Microsoft 365 Spam Koruması Yeterli mi? EOP ve Ağ Geçidi

Microsoft 365 spam koruması, her bulut posta kutusunda varsayılan olarak açık olan Exchange Online Protection (EOP) ile başlar; Defender for Office 365 lisansları ise Güvenli Ekler, Güvenli Bağlantılar ve gelişmiş kimliğe bürünme koruması gibi katmanlar sağlar. Bazı kurumlar ise yerel oltalama kalıpları, giden trafik denetimi veya çok kiracılı yönetim gibi ihtiyaçlar için MX kaydını bir e-posta güvenlik ağ geçidine yönlendirerek Microsoft 365'in önüne ek bir katman koyar.

Bu yazıda yerleşik korumanın nasıl çalıştığını, ek bir ağ geçidinin hangi durumlarda anlamlı olduğunu ve iki katmanı birlikte kullanırken bağlayıcı ve MX ayarlarında nelere dikkat edilmesi gerektiğini anlatıyoruz.

Microsoft 365'te yerleşik koruma nasıl çalışır?

Microsoft, güncel belgelerinde EOP'yi "tüm bulut posta kutuları için yerleşik güvenlik özellikleri" olarak da adlandırıyor. Bu katman, Exchange Online posta kutusu olan her kuruluşta varsayılan politikalarla açıktır ve kabaca şu sırayla çalışır:

1. Bağlantı filtreleme: Gönderen sunucunun itibarı kontrol edilir; istenmeyen postanın büyük kısmı bu aşamada reddedilir.
2. Kötü amaçlı yazılım taraması: Zararlı içerik bulunan iletiler karantinaya alınır.
3. Posta akışı kuralları: Yöneticinin tanımladığı taşıma kuralları uygulanır.
4. Spam ve kimlik avı filtreleme: İletiler toplu posta, spam, yüksek güvenilirlikli spam ve kimlik avı gibi kararlarla sınıflandırılır; sahte gönderici tespiti de bu aşamada devreye girer.

Bunlara ek olarak, teslimden sonra zararlı olduğu anlaşılan iletileri geri çeken sıfır saat otomatik temizleme (ZAP), kiracı izin ve engelleme listeleri ve karantina politikaları bulunur. Microsoft, varsayılan ayarlarla yetinmek yerine Standard veya Strict hazır güvenlik politikalarının kullanılmasını önerir.

Hangi özelliğin hangi lisansta bulunduğu zaman içinde değişebildiği için güncel durumu Microsoft'un hizmet açıklamalarından kontrol etmek en doğrusudur.

Neden bazı kurumlar ek bir ağ geçidi kullanır?

Microsoft 365'in yerleşik koruması güçlü bir temel sunar. Ek bir ağ geçidi çoğu zaman bir eksikliği kapatmak için değil, belirli operasyonel ihtiyaçları karşılamak için tercih edilir:

• Yerel tehdit kalıpları: Sahte e-Devlet, kargo ve fatura bildirimleri gibi Türkçe oltalama senaryolarına ve kurum alan adına benzeyen alan adlarına özel kurallar eklemek.
• Karma ortamlar: Bazı alan adları Microsoft 365'te, bazıları cPanel, Plesk veya şirket içi Exchange sunucularında olduğunda tek filtre politikası ve tek karantina ile çalışmak.
• Giden trafik denetimi: Microsoft 365 dışındaki sunucuların ve uygulamaların gönderimlerini de aynı limitler, anomali tespiti ve IP itibar takibi altında toplamak.
• Çok kiracılı yönetim: Onlarca müşteri kiracısını yöneten hizmet sağlayıcıların politikaları, raporları ve karantinayı tek panelden yönetmesi.
• Katmanlı savunma: Tek bir sağlayıcının filtresine bağımlı kalmamak, arşiv ve raporlama gibi işlevleri bağımsız tutmak.

Ek katmanın bir bedeli de vardır: posta akışı karmaşıklaşır ve yanlış yapılandırma korumayı güçlendirmek yerine zayıflatabilir. Aşağıdaki ayarların kritik olmasının nedeni budur. Seçim ölçütleri için e-posta güvenlik ağ geçidi seçimi yazımıza da göz atabilirsiniz.

MX kaydını ağ geçidine yönlendirme adımları

Microsoft'un üçüncü taraf filtreleme senaryosu için önerdiği yapı kabaca şöyledir:

1. Alan adınızı Microsoft 365'te doğrulayın ve posta kutularını hazırlayın.
2. Ağ geçidinde alan adını tanımlayın; teslim hedefi olarak Exchange yönetim merkezinde alan adınız için gösterilen MX adresini girin. Bu adres eski alan adlarında genellikle mail.protection.outlook.com ile biter, yeni eklenen alan adlarında farklı bir biçimde olabilir.
3. MX kaydının TTL değerini önceden düşürün, test iletileriyle akışı doğrulayın ve ardından MX kaydını ağ geçidine çevirin.
4. Microsoft 365'te Partner türünde bir gelen bağlayıcı oluşturun ve bu bağlayıcıyı ağ geçidinin sertifikasıyla (önerilen yöntem) veya IP adresleriyle kısıtlayın. Böylece ağ geçidini atlayıp doğrudan Microsoft 365'e gönderilen iletiler reddedilir.
5. Aynı bağlayıcıda bağlayıcılar için gelişmiş filtrelemeyi açın.

Dördüncü adım sık atlanır. Kısıtlama yapılmazsa saldırganlar MX kaydını yok sayıp iletileri doğrudan Microsoft 365'in posta sunucularına teslim ederek ağ geçidindeki tüm kontrolleri atlayabilir.

Bağlayıcılar için gelişmiş filtreleme neden önemli?

MX kaydı ağ geçidini gösterdiğinde Microsoft 365, iletiyi asıl gönderenden değil ağ geçidinden almış olur. Bu durumda SPF değerlendirmesi ve sahtecilik tespiti gerçek kaynak yerine ağ geçidinin IP adresine bakar ve doğruluk düşer.

Enhanced Filtering for Connectors (bağlayıcılar için gelişmiş filtreleme, "skip listing" olarak da bilinir) bu sorunu çözer: Microsoft 365, ağ geçidinin adresini atlayarak iletinin gerçek kaynağını görür ve SPF, DKIM, DMARC değerlendirmesini buna göre yapar. Microsoft, özelliğin önce az sayıda alıcıyla denenip ardından tüm kuruluşa uygulanmasını önerir.

Bazı eski kurulumlarda çift filtrelemeyi önlemek için ağ geçidinden gelen iletilere spam filtresini atlatan (SCL -1) bir posta akışı kuralı tanımlanmıştır. Microsoft bunun yerine gelişmiş filtrelemenin kullanılmasını önerir ve gelişmiş filtreleme açıldıktan sonra bu tür kuralların, belgelenen birkaç istisna dışında, devre dışı bırakılmasını ister. Paylaşımlı IP kullanan filtreleme hizmetlerinde filtreyi tamamen atlamak, sahte iletilerin içeri sızmasına kapı açabilir.

Bir diğer nokta DKIM'dir. Ağ geçidi konu satırına etiket ya da iletiye alt bilgi eklerse gönderenin DKIM imzası bozulabilir. Mümkünse iletiyi değiştirmeyen bir yapılandırma tercih edin; ağ geçidiniz ARC imzalamayı destekliyorsa Microsoft 365'te güvenilir ARC imzacısı olarak tanımlanabilir.

Giden e-postaları ağ geçidinden geçirmek

Giden trafiği de ağ geçidinden geçirmek için Exchange yönetim merkezinde kaynağı Office 365, hedefi iş ortağı kuruluş olan bir giden bağlayıcı oluşturulur; yönlendirme için ağ geçidinin akıllı sunucu (smart host) adresi girilir ve TLS zorunlu tutulur. Ağ geçidi tarafında yalnızca Microsoft'un IP aralıklarına güvenmek yeterli değildir, çünkü bu adresler tüm Microsoft 365 müşterilerince paylaşılır. İletinin gerçekten sizin kiracınızdan geldiği ayrıca doğrulanmalıdır.

Bu yapıda ağ geçidinin adresleri SPF kaydına eklenmelidir:

v=spf1 include:spf.protection.outlook.com ip4:203.0.113.10 -all

Örnekteki 203.0.113.10 temsili bir adrestir; kendi ağ geçidinizin adresini veya sağlayıcınızın verdiği include değerini kullanın. Giden akışın ağ geçidinden geçmesi; giden spam engelleme, gönderim limitleri ve IP itibarı takibi gibi kontrolleri mümkün kılar.

MXZilla'in Microsoft 365 bağlayıcısı bu giden senaryo için tasarlanmıştır: Exchange Online'daki giden bağlayıcı postayı TLS ile MXZilla'e iletir, MXZilla de iletinin sizin kiracınızdan geldiğini kiracı kimliğiyle doğrular ve saatlik, günlük gönderim limitlerini uygular. Gelen yönde, MX kaydı MXZilla'e yönlendirilen alan adlarının postası Türkçe oltalama kuralları ve benzer alan adı tespitinden geçtikten sonra Microsoft 365'e teslim edilir.

Sık yapılan yapılandırma hataları

• Gelen bağlayıcıyı sertifika veya IP ile kısıtlamamak
• Bağlayıcılar için gelişmiş filtrelemeyi açmamak ya da yalnızca test kullanıcılarında bırakmak
• Filtreyi tamamen atlatan eski posta akışı kurallarını unutmak
• Giden akış ağ geçidinden geçtiği halde SPF kaydını güncellememek
• İki ayrı karantina olduğunu kullanıcılara anlatmamak

Microsoft 365 ortamınızın önüne ek bir katman koymayı düşünüyorsanız önce alan adınızın mevcut durumunu ücretsiz güvenlik kontrolü ile görün; SPF, DKIM ve DMARC eksiklerini kapattıktan sonra paketleri inceleyerek ihtiyacınıza uygun yapıyı seçebilirsiniz.

Sık sorulan sorular

Microsoft 365 kendi spam filtresine sahipken ek ağ geçidi gerekli mi?

Her kurum için gerekli değildir. Yalnızca Microsoft 365 kullanan ve hazır güvenlik politikalarını doğru yapılandırmış bir kurum için yerleşik koruma çoğu zaman yeterli bir temeldir. Karma ortamlar, giden trafik denetimi, yerel tehdit kuralları veya çok kiracılı yönetim ihtiyacı varsa ek katman anlamlı hale gelir.

MX kaydını ağ geçidine çevirince Microsoft 365 koruması devre dışı kalır mı?

Hayır, Microsoft 365 iletileri taramaya devam eder. Ancak gerçek gönderen bilgisi kaybolacağı için bağlayıcılar için gelişmiş filtrelemenin açılması gerekir. Aksi halde SPF ve sahtecilik tespiti ağ geçidinin adresine göre çalışır ve doğruluk düşer.

Enhanced Filtering for Connectors nedir?

Microsoft 365'in, iletiyi kendisine teslim eden ağ geçidinin IP adresini atlayarak asıl gönderen sunucuyu tespit etmesini sağlayan bağlayıcı ayarıdır ve "skip listing" olarak da bilinir. MX kaydı Microsoft 365 dışındaki bir hizmete işaret ettiğinde Microsoft tarafından önerilir.

Ağ geçidi DKIM imzasını bozar mı?

İletiyi değiştirmeyen bir ağ geçidi DKIM imzasını bozmaz. Konu satırına etiket eklemek, gövdeye alt bilgi yazmak veya ekleri yeniden kodlamak imzanın doğrulanmasını engelleyebilir. Bu tür değişikliklerden kaçının veya ARC desteğini kontrol edin.

Karantina iki yerde olursa kullanıcılar nasıl yönetir?

Ağ geçidinin yakaladığı iletiler onun karantinasında, Microsoft 365'in yakaladıkları ise Microsoft karantinasında bekler. Kullanıcıların hangi bildirime bakacağını bilmesi için tek bir süreç tanımlayın ve ağ geçidinin günlük karantina özetini birincil kanal yapın. Ayrıntılar için e-posta karantinası yazımıza göz atabilirsiniz.