Yapay Zekâ Destekli E-posta Güvenliği

Kurumsal e-posta ortamı yalnızca çalışanların gelen kutularından oluşmaz. Microsoft 365, Google Workspace, Exchange, uygulama bildirimleri, CRM, pazarlama araçları, destek sistemleri, web formları, tarayıcı ve yazıcılar, finans yazılımları, tedarikçiler ve yetkilendirilmiş göndericiler aynı alan adlarını kullanabilir. İlk kayıt; alan ve alt alan adlarını, tenant'ları, connector ve relay'leri, posta akışlarını, sorumluları ve yöneticileri adlandırır. Kaynağı bilinmeyen bir gönderici, sırf DNS kaydı karmaşık görünüyor diye onaylanmaz ya da devre dışı bırakılmaz; bilinmeyen olarak kayda geçer ve sahibine ulaşılarak karara bağlanır.

Tehdit modeli; gerçek alan adını taklit etme, benzer alan adı kullanma, görünen gönderen adıyla aldatma, kurumsal e-posta dolandırıcılığı, kimlik bilgisi hırsızlığı, zararlı bağlantı ve ekler, QR kodlu tuzaklar, tedarikçi hesabının ele geçirilmesi, posta kutusu devralma, kötü niyetli yönlendirme kuralları, OAuth yetkisi suistimali, veri sızıntısı ve istenmeyen postayı birbirinden ayırır. Bunların bıraktığı iz ve gerektirdiği kontrol aynı değildir. SPF, DKIM ve DMARC alan adı düzeyinde sinyal üretir; kişinin niyetini doğrulamaz, içeriğin güvenli olduğunu söylemez ve her sahte mesajı durdurmaz.

Risk, gerçek iş süreçleri üzerinden değerlendirilir: banka hesabı değişikliği, ödeme talimatı, bordro, yönetici talebi, parola sıfırlama, hukuki belge, satın alma ve müşteri verisi. Her işlem için kimlerin onay verebildiği, ikinci bir kanaldan doğrulamanın nasıl yapılacağı, hangi taleplerin daha güçlü kanıt istediği ve çalışanın şüpheli mesajı nereye bildireceği belirlenir. Teknik filtreleme, ödeme veya kimlik doğrulama sürecindeki insan kontrolünün yerine geçmez.

SPF, SMTP kimliklerinde bir alan adını kullanmaya yetkili sunucuları tarif eder. DKIM, imzalayan alan adını kriptografik imzayla mesaja bağlar. DMARC ise doğrulanmış ve hizalanmış kimlikleri görünen gönderenin alan adıyla değerlendirir; alan adı sahibinin istediği işleme ve raporlamaya ilişkin kaydı yayımlar. Bunlar birbirinin yerine geçen rozetler değildir. Meşru göndericileri bulur, hizalamayı ve yönlendirme davranışını inceler, DNS ile anahtar sahipliğini atar ve yaptırım politikasını aşamalı ilerletiriz. Bir kontrol listesinden kopyalanan sert kayıt yüzünden geçerli posta akışının kesilmesine izin verilmez.

DMARC raporları bir defalık kurulum fişi değil, işletim kanıtıdır. Toplu raporlar unutulmuş göndericileri, hizalama boşluklarını ve şüpheli kullanımı gösterebilir; ancak kapsama, alıcı kuruluşların rapor göndermesine ve raporlama yolunun kalitesine bağlıdır. Bu veriler hassas işletim bilgisi içerebileceğinden alıcısı, saklama süresi ve inceleme yetkisi belirlenir. DMARC'ın geçmesi, içeriği güvenli kılmaz; insan göndereni ispatlamaz ve mesajın gelen kutusuna düşeceğini garanti etmez.

Aktarım katmanı ayrı ele alınır. TLS, sertifika doğrulaması, MTA-STS ve TLS raporlaması; sağlayıcılar desteklediği ölçüde sunucular arası taşıma yolunu güçlendirebilir veya görünür kılabilir. Yanlış yapılandırma e-posta teslimini durdurabilir; aktarım şifrelemesi de iki uçtaki zararlı içeriği incelemez. Uygulamadan önce politika keşfi, DNS ve sertifika bağımlılıkları, hata davranışı, rapor sahibi ve geri dönüş yolu yazılı hale getirilir.

Gelen posta koruması; doğrulama, itibar, kişi ve alan adı taklit kuralları, bağlantı çözümleme, ek inceleme, sandbox, içerik örüntüsü, ilişki geçmişi, kullanıcı bildirimi ve sağlayıcıya özgü sinyalleri birlikte kullanabilir. Hangi özelliğin bulunacağı satın alınmış posta ve güvenlik lisansına bağlıdır. Önce platformun yerleşik yeteneklerini çıkarır, çakışma ve boşlukları görür, politikayı posta kutusunun riskine, mesaj akışına ve iş sonucuna göre ayarlarız. Herkese aynı sert kuralı uygulamak güvenlik kadar iş sürekliliğini de zedeleyebilir.

Kimlik koruması kullanıcıyla birlikte yöneticiyi de kapsar. Oltalamaya dayanıklı çok faktörlü doğrulama, mevcutsa koşullu erişim, ayrıcalıklı rollerin ayrılması, üçüncü taraf uygulama kısıtları, izin yönetimi, oturum takibi ve uyarılar; çalınmış bir parolanın güvenilir posta kutusuna dönüşme yollarını azaltır. Gelen kutusu kuralları, dış yönlendirme, delegeler, kurtarma yöntemleri ve OAuth izinleri kararlaştırılan kapsamda incelenir. Çünkü gerçek hesabı kullanan saldırgan, alan adı doğrulamasını doğal olarak geçebilir.

Yapay zekâ destekli sınıflandırma sıra dışı davranışları önceliklendirebilir, örüntüleri yakalayabilir ve sinyalleri özetleyebilir; fakat mutlak doğru kaynağı değildir. Model veya üretici tespiti yeni saldırıları kaçırabilir, geçerli mesajı yanlış sınıflandırabilir, dil ve saldırgan davranışı değiştikçe kayabilir ya da müşterinin inceleyemediği verilere dayanabilir. Otomasyonun nerede karantinaya alabileceği, nerede yalnızca uyarı vereceği ve nerede eğitimli bir insanın karar vereceği baştan tanımlanır. Yanlış alarm, kaçan tehdit, geçersiz kılma ve itiraz ölçülen işletim olaylarına dönüşür.

İşletim tasarımı, kullanıcıya kolay bir bildirim yolu verir; bu bildirimin düştüğü kuyruğu, inceleme kanıtını, önem kurallarını ve yetkili kişiyi belirler. Analist; iletiyi gereksiz yere yaymadan mesaj başlığına, doğrulama sonuçlarına, bağlantı ve eklere, gönderici ile alıcı kapsamına, tenant olaylarına ve kimlik sinyallerine erişebilmelidir. Karantinadan çıkarma kayda alınır ve politika yönetiminden ayrılır. Güvenilir gönderici istisnalarının sahibi, gerekçesi, bitiş ve gözden geçirme tarihi olur.

Müdahale runbook'ları seçilen platformların gerçekten desteklediği işlemleri kapsar: kanıtı korumak, benzer mesajları bulmak, e-postayı kısıtlamak veya kaldırmak, göstergeleri engellemek, oturum ve token'ları iptal etmek, kimlik bilgilerini yenilemek, kötü niyetli kuralları silmek, delege ve izinleri incelemek, etkilenen iş akışını korumak, yetkili kişileri bilgilendirmek ve tekrarı izlemek. Arama-silme ile hesap müdahaleleri kanıtı yok edebilir veya işi aksatabilir; bu nedenle yetki, sıra, kapsam ve geri dönüş olayı yaşanmadan önce yazılır.

Süreklilik önemlidir; çünkü güvenlik kontrolü meşru postayı da kesebilir. Acil iletişim kanalı, yönetici erişimi, DNS ve anahtar kurtarma, yanlış alarm yükseltmesi ve sağlayıcıyla temas yolu belirlenir. İzleme saatleri, alarm kapsaması, kayıt saklama, garanti edilmiş müdahale süresi, adli inceleme ve 7/24 hizmet ancak ayrıca yazılı olarak satın alınmışsa geçerlidir. Tamamlanan bir mimari ya da yapılandırma projesi kendiliğinden yönetilen güvenlik hizmetine dönüşmez.

Doğrulama güvenli teknik kontrollerle başlar: DNS kayıtları, izinli test göndericilerinde SPF/DKIM/DMARC sonucu ve hizalama, beklenen header'lar, politika değerlendirmesi, connector yolları, karantina, alarm, raporlama, kullanıcı bildirimi ve yetkisiz erişimin reddi. Beklenen geçişlerle birlikte beklenen retleri de sınar, değişiklikten sonra meşru iş göndericilerini yeniden kontrol ederiz. Sağlayıcı ekranı veya çevrim içi sorgu aracı destekleyici kanıttır; her alıcı kuruluşun nasıl davranacağını ispatlamaz.

Oltalama simülasyonu, red-team çalışması, posta kutusu incelemesi ve içerik örneklemesi; yazılı yetki, adı konmuş katılımcı grubu, gerektiğinde mahremiyet ve iş hukuku değerlendirmesi, güvenlik sınırları, destek hazırlığı ve durdurma yolu ister. Sonuçlar yalnızca belirtilen senaryoda gözlenen durum olarak yorumlanır; bir kişinin veya kuruluşun güvenli olduğunun kanıtı sayılmaz. NobleJackal, güvenlik değerlendirmesi talep edildi diye gizli test başlatmaz, kimlik bilgisi toplamaz veya üçüncü kişilere ulaşmaz.

Devir dosyasında alan adı ve gönderici kaydı, tehdit modeli, DNS ve anahtar sahipliği, uygulanan politikalar, istisnalar, kimlikler ve uygulama izinleri, test kanıtları, panolar, alarm yolları, olay ve süreklilik runbook'ları, lisans bağımlılıkları, bilinen sınırlamalar, kalan riskler ve değişiklik yöntemi bulunur. Sırlar onaylı güvenli kanaldan aktarılır. Kapanış; teslim edilen, kabul edilen, ertelenen ve hariç kalan işleri ayırır. Her oltalama, BEC, taklit veya zararlı yazılımın engelleneceği; her hesap ele geçirmenin önleneceği; yanlış kararların biteceği; teslimat ya da gelen kutusu yerleşiminin sağlanacağı; uyum veya sertifika elde edileceği; sıralama, müşteri adayı ya da gelir üretileceği yönünde garanti verilmez.