Microsoft 365 / Entra ID Security Baseline

CA ile tum kullanicilar ve tum kaynaklar; en az iki emergency (break-glass) hesap haric. Kullanici tabanli servis hesaplari workload identity ye tasinir. P1/P2 YOKSA Security Defaults kullanilir - ANCAK Security Defaults ile ozel Conditional Access politikalari BIRLIKTE KULLANILAMAZ (karsilikli dislayici). Security Defaults secilen bir tenant ta bu baseline daki M365-CA-* kontrollerinin tamami uygulanamaz ve not applicable isaretlenmelidir.

Yoneticiler icin phishing-direncli yontemler (FIDO2 / Windows Hello / sertifika) etkin; SMS ve ses kapali. Zorlama CA-06 authentication strength ile yapilir (bu satir yontem erisilebilirligini tanimlar).

Global yasakli parola listesi otomatik ve kapatilamaz (dogrulanir); P1/P2 ile ozel kurum terimleri eklenir. SSPR, MFA kaydi ve password writeback AYRI kontrollerdir.

Misafir davet sinirli; harici isbirligi en kisitli role

Hibrit ortamda DC, AD CS, AD FS ve Entra Connect icin desteklenen MDI unified sensor kapsami kurulu. MDI tek tespit kaynagi DEGIL; SIEM, EDR ve native audit tamamlayicidir.

Yalniz belirli roller misafir davet edebilir (uye kullanicilar degil)

Number matching zorunlu varsayilanin calistigi + ek baglam (uygulama adi + cografi konum) gosterimi acik dogrulanir. Ayricalikli kullanicilar push yerine phishing-direncli MFA kullanmali.

Register security information CA ile korunur: compliant device veya guclu bootstrap/TAP. TAP kisa omurlu, tek kullanimlik ve helpdesk kimlik-ispati sureciyle verilir. Trusted network tek basina yeterli degil.

CBA kullaniliyorsa yuksek-afinite baglama zorunlu: SKI, SHA1PublicKey veya IssuerAndSerialNumber. Dusuk-afinite (SAN PrincipalName/RFC822, IssuerAndSubject) tek basina yeterli degil; tenant Required affinity = High.

CA MFA politikasi kapsami tum misafir/harici kullanicilari da icerir; misafir erisiminde MFA zorunlu

Faz 1 (Ekim 2024 den, Mart 2025 te %100): Azure portal, Entra admin center, Intune admin center ve M365 admin center oturum acmalarinda MFA zorunlu. Faz 2 (1 Ekim 2025 ten): Azure CLI, Azure PowerShell, Azure mobile app, IaC araclari, REST API ve SDK uzerinden Create/Update/Delete islemlerinde MFA zorunlu (Read haric). Erteleme hakki 1 Temmuz 2026 da doldu. Tum insan hesaplari (break-glass dahil) MFA kayitli olmali; otomasyon workload identity ye (managed identity / federated credential) tasinmali.

Tum yontemler birlesik Authentication methods policy uzerinden yonetiliyor; eski per-user MFA ve SSPR yontem politikalari kullanilmiyor (30 Eylul 2025 te emekli oldular). Gecis OTOMATIK DEGILDIR: yontem kapsamlari (SMS, ses, Authenticator, FIDO2, TAP, sertifika) gruplar bazinda acikca tanimlanmis olmali; zayif yontemler (SMS/ses) en azindan ayricalikli kullanicilarda kapali.

CA policy: legacy authentication = Block

Ayricalikli erisimde tercihen Require device to be marked as compliant; hybrid join yalniz gecis/istisna. Grant secimi acik: Require ALL selected veya Require ONE belirtilmeli.

High sign-in risk: BLOCK (veya en az phishing-direncli MFA). High user risk: BLOCK; kurtarma yalniz kimlik-ispatli surecle. Medium risk: MFA + guvenli parola degisimi. CISA SCuBA yuksek riskte engellemeyi bekler. (Identity Protection P2 + SSPR gerekir.)

Adminlerde kalici tarayici oturumu kapali; reauthentication risk/islem bazli. Calinan token a karsi asil kontrol token protection + CAE + compliant device (asiri kisa sign-in frequency MFA fatigue yaratir).

CA Authentication Flows: device code flow = Block (is ihtiyaci yoksa); transfer akislari kapsamli. Teams Rooms vb. istisnalar ozel grup/Device Registration kapsamiyla.

Ayricalikli erisimde CA authentication strength = phishing-resistant MFA (FIDO2 / sertifika / Windows Hello) ZORUNLU. Hedef durum tum kullanicilar icin phishing-direncli MFA dir (CISA SCuBA); yoneticiler ilk faz, kalan kullanicilar icin tarihli bir gecis plani tanimli olmalidir.

IKI AYRI OZELLIK. (1) Token Protection: Windows uzerinde GENEL KULLANIMA ACIK (GA); macOS ve iOS/iPadOS PREVIEW (MDM yonetimli + Microsoft Enterprise SSO plug-in gerekir). Yalniz NATIVE uygulamalar; TARAYICI DESTEKLENMEZ - bu nedenle Client Apps kosulunda yalniz Mobile apps and desktop clients secilmeli, aksi halde Teams Web gibi MSAL.js uygulamalari bloklanir. Once report-only, sonra enforce. (2) CAE: desteklenen servislerde varsayilan calisir; strict location enforcement ayrica dogrulanir.

Named locations yardimci sinyal (bilinen lokasyonlar tanimli); yuksek-riskli ulke blogu kismi (proxy ile asilabilir). Atypical/impossible travel risk-based CA (Identity Protection) ile degerlendirilir; guvenilir konum MFA bypass icin kullanilmaz.

Require app protection policy grant kullanilir. Require approved client app 30 Haziran 2026 da EMEKLI oldu ve salt okunur duruma gecti (yeni politika olusturulamaz, mevcut duzenlenemez). DIKKAT - Microsoft un iki resmi kaynagi celisiyor: Learn (migrate-approved-client-app) mevcut ETKIN politikalarin zorlanmaya devam ettigini soylerken Message Center MC1220751 grant in artik zorlanamayacagini soyluyor. Bu grant a guvenilmemeli; tum politikalar Require app protection policy ye tasinmalidir. Gecis sirasinda iki grant birlikte + Require one of the selected controls kullanilir.

CA: yalniz yonetilen/desteklenen cihaz platformlari (Windows, macOS, iOS, Android); bilinmeyen platform bloklu

<= 3 saat; en az yonetilmeyen cihazlarda zorunlu (CA sign-in frequency ile tamamlanir)

2-4 Global Admin; gunluk is hesabi degil

Ayricalikli roller eligible; aktivasyonda phishing-direncli auth context + gerekce + onay + maksimum sureli aktivasyon + bildirim; assignment expiration. Emergency hesaplar haric.

2 cloud-only hesap, FIDO2; sign-in i block/restrict eden CA lardan haric (tum CA lardan degil); kullanimi ve credential degisikligi alarm uretir.

Admin hesaplari mailbox/lisanstan ayri, cloud-only

B2B inbound/outbound kapsamli (allowlist); Tenant Restrictions v2 icin Global Secure Access veya desteklenen proxy/header enforcement gerekir (yalniz portal toggle yetmez).

Kritik hesaplar/gruplar kisitli yonetim biriminde; yalniz yetkili admin degistirebilir

Ayricalikli roller ve misafir erisimi icin periyodik access review (Entra ID Governance)

POP/IMAP/EWS/SMTP icin Basic Auth kapali; kullanilmayan protokoller ayrica kapali. SMTP AUTH tenant genelinde disabled, yalniz OAuth kullanan belgeli mailbox istisnalari.

Disabled

Desteklenen her platform icin uyum politikasi: disk sifreleme (BitLocker/FileVault), minimum OS surumu, ekran kilidi/parola, jailbreak-root tespiti, antimalware/Defender durumu, guvenlik guncelleme halkalari (update rings) ve uyumsuz cihazlar icin tanimli grace period. Uyum durumu M365-CA-02 nin dayanagidir.

User consent: yalniz dogrulanmis yayinci + dusuk-riskli izinler; admin consent workflow acik

Users can register applications = No

Oncelik: managed identity veya workload identity federation; sonra sertifika. Client secret yalniz zorunluysa kisa omurlu, vault icinde, otomatik rotasyonlu. Owner zorunlu; kullanilmayan app kaldirilir.

App governance etkin; riskli / asiri izinli OAuth uygulamalari icin otomatik politika ve uyari

Oncelik managed identity / workload identity federation. Workload Identities Premium risk-tabanli CA yalniz dogrudan hedeflenen single-tenant service principal larda calisir (managed identity ve 3P/multitenant ta calismaz; yalniz Block grant).

Power Platform tenant genelinde DLP politikalari tanimli: is/kisisel konnektor gruplari ayrilmis, kisisel e-posta ve dosya paylasim konnektorleri bloklu; ortam olusturma yetkisi kisitli; tenant isolation acik (yalniz onayli tenant lara/dan baglanti); varsayilan ortamda uretim kullanimi engelli.

Tum accepted domain/subdomain icin DKIM; SPF tek kayit ve gonderici envanteri; DMARC once p=none (raporlama), sonra p=quarantine, ardindan p=reject pct=100. RUA raporlari takip edilir.

Defender for Office 365 (P1/P2) ile Safe Attachments + Safe Links; kapsam Exchange, Teams, SharePoint ve OneDrive.

Standard preset tum kullanicilar; Strict preset yonetici, finans ve priority accounts. Mailbox intelligence + impersonation korumasi + first-contact safety tips etkin.

Automatic forwarding rules = Off; remote domain forwarding ve transport/inbox forwarding kurallari denetlenir. Belgeli istisnalar ayri policy ile.

Yurutulebilir uzantilar (exe, js, vbs, hta, ...) bloklu

Standard preset tum kullanicilar; Strict preset yonetici/finans/priority accounts; ZAP acik; karantina release yetkileri sinirli; anti-spam/outbound spam/spoof intelligence dogrulanmis

Anyone (kimlik dogrulamasiz) baglantilar kapali; mevcut misafir veya kurum ici

PII/finansal veri icin Exchange/SPO/Teams DLP etkin

Teams harici erisim (federasyon) ONAYLI DOMAIN ALLOWLIST i ile sinirli - acik federasyon kapali; anonim toplanti katilimi ve lobi ayarlari sinirli; harici kullanicilarin toplanti baslatmasi engelli.

Kutu/site icin retention + gerekli yerde legal hold (yalniz uyum/koruma/preservation amacli).

Kural: Anyone (kimlik dogrulamasiz) baglantilar KAPALI (bkz. M365-DAT-01). Bu kontrol yalniz Anyone baglantilarina is gerekcesiyle ve belgeli istisna olarak izin verilen tenant lar icin gecerlidir: gecerlilik <= 30 gun ve yalniz goruntuleme. Iki kontrol birlikte okunmalidir; DAT-01 uygulanmissa bu satir konu disidir (not applicable).

Veri siniflandirma semasi tanimli; duyarlilik etiketleri yayinlanmis; gizli/kisitli etiketlerde sifreleme ve kullanim haklari; otomatik/onerilen etiketleme kurallari (Exchange, SPO, OneDrive) etkin; varsayilan etiket ve etiket dusurmede gerekce zorunlu.

Copilot dagitimindan ONCE: SharePoint/OneDrive genis erisimli site ve dosyalar envanterlenmis (Everyone / Everyone except external users / organization-wide baglantilar); SharePoint Advanced Management veya esdeger ile site erisim incelemesi ve kisitli erisim politikasi uygulanmis; Copilot un kapsayabilecegi icerik duyarlilik etiketleriyle sinirlandirilmis; site sahibi gozden gecirmeleri periyodik.

Copilot etkilesimleri Purview audit e dusuyor ve SIEM e tasiniyor; Copilot etkilesim verisi icin retention/eDiscovery kapsami tanimli; ucuncu parti Copilot eklentileri, konnektorler ve AI ajanlari icin kullanici onayi kapali, admin onay is akisi zorunlu; ajanlarin eristigi veri kapsami ve kimlik (agent identity) envanterli.

Connect sunucusu Tier 0/Control Plane. UC AYRI HESAP ayirt edilir ve her biri kendi proseduruyle yonetilir: (1) AD DS connector hesabi (MSOL_ ...) - dizin okuma/yazma yetkileri feature a gore minimum, parola degisimi yalniz Microsoft in connector kimlik bilgisi guncelleme proseduruyle; (2) ADSync yerel servis hesabi (varsayilan sanal/gMSA) - anahtar materyali sunucuya baglidir, elle parola degisimi desteklenmez; (3) bulut tarafindaki senkronizasyon hesabi (Directory Synchronization Accounts rolu) - portal/Graph uzerinden yonetilir. Ucunun de etkilesimli logonu engelli.

PTA kullaniliyorsa en az 3 agent + hardened sunucu + health monitoring. PHS yedek/failover icin acik. AZUREADSSOACC Kerberos anahtari duzenli (Microsoft onerisi ~30 gun) donduruluyor.

blockCloudObjectTakeoverThroughHardMatchEnabled = true; mumkunse blockSoftMatchEnabled = true. Gecici kapatma change-control + alarm gerektirir.

Token imzalama sertifikasi HSM korumali/duzenli rotasyonlu; AD FS sunuculari Tier 0; MFA adapter bagimsiz dogrulanmis. Durumsal: yalniz AD FS federasyonu kullaniliyorsa.

Entra Connect Sync >= 2.5.79.0 (ZORUNLU: 30 Eylul 2026 dan itibaren daha eski surumlerde TUM senkronizasyon servisleri CALISMAYI DURDURUR). Connect Health ajanlari (Connect Sync / AD DS / AD FS) >= 4.5.2466.0. Ayrica: .NET Framework 4.7.2 + TLS 1.2, auto-upgrade durumu bilinir, staging modda yedek sunucu hazir, senkronizasyon kesintisi ve export hatasi alarmli.

Users can create tenants = No (yalniz yetkili roller)

Restrict access to Entra admin center = Yes (UI surtunmesi). NOT: Microsoft bunun bir guvenlik siniri OLMADIGINI belirtir - PowerShell/Graph erisimini engellemez. Gercek koruma: uye kullanici varsayilan izinleri (DIR-05), RBAC ve gerekiyorsa yonetim kaynagina CA.

M365 Group olusturma yetkili bir security group ile sinirli (tamamen kapatma degil); naming, expiration, owner ve sensitivity label politikalari. Security group olusturma ayri authorization policy.

Guest user access restrictions = en kisitli (misafirler dizin nesnelerini sayamaz)

Kullanicilarin uygulama kaydi, tenant olusturma ve grup olusturma yetkileri kapali (ilgili kontroller); LinkedIn baglantisi ve gereksiz self-servis kapali. DIKKAT: allowedToReadOtherUsers=false GENEL BASELINE OLARAK UYGULANMAMALI - Microsoft bu ayari ozel durumlar disinda ONERMIYOR; Teams basta olmak uzere M365 servislerinde kullanici bilgisi okumayi bozabilir ve Graph/PowerShell erisimini de tam engellemez. Dizin sayimini gercekten kisitlamak gerekiyorsa Microsoft un onerisi Conditional Access ile ilgili uc noktalara erisimi engellemektir.

Purview audit + mailbox auditing ACIK ve ingest edildigi dogrulanir (cogu tenantta varsayilan acik). Audit rolleri least privilege; auditing disable/bypass degisiklikleri alarmli.

Entra diagnostic settings (sign-in/audit) + Defender XDR/Sentinel connector + Microsoft 365 Management Activity API; gerekirse Graph audit. Hepsi ayri kaynak olarak yapilandirilir.

Riskli oturum, toplu indirme, yeni yonlendirme kurali, izin yukseltme alertleri

Audit (Standard) varsayilan saklama cogu kayit turu icin 180 gun. Audit (Premium): uygun lisansli kullanicilar icin Entra/Exchange/SharePoint/OneDrive kayitlarinda 1 yila kadar; saklama kayit turune, kullaniciya ve lisansa gore DEGISIR - tek bir sure varsayilmamali, gercek saklama politikalari tenant ta dogrulanmalidir. Retention policy yalniz olusturmadan SONRAKI olaylara uygulanir. Risk/CAE olaylari ayrica SIEM e tasinir.

CA politika olusturma/degistirme/silme alertli; politikalar policy-as-code / versiyonlu export ile ayri repository de, secret icermeden yedekli; test edilmis rollback proseduru.

Exchange Online, SharePoint, OneDrive ve Teams icin saklama politikalarinin OTESINDE gercek yedek: uretim tenant kimliginden ayri kimlikle korunan, degistirilemez (immutable) kopya; tanimli RPO/RTO; periyodik ve belgeli geri yukleme testi. Recycle bin ve retention tek basina yedek DEGILDIR (fidye, toplu silme ve kotu niyetli admin senaryolarini karsilamaz).