Kurumlarda SaaS kullanımı patlarken sızıntıların %82’si yanlış yapılandırmadan ve kontrolsüz OAuth izinlerinden kaynaklanıyor. Microsoft 365, Google Workspace ve gölge SaaS uygulamalarını denetleme, CIS benchmark uyumu ve otomatik risk engelleme protokolü.
Saha Gerçeği: Şirketinizde Kaç Tane SaaS Uygulaması Çalışıyor?
Cloud Security Alliance (CSA) ve Gartner 2025 verilerine göre, IT ekipleri şirkette ortalama 30-40 SaaS aracı kullanıldığını tahmin ediyor. Gerçekte bu sayı 400’ün üzerinde. En büyük veri kaçağı kanalı da çalışanların "Google ile Giriş Yap" veya "Microsoft ile Bağlan" diyerek yetki verdiği üçüncü parti yapay zeka ve üretkenlik eklentileri.
Geleneksel ağ güvenlik duvarları (Firewall) ve VPN çözümleri, çalışanların doğrudan bulut uygulamalarına bağlandığı hibrit çalışma düzeninde körleşmiştir. Bir çalışanın Microsoft 365 hesabına yetki verdiği "ücretsiz PDF dönüştürücü" veya "yapay zeka toplantı asistanı", aslında arka planda tüm OneDrive ve kurumsal e-posta kutusuna tam okuma/yazma erişimi (full read-write OAuth token) kazanmış olabilir.
1. Geleneksel CASB Neden Yetersiz Kalıyor? SSPM Farkı
Geleneksel bulut erişim güvenliği aracıları (CASB), trafiği proxy arkasına alarak kontrol etmeye çalışır. Ancak kullanıcı doğrudan evinden veya mobilden SaaS uygulamasına girdiğinde ya da üçüncü parti bir bot API üzerinden veriyi çektiğinde bu koruma çöker. Modern çözüm SSPM (SaaS Security Posture Management) mimarisidir:
| Güvenlik Katmanı | Geleneksel Proxy / CASB | Modern API Tabanlı SSPM (Moftgate) |
|---|---|---|
| Bağlantı Türü | Ağ proxy veya yerel VPN trafiğine bağımlıdır; bypass edilmesi kolaydır. | SaaS servislerine doğrudan resmi Graph / Workspace API’leri ile derinlemesine bağlanır. |
| Hatalı Yapılandırma Tespiti (Misconfiguration) | Yalnızca geçen veri akışını izler; admin panelindeki güvenlik açıklarını göremez. | MFA zorunluluğu, parolasız giriş, harici paylaşım linkleri ve admin yetkilerini 7/24 denetler. |
| OAuth & Üçüncü Parti İzinleri | SaaS içine doğrudan token ile bağlanmış harici bulut entegrasyonlarını yakalayamaz. | Kullanıcıların onay verdiği tüm üçüncü parti OAuth uygulamalarını, aldıkları izinleri ve risk skorlarını listeler. |
| Otomatik İyileştirme (Auto-Remediation) | Yalnızca web oturumunu bloklar; SaaS içindeki tehlikeli ayarı geri alamaz. | Herkese açık bırakılmış bir SharePoint/Drive dosyasını veya şüpheli bir OAuth tokenını anında iptal eder. |
2. En Yaygın 5 Kritik SaaS Güvenlik Zafiyeti
Kurumsal sızıntı incelemelerimizde rastladığımız en yaygın ve tehlikeli SaaS konfigürasyon hataları şunlardır:
- Süresi Dolan / Anonim Paylaşım Bağlantıları: Çalışanların "Bağlantıya sahip herkes görüntüleyebilir" şeklinde oluşturduğu OneDrive veya Google Drive linklerinin aylar sonra bile kamuya açık kalması.
- Zararlı OAuth Uygulamaları (Consent Phishing): Kullanıcıların tek tıkla kurumsal e-posta ve takvim verilerini okuma yetkisi verdiği şüpheli yapay zeka özetleme botları veya takvim senkronizasyon araçları.
- Eski Protokollerin (Legacy Authentication) Açık Kalması: Modern MFA ve koşullu erişim (Conditional Access) kurallarını atlatabilen POP3, IMAP ve SMTP protokollerinin aktif bırakılması.
- Aşırı Yetkili Yönetici Hesapları (Privilege Creep): Birden fazla personele gereksiz yere "Global Admin" veya "Super Admin" rolü verilmesi ve bu hesaplarda Donanımsal FIDO2 MFA kullanılmaması.
- Şirketten Ayrılan Çalışanların SaaS Yetkileri: Kullanıcının kurumsal e-postası kapatılsa dahi, Salesforce, Figma, HubSpot veya Notion gibi araçlarda yerel oturumlarının açık kalması.
3. Gerçek Bir Vaka: 90 Saniyede Durdurulan OAuth Casusluğu
1.200 çalışanlı bir finansal danışmanlık şirketinde üst düzey bir yönetici, LinkedIn üzerinden gelen bir davetle "Toplantı Notlarını Otomatik Çıkaran Ücretsiz AI" eklentisini Microsoft 365 hesabına entegre etti. Eklenti saniyeler içinde arka planda "Mail.ReadWrite" ve "Files.ReadWrite.All" yetkilerini ele geçirdi.
“Saldırganlar yöneticinin son 6 aylık stratejik birleşme ve satın alma yazışmalarını çekerken Moftgate SSPM devreye girdi. Anormal API çağrısını ve şüpheli OAuth yayıncısını tespit eden sistem, 90 saniye içinde tokenı iptal etti ve ilgili hesabı karantinaya aldı. Olası bir regülasyon cezası ve itibar felaketi önlendi.”
Burak Yıldız, Kıdemli Bulut Güvenlik Mimarı
4. Beş Adımlı SSPM ve Gölge IT Önleme Çerçevesi
| Aşama | Teknik Uygulama | Elde Edilen Güvenlik Kazanımı |
|---|---|---|
| 1. Kesintisiz API Entegrasyonu | M365, Google Workspace, GitHub ve Slack ile doğrudan read/write API köprüsü kurulur. | Hiçbir proxy kurulumuna gerek kalmadan dakikalar içinde tam ekosistem görünürlüğü sağlanır. |
| 2. CIS Benchmark Skorlaması | CIS Microsoft 365 Foundations ve Google Workspace güvenlik standartlarına göre anlık denetim yapılır. | Sistem 100 üzerinden bir güvenlik skoru üretir ve zayıf ayarları önceliklendirir. |
| 3. OAuth İzin Matrisi Denetimi | Çalışanların yüklediği tüm üçüncü parti eklentilerin yetkileri taranır ve riskli olanlar bloklanır. | Consent phishing saldırıları ve yetkisiz veri aktarımı yapan botlar kökten temizlenir. |
| 4. Dış Paylaşım Temizliği | Şirket dışı e-postalara veya genel ağa açılmış hassas dosyalar otomatik olarak kurum içine çekilir. | Gölge IT veya yanlışlıkla yapılmış halka açık veri sızıntıları otomatik kapatılır. |
| 5. Kimlik ve Ayrılış Otomasyonu | İK sisteminden çıkışı verilen personelin tüm SaaS oturumları tek tuşla sonlandırılır. | Eski çalışanların kurumsal verileri taşımaya devam etmesi engellenir. |
5. Regülasyon ve Standartlar: ISO 27001, CIS ve KVKK
Bulut ortamlarının güvenliği artık denetçilerin en çok üzerinde durduğu başlıktır. SSPM bu denetim süreçlerini tam otomatik hale getirir:
| Standart / Çerçeve | İlgili Kontrol / Madde | Moftgate SSPM Karşılığı |
|---|---|---|
| ISO/IEC 27001:2022 | A.5.23 (Cloud Services Security) & A.8.23 (Access Restriction) | Kurumsal bulut servislerinin konfigürasyon takibi ve yetki sınırlaması kanıtları. |
| CIS M365 Foundations Benchmark | Bölüm 1 - 5 (Identity, Mail, Storage, Apps) | CIS kontrol maddelerinin %100 otomatik taranması ve tek tıkla iyileştirme tavsiyeleri. |
| Cloud Security Alliance (CSA) | Cloud Controls Matrix (CCM v4) | SaaS ortamlarında veri yönetişimi ve üçüncü parti ekosistem risk denetimi. |
| KVKK & GDPR | Veri Güvenliği Rehberi - Bulut Saklama Şartları | Kişisel verilerin yurt dışı veya denetimsiz bulut depolarına izinsiz aktarılmasının önlenmesi. |
12 yılı aşkın AWS, Azure, Microsoft 365 ve Google Workspace kurumsal bulut güvenliği, CASB ve SSPM mimarisi uzmanlığı. 200’den fazla kurumsal bulut geçiş projesinde güvenlik mimarı olarak görev aldı; ISO 27001 ve CIS Benchmark denetimlerini yönetti.
Uygulayıcılar İçin Uzman Yanıtları
SSPM kurmak için kullanıcıların bilgisayarına özel bir ajan yüklemek gerekir mi?
Hayır. SSPM mimarisi doğrudan Microsoft 365, Google Workspace, GitHub gibi platformların resmi ve güvenli bulut API’leri üzerinden çalışır. Uç noktalara veya kullanıcı tarayıcılarına ek yazılım yüklemeye gerek yoktur.
Çalışanların kendi onayladığı OAuth uygulamaları şirket için neden tehlikelidir?
Kullanıcılar genellikle "Kabul Et" butonuna basarken uygulamanın hangi izinleri talep ettiğini okumaz. "Read my mail and files" gibi yetkiler, üçüncü parti tanınmayan bir sunucuya şirketin tüm ticari sırlarını ve e-postalarını çekme imkanı verir.
Moftgate SSPM riskli bir ayarı veya izni tespit ettiğinde ne yapar?
Güvenlik politikasına bağlı olarak yöneticiye anlık alarm üretir veya belirlenen kurallar dahilinde otomatik müdahale (auto-remediation) uygulayarak tehlikeli dış paylaşımı kapatır ya da şüpheli OAuth iznini anında geri alır.
Küçük ve orta ölçekli şirketler için SaaS güvenliği neden gereklidir?
Saldırganlar büyük şirketlerin güçlü ağ savunmalarını aşmak yerine, genellikle KOBİ’lerin zayıf yapılandırılmış bulut ve e-posta sistemlerini (örneğin MFA’sız hesaplar veya açık anonim linkler) ilk sıçrama tahtası olarak kullanır.
Resmi Standartlar ve Kaynakça
- •Cloud Security Alliance (CSA) SaaS Security Posture Management Research ↗(Kurumsal SaaS kullanım riskleri, OAuth izin haritaları ve gölge IT yönetimi küresel kılavuzu.)
- •CIS Microsoft 365 Foundations Benchmark v3.1 ↗(Center for Internet Security resmi Microsoft 365 kurumsal güvenlik sıkılaştırma standardı.)
- •Gartner Research: Innovations in SaaS Security Posture Management (SSPM) ↗(Kurumsal veri güvenliğinde CASB’den API tabanlı SSPM’e geçiş mimari analizi.)
- •ISO/IEC 27001:2022 Annex A.5.23 Information Security for Use of Cloud Services ↗(Kurumsal bulut ve SaaS hizmetleri kullanımında bilgi güvenliği denetim şartları.)