Kurumsal E-posta Güvenliği Nasıl Sağlanır?

Kurumsal e-posta güvenliği iki ayrı problemi kapsar. Birincisi, gönderdiğiniz e-postaların karşı tarafa ulaşması. İkincisi, sizin adınıza sahte e-posta gönderilmesinin engellenmesi. İkisi de büyük ölçüde aynı üç DNS kaydıyla çözülür.

E-postalarım neden spam'e düşüyor?

Alıcı sunucu, gelen bir e-postanın gerçekten iddia ettiği adresten geldiğini doğrulayamıyorsa şüpheli kabul eder. Doğrulama üç kayıt üzerinden yapılır ve bunlar alan adınızın DNS ayarlarında tanımlanır. Kayıtlar eksikse veya yanlışsa, içeriğiniz ne kadar masum olursa olsun spam klasörüne düşme ihtimaliniz artar.

SPF, DKIM ve DMARC

Bu üç kayıt birlikte çalışır ve her biri farklı bir soruyu yanıtlar:

• SPF, alan adınız adına hangi sunucuların e-posta gönderebileceğini listeler. Sorduğu soru: bu e-posta yetkili bir sunucudan mı geldi?
• DKIM, gönderilen her e-postaya dijital imza ekler. Sorduğu soru: içerik yolda değiştirildi mi?
• DMARC, SPF ve DKIM doğrulamasından geçemeyen e-postalara ne yapılacağını belirler. Sorduğu soru: doğrulama başarısızsa ne olsun?

Üçü birden kurulmadığında iki risk doğar. Birincisi teslimat sorunları. İkincisi ve daha ciddisi, üçüncü kişilerin sizin alan adınızı kullanarak müşterilerinize sahte e-posta gönderebilmesi. Fatura sahtekârlığı vakalarının önemli bir bölümü tam olarak böyle başlar: müşteriniz sizden geldiğini sandığı bir e-postayla farklı bir hesaba ödeme yapar.

Kayıtları kurarken sık yapılan hatalar

Bu üç kaydın var olması yetmez; doğru kurulmuş olması gerekir. Denetimlerde en sık karşılaştığımız hatalar şunlar:

• Birden fazla SPF kaydı tanımlamak. Bir alan adında yalnızca tek bir SPF kaydı bulunabilir; ikincisi eklendiğinde doğrulama tamamen geçersiz olur. Yeni bir gönderici eklenecekse mevcut kaydın içine yazılmalıdır.
• SPF'te on DNS sorgusu sınırını aşmak. Kayda eklenen her 'include' ifadesi sorgu üretir; sınır aşıldığında kayıt kalıcı hata verir ve hiç yokmuş gibi davranılır.
• Kaydı '+all' ile bitirmek. Bu ifade 'herkes benim adıma gönderebilir' demektir ve SPF'i anlamsız kılar. Doğru bitiş '-all' veya en azından '~all' olmalıdır.
• DKIM anahtarını kurup hiç kullanmamak. Anahtar üretmek yetmez; posta sunucusunda imzalamanın etkinleştirilmiş olması gerekir.
• DMARC kaydını rapor adresi olmadan yazmak. Rapor adresi tanımlı değilse hangi sistemlerin sizin adınıza gönderdiğini göremezsiniz.

Bir ayrıntı daha var: DMARC yalnızca SPF veya DKIM'in geçmesine bakmaz, bunların e-postada görünen gönderici alan adıyla uyumlu olmasını da arar. Pazarlama araçları üzerinden gönderilen postalarda bu uyum sık sık kaçar; kendi alan adınızla gönderim yapacak şekilde yapılandırılmadıklarında doğrulama teknik olarak geçse bile DMARC başarısız sayar.

DMARC'ı kademeli devreye alın

DMARC üç modda çalışır: none (yalnızca raporla), quarantine (spam'e at) ve reject (tamamen reddet). Doğrudan reject ile başlamayın. Önce none modunda birkaç hafta rapor toplayın; alan adınız adına hangi sistemlerin e-posta gönderdiğini görürsünüz.

Bu adım genellikle sürpriz üretir. Muhasebe programınız, e-ticaret altyapınız veya bir pazarlama aracı sizin adınıza e-posta gönderiyor olabilir. Bunları SPF kaydına eklemeden reject moduna geçerseniz kendi meşru e-postalarınızı engellemiş olursunuz.

Çok adımlı doğrulama

Parola tek başına yeterli bir koruma değildir. Çok adımlı doğrulama açıkken parolanız ele geçirilse bile hesaba giriş yapılamaz. Bu, e-posta güvenliği için atılabilecek tek en etkili adımdır ve Microsoft 365 ile Google Workspace'te ek maliyeti yoktur.

Doğrulama yöntemi olarak SMS yerine kimlik doğrulama uygulaması tercih edilmelidir. SMS, operatör üzerinden yapılan numara taşıma saldırılarına açıktır; uygulama tabanlı kodlar bu riski taşımaz.

Personelin dikkat etmesi gerekenler

• Beklenmedik bir ek veya bağlantı geldiyse, gönderen tanıdık olsa bile önce doğrulayın.
• Aciliyet baskısı kuran ödeme talepleri klasik bir dolandırıcılık yöntemidir; telefonla, bilinen numaradan teyit edin.
• Gönderen adresini görünen isme değil, tam adrese bakarak kontrol edin. Sahte adresler genellikle tek harf farkla yazılır.
• Şirket parolanızı başka hiçbir sitede kullanmayın; sızan bir forum parolası şirket hesabınızı da açar.
• Banka hesap numarası değişikliği bildiren e-postalara asla doğrudan güvenmeyin.

Ayrılan personelin hesabı

Personel ayrıldığında hesabı doğrudan silmek yaygın ama hatalı bir refleks. Doğru sıra şudur: önce parolayı değiştirin ve tüm aktif oturumları kapatın, ardından gelen postaları bir yöneticiye yönlendirin, arşivi devredin ve ancak makul bir süre sonra hesabı kapatın.

Hesabı hemen silmek, o adrese gelen müşteri e-postalarının sessizce kaybolmasına yol açar. Gönderen bir hata mesajı bile almayabilir ve size ulaşamadığını fark etmez.

Ortak adresler nasıl yönetilmeli?

bilgi@, muhasebe@ ve destek@ gibi ortak adresler çoğu işletmede aynı yanlışla yönetilir: tek bir parola üretilir ve ilgili herkese verilir. Bu yapının üç sorunu vardır. Parola kaç kişiye dağıldığı bilinemez, kimin ne zaman ne yaptığı takip edilemez ve o kişilerden biri ayrıldığında parolanın değişmesi gerekir — genellikle değişmez.

Doğru çözüm paylaşılan posta kutusu kullanmaktır. Herkes kendi hesabıyla giriş yapar, ortak kutuya kendi yetkisiyle erişir. Kayıtlarda kimin hangi postayı yanıtladığı görünür ve bir kişi ayrıldığında yalnızca onun erişimi kaldırılır. Microsoft 365 ve Google Workspace'te paylaşılan kutular ek lisans gerektirmez.

Benzer alan adları

Alan adınızın koruması ne kadar sıkı olursa olsun, saldırgan sizin alan adınızı kullanmak zorunda değildir. Bir harfi değiştirilmiş benzer bir alan adı satın alıp oradan gönderim yapmak çok daha kolaydır. Bu tür adresler teknik olarak kusursuz görünür; kendi SPF ve DKIM kayıtlarıyla doğrulamadan geçerler.

Buna karşı iki pratik önlem var. Birincisi, kendi alan adınıza yakın yazımların bir kısmını (harf değişimi, tire ekli hâli, farklı uzantılar) önden satın almak. İkincisi ve daha etkilisi, dışarıdan gelen e-postaların konu satırına veya gövdesine otomatik bir uyarı eklenmesi. Kendi çalışanınızdan geldiğini sandığı bir e-postanın üstünde 'dış gönderici' uyarısı gören personel, isteği ikinci kez düşünür.

Kontrol listesi

1. 01SPF, DKIM ve DMARC kayıtlarınızın var olduğunu ve doğru olduğunu kontrol edin.
2. 02SPF'te tek kayıt olduğunu, on sorgu sınırının aşılmadığını ve kaydın '-all' ile bittiğini doğrulayın.
3. 03DMARC'ı none modunda başlatıp raporları inceleyin, sonra kademeli sıkılaştırın.
4. 04Tüm hesaplarda çok adımlı doğrulamayı zorunlu hâle getirin.
5. 05Yönetici hesaplarını günlük kullanımdan ayırın.
6. 06Ortak adresleri paylaşılan parolayla değil, paylaşılan posta kutusu olarak yönetin.
7. 07Dış göndericiler için otomatik uyarı etiketini etkinleştirin.
8. 08Ayrılan personel için yazılı bir kapatma prosedürü oluşturun.