Microsoft Defender ve Sentinel ile Kurumsal Güvenlik

Microsoft Defender ve Sentinel ile güvenlik, Microsoft’un uç nokta, e-posta, kimlik ve bulut uygulaması koruma ürünlerini (Microsoft Defender XDR ailesi) doğru biçimde devreye almak, bu ürünlerden ve diğer sistemlerinizden gelen kayıtları bulut tabanlı SIEM çözümü Microsoft Sentinel’de toplamak ve ortaya çıkan olaylara planlı şekilde müdahale etmektir. Pek çok şirket bu araçların lisansına zaten sahiptir; ancak varsayılan ayarlarla bırakılan bir Defender ortamı, gerçek bir saldırıda beklenen korumayı sağlamaz. Pedante Bilişim olarak bu ortamı Racurity markasıyla kuruyor, sıkılaştırıyor ve izliyoruz.

Kimler için uygun?

• Microsoft 365 Business Premium veya E5 gibi güvenlik bileşenleri içeren lisanslara sahip olup bu özellikleri aktif kullanmayan şirketler,
• Klasik antivirüs yazılımından davranış tabanlı uç nokta tespit ve müdahale (EDR) yaklaşımına geçmek isteyen işletmeler,
• Oltalama e-postaları ve hesap ele geçirme girişimleriyle sık karşılaşan ekipler,
• Şirket içi Active Directory’si olan ve kimlik tabanlı saldırılara karşı görünürlük arayan yapılar,
• Denetim, müşteri talebi ya da ISO/IEC 27001 gibi çerçeveler nedeniyle merkezi kayıt toplama ve olay izleme yeteneği kurması gereken kurumlar.

Neden önemli? Gerçek riskler

Bugünkü saldırıların büyük kısmı tek bir noktada kalmaz. Tipik bir senaryoda kullanıcı oltalama e-postasındaki bağlantıya tıklar, parolası çalınır, saldırgan bu kimlikle oturum açar, posta kutusuna gizli yönlendirme kuralı ekler, ardından bir bilgisayara erişip ağda yatay hareket eder ve sonunda fidye yazılımı çalıştırır. E-posta filtresi, antivirüs ve kimlik sistemi birbirinden habersiz çalışıyorsa bu zincirin her halkası ayrı ayrı “küçük bir uyarı” gibi görünür ve kimse resmi bütün olarak göremez. XDR yaklaşımının değeri tam olarak buradadır: farklı kaynaklardan gelen uyarıları tek bir olay altında birleştirir ve saldırının hikâyesini gösterir.

İkinci risk yanlış yapılandırmadır. Defender for Endpoint yüklü olduğu hâlde pasif modda kalmış cihazlar, hiç açılmamış saldırı yüzeyi azaltma kuralları, Safe Links politikası tanımlanmamış posta kutuları ve kimsenin bakmadığı uyarı kuyrukları, sahada en sık karşılaştığımız durumlardır.

Hizmet kapsamı

Defender for Endpoint ve Defender for Business

Bilgisayarları ve sunucuları cihaz yönetimi (Intune) veya grup ilkesi üzerinden Defender’a kaydediyoruz. Yeni nesil koruma, EDR, otomatik inceleme ve düzeltme, saldırı yüzeyi azaltma (ASR) kuralları, ağ koruması ve kurcalama koruması (tamper protection) gibi özellikleri önce denetim modunda açıyor, iş uygulamalarınızı etkileyen kuralları tespit ettikten sonra engelleme moduna alıyoruz. Güvenlik açığı yönetimi ekranıyla hangi cihazda hangi yamanın eksik olduğunu önceliklendiriyoruz. Konunun üreticiden bağımsız genel çerçevesi için uç nokta güvenliği (EDR) sayfamıza bakabilirsiniz.

Defender for Office 365

Oltalama karşıtı politikalarda kullanıcı ve alan adı taklidi korumasını, Safe Links ile tıklama anında bağlantı denetimini, Safe Attachments ile eklerin korumalı ortamda açılmasını yapılandırıyoruz. Kullanıcıların şüpheli e-postaları tek tıkla bildirebileceği raporlama düğmesini devreye alıyor, uygun lisanslarda saldırı simülasyonu eğitimiyle farkındalığı ölçüyoruz. SPF, DKIM ve DMARC tarafı için e-posta güvenliği hizmetimizle birlikte çalışıyoruz.

Defender for Identity ve Entra ID koruması

Şirket içi etki alanı denetleyicilerine kurulan algılayıcılar sayesinde parola püskürtme, kimlik bilgisi çalma ve yatay hareket gibi Active Directory saldırılarını görünür kılıyoruz. Bulut tarafında riskli oturum ve riskli kullanıcı sinyallerini koşullu erişim politikalarına bağlıyoruz; kimlik altyapısının bütününü kimlik ve erişim yönetimi hizmetimizle ele alıyoruz.

Defender for Cloud Apps

Çalışanların onaysız kullandığı bulut uygulamalarını (gölge BT) keşfediyor, OAuth izinleri aşırı geniş uygulamaları tespit ediyor ve hassas veri paylaşımına yönelik oturum politikaları oluşturuyoruz.

Microsoft Sentinel

Sentinel, Azure üzerinde bir Log Analytics çalışma alanına dayanan, bulut tabanlı bir SIEM ve SOAR çözümüdür. Defender XDR, Entra ID, Microsoft 365 denetim kayıtları, Azure kaynakları, güvenlik duvarları ve Linux sunucular gibi kaynakları veri bağlayıcılarıyla bağlıyoruz. Hazır analiz kurallarını ortamınıza göre ayarlıyor, KQL ile size özel tespit kuralları yazıyor, çalışma kitaplarıyla (workbooks) yönetim görünümleri hazırlıyoruz. Logic Apps tabanlı otomasyonlarla (playbook) şüpheli hesabı devre dışı bırakma veya ilgili ekibe bildirim gönderme gibi adımları otomatikleştiriyoruz. Sentinel maliyeti büyük ölçüde toplanan veri hacmine bağlı olduğu için hangi kaydın hangi katmanda ve ne kadar süre tutulacağını baştan planlıyoruz.

Olay müdahalesi

Bir olay doğrulandığında cihazı ağdan yalıtma, şüpheli dosyayı karantinaya alma, oturumları sonlandırma ve parolayı sıfırlama gibi adımları hızla uyguluyor; ardından kök nedeni araştırıp rapor hazırlıyoruz. Sürekli izleme ihtiyacınız varsa SIEM ve SOC hizmeti kapsamında çözüm ortaklarımızın 7/24 izleme altyapısıyla ilerliyoruz.

Teknik ayrıntılar: Bilmeniz gerekenler

Defender bileşenleri tek bir yönetim noktasında, Microsoft Defender portalında toplanır; uyarılar, olaylar, gelişmiş av sorguları ve otomatik inceleme sonuçları buradan izlenir. Uç nokta tarafında antivirüs ile EDR farklı işler yapar: antivirüs bilinen zararlıları imza ve davranış analiziyle engellemeye çalışır, EDR ise cihazdaki işlem, ağ bağlantısı ve kayıt defteri hareketlerini sürekli kaydederek engellenemeyen saldırıların izini sürmeyi sağlar. EDR’nin engelleme modu, başka bir antivirüs birincil koruma olarak çalışırken bile tespit edilen zararlı eserleri düzeltebilir. Sentinel tarafında ise veri bağlayıcıları, analiz kuralları, otomasyon kuralları ve saklama politikaları ayrı ayrı yapılandırılır; Microsoft’un bazı güvenlik verileri ek ücret olmadan alınabilirken diğer kaynaklar veri hacmine göre ücretlendirilir. Bu ayrıntıları tasarım aşamasında netleştirmek, sonradan sürpriz yaşamamanın anahtarıdır.

Süreç nasıl ilerler?

1. Değerlendirme: Mevcut lisanslar, Microsoft Secure Score, cihaz kayıt durumu, e-posta politikaları ve kimlik yapılandırması incelenir.
2. Tasarım: Hangi bileşenin hangi sırayla açılacağı, politika setleri, istisnalar, Sentinel veri kaynakları ve saklama süreleri belirlenir.
3. Kademeli devreye alma: Pilot cihaz ve kullanıcı grubuyla başlanır, denetim modundaki bulgular değerlendirilir, ardından şirket geneline yayılır.
4. Tespit ve otomasyon: Analiz kuralları, uyarı eşikleri ve otomatik müdahale senaryoları ayarlanır; gereksiz uyarılar azaltılır.
5. İzleme ve raporlama: Olaylar takip edilir, düzenli raporlarla güvenlik duruşundaki değişim paylaşılır, politikalar yeni tehditlere göre güncellenir.

Neden Pedante Bilişim ve Racurity?

Racurity, uzman çözüm ortaklarımızın altyapısını Racurity güvencesiyle, tek muhatapla sunar. Lisans, kurulum, politika yönetimi, izleme ve olay müdahalesi için farklı firmalar arasında koordinasyon yükü taşımazsınız. Microsoft 365 ortamınızı da yöneten ekip olarak bir güvenlik politikasının kullanıcı deneyimine, e-posta akışına veya iş uygulamalarına etkisini önceden görebiliyoruz. Racoun’un web ve pazarlama ekipleriyle aynı çatı altında olmamız, kampanya araçları, web formları ve alan adı gibi dış yüzeyleri de güvenlik planına dahil etmemizi kolaylaştırıyor. Lisanslarınızı yeniden gözden geçirmek isterseniz CSP kurumsal lisanslama sürecini de üstleniyoruz.

Sık yapılan hatalar

• Lisansta güvenlik özellikleri olduğu için korunduğunu varsaymak, ama bileşenleri hiç yapılandırmamak,
• Defender’ı başka bir antivirüsle birlikte pasif modda bırakıp bunu fark etmemek,
• ASR kurallarını test etmeden doğrudan engelleme modunda açıp iş uygulamalarını durdurmak,
• Sentinel’e her kaydı ayrım yapmadan göndermek ve maliyet kontrolünü kaybetmek,
• Uyarıları kimsenin düzenli olarak incelemediği bir e-posta kutusuna yönlendirmek,
• Olay anında kimin ne yapacağını tanımlayan bir müdahale planı olmadan araçlara güvenmek.

İlgili hizmetler

Defender ve Sentinel çalışmasını tamamlayan hizmetlerimiz: Microsoft 365 kurumsal kurulum, siber güvenlik hizmetleri, sızma testi, fidye yazılımına karşı son savunma hattı olan yedekleme ve felaket kurtarma ve yönetilen BT hizmetleri. Tüm güvenlik kataloğumuz siber güvenlik sayfasında. Ortamınızı birlikte değerlendirmek için toplantı planlayabilirsiniz.

Tüm bilişim hizmetlerimizi görmek için kurumsal BT çözümleri sayfamıza göz atabilirsiniz.

Sık sorulan sorular

Microsoft Defender ücretsiz Windows antivirüsüyle aynı şey mi?

Hayır. Windows’ta yerleşik gelen Microsoft Defender Antivirus temel koruma sağlar. Defender for Endpoint ve Defender for Business ise buna davranış tabanlı tespit, EDR, otomatik inceleme, merkezi yönetim ve güvenlik açığı yönetimi gibi kurumsal yetenekler ekler.

Hangi lisanslar Defender bileşenlerini içerir?

Microsoft 365 Business Premium, Defender for Business ve Defender for Office 365 Plan 1 içerir. Microsoft 365 E5 gibi kurumsal planlar Defender for Endpoint Plan 2, Defender for Office 365 Plan 2, Defender for Identity ve Defender for Cloud Apps gibi daha kapsamlı bileşenleri barındırır. Bileşenler ayrı eklenti olarak da alınabilir; değerlendirmede mevcut lisanslarınızı birlikte inceliyoruz.

XDR ile SIEM arasındaki fark nedir?

XDR, Microsoft’un kendi güvenlik ürünlerinden gelen sinyalleri derinlemesine ilişkilendirip olaya dönüştürür ve doğrudan müdahale imkânı verir. SIEM ise Microsoft dışındaki güvenlik duvarı, sunucu ve uygulama kayıtları dahil çok farklı kaynakları toplar, uzun süre saklar ve özel kurallarla analiz eder. Sentinel ile Defender XDR birlikte kullanıldığında iki yaklaşım birbirini tamamlar.

Sentinel maliyeti nasıl kontrol edilir?

Sentinel maliyeti ağırlıklı olarak toplanan ve saklanan veri hacmine bağlıdır. Hangi kaynağın gerçekten tespit için gerekli olduğunu belirlemek, ayrıntılı ama az sorgulanan kayıtları daha düşük maliyetli katmanlarda tutmak, gereksiz alanları toplama aşamasında filtrelemek ve saklama sürelerini ihtiyaca göre ayarlamak başlıca yöntemlerdir.

Mevcut antivirüsümüzü kaldırmamız gerekir mi?

Defender for Endpoint, üçüncü taraf bir antivirüsle birlikte pasif modda EDR olarak çalışabilir. Ancak iki ürünü uzun süre birlikte tutmak yönetimi zorlaştırır. Genellikle planlı bir geçişle Defender’ı aktif moda alıp eski ürünü kontrollü biçimde kaldırmayı öneriyoruz.

Bir saldırı fark edildiğinde ne yapıyorsunuz?

Önce olayın kapsamını doğruluyoruz; ardından etkilenen cihazı yalıtma, zararlı dosyayı karantinaya alma, ele geçirilen hesabın oturumlarını sonlandırma ve kimlik bilgilerini sıfırlama adımlarını uyguluyoruz. Sonrasında kök neden analizi yapıyor, kalıcı önlemleri ve raporu sizinle paylaşıyoruz. Kişisel veri etkilenmişse KVKK yükümlülükleri için hukuki destek almanızı öneriyoruz.

İletişim

Merkez ofisimiz: Atatürk Mah., Sait Cordan Sk. No:10, 34758 Ataşehir / İstanbul. İstanbul’daki firmalarla yüz yüze, Türkiye genelindeki markalarla online toplantı ve planlı ziyaretlerle çalışıyoruz. 0551 044 08 69 numaralı WhatsApp hattımızdan yazabilir, toplantı planlayabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.