Bulut güvenliği yerleşik sistem güvenliğine göre daha kolay olmasına karşın hala pek çok kez görmezden gelinen bir alan olmaya devam ediyor. Yerleşik sistemler için şirketler kendi büyüklüklerine göre binler, on binler, yüz binler hatta benimde bir dönem içinde bulunduğum finans sektöründe milyon dolarlar harcayabiliyorlar. Ancak ülkemizde her ne kadar global pazardaki kadar olmasa da bulut macerasına başlayan şirketlerin çoğunda güvenliği ikinci plana attıklarını görüyorum. Aslında bu yerleşik sistemlerdeki evrimde de böyle olmuştu. Yani henüz doğru dürüst bir network’ ü olmayan, bilgisayarların performansı nedeni ile kullanıcıları mutsuz, yedekleme veya felaket senaryoları ile boğuşan bilgi teknolojileri çalışanları veya yöneticileri önce alt yapı sonra güvenlik mantığı ile ilerlemekteydi. Ancak aradan geçen yıllar network, yedekleme, performans ve benzeri pek çok alt yapı teknolojisinin kolaylaşması ve ucuzlamasını sağlamıştır. Özellikle sunucu sanallaştırma ve sonrasında bu süreç çok daha hızlanmıştır. Bu nedenle iyi kötü bir firmaya gittiğinizde temel bir alt yapısı olduğu için kendi çapında güvenlik ürünlerine yatırım yapmaktadır.
Kimisi tabiki bu yatırımı anti virüs ve firewall ile sonlandırırken kimisi network ü izleyen özel güvenlik yazılımları veya internet firewall’ u ile network firewall’ unu ayıran, kullanıcı deneyimlerini izleyip sezgisel uyarılar veren, ortam kaydı yapıp admin hareketlerini raporlayan veya benzeri pek çok yeni teknolojiye yatırım yapan firma bulunmaktadır.
Bulut tarafında da işler biraz böyle yürüyor aslında, yani temel olarak baktığımız zaman önce bir vpn yapalım, network ortamlarını konuşturalım, on-prem sistemleri yavaş yavaş buluta taşıyalım derken güvenlik hep en sona bırakılıyor. Veya güvenlik ürünlerinin günün sonunda bir maliyeti var ve bu maliyetleri karşılamak istemiyor bazı müşteriler. En basiti Office 365 DLP özelliği son derece kullanışlı bir özellik ama bunun için Exchange Online Plan 2, E3 ve E5 olması lazım.
Uzun lafın kısası, bulut maceramız yavaş yavaş artarak devam ediyor ve bu macerada aynı on premde olduğu gibi güvenliği geride bırakma şansımız yok.
Benim makalemin konusu da bu olacak aslında, özellikle Office 365 müşterilerinin hızlı bir şekilde panel üzerinden bulut ortamlarının ne kadar güvenli olduğu görebilirler.
Tabiki her güvenlik ürününde olduğu gibi belirli lisanslara sahip olmanız gerekiyor. Secure score portalını kullanmak için Office 365 Business Premium veya Enterprise paketlerden birine sahip olmanız yeterlidir.
Bunun için öncelikle Office 365 Security & Compliance Center a giriyoruz ve hemen ana ekranda aşağıdaki gibi secure score değerinizi görebilirisiniz.
Veya direkt aşağıdaki adresi kullanabilirsiniz.
https://securescore.office.com/#!/dashboard
Temel olarak sistem sahip olduğunuz Office 365 platformlarını ( Exchange, Sharepoint ve Onedrive gibi) kullanma alışkanlıklarınızı Microsoft tarafından belirlenmiş en iyi yapılandırma ayarları ile karşılaştırır.
Yukarıdaki link’ e girince yine yukarıda paylaştığım gibi kendi ortamınız için bir score görebilirsiniz. Eğer bu değeri yükseltmek istiyorsanız hemen dashboard sayfasının biraz altında “Action in the queue” bölümündeki işleri tamamlayabilirsiniz.
Yine bu ekranın sağ bölümünde durumunuzu diğer müşteriler ile karşılaştıran bir tablo yer almaktadır.
Tüm Dünya genelinde Office 365 kullanıcılarının güvenlik değeri 82, size yakın kullanıcı sayısı olanlarda ise (örneğin sizin 500 çalışanınız vardır belirli büyüklükteki bir kurum olduğu için 5 kullanıcılı bir Office 365 müşterisi ile aynı güvenlik özelliklerini kullanmazsınız) ortalama 97 çıkıyor. Benim değerim ise 128. Aslında fena değil ama nasıl daha iyi yaparım konusunda aksiyon almak için iyi bir plan lazım. Örneğin her yıl başında Office 365 sıkılaştırma kapsamında bu değerli yükseltmek için ilgili yıla en az bir proje yazmak gerekli ki zaten yapılacaklar listesini Microsoft bizlere veriyor.
Örneğin benim tarafta bu değere nasıl ulaştım bunu kontrol edelim.
Hemen sayfanın üst bölümünde score analyzer var buraya tıkladığımız zaman bir grafik karşımıza çıkacaktır
Örneğin grafik son bir ayda standart giderken birden değerlerim yükselmiş, hemen kontrol edelim bakalım ne olmuş?
Not: Gri olan genel ortalama güvenlik puanı, turuncu ise benim şirketimin güvenlik puanı.
Örneğin değerim 160 iken, hesap tarafında 34, veri tarafında 52, aygıt tarafında ise 20 puanım varken, puanım 128 olduğundaki dağılım aşağıdaki gibidir;
Görülen o ki aygıt tarafında 20’ den 42 ye yükselmişim.
Peki değerleri yükseltmek için ne yapmam lazım. Öncelikle Account, Data ve Device olarak farlı başlıkları aşağıdaki filtre yardımı ile görebiliyoruz.
Bu bölüm benim puan aldığım yani doğru yaptığım ayarları içeriyor, hemen üst bölümde “Incomplete Actions” kısmına tıklıyoruz.
Burada ise verinin güvenliği için önerilen ama benim yapmadığım ayarları görebiliyorsunuz. Aslında Microsoft ise pek çok güvenlik uzmanından daha iyi bir hizmeti lisans kapsamında sunuyor. Örnek ben pek çok müşterime non-owner hareketlerini takip edelim diyorum, malum her şirkette kim benim mailimi okuyor paranoyası olduğu için bunu ben yıllardır takip ederim. Microsoft bunu zaten buraya koymuş ve demiş ki haftalık olarak takip et sene 5 puan vereyim. Hadi bunu inceleyelim.
Üzerine tıkladığınız zaman her bir eylem için detay bölüm açılır ve Learn more diyerek daha detaylı bir sayfa açılır.
Buradan review dediğiniz zaman ise bu raporu alabileceğiniz yeni bir sayfa açılır.
Özetle bu ve benzer raporları güvenlik nedeni ile haftalık çekip kontrol etmenizi istiyor. Sistem en son bu raporu ne zaman çektiğinizi kontrol edip ona göre puanlamanızı yapıyor.
Özetle şirketinizin bulut güvenlik politiklarının iyileştirmek için kullanılacak çok yararlı bir portal.
Makalemi bitirmeden önce sorun yaşadığımız müşterilerden edindiğim birkaç bilgiyi paylaşmak istiyorum. Eğer doğru lisanslarınız ve yetkiniz var ancak secure score portala bağlandığınız zaman eğer bir score yerine Not Scored görüyorsanız henüz sistem sizin yapılandırmanız hakkında yeterli bilgi edinememiştir.
Peki hangi aralıklar ile güncelleme oluyor. Günde bir defa yaptığınız ayarlar veya davranışlarınıza göre 1:AM PST güncelleme olur. Bazı durumlarda güncellenen verini portala yansıması 48 saati bulabilir.
Son söz ise, unutmayın ki güvenlik çok önemlidir ancak insanların da kullanım alışkanlıkları üretkenliklerini etkiler. Yani hedefiniz buradaki tüm önerileri yapmak olmamalıdır. Sizin şirket ihtiyaçlarınıza göre yapabileceğiniz iyileştirmeleri yapmanız çok daha doğru olacaktır.
Bir makalemin daha sonuna geldik umarım faydalı olmuştur. Bir sonraki makalemde görüşmek üzere.
