Denetimi

Exchange Online yönetiminde toplu işlemler ve denetim raporları almak için ExchangeOnlineManagement modülü kullanılır. Bir kullanıcının e-posta yönlendirme (Forwarding) kurallarını kontrol etmek güvenlik açısından kritik bir denetim adımıdır:

# Exchange Online modülüne bağlanma Connect-ExchangeOnline -UserPrincipalName admin@kurum.com # Kuruluş içindeki dış adreslere e-posta yönlendiren (Forwarding) kullanıcıları listele Get-Mailbox -ResultSize Unlimited | Where-Object { $_.ForwardingSMTPAddress -ne $null -or $_.ForwardingAddress -ne $null } | Select-Object DisplayName, UserPrincipalName, ForwardingSMTPAddress, DeliverToMailboxAndForward

3. Microsoft Teams Dış İletişim ve Güvenlik İlkeleri

Microsoft Teams, şirket içi iletişimi hızlandırırken dış dünya ile yapılan toplantı ve sohbetlerde de sıkı kurallara tabi tutulmalıdır. Varsayılan olarak Teams, dünyadaki tüm harici Teams kullanıcılarıyla iletişim kurulmasına izin verir (Open Federation). Kurumsal güvenlik gereği bu alan kısıtlanmalıdır:

🌐 External Access (Federasyon)

Şirket dışındaki kişilerin kurumunuzu arayabilmesi veya sohbet edebilmesi durumudur. Güvenlik için bu alan ya tamamen kapatılmalı ya da yalnızca güvenilen iş ortağı alan adlarına (Allowed Domains) izin verilmelidir.

👥 Guest Access (Misafir Erişimi)

Dış kullanıcıların doğrudan ekiplerinize ve kanallarınıza üye olarak eklenmesidir. Misafir kullanıcılar için Azure AD üzerinde Conditional Access ile MFA zorunluluğu mutlaka getirilmelidir.

💡 En İyi Uygulama (Best Practice): Microsoft 365 ortamlarında yönetici hesapları (Global Admin) için günlük işler asla kullanılmamalı; bu hesaplar ayrı tutularak en katı koşullu erişim ve FIDO2 anahtar korumasıyla güvence altına alınmalıdır.