MFA Nedir? Microsoft 365, VPN ve Kurumsal Hesap Güvenliği
Bir şirketin çalışan hesapları, e-posta sistemi, bulut uygulamaları ve sunucuları kullanıcı adı ve parola ile korunuyor olabilir.
Ancak parolaların ele geçirilmesi, tahmin edilmesi veya kimlik avı saldırılarında paylaşılması hesap güvenliği açısından risk oluşturur.
Bu nedenle kurumlarda yalnızca güçlü parola kullanılması her zaman yeterli değildir.
Çok faktörlü kimlik doğrulama (MFA), kullanıcıların kimliklerini birden fazla doğrulama faktörüyle kanıtlamasını sağlayan güvenlik yaklaşımıdır.
Peki MFA nedir, nasıl çalışır ve Microsoft 365 veya VPN sistemlerinde neden önemlidir?
MFA nedir?
MFA, Multi-Factor Authentication ifadesinin kısaltmasıdır.
Türkçede çok faktörlü kimlik doğrulama olarak adlandırılır.
Kimlik doğrulama faktörleri genel olarak şu türlerde değerlendirilir:
- Kullanıcının bildiği bilgi: Parola veya PIN
- Kullanıcının sahip olduğu araç: Güvenlik anahtarı veya doğrulama cihazı
- Kullanıcının biyometrik özelliği: Uygun sistemlerde parmak izi veya yüz doğrulama
Gerçek MFA, farklı faktör kategorilerinin uygun biçimde birlikte kullanılmasına dayanır.
Aynı kategoriye ait iki bilginin istenmesi her zaman MFA anlamına gelmez.
MFA ile 2FA arasındaki fark nedir?
2FA (Two-Factor Authentication), iki farklı doğrulama faktörünün kullanılmasını ifade eder.
MFA ise iki veya daha fazla faktörü kapsayan daha genel bir kavramdır.
Bu nedenle 2FA, MFA yaklaşımlarından biridir.
Ancak kullanılan yöntemin gerçek güvenlik seviyesi, yalnızca faktör sayısına bağlı değildir.
MFA hesapları nasıl korur?
Bir saldırgan kullanıcının parolasını ele geçirse bile ikinci doğrulama faktörü yoksa hesaba erişmesi zorlaşabilir.
Bu, özellikle e-posta, uzaktan erişim ve yönetici hesaplarında önemli bir ek koruma sağlar.
Ancak bazı kimlik avı yöntemleri, kullanıcı oturumlarının ele geçirilmesi veya doğrulama bildirimlerinin kötüye kullanılması gibi riskler devam edebilir.
Bu nedenle MFA önemli bir kontroldür fakat tek başına bütün hesap güvenliğini sağlamaz.
Microsoft 365 MFA neden önemlidir?
Microsoft 365 kullanan işletmelerde e-posta, dosya paylaşımı ve farklı bulut hizmetleri kullanıcı kimlikleriyle ilişkilidir.
Özellikle yönetici hesaplarının ele geçirilmesi ciddi sonuçlar doğurabilir.
Bu nedenle MFA politikaları planlanırken:
- Yönetici hesapları belirlenmeli.
- Kullanıcı kimlik doğrulama yöntemleri değerlendirilmeli.
- Eski kimlik doğrulama yöntemlerinin durumu incelenmeli.
- Gerekiyorsa koşullu erişim politikaları planlanmalı.
- Acil durum erişim prosedürleri oluşturulmalı.
- Kullanıcı eğitimleri yapılmalı.
- Oturum ve güvenlik kayıtları izlenmelidir.
Kullanılabilir özellikler Microsoft 365 ve Microsoft Entra aboneliklerine göre değişebilir.
FortiGate VPN için MFA kullanılabilir mi?
Uygun Fortinet ürünleri, sürümleri ve kimlik doğrulama altyapıları kullanılarak belirli VPN erişim senaryolarında çok faktörlü doğrulama uygulanabilir.
Bu kapsamda FortiToken veya desteklenen başka kimlik doğrulama yöntemleri değerlendirilebilir.
Ancak kullanılabilir yöntemler VPN türüne, FortiOS sürümüne ve lisans koşullarına bağlı olabilir.
Bu nedenle kurulum yapılmadan önce mevcut cihaz ve yazılım sürümünün teknik belgeleri kontrol edilmelidir.
SMS, doğrulama uygulaması ve güvenlik anahtarı arasındaki fark
MFA yöntemlerinin güvenlik özellikleri birbirinden farklıdır.
SMS doğrulaması
Belirli riskleri azaltabilir ancak SIM değişimi ve kimlik avı gibi yöntemlere karşı sınırlamaları bulunabilir.
Doğrulama uygulamaları
Tek kullanımlık kodlar veya uygun sistemlerde onay bildirimleri kullanılabilir.
Bununla birlikte geleneksel kod tabanlı yöntemler kimlik avına karşı tam koruma sağlamaz.
FIDO2 ve passkey
Uygun şekilde tasarlanmış FIDO2 tabanlı yöntemler, kimlik avına dayanıklı doğrulama seçenekleri sunabilir.
Bu nedenle desteklenen kurumsal sistemlerde daha güçlü yöntemlerin değerlendirilmesi yararlı olabilir.
MFA kurulurken yapılan hatalar
Yalnızca normal kullanıcılara uygulamak: Yönetici hesaplarını korumasız bırakmak.
Kurtarma süreci oluşturmamak: Telefon değişimi veya cihaz kaybında erişim sorunları yaşamak.
Eski erişimleri unutmak: Uygun olmayan eski kimlik doğrulama yöntemlerini açık bırakmak.
Kullanıcıları bilgilendirmemek: Beklenmeyen doğrulama isteklerinin riskini anlatmamak.
İzleme yapmamak: Başarısız oturum ve şüpheli girişleri değerlendirmemek.
Bu sorunlar uygun planlama ve eğitimle azaltılabilir.
MFA ve Zero Trust ilişkisi
Zero Trust yaklaşımında kullanıcı kimliği ve erişim koşulları önemlidir.
MFA bu yaklaşımın önemli bileşenlerinden biri olabilir.
Ancak cihaz güvenliği, en az ayrıcalık, ağ segmentasyonu ve izleme gibi başka kontroller de gereklidir.
İlgili yazı: VPN mi Zero Trust mı?
RelGen Teknoloji ile MFA ve erişim güvenliği
RelGen Teknoloji, işletmelerin kullanıcı ve yönetici hesaplarını, Microsoft 365 altyapısını, firewall ve VPN erişimlerini değerlendirerek uygun kimlik doğrulama çözümlerinin planlanmasına yardımcı olur.
Amaç kullanıcıların işlerini sürdürebilmesini sağlarken yetkisiz erişim risklerini azaltmaktır.
BT Hizmetlerimizi inceleyebilir veya RelGen Teknoloji ile iletişime geçebilirsiniz.
Sık sorulan sorular
MFA nedir?
Kullanıcıların kimliklerini birden fazla doğrulama faktörüyle kanıtlamasını sağlayan güvenlik yaklaşımıdır.
MFA tüm saldırıları önler mi?
Hayır. Hesap ele geçirilmesi risklerini azaltabilir ancak diğer güvenlik kontrollerinin yerine geçmez.
Microsoft 365'te MFA kullanılabilir mi?
Evet. Uygun kimlik doğrulama yöntemleri ve yönetim politikalarıyla kullanılabilir.
FortiGate VPN için MFA gerekli mi?
Güvenlik ihtiyaçlarına göre güçlü kimlik doğrulama önerilir. Hangi yöntemin kullanılacağı mevcut altyapı ve ürün özelliklerine bağlıdır.
Teknik kaynak: CISA — Require Multifactor Authentication