MFA Olmadan Copilot Açmayın: Kimlik Güvenliği İlk Adım

Microsoft'un yayınladığı verilere göre, kimlik tabanlı saldırılar kurumsal güvenlik ihlallerinin büyük çoğunluğunu oluşturuyor. Parola sızıntıları, kimlik avı (phishing) ve credential stuffing saldırıları, tek faktörlü kimlik doğrulama kullanan hesapları doğrudan hedef alır.

Sorun basit: parola ne kadar karmaşık olursa olsun, tek başına yeterli değildir. Parolalar sızabilir, tahmin edilebilir veya sosyal mühendislik ile elde edilebilir. Bir çalışanın parolası ele geçirildiğinde, saldırgan o kullanıcının tüm Microsoft 365 verilerine — e-posta, dosyalar, Teams konuşmaları — erişebilir.

MFA (Multi-Factor Authentication), bu riski dramatik şekilde azaltır. Microsoft'un kendi verilerine göre MFA, hesap ele geçirme saldırılarının büyük bölümünü engeller. MFA aktif olan hesaplarda saldırı başarı oranı neredeyse sıfıra düşüyor. Bu, güvenlik bütçenizden alacağınız en yüksek getiridir — ücretsiz veya çok düşük maliyetli bir önlem ile en büyük risk vektörünü kapatıyorsunuz.

MFA yalnızca parola güvenliğini tamamlamakla kalmıyor, aynı zamanda Conditional Access politikalarının temelini oluşturuyor. Konum bazlı erişim kısıtlaması, cihaz uyumluluk kontrolü ve risk tabanlı kimlik doğrulama — bunların hepsi MFA altyapısı üzerinde çalışıyor. MFA olmadan bu gelişmiş güvenlik katmanlarını uygulamanız teknik olarak mümkün değil.

MFA, kimlik doğrulamada ikinci (veya üçüncü) bir faktör ekler. Kullanıcı parolasını girdikten sonra ek bir doğrulama adımı gerekir:

• Microsoft Authenticator uygulaması: Telefona gelen onay bildirimi veya tek kullanımlık kod. En yaygın ve önerilen yöntem.
• SMS kodu: Telefona gönderilen doğrulama kodu. Kullanışlı ama SIM swap saldırılarına karşı savunmasız — mümkünse Authenticator tercih edilmeli.
• FIDO2 güvenlik anahtarı: Fiziksel USB veya NFC anahtar. En güvenli yöntem, özellikle yönetici hesapları için önerilir.
• Windows Hello for Business: Biyometrik (parmak izi, yüz tanıma) veya PIN ile cihaz tabanlı doğrulama.

Microsoft 365'te MFA, Entra ID (eski adıyla Azure AD) üzerinden yönetilir. Tüm Business ve Enterprise planlarında mevcuttur — ek lisans gerektirmez.

Copilot, Microsoft Graph üzerinden kullanıcının erişebildiği tüm verilere ulaşır. Bu güçlü bir özellik — ama güvenliği sağlanmamış bir ortamda tehlikeli bir özellik.

Senaryo: Bir çalışanın parolası phishing ile ele geçirildi. MFA yoksa saldırgan doğrudan giriş yapabilir. Copilot aktifse, saldırgan doğal dil sorularıyla şirket verilerini sistematik olarak tarayabilir — "maaş tablosu nerede?", "müşteri listesini göster", "son finansal raporu özetle".

MFA olmadan Copilot açmak, kilitsiz bir kasanın anahtarını herkese açık bırakmak gibidir. Copilot güvenliğinin birinci adımı MFA'dır — veri sınıflandırma ve izin denetimi önemlidir ama MFA olmadan hepsi anlamsız kalır.

Microsoft 365'te MFA'yı iki şekilde etkinleştirebilirsiniz:

Security Defaults (Güvenlik Varsayılanları): Microsoft'un tüm tenant'lara sunduğu temel güvenlik paketi. MFA'yı tüm kullanıcılar için zorunlu kılar, eski kimlik doğrulama protokollerini engeller. Ücretsizdir ve hızla aktif edilir. Ancak esneklik sınırlıdır — tüm kullanıcılara aynı politika uygulanır.

Conditional Access (Koşullu Erişim): Entra ID Premium P1 (Business Premium veya E3+ ile dahil) gerektiren gelişmiş politika motoru. Kullanıcı grubuna, cihaz durumuna, lokasyona, risk seviyesine ve uygulamaya göre farklı kurallar tanımlanabilir.

Örnekler:

• Ofis ağından giriş → MFA gerekmez, dışarıdan → MFA zorunlu
• Uyumlu cihaz → erişim verilir, bilinmeyen cihaz → engellenir veya sınırlı erişim
• Yüksek riskli oturum algılandığında → otomatik parola sıfırlama + MFA
• Yönetici hesapları → her zaman MFA + FIDO2 anahtarı zorunlu

Tavsiyemiz: 50+ kullanıcılı şirketler Conditional Access'e geçmeli. Daha küçük ekipler Security Defaults ile başlayıp büyüdükçe geçiş yapabilir.

MFA'yı "aç ve unut" yaklaşımıyla devreye almak yaygın bir hatadır. Dikkat edilmesi gerekenler:

• Kırılma hesapları (break-glass accounts): MFA veya Conditional Access'in tüm yöneticileri kilitlemesi durumunda kullanılacak acil erişim hesabı oluşturulmalı — bu hesap güçlü parola + fiziksel güvenlik anahtarı ile korunmalı ve düzenli test edilmelidir.
• Servis hesapları: Otomasyon, yedekleme veya entegrasyon için kullanılan servis hesaplarının MFA ile uyumluluğu kontrol edilmeli. Gerekiyorsa Conditional Access'te istisna politikası tanımlanmalı.
• Kullanıcı eğitimi: MFA'yı açmadan önce çalışanlara Authenticator uygulamasını kurma ve kullanma eğitimi verilmeli. Hazırlıksız dağıtım, destek taleplerini patlatır.
• Eski protokoller: IMAP, POP3, SMTP Basic Auth gibi eski protokoller MFA'yı desteklemez. Bu protokoller kapatılmadan MFA, arka kapı açık bırakır.
• Kademeli dağıtım: Tüm şirkete aynı anda açmak yerine pilot grup → genişletme yaklaşımı tercih edilmeli.

Tenant'ınızda MFA durumunu kontrol etmek için:

• Entra ID → Security → Authentication methods → Registration campaign sayfasından kayıt oranını görün
• Sign-in logs'ta "MFA requirement: Satisfied / Not satisfied" filtresi ile kaç girişin MFA'sız olduğunu kontrol edin
• Microsoft Secure Score'da MFA ile ilgili önerileri inceleyin — Secure Score, MFA'yı en yüksek etkili güvenlik aksiyonu olarak sıralar

Gibibyte olarak güvenlik değerlendirmemizde MFA durumu, Conditional Access politikaları, eski protokol kullanımı ve kırılma hesaplarını kontrol ediyoruz. Bu değerlendirme, Copilot veya herhangi bir AI aracını güvenle açmadan önce tamamlanması gereken ilk adımdır.

İlk analiz ücretsizdir.

İlgili: Microsoft Copilot ile gerçek verimlilik rehberi · Zero Trust güvenlik modelini adım adım uygulama rehberi