Microsoft 365 Koşullu Erişim (Conditional Access): Yalnızca Türkiye IP'leri ve Şirket Cihazlarına Oturum Açma İzni

Geleneksel ağ güvenliğinde "şirket içindekiler güvenlidir, dışarıdakiler güvensizdir" yaklaşımı vardı. Ancak bulut dünyasında kullanıcılar dünyanın herhangi bir yerinden Microsoft 365 hesaplarına giriş yapabilir. Bir personelin parolası ele geçirildiğinde, Nijerya veya Rusya'daki bir saldırganın o hesaba saniyeler içinde girip şirket e-postalarını indirmesini engelleyen zırh Microsoft Entra Koşullu Erişim (Conditional Access) politikalarıdır.

1. Zero Trust (Sıfır Güven) Mantığı: "Asla Güvenme, Daima Doğrula"

Koşullu Erişim temel bir formülle çalışır:

IF (Kullanıcı, Konum, Cihaz Durumu, Uygulama, Risk Seviyesi)
THEN (Erişime İzin Ver / MFA İste / Cihaz Uyumluluğu Zorla / Erişimi Engelle)

2. Politika 1: Coğrafi Kısıtlama (Named Locations & Country Block)

Şirketinizin yurt dışında personeli veya yabancı bir şubesi yoksa, Türkiye dışından gelen tüm oturum açma istekleri anında engellenmelidir:

1. Entra ID -> Protection -> Conditional Access -> Named Locations:
   - 'Turkiye_Allowed' listesi oluşturulur ve Türkiye seçilir.
2. Yeni Politika: 'CA01-Block-Foreign-Countries'
   - Users: Tüm Kullanıcılar (Acil durum Break-Glass hesabı hariç tutulur!).
   - Cloud apps: All Cloud Apps.
   - Conditions -> Locations:
     - Include: Any location.
     - Exclude: Selected locations -> 'Turkiye_Allowed'.
   - Access controls -> Grant: Block Access (Erişimi Engelle!).

Bu tek politika sayesinde şirketinize yönelik uluslararası şifre deneme (brute-force) saldırılarının %99'u kapıda imha edilir!

3. Politika 2: Yalnızca Şirket Cihazlarından Erişime İzin Verme

Personelin evindeki virüslü şahsi bilgisayarından kurumsal e-postalara veya OneDrive'a dosya indirmesini engellemek için:

Politika: 'CA02-Require-Compliant-Device'
- Users: Tüm Personel.
- Cloud apps: Office 365.
- Access controls -> Grant:
  - 'Require device to be marked as compliant' (Intune ile yönetilen cihaz şartı) VEYA
  - 'Require Microsoft Entra hybrid joined device' (Şirket domainine bağlı bilgisayar şartı).

Artık kullanıcı doğru kullanıcı adı ve şifreyi bilse dahi, elindeki cihaz şirketin onaylı bilgisayarı değilse giriş yapamaz!

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

Break-Glass (Acil Durum / Kasa) Hesabını Dışarıda Bırakmamak (Lockout Felaketi): Koşullu Erişim politikalarında yanlış bir ayar yapıp tüm yöneticileri kilitlerseniz Microsoft dahi sizi içeri sokamaz! Bu felaketi önlemek için:
- Adı bilinmeyen, hiçbir MFA'ya veya coğrafi kurala tabi olmayan, yalnızca 40 karakterlik karmaşık şifresi şirketin çelik kasasında saklanan en az 1 adet Acil Durum Hesabı (Break-Glass Account) oluşturulmalı ve tüm CA politikalarından Exclude edilmelidir.
Report-Only Modu: Yeni bir CA kuralı yazarken hemen "On" yapmayın; 14 gün boyunca Report-Only modunda çalıştırarak Entra oturum açma loglarında kimlerin takıldığını analiz edin.

Mühendis Notu

Koşullu Erişim politikaları lisans olarak Entra ID P1/P2 (veya Microsoft 365 Business Premium) gerektirir. Şirketinize aldığınız en değerli güvenlik yatırımıdır; parolaların sızdığı bir dünyada hesabın anahtarını paroladan alıp konuma ve cihaz sağlığına teslim eder.