Microsoft Teams Üzerinden Gerçekleştirilen Yardım Masası Kimliğine Bürünme Saldırıları ve Korunma Yöntemleri

Sorun Tanımı

Saldırganlar, Microsoft Teams'in dış kullanıcılarla iş birliği yapma özelliklerini suistimal ederek, kendilerini BT yardım masası personeli gibi gösterip kullanıcıları manipüle etmektedir. Bu saldırı türünde, saldırganlar meşru araçları kullanarak kurumsal ağlara sızmakta ve yanal hareket (lateral movement) gerçekleştirmektedir. Bu durum, özellikle kimlik avı (phishing) yöntemlerinin Teams üzerinden gerçekleştirilmesiyle ciddi bir güvenlik riski oluşturmaktadır.

Saldırı Senaryosu

Saldırganlar, harici bir Microsoft 365 kiracısı üzerinden Teams daveti göndererek kullanıcıyla iletişime geçer. Kullanıcıyı, BT departmanından aradıklarına ikna ederek, zararlı yazılım yüklemeleri veya kimlik bilgilerini paylaşmaları konusunda yönlendirirler.

Çözüm ve Yapılandırma Adımları

Kurumsal güvenliği sağlamak için dış erişim ayarlarının kısıtlanması kritik öneme sahiptir. Aşağıdaki adımları izleyerek Teams güvenliğini sıkılaştırabilirsiniz.

1. Teams Yönetim Merkezine Giriş: Microsoft 365 yönetim paneli üzerinden Teams Admin Center'a gidin.
2. Dış Erişim Ayarlarını Yapılandırma: 'Org-wide settings' altından 'External access' sekmesine ulaşın.
3. İzin Verilen Etki Alanlarını Kısıtlama: Tüm dış etki alanlarına izin vermek yerine, sadece güvenilir iş ortaklarınızın etki alanlarını beyaz listeye ekleyin.

# PowerShell ile dış erişimi belirli etki alanlarıyla sınırlama komutu:
Set-CsTenantFederationConfiguration -AllowedDomains "ortak-domain.com" -AllowAllDomains $false

Uyarı: 'AllowAllDomains' seçeneğinin devre dışı bırakılması, iş akışınızı etkileyebilir. Değişiklik yapmadan önce departman bazlı testler gerçekleştirin.

Ek Güvenlik Önlemleri

Sadece Teams ayarları yeterli değildir. Kullanıcı farkındalığı ve kimlik doğrulama süreçleri de güçlendirilmelidir.

• Çok Faktörlü Kimlik Doğrulama (MFA): Tüm kullanıcılar için zorunlu kılınmalıdır.
• Güvenlik Farkındalığı Eğitimi: Kullanıcılara, yardım masasının asla Teams üzerinden doğrudan erişim veya şifre talep etmeyeceği konusunda eğitim verilmelidir.
• Cihaz Yönetimi: Intune kullanarak yönetilmeyen cihazların kurumsal kaynaklara erişimini kısıtlayın.

Bu yapılandırmalar, saldırganların meşru araçları kullanarak ağınızda yanal hareket etmesini zorlaştıracak ve saldırı yüzeyini daraltacaktır.