Exchange Online ve Defender ile Güvenli Kurumsal E-posta

E-posta, çoğu şirkette müşteriyle, tedarikçiyle ve bankayla yürütülen yazışmanın resmi kaydıdır; aynı zamanda saldırganların en sık kullandığı giriş kapısıdır. Exchange Online, sunucu bakımı yükünü ortadan kaldırırken bu iki gerçeği birlikte yönetmenizi sağlar; ancak varsayılan ayarlarla bırakıldığında sunduğu korumanın yalnızca bir kısmından yararlanırsınız. Bu rehberde Ümraniye Bilişim olarak sahada en sık karşılaştığımız konuları; posta kutusu yapısından Defender politikalarına, DNS kayıtlarından arşivleme ve lisans seçimine kadar tek bir çerçevede topladık.

Exchange Online ile Kurumsal E-posta: Temel Özellikler

Exchange Online, Microsoft 365'in e-posta, takvim ve kişi hizmetidir. Sunucu donanımı, işletim sistemi yamaları, Exchange güncellemeleri ve disk kapasitesi planlaması Microsoft'un sorumluluğuna geçer; siz ise kullanıcı, politika ve güvenlik yapılandırmasına odaklanırsınız. Kullanıcılar Outlook masaüstü, Outlook mobil ve web tarayıcısı üzerinden aynı posta kutusuna erişir; takvimler, oda rezervasyonları ve kişi listeleri tüm cihazlarda eş zamanlı kalır.

Günlük işletmede öne çıkan özellikler şunlardır:

• Merkezi yönetim: Exchange yönetim merkezi ve Microsoft 365 yönetim merkezi üzerinden kullanıcılar, gruplar, posta akışı kuralları ve izinler tek yerden yönetilir.
• Yerleşik koruma: Tüm Exchange Online planlarında Exchange Online Protection (EOP) bulunur; istenmeyen posta, kötü amaçlı yazılım ve temel kimlik sahtekârlığı filtrelemesi ek ürün gerektirmez.
• Mobil erişim ve veri denetimi: Outlook mobil uygulaması, uygulama koruma ilkeleriyle birlikte kullanıldığında şirket verisinin kişisel telefonda kontrollü kalmasını sağlar.
• Şifreleme ve veri kaybı önleme: Lisansınıza bağlı olarak Microsoft Purview İleti Şifrelemesi ile hassas e-postalar yalnızca alıcının açabileceği biçimde gönderilir; DLP ilkeleri ise T.C. kimlik numarası veya IBAN içeren iletilerin dışarı gönderilmesini uyarıyla ya da engelleyerek denetler.
• Uyumluluk araçları: Saklama ilkeleri, çevrimiçi arşiv, dava tutma ve e-keşif (eDiscovery) aynı platformun parçasıdır.

Şirket içi Exchange'den veya IMAP tabanlı bir hosting hizmetinden geçişte kesme, aşamalı, hibrit ya da IMAP taşıması arasındaki seçim posta kutusu sayısına ve kesinti toleransına göre yapılır. Ayrıntılar için Microsoft 365'e geçiş rehberimize göz atabilirsiniz.

Posta Kutusu, Paylaşılan Kutu ve Dağıtım Listesi Yönetimi

Kurumsal e-postada düzen, doğru nesne türünü doğru iş için kullanmakla başlar. Sahada en sık gördüğümüz sorun, muhasebe veya info gibi ortak adreslerin lisanslı bir kullanıcı hesabı olarak açılıp şifresinin ekipte paylaşılmasıdır. Bu yaklaşım hem gereksiz lisans maliyeti yaratır hem de kimin hangi e-postayı gönderdiğini izlemeyi imkânsız hale getirir.

• Kullanıcı posta kutusu: Bir kişiye ait, lisans gerektiren kutudur. Kişisel yazışmalar ve kişisel takvim burada durur.
• Paylaşılan posta kutusu: Bilgi, destek ve satış gibi ekip adresleri içindir. Belirli bir boyut sınırının altında kaldığı ve arşiv ya da dava tutma gerekmediği sürece lisans gerektirmez. Ekip üyeleri kendi hesaplarıyla erişir; tam erişim, farklı gönder ve adına gönder izinleri ayrı ayrı verilir.
• Dağıtım listesi: Bir adrese gelen postayı birden çok kişiye iletir; ortak bir gelen kutusu yoktur. Duyuru listeleri için uygundur.
• Microsoft 365 grubu: Ortak posta kutusu, takvim, SharePoint sitesi ve Planner planını birlikte sunar; proje ekipleri için idealdir, ancak kontrolsüz açıldığında hızla dağınıklık yaratır.
• Kaynak posta kutusu: Toplantı odası ve ekipman rezervasyonu içindir.

Yönetim için pratik kurallar

1. Paylaşılan posta kutularının kendi hesabıyla doğrudan oturum açılmasını engelleyin; erişim yalnızca izin atamasıyla sağlansın.
2. İzinleri tek tek kişilere değil, mümkünse güvenlik gruplarına atayın; ekip değiştiğinde yalnızca grup üyeliğini güncellemeniz yeterli olsun.
3. Ayrılan çalışanın posta kutusunu silmek yerine paylaşılan kutuya dönüştürüp yöneticisine erişim verin; böylece lisansı boşa çıkarırken yazışma geçmişini korursunuz.
4. Dağıtım listelerine dışarıdan posta gönderilip gönderilemeyeceğini bilinçli olarak belirleyin; iç duyuru listelerinin dış gönderene açık olması kimlik avı riskini artırır.
5. Adlandırma ve sahiplik standardı belirleyin; her grubun ve paylaşılan kutunun en az iki sorumlusu olsun.

Kurallar, otomatik yanıtlar ve şablonlar

Outlook kuralları belirli gönderenlerden veya konulardan gelen iletileri otomatik olarak klasörlere taşır; hızlı adımlar tekrarlayan işlemleri tek tıklamaya indirir, kayıtlı şablonlar sık yazılan e-postalarda zaman kazandırır. İzin dönemleri için otomatik yanıt, iç ve dış gönderenlere ayrı metinlerle tanımlanabilir. Yönetici tarafında ise posta akışı kurallarıyla kurum geneline yasal uyarı metni eklenebilir, riskli ek türleri engellenebilir veya belirli iletiler onaya yönlendirilebilir. CRM ve ERP entegrasyonları için Power Automate bağlayıcıları ve Microsoft Graph API kullanılır.

E-posta Güvenliği: Defender for Office 365, Safe Links, Safe Attachments

EOP, bilinen istenmeyen postaları ve imzası tanınan zararlı yazılımları iyi yakalar; ancak hedefli kimlik avı, yönetici taklidi ve ilk kez görülen zararlı ekler için tek başına yeterli değildir. Microsoft Defender for Office 365 bu boşluğu dolduran katmandır ve iki plan halinde sunulur.

• Plan 1: Güvenli Ekler (Safe Attachments), Güvenli Bağlantılar (Safe Links), kullanıcı ve alan adı taklidini tespit eden gelişmiş kimlik avı koruması ve gerçek zamanlı algılama raporları.
• Plan 2: Plan 1'e ek olarak Tehdit Gezgini (Threat Explorer), otomatik araştırma ve yanıt, saldırı simülasyonu eğitimi ve gelişmiş tehdit avcılığı yetenekleri.

Safe Attachments, ekleri kullanıcıya ulaşmadan önce yalıtılmış bir ortamda açarak davranışını inceler. Dinamik teslim seçeneği, ek taranırken e-posta gövdesini kullanıcıya iletir; böylece iş akışı gecikmez. Safe Links ise e-posta, Teams ve Office uygulamalarındaki bağlantıları tıklama anında denetler. Saldırganların önce zararsız bir bağlantı gönderip sonradan hedef sayfayı değiştirdiği senaryolarda bu tıklama anı kontrolü kritik fark yaratır.

Kimlik avı politikasında en çok değer katan ayar taklit korumasıdır. Genel müdür, finans müdürü ve satın alma sorumlusu gibi sık hedef alınan kişileri korunan kullanıcılar listesine, önemli tedarikçi ve müşteri alan adlarını da korunan alan adlarına eklemek; sahte fatura ve acil ödeme talebi senaryolarına karşı en etkili önlemlerden biridir.

Yapılandırmaya nereden başlanmalı?

1. Microsoft'un hazır güvenlik ilkelerini (Standart ve Katı) değerlendirin; çoğu KOBİ için Standart ilke tüm kullanıcılara, Katı ilke yöneticilere ve finans ekibine uygun bir başlangıçtır.
2. Yapılandırma çözümleyicisiyle mevcut ayarlarınızı önerilen değerlerle karşılaştırın ve sapmaları kapatın.
3. Karantina ilkelerini ve kullanıcı bildirimlerini belirleyin; hangi iletileri kullanıcının kendisinin serbest bırakabileceğine, hangilerinin yönetici onayı gerektireceğine karar verin.
4. Outlook'taki raporla düğmesini etkinleştirin ve kullanıcıların bildirdiği iletileri düzenli inceleyin.
5. Dış kaynaklı e-postalara dış gönderen etiketi ekleyin ve dışarıya otomatik iletmeyi varsayılan olarak kapalı tutun; ele geçirilen hesaplarda saldırganın ilk işlerinden biri gelen kutusunu sessizce dış bir adrese yönlendiren bir kural kurmaktır.

Defender for Office 365 uyarıları, Microsoft Defender portalında lisansınızdaki uç nokta ve kimlik korumasının uyarılarıyla aynı olayda birleştirilir; kimlik avı e-postasından ele geçirilen hesaba uzanan zincir tek ekranda izlenir.

Teknoloji tek başına yeterli değildir; kullanıcıların şüpheli e-postayı tanıması da en az filtre kadar önemlidir. Farkındalık programının nasıl kurgulanacağını kimlik avı ve çalışan eğitimi rehberimizde anlattık. Hesapların ele geçirilmesine karşı ise tüm kullanıcılar için çok faktörlü doğrulama vazgeçilmezdir; ayrıntılar MFA ve şifre güvenliği rehberimizde yer alıyor.

SPF, DKIM ve DMARC Yapılandırması

Bu üç DNS kaydı, alan adınız adına kimin e-posta gönderebileceğini dünyaya ilan eder. Eksik veya hatalı olduklarında hem sahte e-postalar sizin adınıza gönderilebilir hem de meşru e-postalarınız karşı tarafta istenmeyen postaya düşer. Büyük e-posta sağlayıcıları bu kayıtları giderek daha sıkı denetlediği için artık bir tercih değil, temel bir gerekliliktir.

• SPF: Alan adınız adına posta gönderebilecek sunucuları listeleyen TXT kaydıdır. Exchange Online için Microsoft'un include ifadesi eklenir; e-bülten aracı, CRM, ERP veya e-fatura sistemi gibi sizin adınıza gönderim yapan her hizmet de bu kayda dahil edilmelidir. Alan adı başına yalnızca bir SPF kaydı olmalı ve kayıt 10 DNS sorgusu sınırını aşmamalıdır.
• DKIM: Giden e-postalara dijital imza ekler. Exchange Online'da özel alan adınız için iki CNAME kaydı oluşturulur ve Defender portalından imzalama etkinleştirilir. Üçüncü taraf gönderim hizmetleri için de ayrı DKIM anahtarı tanımlanmalıdır.
• DMARC: SPF ve DKIM kontrolünden geçemeyen e-postaya alıcı sunucunun ne yapacağını söyler ve alan adınızı kullanan gönderimler hakkında size rapor iletilmesini sağlar.

DMARC'a güvenli geçiş

1. İzleme modunda (p=none) başlayın ve raporların gönderileceği bir adres tanımlayın.
2. Raporlardan alan adınız adına gönderim yapan tüm meşru kaynakları çıkarın; unutulmuş bir fatura sistemi veya eski bir web sunucusu genellikle bu aşamada ortaya çıkar.
3. Tüm meşru kaynaklar SPF ve DKIM ile hizalandıktan sonra karantina (p=quarantine) politikasına geçin.
4. Bir süre sorunsuz çalıştıktan sonra reddetme (p=reject) politikasına ilerleyin.
5. E-posta göndermeyen yedek veya kampanya alan adlarınıza da reddeden bir DMARC kaydı ve hiçbir sunucuya izin vermeyen bir SPF kaydı ekleyin; saldırganlar çoğu zaman korumasız bırakılan bu alan adlarını kullanır.

Arşivleme, Saklama İlkeleri ve Yedekleme

Exchange Online'da üç kavram sıklıkla karıştırılır: arşiv, saklama ve yedekleme. Her biri farklı bir soruya yanıt verir ve biri diğerinin yerini tutmaz.

• Çevrimiçi arşiv: Ana posta kutusundaki eski iletilerin taşındığı ek depolama alanıdır. Posta kutusunu hafifletir; kullanıcı arşivdeki iletilere Outlook'tan erişmeye devam eder. Arşive taşıma, saklama etiketleriyle otomatik yapılabilir.
• Saklama ilkeleri: Microsoft Purview üzerinden tanımlanır; belirli türdeki içeriğin belirli bir süre silinmesini engeller, süre dolduğunda silinmesini sağlar veya ikisini birlikte yapar. Mali kayıtlar, sözleşme yazışmaları veya personel süreçleri için farklı süreler tanımlanabilir.
• Dava tutma ve e-keşif: Hukuki bir süreçte ilgili posta kutularındaki içeriğin, kullanıcı silse bile korunmasını ve aranabilmesini sağlar.

Saklama süreleri belirlenirken yasal saklama yükümlülükleri kadar gereğinden uzun saklamama ilkesi de göz önünde tutulmalıdır. 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında kişisel veriler, işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir; bu nedenle saklama ve imha politikanız ile e-posta saklama ilkeleriniz birbiriyle tutarlı olmalıdır. Bu konuyu KVKK saklama ve imha politikası yazımızda ayrıntılı ele aldık.

Yedekleme ise ayrı bir konudur. Microsoft hizmetin ve altyapının erişilebilirliğinden sorumludur; ancak bir kullanıcının yanlışlıkla sildiği klasör, ele geçirilmiş bir hesap üzerinden yapılan toplu silme veya hatalı bir saklama ilkesi nedeniyle kaybolan içerik gibi durumlarda belirli bir tarihe geri dönebilmek sizin sorumluluğunuzdadır. Silinmiş öğeleri kurtarma özelliği sınırlı bir süre koruma sağlar ve gerçek bir yedeğin yerini tutmaz. Bu nedenle Microsoft'un kendi yedekleme hizmeti veya güvenilir bir üçüncü taraf Microsoft 365 yedekleme çözümüyle posta kutularının ayrı bir ortama düzenli yedeklenmesini ve geri yüklemenin periyodik olarak test edilmesini öneriyoruz.

Sık Yapılan Yapılandırma Hataları

Denetimlerde karşılaştığımız hataların büyük bölümü karmaşık saldırılardan değil, basit ihmallerden kaynaklanır:

• Yönetici hesaplarının günlük hesap olarak kullanılması: Genel yönetici yetkisi ayrı, yalnızca yönetim için kullanılan ve güçlü MFA ile korunan hesaplarda olmalıdır. Genel yönetici sayısı en aza indirilmelidir.
• Eski kimlik doğrulama yöntemlerine kapı bırakılması: Temel kimlik doğrulama gerektiren eski istemciler, yazıcılar ve uygulamalar belirlenmeli; tarayıcıdan e-postaya tarama gibi senaryolar için bağlayıcı veya SMTP aktarımı gibi güvenli yöntemler planlanmalıdır.
• Aşırı geniş izin verilen gönderen listeleri: Bir tedarikçinin alan adını tamamen güvenilir listeye almak, o tedarikçinin hesabı ele geçirildiğinde tüm filtreleri devre dışı bırakır.
• Denetim günlüğünün ve uyarıların izlenmemesi: Şüpheli oturum açma, toplu silme veya yeni gelen kutusu kuralı uyarıları, kimse bakmadığında hiçbir işe yaramaz.
• Ayrılan personelin hesaplarının açık kalması: İşten ayrılma sürecinde hesap kapatma, oturumların sonlandırılması ve posta kutusunun devri standart bir kontrol listesiyle yapılmalıdır.

Lisans ve Destek Seçenekleri

Exchange Online tek başına planlar halinde alınabileceği gibi Microsoft 365 paketlerinin içinde de gelir. Doğru seçim yalnızca e-posta ihtiyacınıza değil, güvenlik ve cihaz yönetimi beklentinize de bağlıdır.

• Yalnızca e-posta gereken kullanıcılar: Exchange Online Plan 1 veya Microsoft 365 Business Basic yeterli olabilir; saha personeli ve yalnızca web ile mobil üzerinden çalışan kullanıcılar için uygundur.
• Masaüstü Office uygulamaları gerekenler: Microsoft 365 Business Standard e-posta, Teams ve masaüstü uygulamaları birlikte sunar.
• Güvenliğin öncelikli olduğu KOBİ'ler: Microsoft 365 Business Premium; Defender for Office 365 Plan 1, koşullu erişim ve Intune cihaz yönetimini içerir. Business planları belirli bir kullanıcı sayısına kadar alınabilir; bu sınırı aşan kuruluşlar için Enterprise planlar değerlendirilir.
• Gelişmiş tehdit analizi ve saldırı simülasyonu isteyenler: Microsoft 365 E5 veya mevcut lisansa ek olarak Defender for Office 365 Plan 2.

Lisans maliyetini belirleyen başlıca etkenler; kullanıcı profillerinin çeşitliliği, taahhüt süresi, masaüstü uygulama ihtiyacı ve ek güvenlik bileşenleridir. Herkese aynı paketi almak yerine kullanıcıları rol bazında gruplamak genellikle daha verimli sonuç verir.

Destek tarafında üç model öne çıkar: kurulumu ve geçişi tek seferlik proje olarak yaptırıp sonrasını iç ekiple yürütmek; güvenlik politikalarının, lisansların ve kullanıcı taleplerinin aylık yönetilen hizmet olarak üstlenilmesi; ya da iç BT ekibinin yalnızca ileri seviye konularda danışman desteği alması. Kurumsal e-posta hizmetimiz kapsamında bu modellerin her birini sunuyor, mevcut ortamınızı değerlendirerek size uygun olanı birlikte belirliyoruz.

Sonuç

Exchange Online, doğru yapılandırıldığında kurumsal e-postayı hem daha yönetilebilir hem de çok daha güvenli hale getirir. Ancak paylaşılan kutuların düzeni, Defender politikaları, SPF, DKIM ve DMARC kayıtları, saklama ilkeleri ve yedekleme ayrı ayrı ele alınmadıkça varsayılan ayarlar ciddi boşluklar bırakır. Mevcut e-posta ortamınızın güvenlik yapılandırmasını ve DNS kayıtlarını birlikte gözden geçirmek için ücretsiz ön görüşme talep edebilirsiniz; ilk adımda somut bir iyileştirme listesiyle dönüyoruz.