tayfun tek

Şüpheli veya ele geçirilmiş Microsoft 365 hesabınız varsa ne yapmalısınız?

Microsoft 365, kimlik ve erişim konusunda her ne kadar varsayılan önlemler alsa da önerileri dikkate almayan kullanıcıların sayısı oldukça fazla. Özellikle eski erişim protokollerini ve oturum açma yöntemlerini kullanmaya devam eden kullanıcılar kötü aktörler için basit birer hedef halindeler. Bir çok tenant’a bağlanıp kontrol ettiğimizde kullanıcılar için olağan dışı lokasyonlardan oturum açma denemelerini görüyoruz. Neyse ki varsayılan olarak aktif olan smart lockout gibi özellikler sayesinde kötü aktörler belirli sayıda başarısız denemede sonra otomatik olarak devre dışı bırakılıyor. Fakat her hesap bu kadar şanslı olamıyor. Hesap, bir oltalama mail yada benzer bir yöntemle de ele geçirilebiliyor. Peki kullanıcılarınızdan birinin hesabı ele geçirildiyse veya şüpheleniyorsanız bir admin olarak ne yapmalısınız? Önce neyle karşı karşıya olduğumuzu iyice analiz etmeliyiz. Bunun için Azure Active Directory üzerinden Oturum Açma günlükleri menüsüne giriş yapın. Burada tüm kullanıcıların veya şüphelendiğiniz kullanıcının oturum açma işlemlerini kontrol edebilirsiniz. Oturum açma logunun üzerine tıkladığınızda aşağıdaki gibi detaylı bir bilgi penceresi karşınıza çıkacak. Burada oturum açma denemesi hangi kaynaktan, uygulamadan yapılmış neden başarısız olmuş gibi bir çok sorunun cevabını bulabilirsiniz. Azure Active Directory’ye giriş yapmışken Güvenlik>>Riskli kullanıcılar menüsüne de uğramakta fayda var. Burada olağan dışı oturum açma denemeleri bulunan kullanıcıları görme ihtimaliniz çok yüksektir. Kullanıcının üzerinde tıkladığınızda riskli oturum açma loglarını ayrıca görüntüleyebilirsiniz. Eğer bu riski oluşturan oturum açma denemeleri bilginiz dahilinde bir işlemden kaynaklanıyorsa Kullanıcı riskini kapat seçeneği ile kullanıcıyı buradan kaldırabilirsiniz. Böylece daha önce hatalı denemeler gerçekleştirdiğiniz cihazlarda yaşadığınız bloğu kaldırmış olursunuz ve oturum açma problemleri yaşamazsınız. Ardından Audit logs yani Denetim loglarına bakalım. Denetim logları default olarak açık gelmez. Daha önce sizin aktif etmiş olmanız gerekir. Eğer aktif edilmişse Uyumluluk yani yeni adıyla Microsoft Purview yönetim merkezinden Audit (Denetim) menüsüne girerek son…