Defender for Office 365: Safe Links, Safe Attachments ve Anti-Phishing

Defender for Office 365 lisansı alınmış bir kiracıda kimliğe bürünme korumasının boş bir kullanıcı listesiyle çalıştığını sık görürüz. Profil açık görünür, rapor yeşil görünür, CFO adıyla gelen sahte ileti yine de gelen kutusuna düşer. Exchange Online’da temel filtreleme zaten çalışır; Defender for Office 365 buna ek tarama, tıklama anında URL kontrolü ve kimliğe bürünme tespiti ekler. Ama lisans koruma demek değildir. Bu rehber, Microsoft 365 yöneticileri ve güvenlik ekipleri için politika kapsamını, öncelik sırasını, karantina davranışını ve istisnaları sırasıyla ele alır, sonunda da doğrulama yöntemini verir.

EOP ve Defender for Office 365 farkı

Exchange Online Protection (EOP), Exchange Online’a dahil katmandır: kötü amaçlı yazılım taraması, istenmeyen ve toplu posta filtresi, sahtecilik (spoof) koruması ve temel kimlik avı koruması. Defender for Office 365 (MDO) bu katmanın üstüne oturur.

Yetenek	EOP	MDO Plan 1	MDO Plan 2
Anti-malware, anti-spam, spoof	Var	Var	Var
Safe Attachments (sandbox)	Yok	Var	Var
Safe Links (tıklama anı)	Yok	Var	Var
Kullanıcı ve alan adı kimliğe bürünme	Yok	Var	Var
Threat Explorer, AIR, simülasyon	Yok	Yok	Var

MX kaydı doğrudan Microsoft 365’e değil de bir üçüncü taraf ağ geçidine bakıyorsa dikkat edin. Gelen bağlayıcıda gelişmiş filtreleme (Enhanced Filtering for Connectors) yapılandırılmamışsa SPF ve kaynak IP değerlendirmesi ağ geçidinin IP’sine göre yapılır. Gerçek gönderen görünmez. Sahtecilik tespiti bu durumda belirgin şekilde zayıflar; hibrit ve ağ geçidi arkasındaki kiracılarda konsolda ilk kontrol edilecek ayar budur.

Önceden ayarlı güvenlik politikaları

Microsoft; anti-spam, anti-malware, anti-phishing, Safe Links ve Safe Attachments ayarlarını iki profil halinde sunar: Standard ve Strict. Profilleri Microsoft günceller; yeni ayar eklendiğinde veya önerilen değer değiştiğinde kiracıya kendiliğinden yansır. Bunun yanında MDO lisanslı tüm alıcılar için Safe Links ve Safe Attachments’ı açan yerleşik koruma (Built-in protection) profili vardır.

Uygulama sırası şöyle: Strict, Standard, özel politikalar (kendi öncelik sıralarıyla), en son yerleşik koruma ve varsayılan politikalar. Alıcıya ilk eşleşen politika uygulanır, gerisine bakılmaz. Bu yüzden “herkese Standard, hedefteki gruplara Strict” yaklaşımı özel politika yazmadan en düşük bakım yükünü verir. Az politika, az sürpriz.

Ayar	Varsayılan	Standard	Strict
Toplu posta eşiği (BCL)	7	6	5
Spam eylemi	Önemsiz klasörü	Önemsiz klasörü	Karantina
Phishing eşiği	1 – Standart	3 – Daha agresif	4 – En agresif
Safe Attachments eylemi	–	Engelle	Engelle

Değerler Microsoft’un önerilerine göre zaman içinde değişebilir; güncel tabloyu önerilen ayarlar dokümantasyonundan kontrol edin. Önceden ayarlı politikalarda kimliğe bürünme korumasının çalışması için korunacak kullanıcıları ve alan adlarını sizin girmeniz gerekir. Bu adım atlanırsa profil açık görünür ama kullanıcı kimliğine bürünme tespiti boş listeyle çalışır. Girişteki senaryo tam olarak budur.

Safe Attachments ve ek sandboxing

Safe Attachments ekleri teslimattan önce sanal bir ortamda açar ve davranışına bakar. Politika eylemleri:

• Kapalı: Ek taranmaz. Yalnız başka bir sandbox kullanılıyorsa ve bu bilinçli bir kararsa.
• İzle (Monitor): İleti teslim edilir, sonuç yalnız raporlanır. Geçiş döneminde etkiyi ölçmek için.
• Engelle (Block): İleti tarama bitene kadar tutulur; zararlı bulunursa karantinaya gider. Önceden ayarlı politikaların tercihi.
• Dinamik teslim (Dynamic Delivery): Gövde hemen teslim edilir, ek tarama bitene kadar yer tutucuyla gösterilir. Yalnız Exchange Online posta kutularında çalışır.

Teslim gecikmesinden yakınan satış veya müşteri hizmetleri ekipleri için dinamik teslim makul bir uzlaşmadır; ama önceden ayarlı politikalarda yoktur, özel politika ister. SharePoint, OneDrive ve Teams’deki dosyalar için ayrı bir genel ayar vardır. Zararlı işaretlenen dosyanın indirilmesini engellemek ise SharePoint tarafında ayrıca açılır. İkinci satırı atlamayın.

Connect-ExchangeOnline
Set-AtpPolicyForO365 -EnableATPForSPOTeamsODB $true

Connect-SPOService -Url https://contoso-admin.sharepoint.com
Set-SPOTenant -DisallowInfectedFileDownload $true

Safe Links ve tıklama koruması

Safe Links; e-posta, Teams ve Office uygulamalarındaki bağlantıları tıklama anında kontrol eder. Asıl değeri, gönderim anında temiz görünen ama sonradan zararlı hale getirilen bağlantılardadır. Saldırgan bekler. Gözden geçirilecek ayarlar:

• İletiyi URL taraması bitmeden teslim etmemek (dosya indiren bağlantılarda belirleyici).
• Kuruluş içinden gönderilen iletilerde de Safe Links uygulamak; ele geçirilmiş iç hesap tipik yayılma yoludur.
• Kullanıcının uyarı sayfasından asıl URL’ye devam etmesine izin vermemek.
• Tıklamaları izlemek; olay incelemesinde kimin tıkladığını görmek için gerekir.

Bir URL’nin her koşulda engellenmesi gerekiyorsa Safe Links politikası yerine Tenant Allow/Block List kullanılır. Sahada sık rastladığımız hata şu: bir iş ortağının bağlantısı yanlış pozitif verdi diye URL yeniden yazma tüm politika için kapatılır. Bir bağlantı için bütün kiracı açılmış olur. Doğru yol, yanlış pozitifi Gönderimler (Submissions) sayfasından Microsoft’a bildirmek ve gerekiyorsa süreli izin girdisi açmaktır.

Kimliğe bürünme ve anti-phishing ayarları

Anti-phishing politikası dört ayrı tespit türünü bir araya getirir:

Tespit	Neyi yakalar	Yapılacak ayar
Spoof intelligence	Gönderen alan adının izinsiz kullanımı	Açık; DMARC politikasına uy
Kullanıcı kimliğine bürünme	Yönetici adlarının benzeri	Korunacak kullanıcıları ekle
Alan adı kimliğine bürünme	Benzer alan adları	Kendi ve iş ortağı alan adları
Mailbox intelligence	Alışılmış yazışma dışı gönderen	Açık; eylem Standard’da Önemsiz, Strict’te karantina

Korunan kullanıcılar listesine CEO, CFO, finans yöneticileri ve ödeme onayı veren kişiler girer. Korunan alan adlarına kendi alan adlarınızın yanında sık fatura aldığınız tedarikçilerinkini de ekleyin; BEC ve sahte fatura dolandırıcılığı senaryolarında tek harfi değişmiş alan adıyla gelen iletiyi yakalamak böyle kolaylaşır. İlk temas güvenlik ipucu ve doğrulanmamış gönderen göstergesi kullanıcıya ucuz bir ek sinyal verir. Kendi alan adınızın DMARC politikasını sıkılaştırmak bu ayarların etkisini artırır; aşamalar DMARC p=reject geçiş rehberinde.

Karantina politikaları ve kullanıcı bildirimi

Karantina politikası, karantinadaki iletiyle kullanıcının ne yapabileceğini belirler: hiçbir şey göremez, görür ama yalnız serbest bırakma talep eder, ya da kendisi serbest bırakır. Hazır politikalar AdminOnlyAccessPolicy, DefaultFullAccessPolicy ve DefaultFullAccessWithNotificationPolicy adlarıyla gelir. Kötü amaçlı yazılım ve yüksek güvenilirlikli phishing iletilerini kullanıcı kendisi serbest bırakamaz; bu kategorilerde kurumsal siber güvenlik açısından “kullanıcı talep eder, yönetici onaylar” modeli uygulanmalı.

Spam karantinası için kullanıcı bildirimlerini açmak destek yükünü azaltır. Ama bildirim iletisinin kendisi de taklide açık bir şablondur. Kullanıcı eğitiminde gerçek bildirimin nasıl göründüğünü gösterin. Şüpheli iletilerin Outlook’taki yerleşik Rapor düğmesiyle bildirilmesi ve bildirimlerin bir güvenlik posta kutusuna da kopyalanması olay incelemesinin ham girdisidir; bildirilen iletinin nasıl inceleneceği şüpheli e-posta başlık analizi yazısında adım adım var.

Yapılandırmanın doğrulanması

Defender portalında Tehdit politikaları altındaki Configuration analyzer, özel politikalarınızı Standard ve Strict profilleriyle karşılaştırır ve sapan ayarları listeler. Bunu PowerShell dökümüyle birlikte üç ayda bir gözden geçirin. İstisnalar sessizce birikir. Düzenli döküm onları görünür tutar ve Microsoft 365 güvenliği denetimlerinin doğal bir parçasıdır.

Connect-ExchangeOnline
# Önceden ayarlı politikaların kapsamı
Get-EOPProtectionPolicyRule | Format-Table Name, State, Priority
Get-ATPProtectionPolicyRule | Format-Table Name, State, Priority

# Özel politikaların kritik ayarları
Get-AntiPhishPolicy | Format-Table Name, PhishThresholdLevel, EnableMailboxIntelligenceProtection, EnableTargetedUserProtection
Get-SafeAttachmentPolicy | Format-Table Name, Enable, Action
Get-SafeLinksPolicy | Format-Table Name, TrackClicks, AllowClickThrough, EnableForInternalSenders
Get-HostedContentFilterPolicy | Format-Table Name, BulkThreshold, SpamAction, HighConfidencePhishAction

# İzin listelerindeki birikim
Get-TenantAllowBlockListItems -ListType Sender -Allow

Çıktıda ilk bakılacak yer Get-TenantAllowBlockListItems sonucudur. Süresiz gönderen izinleri, bir zamanlar “geçici” diye açılmış ve unutulmuş istisnalardır.

Doğrulama kontrol listesi:

• Tüm kullanıcılar Standard veya Strict kapsamında; dışarıda kalan grup yok.
• Kimliğe bürünme listeleri güncel; görevden ayrılan yöneticiler çıkarılmış.
• Kiracı izin listesinde süresiz gönderen veya alan adı izni yok.
• Kullanıcı bildirimleri güvenlik posta kutusuna ulaşıyor.
• Karantinadan serbest bırakma talepleri için sorumlu ve süre tanımlı.
• Üçüncü taraf ağ geçidi varsa gelişmiş filtreleme yapılandırılmış.

Kimlik doğrulama, filtreleme ve kullanıcı farkındalığını bir arada değerlendirmek için e-posta güvenliği ve kimlik avı koruması hizmet sayfasına bakabilirsiniz.

Sık sorulan sorular

Standard mı Strict mi seçilmeli?

Çoğu kullanıcı için Standard yeterlidir. Strict; yöneticiler, finans ve ödeme onayı veren kişiler gibi hedef alınma olasılığı yüksek ve yanlış pozitif maliyetine katlanılabilecek gruplara uygulanır. İki politika aynı kullanıcıya denk gelirse Strict önceliklidir.

Önceden ayarlı politika varken özel politika oluşturmak gerekir mi?

Yalnız önceden ayarlı politikaların sunmadığı bir ayar gerekiyorsa; örneğin Safe Attachments’ta dinamik teslim veya Safe Links’te belirli URL’lerin yeniden yazılmaması. Özel politika açtığınızda Microsoft’un önerilerindeki değişiklikleri kendiniz takip etmek zorundasınız.

Üçüncü taraf phishing simülasyonu neden karantinaya düşüyor?

Simülasyon iletileri gerçek phishing gibi göründüğü için filtrelenir. İzin listesi veya taşıma kuralıyla atlatmayın; gelişmiş teslim (advanced delivery) politikasında simülasyonu gönderen alan adı, IP ve URL’leri tanımlayın. Bu yöntem diğer korumaları zayıflatmaz.

Plan 1 ile Plan 2 arasındaki temel fark nedir?

Plan 1 koruma özelliklerini (Safe Attachments, Safe Links, kimliğe bürünme koruması, gerçek zamanlı algılamalar) içerir. Plan 2 bunlara Threat Explorer, otomatik inceleme ve yanıt, kampanya görünümleri ve saldırı simülasyonu eğitimi gibi inceleme ve müdahale araçlarını ekler.