E-posta Güvenliği Rehberi: 10 Temel Önlem
Şirket e-postası en çok saldırılan kapıdır. Hesap, alan adı, bağlantı ve insan katmanında alınacak on somut önlemi, her birinin nerede ve ne kadar sürede uygulanacağını gösteren kontrol listesiyle anlatıyoruz.
Şirket sistemlerine yönelik saldırıların büyük çoğunluğu bir e-posta ile başlar: sahte bir fatura, ele geçirilmiş bir tedarikçi hesabı ya da müdürün adına yazılmış acil bir talep. Bu yüzden e-posta güvenliği, antivirüs kadar temel ama çoğu küçük işletmede hâlâ birkaç iyi niyetli alışkanlığa bırakılmış bir konudur.
Aşağıdaki on önlem dört katmana ayrılır: hesap, alan adı, bağlantı ve insan. Her biri LIONFIN kurumsal mail ve xMail hesaplarında birkaç dakikada uygulanabilir; yazının sonundaki tablo hangi önlemin nerede yapılacağını özetler.
Tehdit haritası: e-postada neyle karşı karşıyasınız?
Önlem almadan önce neye karşı önlem aldığınızı bilmek gerekir. Kurumsal e-postada dört tehdit türü öne çıkar:
- Phishing (oltalama): Kullanıcıyı sahte bir giriş sayfasına yönlendirip şifresini çalan e-postalar. Tanıma yöntemleri için phishing saldırılarından korunma rehberine bakın.
- Hesap ele geçirme: Sızmış şifrelerle IMAP ya da webmail üzerinden oturum açma; ardından gizli yönlendirme kuralları ekleme.
- Spoofing (sahtecilik): Alan adınız adına, sizin sunucunuzdan geçmeden e-posta gönderilmesi; müşterilerinize sizin adınıza sahte fatura gitmesi.
- Veri sızıntısı: Şifresiz bağlantı, yanlış alıcı ya da kaybolan cihaz üzerinden yazışmaların dışarı çıkması.
On önlemin her biri bu dört tehditten en az birini doğrudan hedefler; hepsini uygulayan bir işletme saldırı yüzeyinin büyük bölümünü kapatmış olur.
Hesap katmanı: önlem 1–4
Hesap katmanı, saldırganın en çok denediği yerdir; dört önlem burada yoğunlaşır.
- Uzun ve benzersiz şifre. En az on iki karakter, başka hiçbir serviste kullanılmamış; bir parola yöneticisiyle üretin. Sızmış bir şifrenin başka hesaplarda denenmesi (credential stuffing) en yaygın giriş yoludur.
- İki adımlı doğrulama. Şifre çalınsa bile ikinci faktör olmadan oturum açılamaz. xMail’de kurulum xMail iki adımlı doğrulama rehberinde anlatılmıştır.
- Uygulama parolaları ve oturum denetimi. IMAP kullanan eski istemciler için ayrı parolalar tanımlayın; panelde açık oturumları ve son girişleri düzenli inceleyin, tanımadığınız cihazları kapatın.
- Yönlendirme ve filtre kurallarını denetleyin. Ele geçirilen hesaplarda saldırganın ilk işi gelen postayı dışarıya kopyalayan gizli bir kural eklemektir; ayda bir webmail filtrelerini kontrol edin.
Alan adı katmanı: önlem 5–7
Alan adı katmanı sizin adınıza sahte e-posta gönderilmesini engeller ve gönderdiğiniz postaların spam sayılmasını önler. Üç DNS kaydı birlikte çalışır:
- SPF: Alan adınız adına hangi sunucuların gönderim yapabileceğini bildirir; SPF kaydı nasıl eklenir rehberinde adımlar var.
- DKIM: Giden postaları dijital olarak imzalar; alıcı, içeriğin yolda değişmediğini doğrular. Kurulum DKIM kaydı nasıl eklenir yazısında.
- DMARC: SPF ve DKIM başarısız olduğunda ne yapılacağını söyler ve size rapor gönderir. Önce izleme modunda başlayın:
_dmarc.sirketiniz.com. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"Raporları birkaç hafta izleyip meşru tüm gönderim kaynaklarını SPF’e ekledikten sonra politikayı p=quarantine, ardından p=reject yapın. Ayrıntılı geçiş planı DMARC kaydı nasıl eklenir rehberindedir. Bu üç kayıt olmadan alan adınız adına e-posta göndermek herkes için serbesttir.
Bağlantı ve veri katmanı: önlem 8–9
Bu katman verinin yolda ve sunucuda korunmasıyla ilgilidir.
- Şifreli bağlantı zorunluluğu. İstemcilerde IMAP için 993 (SSL/TLS), SMTP için 465 (SSL) ya da 587 (STARTTLS) portlarını kullanın; 143 ve 110 gibi düz metin portları kapatın. Kurumsal mail ve xMail bağlantı ayarlarını müşteri panelindeki hizmet sayfasından alın ve hiçbir istemcide “şifresiz bağlantıya izin ver” seçeneğini açık bırakmayın.
- Yedekleme ve arşivleme. Fidye yazılımı ya da yanlışlıkla silme durumunda geri dönebilmek için posta kutularının sunucu tarafında yedeklendiğinden ve önemli yazışmaların arşiv politikasıyla saklandığından emin olun; yöntemler kurumsal mail yedekleme ve arşivleme rehberinde.
Sunucu tarafındaki spam ve virüs filtresi bu katmanın tamamlayıcısıdır: karantina ve beyaz liste ayarlarını kurumsal mail spam filtreleme yazısındaki gibi düzenleyin; filtreyi tamamen kapatmak yerine yanlış pozitifleri beyaz listeyle yönetin.
İnsan katmanı: önlem 10
Teknik önlemlerin tamamı, bir çalışanın sahte bağlantıya tıklayıp şifresini yazmasıyla etkisiz kalabilir. Onuncu önlem bu yüzden en önemlisidir: sürekli farkındalık. Uygulanabilir bir program şöyle görünür:
- İşe başlayan herkese kırk dakikalık bir e-posta güvenliği eğitimi; gerçek örneklerle.
- Üç ayda bir kısa hatırlatma ve o dönem görülen saldırı türlerinin paylaşılması.
- Yılda birkaç kez kontrollü phishing simülasyonu; sonuçları cezalandırmak için değil, eğitimi hedeflemek için kullanın.
- Ödeme talimatı, banka hesabı değişikliği ve şifre isteği gibi kritik istekler için telefonla teyit kuralı.
- Şüpheli e-postanın nasıl bildirileceğine dair tek bir adres ve tek bir cümlelik prosedür.
E-posta güvenliğinin bu katmanı bütçe değil disiplin gerektirir; küçük ekipler için bile birkaç saatlik yatırımla en yüksek getiriyi sağlar.
E-posta güvenliği kontrol listesi
On önlemi nerede uygulayacağınızı ve ortalama ne kadar sürdüğünü tek tabloda topladık. Üstten aşağı ilerleyin; ilk dört madde tek bir öğleden sonrada biter.
| # | Önlem | Nerede yapılır | Süre |
|---|---|---|---|
| 1 | Uzun, benzersiz şifre | Webmail / müşteri paneli | 5 dk / hesap |
| 2 | İki adımlı doğrulama | Hesap güvenlik ayarları | 5 dk / hesap |
| 3 | Uygulama parolası, oturum denetimi | Hesap güvenlik ayarları | 10 dk |
| 4 | Yönlendirme kurallarını denetleme | Webmail filtreleri | Aylık 5 dk |
| 5 | SPF kaydı | DNS yönetimi | 10 dk |
| 6 | DKIM kaydı | Mail paneli + DNS | 15 dk |
| 7 | DMARC kaydı | DNS yönetimi | 10 dk + izleme |
| 8 | Şifreli portlar (993/465/587) | Her istemci | 5 dk / cihaz |
| 9 | Yedekleme ve arşiv politikası | Kurumsal mail paneli | 30 dk |
| 10 | Çalışan eğitimi ve simülasyon | Ekip toplantısı | Yılda birkaç saat |
Listeyi tamamladıktan sonra her yeni hesap açılışında 1, 2 ve 8 numaralı maddeleri standart prosedür hâline getirin.
Sık Sorulan Sorular
Şifremin sızıp sızmadığını nasıl anlarım?
Tanımadığınız cihazlardan oturum açma bildirimleri, göndermediğiniz e-postaların giden klasöründe görünmesi, kişilerinizden gelen “bu e-postayı sen mi attın” soruları ve webmailde sizin eklemediğiniz yönlendirme kuralları en net belirtilerdir. Şüphelendiğiniz anda şifreyi değiştirip tüm oturumları kapatın ve iki adımlı doğrulamayı açın.
SPF, DKIM ve DMARC üçü de gerekli mi, biri yetmez mi?
Üçü farklı görev yapar. SPF gönderen sunucuyu, DKIM içeriğin bütünlüğünü doğrular; DMARC ise bu iki kontrol başarısız olduğunda alıcının ne yapacağını belirler ve size rapor gönderir. Yalnızca SPF ile yönlendirilen e-postalar başarısız olabilir; yalnızca DKIM ile sahte gönderimler engellenmez. Birlikte kurulduklarında alan adınız gerçekten korunur.
İki adımlı doğrulama Outlook gibi istemcilerde sorun çıkarır mı?
Modern istemciler ikinci faktörü destekler. Desteklemeyen eski uygulamalar için hesap ayarlarından uygulamaya özel parola üretilir; bu parola yalnızca o cihazda kullanılır ve gerektiğinde tek başına iptal edilebilir. Böylece ana şifreniz istemcilerde hiç saklanmaz.
Küçük bir işletme için bu önlemlerin hepsi gerekli mi?
Saldırganlar hedef seçerken işletme büyüklüğüne değil kolay girişe bakar; küçük işletmeler çoğu zaman daha az korunduğu için daha sık hedeflenir. On önlemin tamamı ücretsiz ya da mevcut paketlerin parçasıdır ve toplamda birkaç saat sürer; ilk dört maddeyi bugün, DNS kayıtlarını bu hafta tamamlamak iyi bir başlangıçtır.
