Office 365'te Temel Kimlik Doğrulamayı Devre Dışı Bırakmanın Zamanı Geldi - Office 365 Raporları

Çok sayıda duyuru yaptıktan sonra nihayet Microsoft, Exchange Online'daki temel kimlik doğrulamayı Ekim 2022'den itibaren (Ekim 2020'den itibaren ertelendi) kullanımdan kaldıracak. Bu nedenle, kesintisiz bir hizmet almak için temel kimlik doğrulamayı devre dışı bırakmanın ve komut dosyalarını/uygulamaları yükseltmenin zamanı geldi.

Bu blog, çeşitli yöntemlerle temel kimlik doğrulamayı devre dışı bırakma ve kuruluşunuzun güvenliğini artırmak için modern kimlik doğrulamayı benimseme konusunda size rehberlik edecektir. Temel kimlik doğrulamayı devre dışı bırakmadan önce kuruluşunuzun hâlâ temel kimlik doğrulamayı kullanıp kullanmadığından emin olmalısınız.

Temel Kimlik Doğrulamanın Etkin olup olmadığı Nasıl Kontrol Edilir?

Yeni oluşturulan Microsoft 365 kiracılarında (yani 22 Ekim 2019'dan sonra oluşturulan kiracılarda), güvenlik varsayılanları etkin olduğundan temel kimlik doğrulama varsayılan olarak kapalıdır. Temel kimlik doğrulama durumunu kontrol etmek için,

Microsoft 365 yönetim merkezinde oturum açın.
Ayarlar-> 'Kuruluş Ayarları'nı tıklayın.'
'Hizmetler' sekmesi altında bulunan 'Modern kimlik doğrulama' seçeneğini seçin.

Görüntülenen mesaja göre modern kimlik doğrulamanın zorunlu olup olmadığı veya kiracının hala temel kimlik doğrulamayı kullanıp kullanmadığı sonucuna varabilirsiniz.

Bir kiracı modern kimlik doğrulamayı kullanırken aşağıdaki bilgiler gösterilir.

Kiracı temel kimlik doğrulaması kullanıyorsa kuruluş ayarları aşağıdaki gibi gösterilir.

Kiracınız temel kimlik doğrulamasına izin veriyorsa oturum açma için hala temel kimlik doğrulama protokollerini kullanan kullanıcıları takip etmek için Azure AD portalında bulunan temel kimlik doğrulama raporunu kullanabilirsiniz. Protokoller için temel kimlik doğrulamayı kapatmadan önce kuruluşunuzdaki bu kullanıcıların temel kimlik doğrulama protokollerini kullanmadığından emin olabilirsiniz.

Temel Kimlik Doğrulamadan Modern Kimlik Doğrulamaya Nasıl Geçilir?

Kuruluşunuzda temel kimlik doğrulamayı engelleyerek kullanıcılarınızı/uygulamalarınızı modern kimlik doğrulamayı kullanmaya zorlayabilirsiniz. Office 365'te temel kimlik doğrulamayı devre dışı bırakmak için aşağıdaki yöntemlerden herhangi birini seçebilirsiniz.

Exchange Online kimlik doğrulama ilkelerini yapılandırma
Posta kutuları için eski protokolleri devre dışı bırakın
Güvenlik Varsayılanlarını Etkinleştir
Koşullu Erişim ilkelerini kullanarak temel kimlik doğrulamayı engelleyin

Not: Exchange Online PowerShell cmdlet'lerini kullanmadan önce EXO V2 PowerShell modülünü kurmalı ve Exchange Online PowerShell'e bağlanmalısınız.

Yöntem 1: Exchange Çevrimiçi Kimlik Doğrulama İlkelerini Yapılandırma:

Yöneticiler temel kimlik doğrulamayı devre dışı bırakabilir ve kullanıcıların kimlik doğrulama politikaları aracılığıyla modern kimlik doğrulamasını kullanmasına izin verebilir. Aşağıdaki adımları içerir.

Yeni bir kimlik doğrulama ilkesi oluşturun.
Kimlik doğrulama ilkesini kullanıcılara atayın.

Yeni Kimlik Doğrulama Politikası Oluşturun:

Office 365 kuruluşunuz için kimlik doğrulama politikaları oluşturmak amacıyla New-AuthenticationPolicy cmdlet'ini kullanabilirsiniz.

New-AuthenticationPolicy -Name “Block Basic Auth"

Yukarıdaki örnek, tüm temel kimlik doğrulama protokollerini devre dışı bırakan 'Temel Kimlik Doğrulamasını Engelle' kimlik doğrulama politikasını oluşturur.

Ayrıca protokol istisnası içeren bir kimlik doğrulama ilkesi de oluşturabilirsiniz. Örneğin aşağıdaki kod, SMTP kimlik doğrulamasına izin veren bir kimlik doğrulama politikası oluşturacaktır.

New-AuthenticationPolicy -Name “Allow SMTP Auth" -AllowBasicAuthSMTP

Mevcut Exchange Online kimlik doğrulama ilkelerini görüntülemek için Get-AuthenticationPolicy cmdlet'ini çalıştırın.

Kimlik Doğrulama Politikasını Kullanıcılara Atayın:

Kimlik doğrulama ilkesi kuruluş çapında veya belirli bir kullanıcıya atanabilir. İlkeyi kuruluş genelinde uygulamak için aşağıdaki cmdlet'i yürütün.

Set-OrganizationConfig -DefaultAuthenticationPolicy <PolicyName>

Yöneticiler, Set-User cmdlet'ini kullanarak kimlik doğrulama ilkesini belirli bir kullanıcıya atayabilir.

Set-User -Identity <UPN> -AuthenticationPolicy <Policy Name>

Tüm Exchange Online posta kutularında temel kimlik doğrulamayı engellemek için,

Get-User -ResultSize Unlimited | Set-User -AuthenticationPolicy “Block Basic Auth"

Kullanıcılar için bir kimlik doğrulama politikası belirlediğinizde bunun geçerlilik kazanması 24 saat kadar sürebilir. Politikanın 30 dakika içinde yürürlüğe girmesini istiyorsanız aşağıdaki kodu kullanın.

Set-User -Identity <UPN> -STSRefreshTokensValidFrom $([System.DateTime]::UtcNow)

PowerShell kullanarak kullanıcıların kimlik doğrulama politikasını almak için aşağıdaki cmdlet'i çalıştırın.

Get-Recipient -RecipientTypeDetails UserMailbox -ResultSize Unlimited | Get-User | Select DisplayName,AuthenticationPolicy

2. Yöntem: Posta Kutuları için Eski Protokolleri Devre Dışı Bırakın:

Yöneticiler Set-CasMailbox cmdlet'i aracılığıyla POP3, IMAP4, Exchange Active Sync vb. gibi eski protokolleri devre dışı bırakabilir.

Belirli bir posta kutusunun eski protokol durumunu görüntülemek için,

Get-CASMailbox -identity <UPN> | Select OwaEnabled,MapiEnabled,EwsEnabled,ActiveSyncEnabled,PopEnabled,ImapEnabled

Eski kimlik doğrulama protokollerini kapatmak için aşağıdaki cmdlet'i çalıştırabilirsiniz.

Set-CasMailbox -Identity <UPN> -PopEnabled $false -ImapEnabled $false -SmtpClientAuthenticationDisabled $true

Tüm posta kutuları için eski kimlik doğrulama protokollerini engellemek üzere aşağıdaki kod parçacığını yürütün.

Get-Mailbox -ResultSize Unlimited | Set-CasMailbox -PopEnabled $false -ImapEnabled $false -SmtpClientAuthenticationDisabled $true

Bu örnek, tüm posta kutuları için POP, IMAP ve SMTP'yi devre dışı bırakacaktır.

Office 365'te SMTP Kimlik Doğrulamasını Etkinleştirin veya Devre Dışı Bırakın:

Microsoft, SMTP AUTH için bir istisna eklediğinden (yöneticiler, temel kimlik doğrulamasının kullanımdan kaldırılmasından sonra SMTP AUTH'yi yeniden etkinleştirebilir), kuruluş gereksinimlerine göre SMTP kimlik doğrulamasını etkinleştirmenin veya devre dışı bırakmanın bir yolunu bilmek iyi olacaktır.

Microsoft protokolü devre dışı bıraktıktan sonra yöneticiler aşağıdaki cmdlet'i kullanarak SMTP Kimlik Doğrulamasını kuruluş çapında yeniden etkinleştirebilir.

Set-TransportConfig -SmtpClientAuthenticationDisabled $False

SMTP Kimlik Doğrulamasını kuruluş genelinde devre dışı bırakmak için,

Set-TransportConfig -SmtpClientAuthenticationDisabled $True

Belirli bir posta kutusu için SMTP Kimlik Doğrulamasını etkinleştirmek veya devre dışı bırakmak için Set-CASMailbox cmdlet'ini kullanabilirsiniz.

Set-CasMailbox -Identity <UPN> -SmtpClientAuthenticationDisabled $False

Yukarıdaki örnek, posta kutusu başına SMTP Kimlik Doğrulama ayarlarını etkinleştirecektir.

3. Yöntem: Güvenlik Varsayılanlarını Etkinleştirin:

Yöneticiler, tüm protokoller için temel kimlik doğrulamayı kapatmak amacıyla güvenlik varsayılanlarını etkinleştirebilir. Güvenlik varsayılanlarını etkinleştirmek için aşağıdaki adımları takip edebilirsiniz.

Azure AD yönetim merkezinde oturum açın.
Azure Active Directory -> Özellikler'e gidin.
'Güvenlik varsayılanlarını yönet'i seçin.
'Güvenlik varsayılanlarını etkinleştir' geçişini Evet olarak ayarlayın.

Yöntem 4: Koşullu Erişim (CA) Politikasını kullanarak Temel Kimlik Doğrulamayı Engelleyin:

Kuruluşunuzda Azure AD P1/P2 lisansı varsa korumayı iyileştirmek için Koşullu Erişim aracılığıyla temel kimlik doğrulamayı engelleyebilirsiniz. Eski kimlik doğrulamasını engellemek amacıyla Koşullu Erişim politikası oluşturmak için aşağıdaki adımları takip edebilirsiniz.

Azure AD portalında oturum açın.
Azure Active Directory -> Güvenlik -> Koşullu Erişim'e gidin.
'Yeni politika'yı tıklayın ve aşağıdaki yapılandırmalarla yeni bir politika oluşturun.
- Ad - CA ilkesi için bir ad girin
- Atamalar - Dahil Et-> 'Tüm kullanıcılar'ı seçin. Birkaç kullanıcıya istisna eklemek istiyorsanız ‘Hariç Tut’ seçeneği altında bunları belirtebilirsiniz.
- Bulut uygulamaları veya eylemleri - 'Tüm bulut uygulamaları'nı seçin
- Koşullar - 'İstemci uygulamaları'nda, 'Yapılandır' düğmesini Evet olarak ayarlayın. Ve 'Eski kimlik doğrulama istemcileri' altında yalnızca 2 seçeneği seçin. ('Modern kimlik doğrulama istemcileri' altındaki seçenekler işaretlenmemiş olmalıdır)
- Ver - 'Erişimi engelle'yi seçin.
'İlkeyi Etkinleştir' anahtarını 'Açık' olarak ayarlayın ve bir politika oluşturun.

Kullanıcılar temel kimlik doğrulamayı kullanarak kimlik doğrulaması yapmaya çalıştığında erişim istekleri engellenir.

Günümüzde Parola püskürtme saldırıları arttığından, desteğin sona ermesini beklemek yerine temel kimlik doğrulamayı devre dışı bırakmak ve modern kimlik doğrulamasına geçmek daha iyidir. Bu blogun yöneticilerin temel kimlik doğrulamasını kapatmasına ve Microsoft 365 kuruluşlarını modern kimlik doğrulamasıyla güvence altına almasına yardımcı olacağını umuyorum.