Microsoft Defender for Office 365 ile CEO Dolandırıcılığı (BEC), Güvenli Ekler (Safe Attachments) ve Anti-Phishing Kuralları
Kurumsal şirketlerin siber güvenliğinde en büyük açık güvenlik duvarları değil; personelin gelen kutusudur. Bir muhasebe personeline "Genel Müdür" adıyla gelen "Acil bu tedarikçinin IBAN numarası değişti, 150.000 TL'yi bu hesaba havale edin" e-postası (CEO Fraud / BEC) veya "Faturanız Ektedir" yazılı zararlı bir Word makrosu, şirketi milyonlarca liralık zarara uğratabilir. Bu saldırıları insan gözü yakalayamaz; yapay zeka destekli Microsoft Defender for Office 365 (MDO) mimarisi yakalar.
1. Güvenli Ekler (Safe Attachments): Dinamik Analiz / Sandbox
Klasik antivirüsler dosyanın bilinen imzasını (hash) kontrol eder; eğer saldırgan virüsü yeni derlemişse klasik antivirüs bunu temiz zanneder.
- Safe Attachments Mantığı: Gelen e-postanın ekindeki dosya (PDF, Word, Excel) doğrudan kullanıcının kutusuna düşürülmez.
- Dosya Microsoft'un izole sanal makine laboratuvarına (Sandbox) çekilir, orada çalıştırılır, bellekte ne yaptığı izlenir.
- Zararlı bir davranış sergilerse dosya yok edilir; temizse saniyeler içinde kullanıcıya teslim edilir (Dynamic Delivery).
Politika Ayarları: Microsoft Defender Portal -> Email & Collaboration -> Policies & Rules -> Safe Attachments
- Action: Dynamic Delivery (E-posta hemen gelsin, ek arka planda taranıp eklensin).
- Redirect: Karantinaya alınan ekler güvenlik ekibine yönlendirilsin.
2. Güvenli Bağlantılar (Safe Links): Tıklama Anında Koruma (Time-of-Click)
Bir saldırgan e-posta gönderirken temiz bir web sitesi linki koyar; e-posta güvenlik duvarını geçip kullanıcının kutusuna düştükten 2 saat sonra o web sitesini oltalama (phishing) sitesine dönüştürür.
- Safe Links Çözümü: E-postanın içindeki tüm linkler
https://eur01.safelinks.protection.outlook.com/?url=...formatında yeniden yazılır. - Kullanıcı linke tıkladığı anda Microsoft'un bulut motoru o sitenin anlık durumunu tarar; site zararlıya dönmüşse kırmızı ekranla girişi engeller!
3. Anti-Phishing ve CEO/Yönetici Kimliğine Bürünme Koruması (Impersonation)
Saldırganlar şirket CEO'sunun adıyla sahte Gmail veya benzer domainlerden (ahmet.ertekin@holding-tr.com) e-posta atar:
Anti-Phishing Politikası:
1. 'Users to protect': Şirket Yönetim Kurulu Üyeleri, CEO, CFO ve Finans Direktörünün isimleri listeye eklenir.
2. 'Targeted domain protection': Şirket domain adları korunmaya alınır.
3. 'Action if impersonation detected':
- Mesaj karantinaya alınsın (Kullanıcıya kesinlikle ulaşmasın!).
- E-posta üstüne sarı uyarı etiketi konsun: "DİKKAT: Bu e-posta şirket dışından gelmiştir ve yönetici taklidi yapıyor olabilir!"
Karşılaşılan Kritik Hatalar ve Çözüm İpuçları
- Safe Links Nedeniyle Bazı E-Posta Şablonlarının Bozulması: Şirket içi dahili portal linklerinin taranmasını istemiyorsanız, Safe Links ayarlarındaki "Do not rewrite URLs" listesine iç intranet alan adlarınızı ekleyin.
- DMARC ve SPF Eksikliği: Kendi domaininizi mükemmel korusanız bile dış dünyaya e-posta gönderirken SPF/DKIM yapılandırmanız eksikse başkaları sizin adınıza sahte e-posta atabilir.
Mühendis Notu
Güvenlik yalnızca teknolojiyle bitmez. Defender portalındaki Attack Simulation Training (Oltalama Simülasyonu) özelliğini kullanarak personelinize her 3 ayda bir sahte oltalama e-postaları fırlatın. Oltaya takılan personellere anında interaktif 5 dakikalık eğitim atayın; en zayıf halkanız olan insan faktörünü en güçlü savunma hattınıza dönüştürün.