SharePoint ve OneDrive Dış Paylaşım Güvenliği: Ayarlar ve Denetim

SharePoint ve OneDrive’dan veri çoğu zaman saldırıyla değil, kimin açabileceği düşünülmeden üretilmiş bir paylaşım bağlantısıyla çıkar. Bağlantı e-postayla iletilir, bir tedarikçinin ortak klasörüne düşer, aylar sonra hâlâ çalışır. Bu rehber, Microsoft 365 yöneticileri ve bilgi güvenliği ekipleri için dış paylaşım seviyelerini, kiracı ile site ayarlarının ilişkisini, bağlantı varsayılanlarını ve geçmişte açılmış paylaşımların nasıl raporlanıp temizleneceğini PowerShell örnekleriyle anlatır.

Dış paylaşım seviyeleri

SharePoint yönetim merkezinde Politikalar > Paylaşım sayfasında dört seviye var. Betikle denetim yapacaksanız PowerShell karşılıklarını ezbere bilmeniz gerekir; raporlarda portal adını değil bu değerleri göreceksiniz.

Portal seviyesi	PowerShell değeri	Anlamı
Herkes	ExternalUserAndGuestSharing	Oturum açmadan kullanılan bağlantılar dahil
Yeni ve mevcut misafirler	ExternalUserSharingOnly	Dış kişi kimlik doğrulamasıyla erişir
Mevcut misafirler	ExistingExternalUserSharingOnly	Yalnız dizinde bulunan misafirler
Yalnız kuruluş içi	Disabled	Dış paylaşım kapalı

Kurumsal ortamda makul başlangıç noktası çoğunlukla “Yeni ve mevcut misafirler” seviyesidir. Dış kişiyle çalışılabilir, ama her erişim bir kimliğe bağlıdır. Kimlik yoksa iz de yoktur. “Mevcut misafirler” seviyesi, misafir davetinin belirli rollere veya bir onay sürecine bağlandığı kurumlarda anlam kazanır; davet ve inceleme süreci Entra B2B misafir erişimi güvenliği yazısında ayrıca anlatılıyor.

Kiracı ve site düzeyi ayarların ilişkisi

Ayarlar üç katmanda değerlendirilir ve kural tektir: alt katman üst katmandan daha serbest olamaz.

• Kiracı (SharePoint): Tüm sitelerin üst sınırı.
• OneDrive: Kiracıya eşit veya daha kısıtlayıcı. Kişisel alanlar sahada en kontrolsüz paylaşım kaynağıdır; OneDrive’ı SharePoint’ten bir kademe aşağıda tutmak yaygın ve mantıklı bir tercih.
• Site: Kiracıya eşit veya daha kısıtlayıcı. Proje sitesi, İK sitesi ve tedarikçi portalı farklı seviyelerde durabilir.

Bu model şu demek: kiracıyı en sık ihtiyaç duyulan en serbest seviyeye açar, hassas siteleri tek tek kısarsınız. Teams üzerinden açılanlar dahil yeni sitelerin hangi seviyeyle doğduğu site türüne ve kiracı ayarına bağlıdır ve hassas içerik için çoğu zaman gerekenden serbesttir. Hassas bir ekibin sitesi açıldıktan sonra ayarı daraltmayı yazılı bir süreç adımı yapın. Site sayısı yüzleri bulduğunda elle takip biter. Periyodik döküm alın:

Connect-SPOService -Url https://contoso-admin.sharepoint.com

# Kiracı ve OneDrive seviyeleri
Get-SPOTenant | Select-Object SharingCapability, OneDriveSharingCapability,
  DefaultSharingLinkType, DefaultLinkPermission, RequireAnonymousLinksExpireInDays

# Herkes bağlantısına izin veren siteler
Get-SPOSite -Limit All |
  Where-Object SharingCapability -eq 'ExternalUserAndGuestSharing' |
  Select-Object Url, Owner, SharingCapability |
  Export-Csv .\anonim_paylasim_siteleri.csv -NoTypeInformation -Encoding UTF8

Bu CSV’yi her ay aynı yere alın ve bir öncekiyle karşılaştırın. Listeye yeni giren site, birinin ayarı bilerek ya da bilmeyerek açtığını gösterir.

Varsayılan bağlantı türü ve izinleri

Kullanıcı “Paylaş” düğmesine bastığında gelen bağlantı türü, paylaşımların büyük kısmının nasıl yapılacağını belirler; çünkü kullanıcıların çoğu varsayılanı değiştirmez. Üç seçenek var: belirli kişiler, kuruluştaki kişiler, herkes. Varsayılanı “belirli kişiler” yaparsanız yanlış kişiye iletilen bağlantı açılmaz. Varsayılan izin “görüntüleme” olmalı. Düzenleme yetkisi bilinçli seçilir.

Set-SPOTenant -DefaultSharingLinkType Direct -DefaultLinkPermission View

# Hassas bir sitede site düzeyinde aynı varsayılan
Set-SPOSite -Identity https://contoso.sharepoint.com/sites/ik `
  -DefaultSharingLinkType Direct -DefaultLinkPermission View

“Kuruluştaki kişiler” bağlantısı iç paylaşımda pratiktir, ama iletilen bağlantı kuruluştaki herkese açılır. Kişisel veri veya maaş bilgisi tutan kitaplıklarda bu da beklenmedik erişim üretir. Hassas sitelerde varsayılanı “belirli kişiler” tutun ve içeriği veri kaybı önleme (DLP) kurallarıyla destekleyin.

Anonim bağlantılar ve süre sınırı

Herkes bağlantıları kimlik doğrulaması istemez. Bağlantıyı bilen içeriğe erişir ve erişim bir kişiyle ilişkilendirilemez. Tamamen kapatamıyorsanız en azından şu sınırları koyun:

• Zorunlu süre sonu: Bağlantı belirli gün sonra kendiliğinden geçersizleşir.
• Yalnız görüntüleme: Dosya ve klasör bağlantılarında düzenleme izni verilmez.
• Site kısıtı: Herkes bağlantısı yalnız dış iletişim veya pazarlama gibi belirli sitelerde açık kalır.

Set-SPOTenant -RequireAnonymousLinksExpireInDays 14 `
  -FileAnonymousLinkType View -FolderAnonymousLinkType View

Ayarın daha önce açılmış bağlantılara nasıl yansıdığını varsaymayın. Değişiklikten sonra mevcut anonim bağlantıların süresini raporla doğrulayın, gereksizleri kaldırın. Süre de bir risk kararıdır: dış iletişim için birkaç hafta yeter, teknik çizim paylaşımında ise bağlantı yerine misafir erişimi kullanılmalı.

Misafir erişiminin de kendiliğinden düşmesini istiyorsanız kiracı düzeyinde süre sonunu zorunlu kılın. Aşağıdaki ayarla misafirin site erişimi belirtilen gün sonunda kapanır; site sahibi gerekirse uzatır. Unutulan erişim böylece kendi kendine kapanır.

Set-SPOTenant -ExternalUserExpirationRequired $true -ExternalUserExpireInDays 60

Alan adı izin ve engel listeleri

Dış paylaşım yalnız belirli iş ortaklarıyla yapılıyorsa izin listesi, belirli alan adlarına (rakipler, kişisel e-posta servisleri) paylaşım engellenecekse engel listesi kullanılır. İkisi aynı anda çalışmaz.

Set-SPOTenant -SharingDomainRestrictionMode AllowList `
  -SharingAllowedDomainList "tedarikci-a.com.tr ortak-b.com"

İzin listesi kurumsal siber güvenlik açısından güçlü bir kontroldür ama bakım ister. Yeni iş ortağı için liste güncellenmezse kullanıcı dosyayı e-posta ekiyle göndermeye başlar ve kontrol tamamen devre dışı kalır. Liste sahipliğini satın alma veya iş ortağı yönetimi süreciyle bağlayın. Misafir davetinin Entra ID tarafında da alan adına göre kısıtlanabildiğini hesaba katın. İki liste çelişirse “davet gitti ama paylaşım açılmıyor” kayıtları başlar; sahada bu tür taleplerde ilk bakılacak yer iki listenin farkıdır.

Mevcut paylaşımların raporlanması

Ayarları sıkılaştırmak geçmişte açılmış bağlantıları silmez. Denetim üç kaynaktan beslenir:

Kaynak	Ne gösterir	Not
Site paylaşım bağlantıları raporu	Sitedeki bağlantılar ve türleri	Site bazında CSV üretir
Purview denetim günlüğü	Bağlantı oluşturma ve kullanım olayları	Saklama süresi lisansa bağlı
Veri erişim yönetişimi raporları	Kiracı genelinde bağlantı özeti	SharePoint Advanced Management gerekir
Get-SPOExternalUser	Sitelere erişimi olan dış kullanıcılar	Sayfalı sonuç döner

Denetim günlüğünde anonim bağlantının oluşturulması ve kullanılması ayrı olaylardır. Aşağıdaki sorgu son 30 günde oluşturulan ve kullanılan anonim bağlantıları listeler. Sonucu kullanıcı ve site bazında gruplayın; en çok anonim paylaşım yapan alanlar hemen öne çıkar.

Connect-ExchangeOnline
Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-30) -EndDate (Get-Date) `
  -Operations AnonymousLinkCreated,AnonymousLinkUsed -ResultSize 5000 |
  Select-Object CreationDate, UserIds, Operations, AuditData |
  Export-Csv .\anonim_baglanti_olaylari.csv -NoTypeInformation -Encoding UTF8

-ResultSize 5000 sınırına takılan bir dökümde son kayıtlar eksik kalır; yoğun kiracıda tarih aralığını haftalara bölün. Raporu site sahiplerine dağıtın ve karar isteyin: bağlantı gerekli mi, süresi uygun mu, içerik doğru yerde mi? Sahibi olmayan sitelerdeki anonim bağlantılar kaldırılacak ilk adaylardır.

Hassas siteler için kısıtlama

İK, finans, Ar-Ge ve hukuk siteleri için kiracı varsayılanından ayrı bir profil tanımlayın:

• Dış paylaşım Disabled veya ExistingExternalUserSharingOnly.
• Paylaşımı yalnız site sahipleri yapar; üyeler erişim isteği gönderir.
• Yönetilmeyen cihazlarda yalnız tarayıcıdan, indirmesiz erişim.
• Siteye “Çok Gizli” site etiketi atanır, ayarlar etiketle yönetilir.

$site = "https://contoso.sharepoint.com/sites/arge"
Set-SPOSite -Identity $site -SharingCapability Disabled
Set-SPOSite -Identity $site -DisableSharingForNonOwners
Set-SPOSite -Identity $site -ConditionalAccessPolicy AllowLimitedAccess

Yönetilmeyen cihaz kısıtı, Entra ID’de buna uygun bir koşullu erişim ilkesiyle birlikte çalışır. Tek başına site ayarı yetmez. Ayarları sitelere tek tek vermek yerine site etiketleriyle yönetirseniz yeni açılan hassas siteler de aynı profile girer; etiket şemasının kurulumu duyarlılık etiketleri tasarımı rehberinde. İzin modelinin site, kitaplık ve öğe düzeyinde sade tutulması için SharePoint izin modeli tasarımı yazısına da bakın. Öğe düzeyinde kırılmış izinler, raporun göremediği erişimlerin klasik kaynağıdır.

Önerilen başlangıç ayarları

Ayar	Öneri	Gerekçe
Kiracı seviyesi	Yeni ve mevcut misafirler	Erişim kimliğe bağlı
OneDrive seviyesi	Kiracıya eşit veya daha dar	Kişisel alan kontrolü
Varsayılan bağlantı	Belirli kişiler, görüntüleme	İletilen bağlantı işe yaramaz
Herkes bağlantısı	Kapalı ya da süreli ve salt okunur	İz bırakmayan erişim
Misafir erişim süresi	Süre sonu zorunlu	Unutulan erişimi kapatır
Hassas siteler	Site etiketiyle kısıtlı profil	Ölçeklenebilir yönetim

Seçeneklerin tamamı ve güncel davranışları için Microsoft’un dış paylaşım yönetimi dokümantasyonunu esas alın. Paylaşım ayarlarını koşullu erişim, DLP ve etiketlerle birlikte değerlendirmek için Microsoft 365 güvenliği hizmet sayfasına göz atabilirsiniz; dış paylaşımı içerik bazında engelleme yöntemleri Purview DLP politika tasarımı yazısında.

Sık sorulan sorular

Herkes (Anyone) bağlantılarını tamamen kapatmak gerekir mi?

Her kurumda gerekmez. Dışarıya sık büyük dosya gönderen ekipler bu bağlantı kapatılınca e-posta ekine veya kişisel bulut servislerine kayabilir. Kontrollü ara yol: Herkes bağlantısını yalnız belirli sitelerde açık tutmak, yalnız görüntüleme izni vermek ve kısa bir süre sonunu zorunlu kılmak.

Site düzeyinde kiracıdan daha serbest paylaşım tanımlanabilir mi?

Hayır. Site ayarı kiracı ayarıyla aynı veya daha kısıtlayıcı olabilir. OneDrive seviyesi de SharePoint kiracı seviyesinden daha serbest olamaz.

Misafirin erişimi kendiliğinden sona erdirilebilir mi?

Evet. Kiracı düzeyinde misafir erişiminin belirli gün sayısından sonra kapanmasını zorunlu kılabilirsiniz; site sahipleri erişimi uzatabilir. Bu ayar SharePoint ve OneDrive paylaşımlarını kapsar. Entra ID’deki misafir hesabının yaşam döngüsü ise erişim incelemeleriyle ayrıca yönetilir.

Hangi dosyanın kimlerle paylaşıldığını nereden görebilirim?

Tek bir site için site kullanım sayfasındaki paylaşım bağlantıları raporuna bakın. Kiracı genelinde paylaşım ve anonim bağlantı olayları Purview denetim günlüğünde tutulur. SharePoint Advanced Management lisansı varsa veri erişim yönetişimi raporları paylaşım bağlantılarını site bazında toplu gösterir.