Microsoft Entra kimlik doğrulama yönetimi işlemleri başvuru kılavuzu

Microsoft Entra işlemleri başvuru kılavuzunun bu bölümünde, kimlik bilgilerinin güvenliğini sağlamak ve yönetmek, kimlik doğrulaması (AuthN) deneyimini tanımlamak, atamayı temsilci olarak belirlemek, kullanımı ölçmek ve kurumsal güvenlik duruşunu temel alan erişim ilkelerini tanımlamak için gerçekleştirmeniz gereken denetimler ve eylemler açıklanmaktadır.

Önemli işletimsel süreçler

Önemli görevlere sahip atama

Microsoft Entra Id'yi yönetmek için önemli işletimsel görevlerin ve işlemlerin sürekli yürütülmesi gerekir ve bu da bir dağıtım projesinin parçası olmayabilir. Ortamınızı iyileştirmek için bu görevleri ayarlamanız yine de önemlidir. Önemli görevler ve bunların önerilen sahipleri şunlardır:

Listenizi gözden geçirirken, sahip eksik görevler için sahip atamanız veya yukarıdaki önerilerle uyumlu olmayan sahiplerle görevlerin sahipliğini ayarlamanız gerektiğini fark edebilirsiniz.

Sahibin okuması önerilir

• Microsoft Entra ID'de yönetici rolleri atama

Kimlik bilgileri yönetimi

Parola ilkeleri

Parolaları güvenli bir şekilde yönetmek, Kimlik ve Erişim Yönetimi'nin en kritik parçalarından biridir ve genellikle saldırıların en büyük hedefidir. Microsoft Entra ID, bir saldırının başarılı olmasını önlemeye yardımcı olabilecek çeşitli özellikleri destekler.

Çözülmesi gereken sorunu azaltmak için önerilen çözümü bulmak için aşağıdaki tabloyu kullanın:

Parola ilkelerinin okunması önerilir

• Microsoft Entra Id ve AD FS en iyi yöntemleri: Parola spreyi saldırılarına karşı savunma - Enterprise Mobility + Security

Self servis parola sıfırlamayı ve parola korumayı etkinleştirme

Parolalarını değiştirmesi veya sıfırlaması gereken kullanıcılar, yardım masası çağrılarının hacminin ve maliyetinin en büyük kaynaklarından biridir. Maliyete ek olarak, kullanıcı riskini azaltmak için parolayı bir araç olarak değiştirmek, kuruluşunuzun güvenlik duruşunu geliştirmenin temel bir adımıdır.

Aşağıdakileri gerçekleştirmek için en azından Microsoft Entra ID self servis parola sıfırlama (SSPR) ve şirket içi parola koruması dağıtmanız önerilir:

• Yardım masası çağrılarını saptırın.
• Geçici parolaların kullanımını değiştirin.
• Şirket içi çözümü kullanan mevcut self servis parola yönetimi çözümünü değiştirin.
• Kuruluşunuzdaki zayıf parolaları ortadan kaldırın.

Güçlü kimlik bilgisi yönetimi

Parolalar, kötü aktörlerin ortamınıza erişmesini engelleyecek kadar güvenli değildir. En azından, ayrıcalıklı hesabı olan tüm kullanıcıların çok faktörlü kimlik doğrulaması için etkinleştirilmesi gerekir. İdeal olarak, birleşik kaydı etkinleştirmeniz ve tüm kullanıcıların birleşik kayıt deneyimini kullanarak çok faktörlü kimlik doğrulamasına ve SSPR'ye kaydolmasını zorunlu tutmanız gerekir. Sonunda, öngörülemeyen durumlardan kaynaklanan kilitlenme riskini azaltmak için dayanıklılık sağlamak için bir strateji benimsemenizi öneririz.

Şirket içi kesinti kimlik doğrulaması dayanıklılığı

Microsoft Entra Password Hash Sync (PHS) ve Microsoft Entra çok faktörlü kimlik doğrulaması, basitliğin avantajlarına ve sızdırılan kimlik bilgileri algılamaya olanak tanımanın yanı sıra, NotPetya gibi siber saldırılardan kaynaklanan şirket içi kesintilere rağmen kullanıcıların hizmet olarak yazılım (SaaS) uygulamalarına ve Microsoft 365'e erişmesini sağlar. Federasyonla birlikte PHS'yi etkinleştirmek de mümkündür. PHS'nin etkinleştirilmesi, federasyon hizmetleri kullanılabilir olmadığında kimlik doğrulamasının geri dönüşünü sağlar.

Şirket içi kuruluşunuzda kesinti dayanıklılığı stratejisi yoksa veya Microsoft Entra ID ile tümleşik olmayan bir stratejiye sahipse, Microsoft Entra PHS'yi dağıtmalı ve PHS içeren bir olağanüstü durum kurtarma planı tanımlamalısınız. Microsoft Entra PHS'nin etkinleştirilmesi, şirket içi Active Directory kullanılamaması durumunda kullanıcıların Microsoft Entra Kimliği'ne göre kimlik doğrulamasına olanak tanır.

Kimlik doğrulama seçeneklerinizi daha iyi anlamak için bkz . Microsoft Entra karma kimlik çözümünüz için doğru kimlik doğrulama yöntemini seçme.

Kimlik bilgilerinin programlı kullanımı

PowerShell kullanan Microsoft Entra ID betikleri veya Microsoft Graph API'sini kullanan uygulamalar güvenli kimlik doğrulaması gerektirir. Bu betikleri ve araçları yürüten kötü kimlik bilgisi yönetimi, kimlik bilgisi hırsızlığı riskini artırır. Sabit kodlanmış parolaları veya parola istemlerini kullanan betikler veya uygulamalar kullanıyorsanız, önce yapılandırma dosyalarındaki veya kaynak koddaki parolaları gözden geçirmeniz, sonra bu bağımlılıkları değiştirmeniz ve mümkün olduğunda Azure Yönetilen Kimlikler, Tümleşik Windows Kimlik Doğrulaması veya sertifikalar kullanmanız gerekir. Önceki çözümlerin mümkün olmadığı uygulamalar için Azure Key Vault kullanmayı göz önünde bulundurun.

Parola kimlik bilgilerine sahip hizmet sorumluları olduğunu belirlerseniz ve bu parola kimlik bilgilerinin betikler veya uygulamalar tarafından nasıl güvenli hale getirildiğinden emin değilseniz, kullanım düzenlerini daha iyi anlamak için uygulamanın sahibine başvurun.

Microsoft ayrıca, parola kimlik bilgilerine sahip hizmet sorumluları varsa kullanım düzenlerini anlamak için uygulama sahiplerine başvurmanızı önerir.

Kimlik doğrulama deneyimi

Şirket içi kimlik doğrulaması

Tümleşik Windows kimlik doğrulaması (IWA) ile Federasyon Kimlik Doğrulaması veya parola karması eşitleme veya doğrudan kimlik doğrulaması ile Sorunsuz Çoklu Oturum Açma (SSO) yönetilen kimlik doğrulaması, şirket ağı içinde şirket içi etki alanı denetleyicilerine göz atarak en iyi kullanıcı deneyimidir. Kimlik bilgisi istemi yorgunluğunu en aza indirir ve kullanıcıların kimlik avı saldırılarına karşı avlanma riskini azaltır. PHS veya PTA ile zaten bulut tarafından yönetilen kimlik doğrulaması kullanıyorsanız ancak kullanıcıların şirket içinde kimlik doğrulaması yaparken parolalarını yazmaları gerekiyorsa, sorunsuz SSO'nun hemen dağıtılması gerekir. Öte yandan, şu anda bulut tarafından yönetilen kimlik doğrulamasına geçiş planlarıyla birleştirilmiş durumdaysanız geçiş projesinin bir parçası olarak Sorunsuz SSO uygulamanız gerekir.

Cihaz güveni erişim ilkeleri

Kuruluşunuzdaki bir kullanıcı gibi, cihaz da korumak istediğiniz temel bir kimliktir. İstediğiniz zaman ve herhangi bir konumdan kaynaklarınızı korumak için bir cihazın kimliğini kullanabilirsiniz. Cihazın kimliğinin doğrulanıp güven türü hesaplanarak güvenlik duruşunuz ve kullanılabilirliğiniz şu şekilde iyileştirilir:

• Örneğin, cihaza güvenildiğinde çok faktörlü kimlik doğrulaması ile uyuşmalardan kaçınma
• Güvenilmeyen cihazlardan erişimi engelleme
• Windows 10 cihazları için, şirket içi kaynaklarda sorunsuz bir şekilde çoklu oturum açma olanağı sağlayın.

Aşağıdaki yöntemlerden birini kullanarak cihaz kimliklerini getirerek ve Bunları Microsoft Entra ID'de yöneterek bu hedefi gerçekleştirebilirsiniz:

• Kuruluşlar Microsoft Intune'u kullanarak cihazı yönetebilir ve uyumluluk ilkelerini uygulayabilir, cihaz durumunu doğrulayabilir ve cihazın uyumlu olup olmadığına bağlı olarak Koşullu Erişim ilkeleri ayarlayabilir. Microsoft Intune, iOS cihazlarını, Mac masaüstlerini (JAMF tümleştirmesi yoluyla), Windows masaüstlerini (Windows 10 için Mobil Cihaz Yönetimi yerel olarak kullanarak ve Microsoft Configuration Manager ile ortak yönetim) ve Android mobil cihazları yönetebilir.
• Microsoft Entra karma katılımı , Active Directory etki alanına katılmış bilgisayar cihazlarına sahip bir ortamda Grup İlkeleri veya Microsoft Configuration Manager ile yönetim sağlar. Kuruluşlar, sorunsuz SSO ile PHS veya PTA aracılığıyla yönetilen bir ortam dağıtabilir. Cihazlarınızı Microsoft Entra ID'ye getirmek, bulut ve şirket içi kaynaklarınızda SSO aracılığıyla kullanıcı üretkenliğini en üst düzeye çıkarırken, koşullu erişim ile bulut ve şirket içi kaynaklarınıza erişimin güvenliğini sağlamanızı sağlar.

Bulutta kayıtlı olmayan etki alanına katılmış Windows cihazlarınız veya bulutta kayıtlı ancak Koşullu Erişim ilkeleri olmayan etki alanına katılmış Windows cihazlarınız varsa, kayıtlı olmayan cihazları kaydetmeniz ve her iki durumda da Koşullu Erişim ilkelerinizde denetim olarak Microsoft Entra karma katılımını kullanmanız gerekir.

Cihazları MDM veya Microsoft Intune ile yönetiyorsanız ancak Koşullu Erişim ilkelerinizde cihaz denetimlerini kullanmıyorsanız, Cihazın bu ilkelerde denetim olarak uyumlu olarak işaretlenmesini gerektir seçeneğini kullanmanızı öneririz.

Cihaz güveni erişim ilkeleri için önerilen okuma

• Nasıl yapılır: Microsoft Entra karma katılım uygulamanızı planlama
• Kimlik ve cihaz erişim yapılandırmaları

İş İçin Windows Hello

Windows 10'da İş İçin Windows Hello, parolaları bilgisayarlarda güçlü iki öğeli kimlik doğrulamasıyla değiştirir. İş İçin Windows Hello, kullanıcılar için daha kolay bir çok faktörlü kimlik doğrulama deneyimi sağlar ve parolalara bağımlılığınızı azaltır. Windows 10 cihazlarını kullanıma sunulmaya başlamadıysanız veya bunları yalnızca kısmen dağıttıysanız, Windows 10'a yükseltmenizi ve tüm cihazlarda İş İçin Windows Hello etkinleştirmenizi öneririz.

Parolasız kimlik doğrulaması hakkında daha fazla bilgi edinmek isterseniz bkz . Microsoft Entra Id ile parolasız bir dünya.

Uygulama kimlik doğrulaması ve atama

Uygulamalar için çoklu oturum açma

Kuruluşun tamamına standartlaştırılmış bir çoklu oturum açma mekanizması sağlamak, en iyi kullanıcı deneyimi, riskin azaltılması, raporlama ve idare için çok önemlidir. Microsoft Entra Id ile SSO destekleyen ancak şu anda yerel hesapları kullanacak şekilde yapılandırılmış uygulamaları kullanıyorsanız, bu uygulamaları Microsoft Entra Id ile SSO kullanacak şekilde yeniden yapılandırmanız gerekir. Benzer şekilde, Microsoft Entra Id ile SSO destekleyen ancak başka bir Kimlik Sağlayıcısı kullanan herhangi bir uygulama kullanıyorsanız, bu uygulamaları Da Microsoft Entra Id ile SSO kullanacak şekilde yeniden yapılandırmanız gerekir. Federasyon protokollerini desteklemeyen ancak form tabanlı kimlik doğrulamasını destekleyen uygulamalar için, uygulamayı Microsoft Entra uygulama ara sunucusuyla parola kasası kullanacak şekilde yapılandırmanızı öneririz.

Son olarak, bir Microsoft Entra uygulama galeriniz varsa ve Microsoft Entra Id ile SSO destekleyen uygulamaları kullanıyorsanız, uygulamayı uygulama galerisinde listelemenizi öneririz.

Çoklu oturum açma önerilen okuma

• Microsoft Entra Id ile uygulama erişimi ve çoklu oturum açma nedir?

AD FS uygulamalarının Microsoft Entra Id'ye geçirilmesi

Uygulamaları AD FS'den Microsoft Entra ID'ye geçirmek, güvenlik, daha tutarlı yönetilebilirlik ve daha iyi bir işbirliği deneyimi üzerinde ek özellikler sağlar. AD FS'de Microsoft Entra Id ile SSO desteği olan uygulamalarınız varsa, bu uygulamaları Microsoft Entra Id ile SSO kullanacak şekilde yeniden yapılandırmanız gerekir. AD FS'de Microsoft Entra Id tarafından desteklenmeyen yaygın olmayan yapılandırmalarla yapılandırılmış uygulamalarınız varsa, özel yapılandırmanın uygulamanın mutlak bir gereksinimi olup olmadığını anlamak için uygulama sahiplerine başvurmanız gerekir. Gerekli değilse, uygulamayı Microsoft Entra Kimliği ile SSO kullanacak şekilde yeniden yapılandırmanız gerekir.

Uygulamalara kullanıcı atama

Kullanıcıları uygulamalara atamak en iyi şekilde grupları kullanarak eşlenir çünkü büyük ölçekte daha fazla esneklik ve yönetme olanağı sağlarlar. Grupları kullanmanın avantajları, öznitelik tabanlı dinamik üyelik gruplarını ve uygulama sahiplerine temsilci seçmeyi içerir. Bu nedenle, grupları zaten kullanıyor ve yönetiyorsanız, yönetimi büyük ölçekte geliştirmek için aşağıdaki eylemleri gerçekleştirmenizi öneririz:

• Grup yönetimini ve idareyi uygulama sahiplerine devretme.
• Uygulamaya self servis erişim izni verin.
• Kullanıcı öznitelikleri uygulamalara erişimi tutarlı bir şekilde belirleyebiliyorsa dinamik üyelik gruplarını tanımlayın.
• Microsoft Entra erişim gözden geçirmelerini kullanarak uygulama erişimi için kullanılan gruplara kanıtlama uygulayın.

Öte yandan, tek tek kullanıcılara ataması olan uygulamalar bulursanız, bu uygulamaların çevresinde idare uyguladığınızı unutmayın.

Önerilen okuma uygulamalarına kullanıcı atama

• Microsoft Entra Id'de bir uygulamaya kullanıcı ve grup atama
• Microsoft Entra Id'de uygulama kayıt izinlerine temsilci atama
• Microsoft Entra Id'deki gruplar için dinamik üyelik kuralları

Erişim ilkeleri

Adlandırılmış konumlar

Microsoft Entra Id'deki adlandırılmış konumlarla, kuruluşunuzdaki güvenilen IP adresi aralıklarını etiketleyebilirsiniz. Microsoft Entra Id, adlandırılmış konumları kullanarak:

• Risk olaylarında hatalı pozitif sonuçları önleyin. Güvenilen bir ağ konumundan oturum açmak kullanıcının oturum açma riskini azaltır.
• Konum tabanlı Koşullu Erişimi yapılandırın.

Önceliğe bağlı olarak, kuruluşunuzun gereksinimlerini en iyi karşılayan önerilen çözümü bulmak için aşağıdaki tabloyu kullanın:

Risk tabanlı erişim ilkeleri

Microsoft Entra Id, her oturum açma ve her kullanıcı için riski hesaplayabilir. Erişim ilkelerinde riski ölçüt olarak kullanmak, daha az kimlik doğrulaması istemi ve daha iyi güvenlik gibi daha iyi bir kullanıcı deneyimi sağlayabilir. Örneğin, kullanıcılara yalnızca gerekli olduğunda sorabilir ve yanıtı ve düzeltmeyi otomatikleştirebilir.

Erişim ilkelerinde risk kullanmayı destekleyen microsoft Entra ID P2 lisanslarınız zaten varsa ancak bu lisanslar kullanılmıyorsa, güvenlik duruşunuza risk eklemenizi kesinlikle öneririz.

Risk tabanlı erişim ilkeleri önerilen okuma

• Nasıl Yapılır: Oturum açma riski ilkesini yapılandırma
• Nasıl Yapılır: Kullanıcı riski ilkesini yapılandırma

İstemci uygulama erişim ilkeleri

Microsoft Intune Uygulama Yönetimi (MAM), depolama şifrelemesi, PIN, uzak depolama temizleme vb. gibi veri koruma denetimlerini gönderme olanağı sağlar. outlook mobile gibi uyumlu istemci mobil uygulamalarına. Ayrıca, onaylı veya uyumlu uygulamalardan Exchange Online gibi bulut hizmetlerine erişimi kısıtlamak için Koşullu Erişim ilkeleri oluşturulabilir.

Çalışanlarınız Microsoft 365'te Exchange Online veya SharePoint gibi şirket kaynaklarına erişmek için Office mobil uygulamaları gibi MAM özellikli uygulamalar yüklerse ve KCG'yi (kendi cihazını getir) de destekliyorsanız, MDM kaydı olmadan kişisel cihazlarda uygulama yapılandırmasını yönetmek için uygulama MAM ilkelerini dağıtmanızı ve ardından Koşullu Erişim ilkelerinizi yalnızca MAM özellikli istemcilerden erişime izin verecek şekilde güncelleştirmenizi öneririz.

Çalışanlar şirket kaynaklarına mam özellikli uygulamalar yüklerse ve Intune Yönetilen cihazlarda erişim kısıtlanmışsa, kişisel cihazlar için uygulama yapılandırmasını yönetmek üzere uygulama MAM ilkelerini dağıtmayı ve Koşullu Erişim ilkelerini yalnızca MAM özellikli istemcilerden erişime izin verecek şekilde güncelleştirmeyi düşünmelisiniz.

Koşullu Erişim uygulaması

Koşullu Erişim, kuruluşunuzun güvenlik duruşunu geliştirmeye yönelik temel bir araçtır. Bu nedenle, şu en iyi yöntemleri izlemeniz önemlidir:

• Tüm SaaS uygulamalarında en az bir ilkenin uygulandığına emin olun
• Kilitleme riskini önlemek için Tüm uygulamalar filtresini blok denetimiyle birleştirmekten kaçının
• Tüm kullanıcılar'ı filtre olarak kullanmaktan ve yanlışlıkla Konuk eklemekten kaçının
• Tüm "eski" ilkeleri Azure portalına geçirme
• Kullanıcılar, cihazlar ve uygulamalar için tüm ölçütleri yakalama
• Kullanıcı başına MFA kullanmak yerine çok faktörlü kimlik doğrulaması uygulamak için Koşullu Erişim ilkelerini kullanma
• Birden çok uygulamaya uygulanabilecek küçük bir çekirdek ilke kümesine sahip olmak
• Boş özel durum grupları tanımlama ve bir özel durum stratejisine sahip olmak için bunları ilkelere ekleme
• Çok faktörlü kimlik doğrulama denetimleri olmadan kesme camı hesaplarını planlama
• Teams, OneDrive, Outlook gibi Microsoft 365 istemci uygulamalarında tutarlı bir deneyim elde edin.) Microsoft 365'te Exchange Online ve SharePoint gibi hizmetler için aynı denetim kümesini uygulayarak
• İlkelere atama, kişiler aracılığıyla değil gruplar aracılığıyla uygulanmalıdır
• Kullanıcıların güvenlik duruşunun dışında olduğu süreyi sınırlamak için ilkelerde kullanılan özel durum gruplarını düzenli olarak gözden geçirin. Microsoft Entra ID P2'niz varsa, süreci otomatikleştirmek için erişim gözden geçirmelerini kullanabilirsiniz

Koşullu Erişim önerilen okuma

• Microsoft Entra Id'de Koşullu Erişim için en iyi yöntemler
• Kimlik ve cihaz erişim yapılandırmaları
• Microsoft Entra Koşullu Erişim ayarları başvurusu
• Sık Kullanılan Koşullu Erişim ilkeleri

Yüzey alanına erişme

Eski kimlik doğrulaması

Çok faktörlü kimlik doğrulaması gibi güçlü kimlik bilgileri, eski kimlik doğrulama protokollerini kullanarak uygulamaları koruyamaz ve bu da kötü amaçlı aktörler tarafından tercih edilen saldırı vektörü olmasını sağlar. Eski kimlik doğrulamasını kilitlemek, erişim güvenliği duruşunu geliştirmek için çok önemlidir.

Eski kimlik doğrulaması, uygulamalar tarafından kullanılan kimlik doğrulama protokollerine başvuran bir terimdir:

• Modern kimlik doğrulaması kullanmayan eski Office istemcileri (örneğin, Office 2010 istemcisi)
• İnternet İleti Erişim Protokolü (IMAP)/Basit Posta Aktarım Protokolü (SMTP)/iletişim noktası (POP) gibi posta protokolleri kullanan istemciler

Saldırganlar bu protokolleri kesinlikle tercih ediyor- aslında parola spreyi saldırılarının neredeyse %100'ünün eski kimlik doğrulama protokolleri kullanılıyor! Bilgisayar korsanları, çok faktörlü kimlik doğrulaması ve cihaz kimlik doğrulaması gibi ek güvenlik zorlukları için gereken etkileşimli oturum açmayı desteklemedikleri için eski kimlik doğrulama protokollerini kullanır.

Eski kimlik doğrulaması ortamınızda yaygın olarak kullanılıyorsa, eski istemcileri en kısa sürede modern kimlik doğrulamasını destekleyen istemcilere geçirmeyi planlamanız gerekir. Aynı belirteçte, modern kimlik doğrulaması kullanan bazı kullanıcılarınız varsa ancak bazıları hala eski kimlik doğrulamasını kullanıyorsa, eski kimlik doğrulama istemcilerini kilitlemek için aşağıdaki adımları uygulamanız gerekir:

1. Eski kimlik doğrulamasını kullanmaya devam eden kullanıcıları belirlemek ve düzeltmeyi planlamak için Oturum Açma Etkinliği raporlarını kullanın:

   1. Etkilenen kullanıcılara modern kimlik doğrulaması özellikli istemcilere yükseltin.

   2. Aşağıdaki adımlara göre kilitlemek için tam zaman çerçevesi planlayın.

   3. Hangi eski uygulamaların eski kimlik doğrulamasına bağımlı olduğunu belirleyin. Aşağıdaki 3. adıma bakın.

2. Daha fazla görünürlüğü önlemek için eski kimlik doğrulaması kullanmayan kullanıcılar için kaynakta eski protokolleri (örneğin Exchange Posta Kutusu) devre dışı bırakın.

3. Kalan hesaplar için (ideal olarak hizmet hesapları gibi insan olmayan kimlikler), kimlik doğrulamasından sonra eski protokolleri kısıtlamak için Koşullu Erişim'i kullanın.

Eski kimlik doğrulaması önerilen okuma

• Exchange Server'da posta kutularına POP3 veya İnternet İleti Erişim Protokolü v4 (IMAP4) erişimini etkinleştirme veya devre dışı bırakma

Onay vermeler

Yasadışı onay verme saldırısında, saldırgan kişi bilgileri, e-posta veya belgeler gibi verilere erişim isteyen bir Microsoft Entra kayıtlı uygulaması oluşturur. Kullanıcılar, kötü amaçlı web sitelerine giriş yaparken kimlik avı saldırıları yoluyla kötü amaçlı uygulamalara onay vermiş olabilir.

Aşağıda, Microsoft Bulut hizmetleri için inceleme yapmak isteyebileceğiniz izinlere sahip uygulamaların listesi yer almaktadır:

• Uygulamalı veya temsilcili *uygulamalar. Okuma Yazma İzinleri
• Temsilci izinlerine sahip uygulamalar kullanıcı adına e-posta okuyabilir, gönderebilir veya yönetebilir
• Aşağıdaki izinler kullanılarak verilen uygulamalar:

• Uygulamalar, oturum açmış kullanıcının tam kullanıcı kimliğine bürünme izni verdi. Örneğin:

Bu senaryodan kaçınmak için, office 365'te izin vermeleri algılama ve düzeltme konusuna başvurarak, yasadışı izinlere sahip uygulamaları veya gerekli olandan daha fazla izni olan uygulamaları tanımlamanız ve düzeltmeniz gerekir. Ardından, self servis hizmetini tamamen kaldırın ve idare yordamları oluşturun. Son olarak, uygulama izinlerinin düzenli gözden geçirmelerini zamanlayın ve gerekli olmadığında kaldırın.

Onay önerilen okuma izni verir

• Microsoft Graph izinlerine genel bakış
• Microsoft Graph API izinleri

Kullanıcı ve grup ayarları

Açık bir iş gereksinimi yoksa kilitlenebilir kullanıcı ve grup ayarları aşağıdadır:

Kullanıcı ayarları

• Dış Kullanıcılar - Teams, Power BI, Microsoft 365'te SharePoint ve Azure Information Protection gibi hizmetlerle kuruluşta organik işbirliği gerçekleştirilebilir. Kullanıcı tarafından başlatılan dış işbirliğini denetlemek için açık kısıtlamalarınız varsa, Microsoft Entra Yetkilendirme yönetimi veya yardım masanız gibi denetimli bir işlem kullanarak dış kullanıcıları etkinleştirmeniz önerilir. Hizmetler için organik dış işbirliğine izin vermek istemiyorsanız, üyelerin dış kullanıcıları tamamen davet etmelerini engelleyebilirsiniz. Alternatif olarak, dış kullanıcı davetlerinde belirli etki alanlarına izin verebilir veya bunları engelleyebilirsiniz.
• Uygulama Kayıtları - Uygulama kayıtları etkinleştirildiğinde, son kullanıcılar uygulamaları kendileri ekleyebilir ve verilerine erişim verebilir. Uygulama kaydına tipik bir örnek olarak, Kullanıcıların Outlook eklentilerini veya Alexa ve Siri gibi sesli yardımcıları e-postalarını ve takvimlerini okumalarını veya onların adına e-posta göndermelerini sağlar. Müşteri Uygulama kaydını kapatmaya karar verirse InfoSec ve IAM ekipleri, uygulamaları bir yönetici hesabına kaydetmeleri ve büyük olasılıkla süreci kullanıma hazır hale getirmek için bir süreç tasarlamaları gerekeceğinden özel durumların (iş gereksinimlerine göre gerekli olan uygulama kayıtları) yönetimine dahil olmalıdır.
• Yönetim Portalı - Kuruluşlar Azure portalında Microsoft Entra dikey penceresini kilitleyebilir, böylece yönetici olmayanlar Azure portalında Microsoft Entra yönetimine erişemez ve kafaları karışabilir. Erişimi kısıtlamak için Microsoft Entra yönetim portalında kullanıcı ayarlarına gidin:

Grup ayarları

Self Servis Grup Yönetimi / Kullanıcılar Güvenlik grupları / Microsoft 365 grupları oluşturabilir. Buluttaki gruplar için geçerli bir self servis girişimi yoksa, müşteriler bu özelliği kullanmaya hazır olana kadar kapatmaya karar verebilir.

Önerilen okuma grupları

• Microsoft Entra B2B işbirliği nedir?
• Uygulamaları Microsoft Entra Id ile Tümleştirme
• Microsoft Entra Id'deki uygulamalar, izinler ve onay.
• Microsoft Entra Id'de kaynaklara erişimi yönetmek için grupları kullanma
• Microsoft Entra Id'de self servis uygulama erişim yönetimini ayarlama

Beklenmeyen konumlardan gelen trafik

Saldırganlar dünyanın çeşitli yerlerinden geliyor. Koşul olarak konumlu Koşullu Erişim ilkelerini kullanarak bu riski yönetin. Koşullu Erişim ilkesinin konum koşulu, oturum açmak için iş nedeni olmayan konumlar için erişimi engellemenizi sağlar.

Varsa, bölgeler arasında erişim desenlerini analiz etmek ve bulmak için bir güvenlik bilgileri ve olay yönetimi (SIEM) çözümü kullanın. SIEM ürünü kullanmıyorsanız veya Microsoft Entra ID'den kimlik doğrulama bilgilerini almıyorsanız, bölgeler arasında erişim desenlerini belirlemek için Azure İzleyici'yi kullanmanızı öneririz.

Erişim kullanımı

Microsoft Entra günlükleri arşivlenmiş ve olay yanıtı planlarıyla tümleştirilmiş

Microsoft Entra ID için oturum açma etkinliğine, denetimlere ve risk olaylarına erişim sahibi olmak sorun giderme, kullanım analizi ve adli incelemeler için çok önemlidir. Microsoft Entra Id, sınırlı saklama süresine sahip REST API'leri aracılığıyla bu kaynaklara erişim sağlar. Güvenlik bilgileri ve olay yönetimi (SIEM) sistemi veya eşdeğer arşivleme teknolojisi, denetimlerin ve desteklenebilirliğin uzun süreli depolanması için önemlidir. Microsoft Entra günlüklerinin uzun süreli depolanmasını etkinleştirmek için bunları mevcut SIEM çözümünüze eklemeniz veya Azure İzleyici'yi kullanmanız gerekir. Olay yanıtı planlarınızın ve araştırmalarınızın bir parçası olarak kullanılabilecek arşiv günlükleri.

Günlüklerin okunması önerilir

• Microsoft Entra denetim API'si başvurusu
• Microsoft Entra oturum açma etkinliği raporu API başvurusu
• Sertifikalarla Microsoft Entra raporlama API'sini kullanarak veri alma
• Microsoft Entra Kimlik Koruması için Microsoft Graph
• Office 365 Yönetim Etkinliği API'si başvurusu
• Microsoft Entra ID Power BI İçerik Paketi'ni kullanma

Özet

Güvenli kimlik altyapısının 12 yönü vardır. Bu liste, kimlik bilgilerini daha fazla güvenlik altına alıp yönetmenize, kimlik doğrulama deneyimini tanımlamanıza, temsilci ataması yapmanıza, kullanımı ölçmenize ve kurumsal güvenlik duruşu temelinde erişim ilkeleri tanımlamanıza yardımcı olur.

• Anahtar görevlere sahip atama.
• Zayıf veya sızdırılmış parolaları algılamak, parola yönetimini ve korumasını geliştirmek ve kaynaklara kullanıcı erişimini daha da güvenli hale getirmek için çözümler uygulayın.
• Kaynaklarınızı istediğiniz zaman ve herhangi bir konumdan korumak için cihazların kimliğini yönetin.
• Parolasız kimlik doğrulaması uygulayın.
• Kuruluş genelinde standartlaştırılmış bir çoklu oturum açma mekanizması sağlayın.
• Daha iyi güvenlik ve daha tutarlı yönetilebilirlik sağlamak için uygulamaları AD FS'den Microsoft Entra ID'ye geçirin.
• Büyük ölçekte daha fazla esneklik ve yönetme olanağı sağlamak için grupları kullanarak kullanıcıları uygulamalara atayın.
• Risk tabanlı erişim ilkelerini yapılandırın.
• Eski kimlik doğrulama protokollerini kilitleyin.
• Yasadışı onay vermelerini algılayın ve düzeltin.
• Kullanıcı ve grup ayarlarını kilitleyin.
• Sorun giderme, kullanım analizi ve adli araştırma için Microsoft Entra günlüklerinin uzun süreli depolanmasını etkinleştirin.

Sonraki adımlar

Kimlik idaresi operasyonel denetimlerini ve eylemlerini kullanmaya başlayın.