Microsoft Defender for Cloud Apps
Defender for Cloud Apps, kurumsal Cloud Access Security Broker (CASB) çözümüdür. Çalışanların hangi SaaS uygulamaları kullandığını keşfeder (Shadow IT), bilinen uygulamaların kullanım davranışını izler, anormal davranışlara (gece geç saatlerden büyük indirme, riskli ülke girişi) anında müdahale eder ve hassas veri ihracını politikalarla engeller. M365, Salesforce, Box, AWS, GCP gibi 30.000+ uygulama envanterinde risk skorlama.
Shadow IT Keşfi
Trafik loglarından kullanılan tüm SaaS uygulamalarını listele + risk skoru ver.
Oturum Kontrolü
Conditional Access App Control ile riskli oturumda indirme/yapıştırma blokla.
DLP for SaaS
Salesforce/Dropbox/Box gibi 3. parti SaaS içinde hassas veri tarama + politika.
Anomali Algılama
İmpossible travel, kütlesel indirme, ayrılan personel veri kopyası vb.
CASB nedir, neden gerekli?
Cloud Access Security Broker (CASB), kurumun bulut uygulamalarına erişimini keşfeden, izleyen ve kontrol eden güvenlik katmanıdır. Modern kurumlar günlük operasyonda 100-200 farklı SaaS uygulaması kullanır — bunların önemli kısmı IT departmanı bilgisi dışında (Shadow IT). Microsoft'un resmi Defender for Cloud Apps overview sayfası teknik mimariyi detaylar.
- Görünürlük: Hangi SaaS'lar kullanılıyor, kim tarafından, ne sıklıkta?
- Risk değerlendirmesi: Kullanılan her uygulamanın güvenlik + uyum risk skoru (uygulamanın ISO 27001 sertifikalı mı, GDPR uyumlu mu, veri ikamet bölgesi neresi, vb.).
- Veri kontrolü: SaaS içinde hassas veri tespiti + DLP politika uygulama (örn. Salesforce'taki müşteri T.C. kimlik no içeren kayıtlar).
- Anomali tespit: İmkansız seyahat (5 dakika içinde İstanbul → Tokyo girişi), kütlesel veri indirme, ayrılan personel veri kopyası.
- Oturum kontrolü: Conditional Access App Control ile riskli oturum sırasında indirme/yapıştırma/yazdırma engelleme.
- KVKK / GDPR / ISO uyumu: İşlenen veri envanteri çıkarma + audit kayıt — regülatöre rapor edilebilir.
Shadow IT keşfi nasıl çalışır?
Defender for Cloud Apps'in en güçlü özelliklerinden biri Shadow IT keşfi. İki yöntem var:
- 1. Firewall / proxy log import: Palo Alto, Fortinet, Cisco ASA, Sophos XG, Check Point gibi ağ cihazlarının trafik log'ları Defender for Cloud Apps'e aktarılır. Otomatik olarak hangi SaaS'a hangi kullanıcının ne sıklıkta erişim sağladığı çıkarılır.
- 2. Defender for Endpoint entegrasyon: MDE Plan 2 yüklü cihazlardan toplanan ağ trafiği telemetrisi otomatik analiz edilir; saha cihazları + uzaktan çalışanlar dahil tüm uç noktalar görünür.
- App Catalog: Microsoft'un 30.000+ SaaS uygulama kataloğunda her uygulamanın güvenlik + uyum + yasal risk skoru.
- Sanction / Unsanction: Onaylı uygulamaları "sanctioned", yasak olanları "unsanctioned" olarak işaretleyin; otomatik blokaj veya kullanıcı uyarısı.
- Kullanıcı eğitimi: Çalışanlar yasak uygulamaya erişmeye çalıştığında otomatik mesaj veya alternatif onaylı uygulama önerisi.
Tipik kullanım senaryoları
- Ayrılan personel veri kopyası tespit: Bir çalışanın son 30 günde olağandışı miktarda OneDrive/SharePoint indirmesi → otomatik İK + IT uyarısı.
- İmkansız seyahat: Bir kullanıcı İstanbul'dan giriş yaptıktan 5 dakika sonra Tokyo'dan giriş denerse → otomatik bloklama + MFA challenge.
- Hassas dosya paylaşımı: Salesforce'ta müşteri bilgisi içeren bir dosya dış e-postaya paylaşılırsa → DLP politikası engeller veya şifreli paylaşıma çevirir.
- Shadow AI kontrolü: Çalışanların ChatGPT, Claude.ai gibi yetkisiz AI servislerine erişimi ve şirket verisi göndermesi tespit + bloklanır. Detay: Shadow AI blog yazısı.
- Microsoft 365'e harici paylaşım kontrolü: SharePoint sitesindeki bir doküman dış e-postaya paylaşılmaya çalışırsa politika uygulanır.
- Riskli SaaS oturum kontrolü: Onaysız bir bulut depolama servisine yüklenen dosyalar gerçek zamanlı taranıp engellenir.
M365 E5 ile ilişkisi ve karma kullanım
Defender for Cloud Apps hangi paketlerde dahil, hangilerinde değil:
- Microsoft 365 E5: Dahil ✓ — Defender Suite'in dört bileşeninden biri olarak korelasyonlu çalışır.
- Microsoft 365 E5 Security: Dahil ✓
- Microsoft 365 E3 / E3: Dahil DEĞİL — standalone add-on olarak alınabilir.
- Microsoft 365 Business Premium: Dahil DEĞİL.
- Office 365 E5: Dahil DEĞİL — Office paketi sadece e-posta tarafını kapsar.
- Standalone alım: Per user per month NCE üzerinden. Detay: Microsoft'un resmi Cloud Apps sayfasından teyit alın.
Kurulum süreci
Defender for Cloud Apps yapılandırması tipik 2-4 hafta süren bir proje:
- Hafta 1 — Log kaynaklarının hazırlığı: Firewall / proxy log'larının Defender for Cloud Apps'e otomatik gönderim yapacak şekilde yapılandırılması. Defender for Endpoint cihazları varsa otomatik bağlantı.
- Hafta 2 — Discovery + sanctioning: Keşfedilen uygulamaların incelenmesi, hangileri sanctioned (onaylı), hangileri unsanctioned (yasak) olarak işaretlenmesi.
- Hafta 3 — Connector kurulumu: Kullanılan ana SaaS'lara (Microsoft 365, Salesforce, Box, Dropbox, AWS, Google Workspace) API connector'ları kurulur — daha derin veri keşfi.
- Hafta 4 — Politika tasarımı + audit mode: DLP politikaları (T.C. kimlik no, IBAN, hassas dosya), oturum kontrolü, anomali tespit politikaları audit mode'da test edilir.
- Sonra — Enforce + sürekli iyileştirme: Politikalar aktif moda alınır, aylık tehdit raporu, yeni keşfedilen Shadow IT uygulamaları için karar süreci.
Lisanslama
Per User Per Month · NCE
- Aylık
- 1 yıl
Microsoft 365 E5 ve E5 Security içinde dahildir. M365 E3, Business Premium ve Office 365 E5'te dahil değildir; standalone alım için CSP iş ortağınızdan teklif alabilirsiniz. Güncel pricing için Microsoft'un resmi sayfasından. NCE (New Commerce Experience): 7 gün içinde lisans iptal/azaltma; sonrası taahhüt sonuna kadar kilitlidir. Yıllık taahhütte aylık%ye göre belirgin indirim olur.
Kim İçin Uygundur?
Sıkça Sorulan Sorular
İki kaynak: 1) Firewall/proxy log'ları (Palo Alto, Fortinet, Cisco ASA, Sophos XG, Check Point vb.) Defender for Cloud Apps'e otomatik gönderilir — log parser her vendor için hazır. 2) Defender for Endpoint cihazlarından toplanan trafik telemetrisi otomatik dahil olur. Saha cihazları + uzaktan çalışanlar da kapsama dahildir.
Evet. 30.000+ SaaS uygulama kataloğu var. Ana SaaS'lar (Microsoft 365, Salesforce, Box, Dropbox, Google Workspace, AWS, GCP, ServiceNow, Workday) için API connector'ları kurulur — bu derin entegrasyon kullanıcı aktivitesi + dosya envanteri + DLP politikası uygulamasına izin verir.
Evet. Microsoft Defender XDR (Suite), dört bileşenden oluşur: Defender for Endpoint Plan 2, Defender for Office 365 Plan 2, Defender for Identity, Defender for Cloud Apps. M365 E5 ve E5 Security paketlerinde otomatik dahil.
Evet — bu Defender for Cloud Apps'in en güncel kullanım alanlarından biri. ChatGPT, Claude.ai, Gemini gibi AI servisleri uygulama kataloğunda risk skoru ile listelenir. Yetkisiz erişim engellenebilir veya kullanıcı uyarılır. Türkiye'de yaygınlaşan "şirket verisi ChatGPT'ye yapıştırma" sorunu için pratik çözüm.
Microsoft'un yaklaşımı: log'lar pseudonymized analiz edilir; gerçek kimlik sadece risk sinyalinde + yönetici onaylı süreçle açılır. Veri Microsoft tenant'ında kalır, üçüncü tarafa aktarılmaz. KVKK aydınlatma metnine "ağ trafiği izleme + Shadow IT denetimi" satırı eklenmeli; çalışan bilgilendirilmeli.
Defender for Cloud Apps: SaaS-odaklı CASB — uygulama keşfi, oturum kontrolü, DLP for SaaS. Microsoft Sentinel: SIEM/SOAR — tüm log kaynakları (Defender + on-prem + 3rd party + custom) için merkezi platform, uzun süreli retention, gelişmiş otomasyon. İkisi entegre çalışır; Cloud Apps Sentinel'e veri besler.
Xen Bilişim Devreye Alım Süreci
- 1. Keşif & boyutlandırma: Mevcut altyapı, kullanıcı sayısı, OS/bulut dağılımı ve uyum gereksinimleri analiz edilir; doğru SKU ve lisans adedi önerilir.
- 2. Pilot kurulum: 10-25 cihazlık alt küme devreye alınır; mevcut güvenlik stack ile entegrasyon test edilir; alarm + raporlama yapılandırılır.
- 3. Tam yaygınlaştırma (rollout): Faz faz tüm endpoint'lere açılır; politika şablonları uygulanır; kullanıcı eğitimi + IT runbook teslim edilir.
- 4. Optimizasyon & takip: Devreye alımdan sonra 90 günlük ince ayar: false-positive triajı, politika sıkılaştırma, KPI gözden geçirme ve çeyrek bazlı sağlık kontrolü.
Tipik uçtan uca süre: 2-4 hafta (kullanıcı sayısı ve entegrasyon kapsamına göre değişir).