Çok Faktörlü Kimlik Doğrulama ve Koşullu Erişim

Çalınan kimlik bilgileri, bulut güvenliği ihlallerinin başlıca nedenidir. Bir parola kimlik avıyla ele geçirilebilir, kaba kuvvet saldırısıyla tahmin edilebilir veya üçüncü taraf bir ihlalinde sızdırılabilir. Multi-Factor Authentication (MFA), saldırganın parola ele geçirildikten sonra bile sahip olma olasılığı düşük olan ikinci bir doğrulama faktörü gerektirir. Böylece Azure ortamınıza yetkisiz erişim riski önemli ölçüde azalır.

Entra ID birden çok MFA doğrulama faktörünü destekler. En güvenli ve önerilen seçenek, sayı eşleştirme ve anlık bildirimler sağlayan Microsoft Authenticator uygulamasıdır. Diğer seçenekler arasında FIDO2 güvenlik anahtarı (donanım belirteci), yazılım OATH belirteci, SMS kısa mesajı veya sesli arama bulunur. SMS ve sesli arama daha düşük güvenlikli kabul edilir ve yalnızca yedek seçenek olarak kullanılmalıdır.

Entra ID'de MFA üç mekanizma aracılığıyla zorunlu tutulabilir. Security Defaults, tüm kullanıcılar için MFA'yı zorunlu tutan ancak özelleştirme sunmayan ücretsiz, tek tıklamalı seçenektir. Kullanıcı başına MFA (eski yöntem), belirli kullanıcı hesaplarında MFA'yı etkinleştirir. Önerilen modern yaklaşım, MFA'yı yalnızca belirtilen risk koşulları karşılandığında zorunlu tutan Conditional Access ilkeleridir (Entra ID P1/P2). Böylece düşük riskli oturum açma işlemlerinde kullanıcıların yaşadığı zorluk azalır.

Conditional Access (Entra ID P1), şu koşullu ilke motorudur: Bir kullanıcı (veya grup) belirli koşullar altında bir kaynağa erişmeye çalışırsa, erişim verin, erişimi engelleyin veya MFA ya da uyumlu cihaz gibi ek denetimler isteyin. Koşullar; kullanıcı kimliğini, cihaz uyumluluğunu, IP konumunu, erişilen uygulamayı ve Entra ID Identity Protection risk Score'unu içerebilir.

Bir Conditional Access ilkesi iki bölümden oluşur: İlkenin kimlere ve nelere uygulandığını belirleyen Atamalar ve ilke tetiklendiğinde ne olacağını belirleyen Access Denetimleri. Atamalar; Kullanıcıları/grupları, erişilen Bulut uygulamalarını ve Koşulları (konum, cihaz platformu, oturum açma riski) tanımlar. Access Denetimleri ise erişimin tamamen Verilip verilmeyeceğini (isteğe bağlı olarak MFA, uyumlu cihaz veya onaylı uygulama gerektirerek) ya da Engellenip engellenmeyeceğini belirler.

Conditional Access içindeki adlandırılmış konumlar, güvenilen IP aralıklarını (örneğin şirket ofisi ağınızı) veya ülkeleri tanımlamanıza olanak tanır. Yaygın bir ilke modeli şöyledir: Kullanıcı güvenilen adlandırılmış bir konumun dışından oturum açtığında MFA isteyin; bilinen bir ofis IP adresinden oturum açtığında ise geçişe izin verin. Bu yaklaşım, ofiste çalışanların yaşadığı zorluğu azaltırken uzaktan veya seyahat eden kullanıcılar için güvenliği güçlendirir.

Conditional Access, erişim sağlayan cihazın uyumlu olmasını (Intune cihaz uyumluluğu ilkelerini karşılamasını) veya hibrit Azure AD'ye katılmış bir kurumsal cihaz olmasını zorunlu tutabilir. Böylece kimlik bilgileri geçerli olsa bile kişisel veya yönetilmeyen cihazlardan yapılan oturum açma işlemleri engellenir ya da ek denetimlerin karşılanması istenir. Cihaz tabanlı denetimler, Sıfır Güven güvenlik modelinin temel unsurlarındandır.

Entra ID Identity Protection (P2), her oturum açma işlemini makine öğrenimiyle değerlendirir ve düşük, orta veya yüksek bir risk Score atar. Risk faktörleri arasında imkânsız seyahat (dakikalar içinde iki ülkeden oturum açma), anonim IP, sızdırılmış kimlik bilgileri ve parola püskürtme algılama bulunur. Conditional Access ilkeleri risk düzeyine göre tetiklenebilir; örneğin orta risk için MFA isteyebilir ve yüksek risk için erişimi otomatik olarak engelleyebilir.

Bir Conditional Access ilkesini uygulamaya koymadan önce onu Yalnızca Rapor moduna ayarlayabilirsiniz. Bu modda ilke tüm oturum açma işlemlerini değerlendirir ve ne olacağını (erişim verilecek, engellenecek veya MFA istenecek) kaydeder; ancak denetimleri gerçekten uygulamaz. Böylece ilkeyi etkinleştirmeden önce kullanıcılarınız üzerindeki etkisini doğrulayabilir ve kapsamı hatalı belirlenmiş koşullar nedeniyle beklenmeyen hesap kilitlenmelerini önleyebilirsiniz.

Conditional Access bölümündeki What If aracı, bir oturum açma senaryosunu simüle etmenize (kullanıcı, uygulama, IP adresi, cihaz platformu ve risk düzeyi belirterek), hangi ilkelerin uygulanacağını ve birleşik sonucun ne olacağını görmenize olanak tanır. Bu araç, erişim sorunlarını gidermek ve ilke kümenizin belirli kullanıcılar ile koşullar için beklenen sonucu ürettiğini doğrulamak açısından son derece değerlidir.

Her kuruluş, MFA gereksinimleri de dahil olmak üzere tüm Conditional Access ilkelerinin dışında tutulan en az iki acil durum erişim hesabı bulundurmalıdır. Bu hesaplar yalnızca MFA altyapısı çalışmadığında veya tüm yöneticiler kilitlendiğinde kullanılır. Acil durum kimlik bilgileri fiziksel bir kasada saklanmalı, uzun ve rastgele parolalar kullanmalı, kayıtlı MFA içermemeli ve her türlü kullanımları kapsamlı biçimde denetlenmelidir.

Bu derste ele alınan Microsoft Azure Fundamentals (AZ-900) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: MFA, parolanın ötesinde ikinci bir faktör gerektirerek kimlik bilgilerinin çalınması riskini büyük ölçüde azaltır; Conditional Access ilkeleri, kullanıcı, uygulama, konum ve risk koşullarına göre erişim verme veya engelleme denetimleri uygular; Identity Protection, otomatik erişim denetimlerini tetiklemek için makine öğrenimi tabanlı risk puanlaması kullanır. Sırada Entra ID'de Single Sign-On ve External Identities konularını inceleyeceğiz.