Defender for Office 365: Safe Attachments + Safe Links Kurulum

Ransomware ve veri sızıntısı saldırılarının %91\'i e-posta üzerinden başlar (Verizon DBIR 2025). Klasik anti-spam yetersiz: dosya tipi gizleme, makro tetikleyici, zero-day URL, brand impersonation. Microsoft Defender for Office 365\'in 2 ana motoru Safe Attachments (e-posta eki sandbox\'ı) ve Safe Links (URL gerçek zamanlı koruma) bu boşluğu kapatır.

Safe Attachments — Nasıl Çalışır?

Gelen e-postadaki eklerin (Word, Excel, PDF, ZIP, vb.) Microsoft\'un izole edilmiş sandbox ortamında çalıştırılması:

1. Ek e-posta sunucusuna gelir → henüz inbox\'a düşmez
2. Microsoft Defender ek\'i sandbox\'ta açar (sanal makina)
3. Makro tetikleyici, link açma, sistem komut çalıştırma davranışı izlenir
4. Temiz ise inbox\'a düşer (gecikme ~30 sn)
5. Kötü amaçlı tespit edilirse karantinaya alınır + yönetici bilgilendirilir

Safe Attachments Kurulum

1. security.microsoft.com → Policies & rules → Threat policies → Safe Attachments.
2. Create → ad: "SA-AllUsers-Block".
3. Users and domains: Recipient domain: sirketiniz.com.
4. Settings:
   • Action: Block (kötü ek'i bloke et + karantina)
   • Redirect attachment: opsiyonel — kötü ekleri admin mail kutusuna yönlendir (analiz için)
   • Dynamic Delivery: Off (varsayılan). Açarsanız: ek sandbox'a giderken kullanıcı mesajı görür, ek gecikmesiz erişebilir — ek temizse "Attachment ready"
5. Save → Review → Submit.

Safe Links — Nasıl Çalışır?

E-postadaki URL'lere tıklandığında Microsoft'un proxy üzerinden geçiş — URL gerçek zamanlı kontrol edilir:

1. Kullanıcı linki tıklar
2. Microsoft proxy URL'i kontrol eder (Microsoft Threat Intelligence)
3. Temiz ise hedefe yönlendirir (kullanıcı fark etmez)
4. Phishing/malware ise warning page gösterir
5. Office uygulamalarındaki ve Teams'teki linkler de aynı koruma altında

Safe Links Kurulum

1. security.microsoft.com → Threat policies → Safe Links.
2. Create → ad: "SL-AllUsers".
3. Users and domains: Recipient domain: sirketiniz.com.
4. URL & click protection settings:
   • On: Safe Links checks a list of known malicious links when users click links in email ✓
   • Apply Safe Links to email messages sent within the organization ✓ (iç tehditlere karşı)
   • Apply real-time URL scanning for suspicious links and links that point to files ✓
   • Wait for URL scanning to complete before delivering the message ✓ (gecikme ~10 sn ama daha güvenli)
   • Do not allow users to click through to original URL ✓ (kullanıcı bypass'a izin yok)
5. Office 365 apps bölümünde Word/Excel/PowerPoint/Teams için de aktif et.
6. Save → Submit.

Anti-Phishing Policy

Safe Attachments + Safe Links\'e ek olarak Anti-Phishing politikası da kritik. Spoof prevention (CEO impersonation, brand impersonation):

1. Threat policies → Anti-phishing → Create.
2. Impersonation:
   • Users to protect: CEO + finance manager + diğer high-value (max 60 user)
   • Domains to protect: Kendi domain\'iniz + kritik partner domain'leri
   • Action: Quarantine
3. Mailbox intelligence: On (kullanıcı normal kişi yazışmalarını öğrenir, sıra dışı tespit eder).
4. Spoof intelligence: On.
5. Save.

Preset Security Policies — Hızlı Başlangıç

Detay konfigürasyon yapmak istemiyorsanız Microsoft\'un Preset Security Policies:

• Standard protection: Tipik KOBİ için. Çoğu user. Dengeli false positive / negative.
• Strict protection: CEO + finans + IT admin gibi yüksek risk için. Daha agresif filtre.

1. Threat policies → Preset Security Policies.
2. Standard ve Strict\'i ayrı ayrı aç.
3. Her birine kapsam ata (Standard: all users, Strict: VIP grubu).
4. Apply.

Karantina Yönetimi

Defender bloke ettiği mailleri karantinaya alır:

• security.microsoft.com/quarantine
• Karantina maillerini gözden geçir, false positive ise release
• Kullanıcı kendi karantinasını yönetebilir (admin policy ile aktif edilebilir) — kullanıcı haftalık digest e-postası alır
• 30 gün sonra otomatik silinir

Maliyet — KOBİ İçin

KOBİ için en ekonomik: Business Premium upgrade — Defender + Intune + Entra ID P1 hep birlikte gelir. Standalone $2 add-on da geçerli ama Premium upgrade ekosistemi tamamlar.

İlgili Rehberler

• Defender Attack Simulator — Phishing Simülasyon
• Defender for Endpoint Onboarding
• Defender for Office 365 Plan 1 vs Plan 2