Microsoft 365 / Entra ID Guvenlik Baseline nedir?

Microsoft 365 / Entra ID Guvenlik Baseline, 69 granül güvenlik kontrolünü 13 bölümde toplayan bir sıkılaştırma baseline'ıdır. Her kontrol önerilen değeri, uygulanacağı ayar yolunu ve resmi kamu kaynağını içerir.

Microsoft 365 / Entra ID Guvenlik Baseline hangi uyumluluk çerçeveleriyle eşlenmiştir?

Kontroller şu çerçevelerle eşlenmiştir: CIS v8, NIST 800-171, NIST CSF 2.0, ISO 27002:2022. Her kontrol kartında ilgili çerçeve kontrol numaraları rozet olarak gösterilir.

Kendi ortamımı bu baseline ile nasıl kıyaslarım?

"Kıyaslama modunu aç" butonuna basın, her kontrolü Var / Kısmen / Yok olarak işaretleyin; anında %kapsama skorunuzu, eksik kontrol listenizi ve CSV çıktınızı alın. İşaretler yalnızca sizin tarayıcınızda saklanır.

Microsoft 365 / Entra ID Guvenlik Baseline kaç kontrol içerir ve önem dağılımı nedir?

Toplam 69 kontrol: 1 kritik, 28 yüksek, 35 orta, 5 düşük önem.

Güvenlik Baseline69 kontrol· Son güncelleme: 3 Ağustos 2026

Microsoft 365 / Entra ID Guvenlik Baseline

Bir Microsoft 365 / Entra ID (Azure AD) kiracisinda bulunmasi gereken temel guvenlik kontrolleri butunu: MFA ve kimlik, Conditional Access, ayricalikli roller ve PIM, eski kimlik dogrulamanin kapatilmasi, Exchange Online e-posta guvenligi (DMARC, Defender), OAuth/uygulama yonetisimi, birlesik denetim loglari ve veri/paylasim kontrolleri. Cerceve SANS CIS Controls v8; somut degerler CIS M365 Foundations Benchmark, CISA SCuBA ve Microsoft rehberlerinden derlenmistir.

Kaynak çerçeveler

SANS / CIS Critical Security Controls v8 ↗CIS Microsoft 365 Foundations Benchmark ↗CISA SCuBA — M365 Secure Baselines ↗Microsoft Security Defaults / Secure Score ↗

Nasıl kullanılır? Bu liste, ortamınızda olması gereken kontrollerin referansıdır. Üstteki "Kıyaslama modunu aç" ile her kontrolü Var / Kısmen / Yok olarak işaretleyip kapsama skorunuzu görün ve eksikleri CSV olarak dışa aktarın. İşaretler yalnızca bu tarayıcıda saklanır.

Özet

Microsoft 365 / Entra ID Guvenlik Baseline, 13 bölümde 69 granül sıkılaştırma kontrolü içerir; her kontrol önerilen değer, ayar yolu ve resmi kamu kaynağıyla gelir. Kontroller şu uyumluluk çerçeveleriyle eşlenmiştir: CIS v8, NIST 800-171, NIST CSF 2.0, ISO 27002:2022. Kendi yapılandırmanızı satır satır kıyaslayıp %kapsama skoru, eksik kontrol listesi ve CSV çıktısı alabilirsiniz.

Bilgilendirme notu

Bilgilendirme notu: Microsoft 365 ve Entra ID baseline'ında MFA tüm hesaplara uygulanmalı; ayrıcalıklı hesaplarda phishing-resistant yöntemler (FIDO2 veya donanım anahtarı) tercih edilmeli ve doğrudan push bildirimi devre dışı bırakılmalıdır. Conditional Access politikaları sıfır güven mimarisinin politika karar noktasını oluşturur. Azure AD Password Protection ile yaygın zayıf parolalar hem bulutta hem şirket içinde engellenir.

Önemli uygulama uyarısı

Bu baseline genel bir güvenlik referansıdır. Kontroller, üretim ortamına uygulanmadan önce kurumunuzun ihtiyaçları ve mevcut yapılandırması dikkate alınarak test ortamında doğrulanmalı; değişiklikler kontrollü, aşamalı ve geri alma planı hazırlanarak uygulanmalıdır. Bu kontrollerin uygulanmasından veya uygulama sonucunda oluşabilecek hizmet kesintisi, veri kaybı, uyumsuzluk ya da diğer zararlardan CyberSecLab sorumlu tutulamaz.

69 kontrol · 13 bölüm

M365-IDN-01Tum kullanicilar icin MFA

L1high

Önerilen değer

CA ile tum kullanicilar ve tum kaynaklar; en az iki emergency (break-glass) hesap haric. Kullanici tabanli servis hesaplari workload identity ye tasinir. P1/P2 YOKSA Security Defaults kullanilir - ANCAK Security Defaults ile ozel Conditional Access politikalari BIRLIKTE KULLANILAMAZ (karsilikli dislayici). Security Defaults secilen bir tenant ta bu baseline daki M365-CA-* kontrollerinin tamami uygulanamaz ve not applicable isaretlenmelidir.

↳ Entra > Protection > Conditional Access

MFA, calinmis parolayla erisimin onundeki en etkili tek kontroldur; kapsamin break-glass disinda eksiksiz olmasi ve servis hesaplarinin ayrilmasi sarttir.

T1078.004 ↗T1110 ↗Kaynak:CIS Critical Security Controls v8 ↗

Çerçeveler:CIS v8 · 6.3NIST 800-171 · 3.5.3NIST CSF · PR.AA-03ISO 27002 · 8.5

M365-IDN-02Yoneticiler icin phishing-direncli MFA

L1high

Önerilen değer

Yoneticiler icin phishing-direncli yontemler (FIDO2 / Windows Hello / sertifika) etkin; SMS ve ses kapali. Zorlama CA-06 authentication strength ile yapilir (bu satir yontem erisilebilirligini tanimlar).

↳ Entra > Authentication methods

Push/SMS MFA fatigue ve SIM swap ile asilabilir; ayricalikli hesaplar phishing-direncli yontem kullanmali. CA-06 ile birlikte uygulanir.

T1621 ↗T1078.004 ↗Kaynak:CISA SCuBA / Microsoft ↗

Çerçeveler:CIS v8 · 6.3NIST 800-171 · 3.5.3NIST CSF · PR.AA-03ISO 27002 · 8.5

M365-IDN-03Entra Password Protection

L1medium

Önerilen değer

Global yasakli parola listesi otomatik ve kapatilamaz (dogrulanir); P1/P2 ile ozel kurum terimleri eklenir. SSPR, MFA kaydi ve password writeback AYRI kontrollerdir.

↳ Entra > Authentication methods > Password protection

Yasakli parola listesi yaygin ve kuruma ozel zayif parolalari engeller; global liste her zaman aktiftir, deger yalniz ozel liste + SSPR yapilandirmasidir.

T1110 ↗Kaynak:CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 6.3NIST 800-171 · 3.5.3NIST CSF · PR.AA-03ISO 27002 · 8.5

M365-IDN-04Misafir (guest) erisim kisitlama

L2medium

Önerilen değer

Misafir davet sinirli; harici isbirligi en kisitli role

↳ Entra > External Identities > Collaboration settings

Asiri genis misafir erisimi kiraci disindan yetkisiz erisim ve veri sizintisina yol acar.

T1078 ↗Kaynak:CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 6.3NIST 800-171 · 3.5.3NIST CSF · PR.AA-03ISO 27002 · 8.5

M365-IDN-05Defender for Identity (hibrit AD)

L2high

Önerilen değer

Hibrit ortamda DC, AD CS, AD FS ve Entra Connect icin desteklenen MDI unified sensor kapsami kurulu. MDI tek tespit kaynagi DEGIL; SIEM, EDR ve native audit tamamlayicidir.

↳ Microsoft Defender XDR > Identities (MDI)

On-prem kimlik saldirilari MDI ile buluttaki tespite tasinir; ancak tespit yalnizca MDI ye baglanmamali, katmanli olmalidir.

T1003.006 ↗T1649 ↗Kaynak:Microsoft ↗

Çerçeveler:CIS v8 · 6.3NIST 800-171 · 3.5.3NIST CSF · PR.AA-03ISO 27002 · 8.5

M365-IDN-06Misafir davet kisitlama

L2medium

Önerilen değer

Yalniz belirli roller misafir davet edebilir (uye kullanicilar degil)

↳ Entra > External Identities > External collaboration settings

Kontrolsuz misafir daveti, denetlenmeyen disaridan erisim ve sosyal muhendislik kanali acar.

T1078 ↗Kaynak:CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 6.3NIST 800-171 · 3.5.3NIST CSF · PR.AA-03ISO 27002 · 8.5

M365-IDN-07Microsoft Authenticator sertlestirme

L1high

Önerilen değer

Number matching zorunlu varsayilanin calistigi + ek baglam (uygulama adi + cografi konum) gosterimi acik dogrulanir. Ayricalikli kullanicilar push yerine phishing-direncli MFA kullanmali.

↳ Entra > Authentication methods > Microsoft Authenticator

Number matching 8 Mayis 2023 ten beri kapatilamaz varsayilandir; ek baglam MFA yorgunlugu (push bombing) ile yanlislikla onayi azaltir.

T1621 ↗T1111 ↗Kaynak:Microsoft / CISA SCuBA ↗

Çerçeveler:CIS v8 · 6.3NIST 800-171 · 3.5.3NIST CSF · PR.AA-03ISO 27002 · 8.5

M365-IDN-08Guvenli kimlik-bilgisi (MFA) kaydi

L2high

Önerilen değer

Register security information CA ile korunur: compliant device veya guclu bootstrap/TAP. TAP kisa omurlu, tek kullanimlik ve helpdesk kimlik-ispati sureciyle verilir. Trusted network tek basina yeterli degil.

↳ Entra > CA (Register security information) + Authentication methods > TAP

Korumasiz MFA kaydi, saldirganin ele gecirdigi hesaba kendi MFA yontemini eklemesine izin verir; kaydi cihaz/TAP ile kisitlamak bunu engeller.

T1556.006 ↗T1098 ↗Kaynak:Microsoft / CISA SCuBA ↗

Çerçeveler:CIS v8 · 6.3NIST 800-171 · 3.5.3NIST CSF · PR.AA-03ISO 27002 · 8.5

M365-IDN-09Sertifika tabanli kimlik dogrulama (CBA) baglama

L2medium

Önerilen değer

CBA kullaniliyorsa yuksek-afinite baglama zorunlu: SKI, SHA1PublicKey veya IssuerAndSerialNumber. Dusuk-afinite (SAN PrincipalName/RFC822, IssuerAndSubject) tek basina yeterli degil; tenant Required affinity = High.

↳ Entra > Authentication methods > Certificate-based authentication

Zayif (dusuk-afinite) sertifika baglamasi, uygun degerle uretilen sertifikayla kimlik taklidine acar; yuksek-afinite baglama bunu sikilastirir.

T1649 ↗Kaynak:Microsoft ↗

Çerçeveler:CIS v8 · 6.3NIST 800-171 · 3.5.3NIST CSF · PR.AA-03ISO 27002 · 8.5

M365-IDN-10Misafir (guest) kullanicilar icin MFA

L1high

Önerilen değer

CA MFA politikasi kapsami tum misafir/harici kullanicilari da icerir; misafir erisiminde MFA zorunlu

↳ Entra > Conditional Access (Guest or external users kapsami)

Misafir hesaplar da phishing ve parola saldirilarinin hedefidir; MFA kapsami disinda birakilirsa kiraci disindan kimlik dogrulamasiz erisim yuzeyi kalir (SCuBA MS.AAD).

T1078.004 ↗Kaynak:CISA SCuBA ↗

Çerçeveler:CIS v8 · 6.3NIST 800-171 · 3.5.3NIST CSF · PR.AA-03ISO 27002 · 8.5

M365-IDN-11Microsoft un zorunlu MFA dayatmasina hazirlik

high

Önerilen değer

Faz 1 (Ekim 2024 den, Mart 2025 te %100): Azure portal, Entra admin center, Intune admin center ve M365 admin center oturum acmalarinda MFA zorunlu. Faz 2 (1 Ekim 2025 ten): Azure CLI, Azure PowerShell, Azure mobile app, IaC araclari, REST API ve SDK uzerinden Create/Update/Delete islemlerinde MFA zorunlu (Read haric). Erteleme hakki 1 Temmuz 2026 da doldu. Tum insan hesaplari (break-glass dahil) MFA kayitli olmali; otomasyon workload identity ye (managed identity / federated credential) tasinmali.

↳ Entra admin center + aka.ms/managemfaforazure durum kontrolu + otomasyon hesabi envanteri

Bu zorlama Microsoft tarafindan servis tarafinda uygulanir; tenant in CA politikasi olsun olmasin devreye girer. MFA kayitli olmayan yonetici veya otomasyon hesaplari uyari vermeden erisimini kaybeder - break-glass hesaplari da kapsamda oldugu icin acil erisim plani bundan dogrudan etkilenir.

T1078.004 ↗T1621 ↗Kaynak:Microsoft Learn / Azure Blog ↗

Çerçeveler:CIS v8 · 6.3NIST 800-171 · 3.5.3NIST CSF · PR.AA-03ISO 27002 · 8.5

M365-IDN-12Kimlik dogrulama yontemlerinin birlesik politikaya tasinmasi

high

Önerilen değer

Tum yontemler birlesik Authentication methods policy uzerinden yonetiliyor; eski per-user MFA ve SSPR yontem politikalari kullanilmiyor (30 Eylul 2025 te emekli oldular). Gecis OTOMATIK DEGILDIR: yontem kapsamlari (SMS, ses, Authenticator, FIDO2, TAP, sertifika) gruplar bazinda acikca tanimlanmis olmali; zayif yontemler (SMS/ses) en azindan ayricalikli kullanicilarda kapali.

↳ Entra admin center > Protection > Authentication methods > Policies (migration durumu Complete)

Eski MFA/SSPR politikalari emekli olduktan sonra yontem yonetimi yalniz birlesik politikadan yapilabilir. Gecisi tamamlamayan tenant larda yontem kapsamlari beklenmedik sekilde genisleyebilir veya daralabilir; ozellikle SMS gibi zayif yontemlerin sessizce acik kalmasi yaygin bir sonuctur.

T1621 ↗T1111 ↗Kaynak:Microsoft Learn ↗

Çerçeveler:CIS v8 · 6.3NIST 800-171 · 3.5.3NIST CSF · PR.AA-03ISO 27002 · 8.5

M365-CA-01Eski kimlik dogrulamayi engelle

L1high

Önerilen değer

CA policy: legacy authentication = Block

↳ Entra > Conditional Access

Eski protokoller MFA desteklemez; parola puskurtmenin baslica yoludur. CA-01 tum kaynaklarda legacy client auth i bloklar; SMTP AUTH ve protokol bazli kapatma LEG-01 ile tamamlanir (Exchange basic auth zaten servis tarafinda kaldirildi).

T1110 ↗T1078.004 ↗Kaynak:Microsoft / CISA SCuBA ↗

Çerçeveler:CIS v8 · 6.7NIST 800-171 · 3.1.1NIST CSF · PR.AA-05ISO 27002 · 5.15

M365-CA-02Uyumlu/yonetilen cihaz gereksinimi

L2medium

Önerilen değer

Ayricalikli erisimde tercihen Require device to be marked as compliant; hybrid join yalniz gecis/istisna. Grant secimi acik: Require ALL selected veya Require ONE belirtilmeli.

↳ Entra > Conditional Access

Hybrid joined cihaz compliant ile ayni guvenceyi vermez; cihaz uyumlulugu yonetilmeyen cihazdan kimlik bilgisi calinmasini sinirlar.

T1078 ↗Kaynak:CISA SCuBA ↗

Çerçeveler:CIS v8 · 6.7NIST 800-171 · 3.1.1NIST CSF · PR.AA-05ISO 27002 · 5.15

M365-CA-03Risk tabanli Conditional Access

L2medium

Önerilen değer

High sign-in risk: BLOCK (veya en az phishing-direncli MFA). High user risk: BLOCK; kurtarma yalniz kimlik-ispatli surecle. Medium risk: MFA + guvenli parola degisimi. CISA SCuBA yuksek riskte engellemeyi bekler. (Identity Protection P2 + SSPR gerekir.)

↳ Entra > Identity Protection

Davranissal risk sinyalleri ele gecirilmis oturumlari gercek zamanli yakalar; eylem risk seviyesine gore netlestirilmelidir.

T1078.004 ↗Kaynak:Microsoft ↗

Çerçeveler:CIS v8 · 6.7NIST 800-171 · 3.1.1NIST CSF · PR.AA-05ISO 27002 · 5.15

M365-CA-04Yonetici oturum kontrolu

L2low

Önerilen değer

Adminlerde kalici tarayici oturumu kapali; reauthentication risk/islem bazli. Calinan token a karsi asil kontrol token protection + CAE + compliant device (asiri kisa sign-in frequency MFA fatigue yaratir).

↳ Entra > Conditional Access (admin roles)

Kisa sign-in frequency calinmis token i dogrudan kirmaz; token protection, CAE ve compliant device replay i daha etkili engeller.

T1550.001 ↗Kaynak:CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 6.7NIST 800-171 · 3.1.1NIST CSF · PR.AA-05ISO 27002 · 5.15

M365-CA-05Device code flow ve riskli akislar engeli

L1high

Önerilen değer

CA Authentication Flows: device code flow = Block (is ihtiyaci yoksa); transfer akislari kapsamli. Teams Rooms vb. istisnalar ozel grup/Device Registration kapsamiyla.

↳ Entra > Conditional Access > Conditions > Authentication Flows

Device code phishing yaygin bir MFA atlatma yontemidir; CA veya Microsoft-managed policy ile bloklanir (yeni tenantlarda Security Defaults kapsaminda varsayilan bloklama 2026 da uygulanir).

T1078.004 ↗T1528 ↗Kaynak:Microsoft / CISA ↗

Çerçeveler:CIS v8 · 6.7NIST 800-171 · 3.1.1NIST CSF · PR.AA-05ISO 27002 · 5.15

M365-CA-06Authentication strength (phishing-resistant)

L1high

Önerilen değer

Ayricalikli erisimde CA authentication strength = phishing-resistant MFA (FIDO2 / sertifika / Windows Hello) ZORUNLU. Hedef durum tum kullanicilar icin phishing-direncli MFA dir (CISA SCuBA); yoneticiler ilk faz, kalan kullanicilar icin tarihli bir gecis plani tanimli olmalidir.

↳ Entra > Conditional Access > Grant > Require authentication strength

Push/SMS/voice MFA, fatigue ve AiTM ile asilabilir; ayricalikli erisim phishing-direncli yontem ister.

T1621 ↗T1078.004 ↗Kaynak:CISA SCuBA ↗

Çerçeveler:CIS v8 · 6.7NIST 800-171 · 3.1.1NIST CSF · PR.AA-05ISO 27002 · 5.15

M365-CA-07Token protection + Continuous Access Evaluation (CAE)

L2medium

Önerilen değer

IKI AYRI OZELLIK. (1) Token Protection: Windows uzerinde GENEL KULLANIMA ACIK (GA); macOS ve iOS/iPadOS PREVIEW (MDM yonetimli + Microsoft Enterprise SSO plug-in gerekir). Yalniz NATIVE uygulamalar; TARAYICI DESTEKLENMEZ - bu nedenle Client Apps kosulunda yalniz Mobile apps and desktop clients secilmeli, aksi halde Teams Web gibi MSAL.js uygulamalari bloklanir. Once report-only, sonra enforce. (2) CAE: desteklenen servislerde varsayilan calisir; strict location enforcement ayrica dogrulanir.

↳ Entra > Conditional Access > Session + CAE

Token Protection, sign-in session token unu cihaza baglayarak calinan token un baska makineden oynatilmasini engeller. Windows GA oldugu icin oncelikli hedef Windows uc noktalaridir; Apple preview olarak pilot kapsaminda tutulmalidir. Tarayici kapsam disi oldugundan bu kontrol tek basina token hirsizligini bitirmez.

T1550.001 ↗T1539 ↗Kaynak:Microsoft ↗

Çerçeveler:CIS v8 · 6.7NIST 800-171 · 3.1.1NIST CSF · PR.AA-05ISO 27002 · 5.15

M365-CA-08Named locations / cografi risk

L2medium

Önerilen değer

Named locations yardimci sinyal (bilinen lokasyonlar tanimli); yuksek-riskli ulke blogu kismi (proxy ile asilabilir). Atypical/impossible travel risk-based CA (Identity Protection) ile degerlendirilir; guvenilir konum MFA bypass icin kullanilmaz.

↳ Entra > Conditional Access > Named locations + Identity Protection

Konum tek basina guvenli degildir; impossible travel bir named-location politikasi degil Identity Protection risk tespitidir.

T1078.004 ↗Kaynak:CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 6.7NIST 800-171 · 3.1.1NIST CSF · PR.AA-05ISO 27002 · 5.15

M365-CA-09Mobil erisimde uygulama koruma politikasi (app protection)

L2medium

Önerilen değer

Require app protection policy grant kullanilir. Require approved client app 30 Haziran 2026 da EMEKLI oldu ve salt okunur duruma gecti (yeni politika olusturulamaz, mevcut duzenlenemez). DIKKAT - Microsoft un iki resmi kaynagi celisiyor: Learn (migrate-approved-client-app) mevcut ETKIN politikalarin zorlanmaya devam ettigini soylerken Message Center MC1220751 grant in artik zorlanamayacagini soyluyor. Bu grant a guvenilmemeli; tum politikalar Require app protection policy ye tasinmalidir. Gecis sirasinda iki grant birlikte + Require one of the selected controls kullanilir.

↳ Entra > CA > Grant > Require app protection policy + Intune App Protection Policies (iOS/Android)

Emekli grant sessizce korumayi kaldirir; app protection policy veriyi uygulama icinde izole eder ve yonetilmeyen mobil cihaza sizmayi engeller.

T1078 ↗T1530 ↗Kaynak:Microsoft / CIS ↗

Çerçeveler:CIS v8 · 6.7NIST 800-171 · 3.1.1NIST CSF · PR.AA-05ISO 27002 · 5.15

M365-CA-10Desteklenmeyen / bilinmeyen platform engeli

L2medium

Önerilen değer

CA: yalniz yonetilen/desteklenen cihaz platformlari (Windows, macOS, iOS, Android); bilinmeyen platform bloklu

↳ Entra > CA > Conditions > Device platforms

Platform bilgisi spoof edilebilir; unknown/unsupported platform blogu yardimci bir kontroldur. Asil guvenlik karari compliant device / device certificate veya app protection sarti ile verilir.

T1078.004 ↗Kaynak:CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 6.7NIST 800-171 · 3.1.1NIST CSF · PR.AA-05ISO 27002 · 5.15

M365-CA-11Idle session timeout (tum kullanicilar)

L1medium

Önerilen değer

<= 3 saat; en az yonetilmeyen cihazlarda zorunlu (CA sign-in frequency ile tamamlanir)

↳ M365 admin center > Org Settings > Security & Privacy > Idle session timeout + Entra CA sign-in frequency

CA-04 yalniz admin oturumlarini kapsar; bu kontrol tum kullanicilarin web oturumlarini kapsar ve terk edilmis/ele gecirilmis oturum penceresini daraltir.

T1550.001 ↗T1078.004 ↗Kaynak:CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 6.7NIST 800-171 · 3.1.1NIST CSF · PR.AA-05ISO 27002 · 5.15

M365-PRIV-01Global Admin sayisini sinirla

L1high

Önerilen değer

2-4 Global Admin; gunluk is hesabi degil

↳ Entra > Roles and administrators

Az sayida kalici global admin, kiracinin tam ele gecirilme yuzeyini kucultur.

T1078.004 ↗Kaynak:CIS Critical Security Controls v8 ↗

Çerçeveler:CIS v8 · 5.4NIST 800-171 · 3.1.5NIST CSF · PR.AA-05ISO 27002 · 8.2

M365-PRIV-02PIM ile JIT rol yukseltme

L2high

Önerilen değer

Ayricalikli roller eligible; aktivasyonda phishing-direncli auth context + gerekce + onay + maksimum sureli aktivasyon + bildirim; assignment expiration. Emergency hesaplar haric.

↳ Entra > Privileged Identity Management

Kalici yetki yerine just-in-time yukseltme, calinan ayricalikli kimligin etki penceresini daraltir; PIM ayarlari eksiksiz olmalidir.

T1098.003 ↗Kaynak:Microsoft / CISA SCuBA ↗

Çerçeveler:CIS v8 · 5.4NIST 800-171 · 3.1.5NIST CSF · PR.AA-05ISO 27002 · 8.2

M365-PRIV-03Acil erisim (break-glass) hesaplari

L1medium

Önerilen değer

2 cloud-only hesap, FIDO2; sign-in i block/restrict eden CA lardan haric (tum CA lardan degil); kullanimi ve credential degisikligi alarm uretir.

↳ Entra > Users (emergency access)

CA yanlis yapilandirmasi veya MFA kesintisinde kilitlenmeyi onler; yalniz erisimi engelleyen CA lardan hariclenmeli, izlenmelidir.

T1078.004 ↗Kaynak:Microsoft ↗

Çerçeveler:CIS v8 · 5.4NIST 800-171 · 3.1.5NIST CSF · PR.AA-05ISO 27002 · 8.2

M365-PRIV-04Ayri bulut-yerel admin hesaplari

L2medium

Önerilen değer

Admin hesaplari mailbox/lisanstan ayri, cloud-only

↳ Entra > Users

Gunluk e-posta hesabiyla yonetim, phishing yoluyla ayricalik ele gecirmeyi kolaylastirir.

T1078 ↗Kaynak:CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 5.4NIST 800-171 · 3.1.5NIST CSF · PR.AA-05ISO 27002 · 8.2

M365-PRIV-05Cross-tenant access settings

L2medium

Önerilen değer

B2B inbound/outbound kapsamli (allowlist); Tenant Restrictions v2 icin Global Secure Access veya desteklenen proxy/header enforcement gerekir (yalniz portal toggle yetmez).

↳ Entra > External Identities > Cross-tenant access settings

Genis cross-tenant guveni veri sizdirma ve yabanci kimlik erisimi yuzeyi yaratir; TRv2 ag katmani zorlamasi olmadan tam calismaz.

T1199 ↗T1078.004 ↗Kaynak:Microsoft ↗

Çerçeveler:CIS v8 · 5.4NIST 800-171 · 3.1.5NIST CSF · PR.AA-05ISO 27002 · 8.2

M365-PRIV-06Restricted Management Administrative Units

L2medium

Önerilen değer

Kritik hesaplar/gruplar kisitli yonetim biriminde; yalniz yetkili admin degistirebilir

↳ Entra > Roles > Administrative units (restricted management)

Kisitli yonetim birimi, genel admin disindaki rollerin hedef ayricalikli hesaplari degistirmesini onler.

T1098.003 ↗Kaynak:Microsoft ↗

Çerçeveler:CIS v8 · 5.4NIST 800-171 · 3.1.5NIST CSF · PR.AA-05ISO 27002 · 8.2

M365-PRIV-07Erisim gozden gecirmeleri (access reviews)

L2medium

Önerilen değer

Ayricalikli roller ve misafir erisimi icin periyodik access review (Entra ID Governance)

↳ Entra > Identity Governance > Access reviews

Yetki ve misafir erisimi zamanla birikir; periyodik gozden gecirme atil/asiri yetkiyi temizler.

T1098.003 ↗Kaynak:Microsoft / CIS ↗

Çerçeveler:CIS v8 · 5.4NIST 800-171 · 3.1.5NIST CSF · PR.AA-05ISO 27002 · 8.2

M365-APP-01Kullanici uygulama onayini kisitla

L1high

Önerilen değer

User consent: yalniz dogrulanmis yayinci + dusuk-riskli izinler; admin consent workflow acik

↳ Entra > Enterprise applications > Consent and permissions

Illicit consent grant saldirisi, kullaniciyi kandirip kalici OAuth erisimi alir (MFA atlar).

T1528 ↗T1098.003 ↗Kaynak:CISA SCuBA / Microsoft ↗

Çerçeveler:CIS v8 · 2.5NIST 800-171 · 3.4.8NIST CSF · PR.PS-05ISO 27002 · 8.19

M365-APP-02Kullanici uygulama kaydini kapat

L2medium

Önerilen değer

Users can register applications = No

↳ Entra > Users > User settings

Serbest uygulama kaydi, denetlenmeyen kimlik ve gizli anahtarlarin cogalmasina yol acar.

T1136.003 ↗Kaynak:CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 2.5NIST 800-171 · 3.4.8NIST CSF · PR.PS-05ISO 27002 · 8.19

M365-APP-03Uygulama kimlik bilgisi denetimi

L2medium

Önerilen değer

Oncelik: managed identity veya workload identity federation; sonra sertifika. Client secret yalniz zorunluysa kisa omurlu, vault icinde, otomatik rotasyonlu. Owner zorunlu; kullanilmayan app kaldirilir.

↳ Entra > App registrations

Uzun omurlu client secret kalici ve izlenmeyen erisim verir; kimlik bilgisiz (managed identity/federation) yaklasim tercih edilmelidir.

T1550.001 ↗Kaynak:CIS Critical Security Controls v8 ↗

Çerçeveler:CIS v8 · 2.5NIST 800-171 · 3.4.8NIST CSF · PR.PS-05ISO 27002 · 8.19

M365-APP-04App governance (Defender for Cloud Apps)

L2medium

Önerilen değer

App governance etkin; riskli / asiri izinli OAuth uygulamalari icin otomatik politika ve uyari

↳ Microsoft Defender for Cloud Apps > App governance

Illicit consent grant ile alinan kalici OAuth erisimi ancak uygulama davranisi izlenince yakalanir.

T1528 ↗T1098.003 ↗Kaynak:Microsoft ↗

Çerçeveler:CIS v8 · 2.5NIST 800-171 · 3.4.8NIST CSF · PR.PS-05ISO 27002 · 8.19

M365-APP-05Workload identity hijyeni

L2medium

Önerilen değer

Oncelik managed identity / workload identity federation. Workload Identities Premium risk-tabanli CA yalniz dogrudan hedeflenen single-tenant service principal larda calisir (managed identity ve 3P/multitenant ta calismaz; yalniz Block grant).

↳ Entra > App registrations + Workload identities

Uzun omurlu secret kalici erisim verir; ancak workload CA nin kapsam sinirlari bilinmeli, her workload i kapsamaz.

T1550.001 ↗Kaynak:Microsoft ↗

Çerçeveler:CIS v8 · 2.5NIST 800-171 · 3.4.8NIST CSF · PR.PS-05ISO 27002 · 8.19

M365-APP-06Power Platform DLP ve ortam yonetisimi

high

Önerilen değer

Power Platform tenant genelinde DLP politikalari tanimli: is/kisisel konnektor gruplari ayrilmis, kisisel e-posta ve dosya paylasim konnektorleri bloklu; ortam olusturma yetkisi kisitli; tenant isolation acik (yalniz onayli tenant lara/dan baglanti); varsayilan ortamda uretim kullanimi engelli.

↳ Power Platform admin center > Policies > Data policies + Tenant settings

Power Automate ve Power Apps, kullanicinin kendi kimligiyle calisan ve kolayca kurulan otomasyonlardir; DLP olmadan tek bir akis kurumsal postayi kisisel hesaba yonlendirebilir. Bu, M365 icindeki en az izlenen veri cikis yollarindan biridir.

T1048 ↗T1567 ↗Kaynak:Microsoft Power Platform ↗

Çerçeveler:CIS v8 · 2.5NIST 800-171 · 3.4.8NIST CSF · PR.PS-05ISO 27002 · 8.19

M365-EXO-01SPF / DKIM / DMARC

L1high

Önerilen değer

Tum accepted domain/subdomain icin DKIM; SPF tek kayit ve gonderici envanteri; DMARC once p=none (raporlama), sonra p=quarantine, ardindan p=reject pct=100. RUA raporlari takip edilir.

↳ DNS + Microsoft 365 Defender

SPF/DKIM/DMARC spoofing ve BEC i azaltir ama lookalike-domain saldirilarini tumuyle engellemez; envanter tamamlanmadan -all/p=reject mail kaybettirebilir.

T1566 ↗T1656 ↗Kaynak:CISA SCuBA ↗

Çerçeveler:CIS v8 · 9.7NIST 800-171 · 3.14.2NIST CSF · DE.CM-09ISO 27002 · 8.7

M365-EXO-02Safe Attachments / Safe Links

L1high

Önerilen değer

Defender for Office 365 (P1/P2) ile Safe Attachments + Safe Links; kapsam Exchange, Teams, SharePoint ve OneDrive.

↳ Microsoft 365 Defender > Policies

Sandbox detonasyon ve URL yeniden yazma zararli ek/baglantiyi yakalar; lisans ve is yuku kapsami acikca gereklidir.

T1566.001 ↗T1566.002 ↗Kaynak:Microsoft ↗

Çerçeveler:CIS v8 · 9.7NIST 800-171 · 3.14.2NIST CSF · DE.CM-09ISO 27002 · 8.7

M365-EXO-03Anti-phishing / impersonation korumasi

L1high

Önerilen değer

Standard preset tum kullanicilar; Strict preset yonetici, finans ve priority accounts. Mailbox intelligence + impersonation korumasi + first-contact safety tips etkin.

↳ Microsoft 365 Defender > Anti-phishing

Hedefli kimlik avi ve yonetici taklidi (CEO fraud) yuksek-deger hesaplar icin daha siki preset gerektirir.

T1566 ↗T1534 ↗Kaynak:CISA SCuBA ↗

Çerçeveler:CIS v8 · 9.7NIST 800-171 · 3.14.2NIST CSF · DE.CM-09ISO 27002 · 8.7

M365-EXO-04Otomatik harici yonlendirmeyi engelle

L1high

Önerilen değer

Automatic forwarding rules = Off; remote domain forwarding ve transport/inbox forwarding kurallari denetlenir. Belgeli istisnalar ayri policy ile.

↳ Exchange Online > Outbound spam / mail flow

Saldirganlar ele gecirdikleri kutudan veriyi otomatik yonlendirmeyle sizdirir; tek bir outbound spam policy tum yontemleri kapsamayabilir.

T1114.003 ↗T1020 ↗Kaynak:CIS M365 Benchmark / SCuBA ↗

Çerçeveler:CIS v8 · 9.7NIST 800-171 · 3.14.2NIST CSF · DE.CM-09ISO 27002 · 8.7

M365-EXO-05Tehlikeli ek turlerini engelle

L1medium

Önerilen değer

Yurutulebilir uzantilar (exe, js, vbs, hta, ...) bloklu

↳ Microsoft 365 Defender > Anti-malware (Common attachment filter)

Yurutulebilir ekler commodity malware ve dropper teslimatinin baslica yoludur.

T1566.001 ↗Kaynak:CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 9.7NIST 800-171 · 3.14.2NIST CSF · DE.CM-09ISO 27002 · 8.7

M365-EXO-06Defender for Office preset guvenlik politikalari (Standard/Strict)

L1medium

Önerilen değer

Standard preset tum kullanicilar; Strict preset yonetici/finans/priority accounts; ZAP acik; karantina release yetkileri sinirli; anti-spam/outbound spam/spoof intelligence dogrulanmis

↳ Microsoft 365 Defender > Policies > Preset security policies

Preset politikalar Microsoft in onerdigi guncel anti-phishing/spam/malware ayarlarini otomatik uygular ve manuel politika driftini onler.

T1566 ↗T1566.001 ↗Kaynak:Microsoft / CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 9.7NIST 800-171 · 3.14.2NIST CSF · DE.CM-09ISO 27002 · 8.7

M365-DAT-01SharePoint/OneDrive harici paylasim kisitla

L1medium

Önerilen değer

Anyone (kimlik dogrulamasiz) baglantilar kapali; mevcut misafir veya kurum ici

↳ SharePoint admin > Sharing

Anonim paylasim baglantilari, indekslenebilir ve kontrolsuz veri sizintisi yaratir.

T1567.002 ↗T1213 ↗Kaynak:CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 3.3NIST 800-171 · 3.1.3NIST CSF · PR.DS-01ISO 27002 · 8.12

M365-DAT-02DLP politikalari

L2medium

Önerilen değer

PII/finansal veri icin Exchange/SPO/Teams DLP etkin

↳ Microsoft Purview > Data Loss Prevention

DLP, hassas verinin e-posta, paylasim ve sohbet uzerinden disari cikmasini engeller.

T1567 ↗Kaynak:CIS Critical Security Controls v8 ↗

Çerçeveler:CIS v8 · 3.3NIST 800-171 · 3.1.3NIST CSF · PR.DS-01ISO 27002 · 8.12

M365-DAT-03Teams harici/federasyon kontrolu

L2low

Önerilen değer

Teams harici erisim (federasyon) ONAYLI DOMAIN ALLOWLIST i ile sinirli - acik federasyon kapali; anonim toplanti katilimi ve lobi ayarlari sinirli; harici kullanicilarin toplanti baslatmasi engelli.

↳ Teams admin > External access

Acik federasyon, herhangi bir tenant taki saldirganin kullanicilariniza dogrudan Teams mesaji gondermesine izin verir; bu, 2023 ten bu yana gozlemlenen kimlik avi ve zararli dosya teslim yolunun temelidir. Allowlist bu yuzeyi bilinen is ortaklarina indirir.

T1199 ↗Kaynak:CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 3.3NIST 800-171 · 3.1.3NIST CSF · PR.DS-01ISO 27002 · 8.12

M365-DAT-04Saklama ve yasal tutma (retention)

L2low

Önerilen değer

Kutu/site icin retention + gerekli yerde legal hold (yalniz uyum/koruma/preservation amacli).

↳ Microsoft Purview > Data Lifecycle Management

Retention bir yedek/point-in-time restore cozumu DEGILDIR; kurtarma icin Microsoft 365 Backup veya bagimsiz yedek ayri kontroldur (bkz. yedekleme kontrolu).

T1485 ↗T1486 ↗Kaynak:CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 3.3NIST 800-171 · 3.1.3NIST CSF · PR.DS-01ISO 27002 · 8.12

M365-DAT-05Anonim paylasim baglantisi son kullanma suresi

L1medium

Önerilen değer

Kural: Anyone (kimlik dogrulamasiz) baglantilar KAPALI (bkz. M365-DAT-01). Bu kontrol yalniz Anyone baglantilarina is gerekcesiyle ve belgeli istisna olarak izin verilen tenant lar icin gecerlidir: gecerlilik <= 30 gun ve yalniz goruntuleme. Iki kontrol birlikte okunmalidir; DAT-01 uygulanmissa bu satir konu disidir (not applicable).

↳ SharePoint admin > Policies > Sharing > Anyone links expire

DAT-01 anonim baglanti turunu kisitliyor; suresiz anonim baglantilar unutulup kalici sizinti yuzeyi yaratir.

T1567.002 ↗Kaynak:CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 3.3NIST 800-171 · 3.1.3NIST CSF · PR.DS-01ISO 27002 · 8.12

M365-DAT-06Purview duyarlilik etiketleri ve otomatik etiketleme

high

Önerilen değer

Veri siniflandirma semasi tanimli; duyarlilik etiketleri yayinlanmis; gizli/kisitli etiketlerde sifreleme ve kullanim haklari; otomatik/onerilen etiketleme kurallari (Exchange, SPO, OneDrive) etkin; varsayilan etiket ve etiket dusurmede gerekce zorunlu.

↳ Microsoft Purview > Information Protection > Labels + Auto-labeling policies

DLP ihlali eylem aninda yakalar; etiketleme ise veriyi kaynaginda siniflandirip sifreler ve dosya kurumdan ciktiktan sonra da koruma tasir. Etiket olmadan DLP, Copilot erisim kapsami ve harici paylasim kontrolleri ortak bir siniflandirma zeminine sahip olmaz.

T1530 ↗T1213 ↗Kaynak:Microsoft Purview ↗

Çerçeveler:CIS v8 · 3.3NIST 800-171 · 3.1.3NIST CSF · PR.DS-01ISO 27002 · 8.12

M365-HYB-01Entra Connect senkron hesabi Tier 0 korumasi

high

Önerilen değer

Connect sunucusu Tier 0/Control Plane. UC AYRI HESAP ayirt edilir ve her biri kendi proseduruyle yonetilir: (1) AD DS connector hesabi (MSOL_ ...) - dizin okuma/yazma yetkileri feature a gore minimum, parola degisimi yalniz Microsoft in connector kimlik bilgisi guncelleme proseduruyle; (2) ADSync yerel servis hesabi (varsayilan sanal/gMSA) - anahtar materyali sunucuya baglidir, elle parola degisimi desteklenmez; (3) bulut tarafindaki senkronizasyon hesabi (Directory Synchronization Accounts rolu) - portal/Graph uzerinden yonetilir. Ucunun de etkilesimli logonu engelli.

↳ Entra Connect sunucusu + AD hesabi + rol atamasi

Bu uc hesap sik sik tek bir sey saniliyor. Yanlis hesapta parola rotasyonu denemek senkronizasyonu durdurur; dogru hesabin asiri yetkili kalmasi ise DCSync a esdeger bir yol acar.

T1078.004 ↗T1003.006 ↗Kaynak:Microsoft / CISA SCuBA ↗

Çerçeveler:CIS v8 · 6.7NIST 800-171 · 3.1.1NIST CSF · PR.AA-05ISO 27002 · 5.16

M365-HYB-02Kimlik dogrulama yontemi ve senkron yuzeyi

L2medium

Önerilen değer

PTA kullaniliyorsa en az 3 agent + hardened sunucu + health monitoring. PHS yedek/failover icin acik. AZUREADSSOACC Kerberos anahtari duzenli (Microsoft onerisi ~30 gun) donduruluyor.

↳ Entra Connect > Sign-in method + AZUREADSSOACC yonetimi

PTA agent veya Seamless SSO computer hesabi ele gecirilirse kimlik dogrulama araya girilebilir; PHS acik olmasi dayaniklilik ve sizinti tespiti saglar.

T1556.007 ↗T1078.004 ↗Kaynak:Microsoft ↗

Çerçeveler:CIS v8 · 6.7NIST 800-171 · 3.1.1NIST CSF · PR.AA-05ISO 27002 · 5.16

M365-HYB-03Hard-match / soft-match takeover engeli

L2medium

Önerilen değer

blockCloudObjectTakeoverThroughHardMatchEnabled = true; mumkunse blockSoftMatchEnabled = true. Gecici kapatma change-control + alarm gerektirir.

↳ Microsoft Graph onPremisesDirectorySynchronization ozellikleri (Set-MsolDirSyncFeature / MSOnline 30 Mayis 2025 te emekli - kullanilmaz)

Saldirgan on-prem nesne oznitelikleriyle bulut-yerel ayricalikli hesabi hard match ile ele gecirebilir; bu engel takeover yuzeyini kapatir.

T1078.004 ↗T1098 ↗Kaynak:Microsoft ↗

Çerçeveler:CIS v8 · 6.7NIST 800-171 · 3.1.1NIST CSF · PR.AA-05ISO 27002 · 5.16

M365-HYB-04AD FS federasyon guveni sertlestirme (federasyon kullaniliyorsa)

L1high

Önerilen değer

Token imzalama sertifikasi HSM korumali/duzenli rotasyonlu; AD FS sunuculari Tier 0; MFA adapter bagimsiz dogrulanmis. Durumsal: yalniz AD FS federasyonu kullaniliyorsa.

↳ AD FS sunucu sertlestirmesi + token-signing sertifika yonetimi

Token imzalama sertifikasi ele gecirilirse Golden SAML ile herhangi bir kullanici/rol sinirsiz taklit edilebilir (MFA ve parola atlanir); AD FS Tier 0 varligidir.

T1556.007 ↗T1606 ↗Kaynak:Microsoft / MITRE ↗

Çerçeveler:CIS v8 · 6.7NIST 800-171 · 3.1.1NIST CSF · PR.AA-05ISO 27002 · 5.16

M365-HYB-05Entra Connect Sync zorunlu surum ve saglik izleme

critical

Önerilen değer

Entra Connect Sync >= 2.5.79.0 (ZORUNLU: 30 Eylul 2026 dan itibaren daha eski surumlerde TUM senkronizasyon servisleri CALISMAYI DURDURUR). Connect Health ajanlari (Connect Sync / AD DS / AD FS) >= 4.5.2466.0. Ayrica: .NET Framework 4.7.2 + TLS 1.2, auto-upgrade durumu bilinir, staging modda yedek sunucu hazir, senkronizasyon kesintisi ve export hatasi alarmli.

↳ Entra Connect sunucusunda surum kontrolu + Microsoft Entra Admin Center > Entra Connect + Connect Health ajan surumleri

Bu bir oneri degil, tarihli bir kesinti riskidir: Microsoft arka uc sertlestirmesi nedeniyle 30 Eylul 2026 dan sonra eski istemciler senkronizasyon yapamayacak. Senkronizasyonun durmasi parola hash senkronu, hesap yasam dongusu ve hibrit oturum acmayi dogrudan etkiler; staging sunucusu ve alarm olmadan bu sessizce fark edilir.

T1078.004 ↗T1199 ↗Kaynak:Microsoft Learn - Entra Connect security hardening ↗

Çerçeveler:CIS v8 · 6.7NIST 800-171 · 3.1.1NIST CSF · PR.AA-05ISO 27002 · 5.16

M365-DIR-01Kullanici tenant olusturmayi kapat

L1medium

Önerilen değer

Users can create tenants = No (yalniz yetkili roller)

↳ Entra admin center > User settings > Default user role permissions

Kullanicilarin yeni tenant olusturmasi golge dizinler ve denetlenmeyen kimlik alanlari yaratir; SCuBA temel sertlestirmesidir.

T1136.003 ↗Kaynak:CISA SCuBA ↗

Çerçeveler:CIS v8 · 4.1NIST 800-171 · 3.4.1NIST CSF · PR.PS-01ISO 27002 · 8.9

M365-DIR-02Yonetim portali erisimini kisitla

L2low

Önerilen değer

Restrict access to Entra admin center = Yes (UI surtunmesi). NOT: Microsoft bunun bir guvenlik siniri OLMADIGINI belirtir - PowerShell/Graph erisimini engellemez. Gercek koruma: uye kullanici varsayilan izinleri (DIR-05), RBAC ve gerekiyorsa yonetim kaynagina CA.

↳ Entra admin center > User settings

Portal kisitlamasi dizin sayimini tam engellemez; bilgilendirici/caydirici olabilir ama gercek koruma varsayilan izinler ve RBAC ile saglanir.

T1087.004 ↗Kaynak:CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 4.1NIST 800-171 · 3.4.1NIST CSF · PR.PS-01ISO 27002 · 8.9

M365-DIR-03Self-servis grup olusturmayi kisitla

L2low

Önerilen değer

M365 Group olusturma yetkili bir security group ile sinirli (tamamen kapatma degil); naming, expiration, owner ve sensitivity label politikalari. Security group olusturma ayri authorization policy.

↳ Entra > Groups > General + Microsoft 365 Groups ayarlari

Grup olusturmayi tamamen kapatmak Teams/Planner/SharePoint i bozar; yetkili creator grubu kontrolu dengeler.

T1136 ↗Kaynak:CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 4.1NIST 800-171 · 3.4.1NIST CSF · PR.PS-01ISO 27002 · 8.9

M365-DIR-04Misafir erisimini en kisitli seviyeye ayarla

L1medium

Önerilen değer

Guest user access restrictions = en kisitli (misafirler dizin nesnelerini sayamaz)

↳ Entra > External Identities > External collaboration settings

Varsayilan misafir erisimi dizin sayimina izin verir; en kisitli seviye misafirin baska kullanici/grup/uygulama gormesini engeller.

T1087.004 ↗T1078 ↗Kaynak:CIS M365 Benchmark / SCuBA ↗

Çerçeveler:CIS v8 · 4.1NIST 800-171 · 3.4.1NIST CSF · PR.PS-01ISO 27002 · 8.9

M365-DIR-05Uye kullanici varsayilan dizin izinleri kisitlama

L2medium

Önerilen değer

Kullanicilarin uygulama kaydi, tenant olusturma ve grup olusturma yetkileri kapali (ilgili kontroller); LinkedIn baglantisi ve gereksiz self-servis kapali. DIKKAT: allowedToReadOtherUsers=false GENEL BASELINE OLARAK UYGULANMAMALI - Microsoft bu ayari ozel durumlar disinda ONERMIYOR; Teams basta olmak uzere M365 servislerinde kullanici bilgisi okumayi bozabilir ve Graph/PowerShell erisimini de tam engellemez. Dizin sayimini gercekten kisitlamak gerekiyorsa Microsoft un onerisi Conditional Access ile ilgili uc noktalara erisimi engellemektir.

↳ Entra > Users > User settings > Default user role permissions

Varsayilan uye izinleri saldirgana hazir bir dizin envanteri verir. Ancak Read other users i kapatmak Microsoft un ozellikle onermedigi bir ayardir: islevselligi bozar ve tam koruma saglamaz. Dogru katman uygulama/tenant/grup olusturma yetkileri ile CA tabanli erisim kisitlamasidir.

T1087.004 ↗Kaynak:CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 4.1NIST 800-171 · 3.4.1NIST CSF · PR.PS-01ISO 27002 · 8.9

M365-LOG-01Birlesik denetim logu (Unified Audit Log)

L1high

Önerilen değer

Purview audit + mailbox auditing ACIK ve ingest edildigi dogrulanir (cogu tenantta varsayilan acik). Audit rolleri least privilege; auditing disable/bypass degisiklikleri alarmli.

↳ Microsoft Purview > Audit

Denetim logu olmadan kiracidaki kotuye kullanim ve veri erisimi gorunmez kalir; varsayilan acik olsa da kapatilmadigi surekli dogrulanmali.

T1070 ↗T1114 ↗Kaynak:CIS Critical Security Controls v8 ↗

Çerçeveler:CIS v8 · 8.5NIST 800-171 · 3.3.1NIST CSF · DE.CM-09ISO 27002 · 8.15

M365-LOG-02Log iletimi (SIEM/Sentinel)

L1high

Önerilen değer

Entra diagnostic settings (sign-in/audit) + Defender XDR/Sentinel connector + Microsoft 365 Management Activity API; gerekirse Graph audit. Hepsi ayri kaynak olarak yapilandirilir.

↳ Entra > Diagnostic settings

Entra diagnostic settings tek basina tum Defender/Purview loglarini aktarmaz; merkezi korelasyon icin coklu kaynak gerekir.

T1078.004 ↗Kaynak:CIS Critical Security Controls v8 ↗

Çerçeveler:CIS v8 · 8.5NIST 800-171 · 3.3.1NIST CSF · DE.CM-09ISO 27002 · 8.15

M365-LOG-03Uyari politikalari

L2medium

Önerilen değer

Riskli oturum, toplu indirme, yeni yonlendirme kurali, izin yukseltme alertleri

↳ Microsoft 365 Defender / Purview > Alert policies

Yuksek-deger olaylarinda otomatik uyari, mudahale suresini kisaltir.

T1114 ↗T1020 ↗Kaynak:CIS M365 Benchmark ↗

Çerçeveler:CIS v8 · 8.5NIST 800-171 · 3.3.1NIST CSF · DE.CM-09ISO 27002 · 8.15

M365-LOG-04UAL retention + CAE/risk log iletimi

L2medium

Önerilen değer

Audit (Standard) varsayilan saklama cogu kayit turu icin 180 gun. Audit (Premium): uygun lisansli kullanicilar icin Entra/Exchange/SharePoint/OneDrive kayitlarinda 1 yila kadar; saklama kayit turune, kullaniciya ve lisansa gore DEGISIR - tek bir sure varsayilmamali, gercek saklama politikalari tenant ta dogrulanmalidir. Retention policy yalniz olusturmadan SONRAKI olaylara uygulanir. Risk/CAE olaylari ayrica SIEM e tasinir.

↳ Microsoft Purview > Audit retention policies + Entra diagnostic settings

Olay sonrasi inceleme penceresi ve oturum iptali gorunurlugu yeterli retention ve log iletimine baglidir; retention lisansa gore degisir.

T1070 ↗Kaynak:CISA SCuBA ↗

Çerçeveler:CIS v8 · 8.5NIST 800-171 · 3.3.1NIST CSF · DE.CM-09ISO 27002 · 8.15

M365-LOG-05Conditional Access degisiklik izleme ve yedek

L2medium

Önerilen değer

CA politika olusturma/degistirme/silme alertli; politikalar policy-as-code / versiyonlu export ile ayri repository de, secret icermeden yedekli; test edilmis rollback proseduru.

↳ Entra audit log + Sentinel alert + CA export

CA politikalarinda gizli zayiflatma (exclusion ekleme) ayricalikli erisim kontrollerini deler; degisiklik izleme ve versiyonlu geri-donus saglar.

T1556.009 ↗T1078.004 ↗Kaynak:Microsoft / CISA SCuBA ↗

Çerçeveler:CIS v8 · 8.5NIST 800-171 · 3.3.1NIST CSF · DE.CM-09ISO 27002 · 8.15

M365-IDN-01Tum kullanicilar icin MFA

M365-IDN-02Yoneticiler icin phishing-direncli MFA

M365-IDN-03Entra Password Protection

M365-IDN-04Misafir (guest) erisim kisitlama

M365-IDN-05Defender for Identity (hibrit AD)

M365-IDN-06Misafir davet kisitlama

M365-IDN-07Microsoft Authenticator sertlestirme

M365-IDN-08Guvenli kimlik-bilgisi (MFA) kaydi

M365-IDN-09Sertifika tabanli kimlik dogrulama (CBA) baglama

M365-IDN-10Misafir (guest) kullanicilar icin MFA

M365-IDN-11Microsoft un zorunlu MFA dayatmasina hazirlik

M365-IDN-12Kimlik dogrulama yontemlerinin birlesik politikaya tasinmasi

M365-CA-01Eski kimlik dogrulamayi engelle

M365-CA-02Uyumlu/yonetilen cihaz gereksinimi

M365-CA-03Risk tabanli Conditional Access

M365-CA-04Yonetici oturum kontrolu

M365-CA-05Device code flow ve riskli akislar engeli

M365-CA-06Authentication strength (phishing-resistant)

M365-CA-07Token protection + Continuous Access Evaluation (CAE)

M365-CA-08Named locations / cografi risk

M365-CA-09Mobil erisimde uygulama koruma politikasi (app protection)

M365-CA-10Desteklenmeyen / bilinmeyen platform engeli

M365-CA-11Idle session timeout (tum kullanicilar)

M365-PRIV-01Global Admin sayisini sinirla

M365-PRIV-02PIM ile JIT rol yukseltme

M365-PRIV-03Acil erisim (break-glass) hesaplari

M365-PRIV-04Ayri bulut-yerel admin hesaplari

M365-PRIV-05Cross-tenant access settings

M365-PRIV-06Restricted Management Administrative Units

M365-PRIV-07Erisim gozden gecirmeleri (access reviews)

M365-LEG-01Basic auth protokollerini kapat

M365-LEG-02Uygulama parolalari (app passwords) engelli

M365-DEV-01Cihaz uyum politikalari (Intune)

M365-APP-01Kullanici uygulama onayini kisitla

M365-APP-02Kullanici uygulama kaydini kapat

M365-APP-03Uygulama kimlik bilgisi denetimi

M365-APP-04App governance (Defender for Cloud Apps)

M365-APP-05Workload identity hijyeni

M365-APP-06Power Platform DLP ve ortam yonetisimi

M365-EXO-01SPF / DKIM / DMARC

M365-EXO-02Safe Attachments / Safe Links

M365-EXO-03Anti-phishing / impersonation korumasi

M365-EXO-04Otomatik harici yonlendirmeyi engelle

M365-EXO-05Tehlikeli ek turlerini engelle

M365-EXO-06Defender for Office preset guvenlik politikalari (Standard/Strict)

M365-DAT-01SharePoint/OneDrive harici paylasim kisitla

M365-DAT-02DLP politikalari

M365-DAT-03Teams harici/federasyon kontrolu

M365-DAT-04Saklama ve yasal tutma (retention)

M365-DAT-05Anonim paylasim baglantisi son kullanma suresi

M365-DAT-06Purview duyarlilik etiketleri ve otomatik etiketleme

M365-AI-01Copilot asiri-paylasim (oversharing) riski yonetimi

M365-AI-02Copilot ve AI ajan denetimi ile onay yonetisimi

M365-HYB-01Entra Connect senkron hesabi Tier 0 korumasi

M365-HYB-02Kimlik dogrulama yontemi ve senkron yuzeyi

M365-HYB-03Hard-match / soft-match takeover engeli

M365-HYB-04AD FS federasyon guveni sertlestirme (federasyon kullaniliyorsa)

M365-HYB-05Entra Connect Sync zorunlu surum ve saglik izleme

M365-DIR-01Kullanici tenant olusturmayi kapat

M365-DIR-02Yonetim portali erisimini kisitla

M365-DIR-03Self-servis grup olusturmayi kisitla

M365-DIR-04Misafir erisimini en kisitli seviyeye ayarla

M365-DIR-05Uye kullanici varsayilan dizin izinleri kisitlama

M365-LOG-01Birlesik denetim logu (Unified Audit Log)

M365-LOG-02Log iletimi (SIEM/Sentinel)

M365-LOG-03Uyari politikalari

M365-LOG-04UAL retention + CAE/risk log iletimi

M365-LOG-05Conditional Access degisiklik izleme ve yedek

M365-BAK-01M365 verisi icin yedekleme ve geri yukleme

Sık sorulan sorular