Microsoft Purview Audit, desteklenen Microsoft hizmetlerinde gerçekleştirilen kullanıcı ve yönetici işlemlerinin denetim kayıtları üzerinden araştırılmasını sağlar. Bu kayıtlar; güvenlik olaylarının incelenmesi, kurum içi araştırmalar ve uyum çalışmalarında kullanılabilir.
Bir dosyanın kim tarafından paylaşıldığı, bir ayarın ne zaman değiştirildiği veya belirli bir hesaptan hangi işlemlerin gerçekleştirildiği araştırılmak istenebilir. Bu soruların yanıtlanabilmesi için ilgili etkinliklerin kaydedilmiş, erişilebilir ve uygun süreyle saklanmış olması gerekir.
Önceki bölümlerde verilerin korunmasını, saklanmasını ve kayıt olarak yönetilmesini ele aldık. Bu bölümde ise bu veriler ve hizmetler üzerinde gerçekleştirilen işlemlerin nasıl araştırılabileceğine odaklanacağız.
Microsoft Purview Audit makalesi içinde aşağıda ki başlıkları paylağacağız.
1. Microsoft Purview Audit Nedir?
Microsoft Purview Audit, farklı Microsoft hizmetlerinden gelen desteklenen etkinlikleri birleşik denetim günlüğünde toplar. Yetkili ekipler, kullanıcı ve yönetici işlemlerini bu kayıtlar üzerinden araştırabilir.
Çözüm, Audit Standard ve Audit Premium olmak üzere iki temel yetenek düzeyinde sunulur. Premium, Standard özelliklerine ek olarak daha uzun saklama seçenekleri ve gelişmiş araştırma yetenekleri sağlar. Microsoft Purview Audit hakkında
Kurumsal açıdan Audit, olayın teknik izlerini değerlendirmeye yardımcı olur. Ancak bir kaydın bulunması, işlemin gerekçesinin veya kullanıcının niyetinin tek başına açıklandığı anlamına gelmez.
Denetim yaklaşımının Exchange Server tarafındaki temelini Exchange Server Audit Logging makalemizde açıklamıştık.
2. Denetim Kaydı Hangi Soruları Yanıtlar?
Bir incelemede başlangıç soruları çoğunlukla benzerdir:
- İşlemi hangi hesap gerçekleştirdi?
- İşlem ne zaman gerçekleşti?
- Hangi hizmet veya kaynak etkilendi?
- Hangi işlem türü kaydedildi?
- İlgili olaydan önce ve sonra başka hangi etkinlikler bulundu?
Her olay türü aynı ayrıntıları sağlamaz. Kullanıcı, kaynak, istemci veya işlem bilgileri kaydın türüne göre farklılık gösterebilir.
Bu nedenle araştırma yapan kişinin olay adının ne anlama geldiğini bilmesi önemlidir. Örneğin bir erişim kaydı, kişinin belgedeki bütün bilgileri okuyup anladığını veya bunları başka bir yere aktardığını tek başına kanıtlamaz.
Teknik bulgu ile araştırma sonucunun ayrı değerlendirilmesi gerekir.
3. Audit Standard ile Audit Premium Arasındaki Fark
Audit Standard, desteklenen etkinliklerin aranmasını ve sonuçların dışarı aktarılmasını sağlar. Premium ise gelişmiş olay bilgileri, saklama politikaları ve ilgili API erişim kapasitesi açısından ek yetenekler sunar.
| Özellik | Audit Standard | Audit Premium |
|---|---|---|
| Portal üzerinden arama | Desteklenir | Desteklenir |
| Sonuçları CSV olarak dışarı aktarma | Desteklenir | Desteklenir |
| Saklama yaklaşımı | Varsayılan olarak 180 gün | Uygun lisans ve olay kapsamına göre bir yıllık varsayılan saklama ve özel saklama politikaları |
| Gelişmiş araştırma bilgileri | Standard kapsamındaki olay ve özellikler | Desteklenen olaylarda ek araştırma yetenekleri |
| On yıllık saklama | Standart kapsamda bulunmaz | Gerekli ek lisans ve uygun politika gerektirir |
Bu karşılaştırmada saklama süreleri bütün olaylar için aynı varsayılmamalıdır. Kullanıcı lisansı, olay türü ve geçerli politika birlikte değerlendirilmelidir. Audit yeteneklerinin karşılaştırması
4. Denetim Kayıtları Ne Kadar Süre Saklanır?
Audit Standard için varsayılan saklama süresi 180 gündür.
Premium kapsamındaki uygun lisanslı kullanıcıların Exchange, SharePoint, OneDrive ve Microsoft Entra ID etkinlikleri varsayılan olarak bir yıl saklanabilir. Diğer etkinliklerin süresi ve özel saklama seçenekleri ayrıca değerlendirilmelidir. Denetim kaydı saklama politikaları
Kurumun “E5 kullanıyoruz, bütün kayıtlarımız aynı süre tutuluyor” varsayımıyla hareket etmemesi gerekir.
Özel Audit saklama politikalarında kullanıcı, kayıt türü veya etkinlik gibi ölçütler kullanılabilir. Bu politikaların öncelik davranışı da içerik saklama politikalarından farklı değerlendirilmelidir.
On yıllık saklama için ilgili ek lisansın yanında uygun politika gerekir. Sonradan yapılan yapılandırmanın geçmişte kaybolmuş kayıtları geri getireceği veya bütün eski kayıtların süresini uzatacağı varsayılmamalıdır.
Kullanıcı dışı varlıkların ürettiği kayıtlar için de ayrı kurallar bulunabilir. Audit saklama kapsamı ve koşulları
5. Audit Saklama ile İçerik Saklama Aynı mı?
Bir e-postanın veya belgenin saklanmasıyla o içerik üzerinde gerçekleştirilen işlemlerin denetim kayıtlarının saklanması farklı ihtiyaçlardır.
Örneğin kurum bir sözleşmeyi uzun süre korurken sözleşmeyle ilgili geçmiş erişim kayıtları daha kısa bir süreyle tutuluyor olabilir.
Bu nedenle aşağıdaki kararlar ayrı alınmalıdır:
- İçeriğin saklama süresi.
- Denetim kayıtlarının saklama süresi.
- İnceleme sonuçlarının ve dışa aktarılan kanıtların saklama süresi.
Records Management ile yönetilen bir belgenin bulunması, o belgeye ilişkin bütün geçmiş işlemlerin aynı süreyle araştırılabileceğini göstermez.
Bu ayrımı Supervisory Review Veri ve Denetim Boyutu makalesindeki kayıt türleri yaklaşımıyla birlikte değerlendirebiliriz.
6. Denetimin Etkin Olduğu Nasıl Doğrulanır?
Desteklenen kurumsal aboneliklerde denetim varsayılan olarak etkin olabilir. Ancak kurumun mevcut durumu doğrulaması gerekir. Denetimi etkinleştirme ve devre dışı bırakma
Exchange Online PowerShell üzerinden aşağıdaki salt okunur sorgu kullanılabilir:
Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabledBu kontrol Exchange Online PowerShell oturumunda yapılmalıdır. Aynı özelliğin farklı bağlantı bağlamlarında değerlendirilmesi yanıltıcı sonuç oluşturabilir. Audit araması ön koşulları
Bir hizmette denetimin etkin olması, bütün olası işlemlerin aynı ayrıntıyla kaydedildiği anlamına gelmez. Araştırılacak etkinliğin desteklenmesi ve varsa ilgili lisans veya hizmet ayarlarının karşılanması gerekir.
7. Portal Üzerinden Audit Araması
Microsoft Purview portalında Audit çözümü açılarak arama başlatılabilir.
Aramada tarih aralığı, kullanıcı, etkinlik, kayıt türü, iş yükü ve ilgili kaynak gibi ölçütler kullanılabilir. İşlem adlarıyla arama yapılırken doğru operasyon adının seçilmesi önemlidir.
Arama tarih ve saatleri UTC üzerinden değerlendirilir. Yerel saatle bildirilen bir olay araştırılırken zaman dönüşümü yapılmalıdır. Audit arama işlemleri
Kurumun araştırmaya mümkün olduğunca açık bir soruyla başlaması yararlıdır. Örneğin:
“Belirli dosya için, bildirilen olay saatinin öncesinde ve sonrasında hangi paylaşım işlemleri gerçekleşti?”
Bu yaklaşım, bütün kullanıcılar ve bütün etkinliklerle başlayan geniş bir aramaya göre daha yönetilebilir sonuçlar sağlayabilir.
8. Arama Süresi ile Kayıt Saklama Süresi
Portalda bir arama için seçilebilen tarih aralığı, kayıtların toplam saklama süresiyle aynı kavram değildir.
Güncel Audit aramasında tek sorgu için en fazla 180 günlük tarih aralığı seçilebilir. Daha uzun süre saklanan kayıtlar, uygun tarih aralıklarıyla ayrı aramalar üzerinden araştırılabilir. Audit arama sınırları
Bu nedenle bir yıllık kayıt saklama hakkının bulunması, tek sorgunun bir yıllık aralıkla çalışacağı anlamına gelmez.
Kurumun uzun dönemli incelemelerde arama aralıklarını ve sonuçların birleştirilmesini planlaması gerekir.
9. Kayıtlar Neden Hemen Görünmeyebilir?
Etkinliğin gerçekleşmesiyle Audit aramasında görünmesi arasında gecikme olabilir. Bu süre hizmete ve işleme koşullarına göre değişir; Microsoft bütün olaylar için kesin bir görünürlük süresi garanti etmez. Audit kayıtlarının erişilebilirliği
Bu nedenle yeni gerçekleşen bir olayın ilk aramada bulunamaması, işlemin gerçekleşmediğini tek başına göstermez.
Araştırma sırasında tarih aralığı, saat dilimi, kullanıcı kimliği, işlem türü ve kayıt kapsamı yeniden kontrol edilmelidir. Gerektiğinde arama uygun süre sonra tekrarlanmalıdır.
10. Sonuçların Dışarı Aktarılması
Audit arama sonuçları CSV olarak dışarı aktarılabilir. Ayrıntılı olay bilgileri AuditData alanındaki JSON yapısında bulunabilir. Bu alanlar ayrıştırılarak analiz yapılabilir. Audit kayıtlarını dışarı aktarma ve görüntüleme
Dışarı aktarılan dosya da kurumsal veri olarak yönetilmelidir. Kullanıcı kimlikleri, kaynak bilgileri ve araştırma ayrıntıları içerebilir.
Kurumun aşağıdaki bilgileri kaydetmesi yararlı olacaktır:
- Aramanın amacı ve kapsamı.
- Kullanılan filtreler ve saat dilimi.
- Aramayı ve dışa aktarımı gerçekleştiren kişi.
- Dosyanın saklandığı konum ve erişim yetkileri.
- Sonraki analizlerde yapılan dönüşümler.
Orijinal çıktı ile çalışma dosyalarının ayrılması, bulguların izlenebilirliğini destekler.
11. PowerShell ve API Kullanımı
Audit kayıtları portalın yanında Search-UnifiedAuditLog, Microsoft Graph Audit Search API ve Office 365 Management Activity API gibi yöntemlerle de araştırılabilir veya alınabilir. Kullanılacak yöntemin izinleri, sınırları ve amacı ayrıca değerlendirilmelidir. Audit erişim yöntemleri
Özellikle düzenli veri aktarımı veya SIEM entegrasyonunda yalnızca bir sorgunun çalışması yeterli değildir. Sayfalama, kesintiler, tekrar denemeler ve eksik veri kontrolü planlanmalıdır.
Verinin başka bir sisteme aktarılması, Purview içindeki saklama süresini değiştirmez. Hedef sistemin güvenliği ve saklama politikası ayrıca yönetilir.
12. Yetkilendirme ve Görevlerin Ayrılması
Audit araması için uygun Audit Logs veya View-Only Audit Logs izinleri gerekir. Portal ve PowerShell erişiminin ilgili yetki gereksinimleri kontrol edilmelidir. Audit arama izinleri
Kurum, araştırma yapan kullanıcıların görev kapsamını belirlemelidir. Denetim kayıtlarına erişim, çalışan etkinlikleri ve hassas kaynaklar hakkında bilgi sağlayabilir.
Arama, dışarı aktarma ve bulguları paylaşma sorumlulukları açıkça tanımlanmalıdır. Geniş yönetici rollerinin yalnızca erişim kolaylığı için verilmesi uygun bir başlangıç yaklaşımı değildir.
Bu çerçeveyi Supervisory Review Güvenlik ve Yetkilendirme makalemizde ele almıştık.
13. Audit ile eDiscovery Arasındaki Fark
Audit, hangi işlemlerin gerçekleştiği sorusuna yönelik teknik izler sağlar. eDiscovery ise inceleme için hangi içeriklere ihtiyaç olduğu sorusuna odaklanır.
Örneğin dosya paylaşımının zamanını araştırmak Audit kapsamına girebilir. Dosyanın içeriğini, ilgili yazışmaları ve inceleme için korunması gereken kaynakları değerlendirmek ise eDiscovery sürecini gerektirebilir.
Aynı araştırmada her iki çözümden yararlanılabilir. Ancak denetim kaydı, belgenin veya e-postanın tam içerik kopyası olarak değerlendirilmemelidir.
İçerik araştırmasının temelini Exchange Server eDiscovery Nedir makalemizde, hukuki kapsam ve sorumlulukları ise Supervisory Review Dava Yönetimi bölümünde açıklamıştık.
14. Kurumlar İçin İnceleme Senaryoları
Microsoft Purview Audit, farklı olayların teknik izlerinin araştırılmasını destekler. Aşağıdaki tablo, örnek kurumsal senaryoları ve incelemede birlikte değerlendirilmesi gereken bilgileri özetlemektedir.
| Senaryo | İnceleme ihtiyacı | Önerilen yaklaşım |
|---|---|---|
| Şüpheli Dosya Paylaşımı | Bir dosyanın kurum dışına paylaşıldığının bildirilmesi. | Paylaşım etkinlikleri, kaynak ve zaman bilgileri araştırılmalı; mevcut erişim izinleri ve ilgili DLP bulguları ayrıca değerlendirilmelidir. |
| Yönetim Ayarı Değişikliği | Bir politika veya hizmet ayarının beklenmeyen biçimde değişmesi. | İlgili yönetici işlemleri, değişiklik zamanı ve kurumun onay kayıtları birlikte incelenmelidir. |
| Hesap Güvenliği Olayı | Bir hesabın yetkisiz kullanılmış olabileceğinin düşünülmesi. | Audit bulguları, kimlik ve güvenlik sistemlerindeki diğer kayıtlarla ilişkilendirilmelidir. Kaydedilen kullanıcı hesabı, işlemi fiziksel olarak gerçekleştiren kişinin kimliğini tek başına kanıtlamaz. |
| İletişim Gözetimi Bulgusu | Supervisory Review sürecindeki bir bulgunun teknik bağlamının araştırılması. | İlgili kullanıcı etkinlikleri, inceleyici kararları ve gerektiğinde içerik araştırması birlikte ele alınmalıdır. Görev dağılımı için Supervisory Review Süreç ve Roller makalesindeki çerçeveden yararlanılabilir. |
Bu senaryolarda Audit kayıtları, araştırmanın teknik dayanaklarından birini oluşturur. Nihai değerlendirme; olayın bağlamı, ilgili diğer kayıtlar ve kurumun yetkili inceleme süreciyle birlikte yapılmalıdır.
15. Kurumsal Başlangıç ve İşletim Planı
Audit çalışması için aşağıdaki sıra izlenebilir:
- Araştırma ihtiyaçlarını belirlemek: Hangi olayların geriye dönük incelenmesi gerekiyor?
- Denetim kapsamını doğrulamak: İlgili hizmet ve etkinlikler kaydediliyor mu?
- Lisansları kontrol etmek: Gerekli olaylar ve saklama süreleri destekleniyor mu?
- Saklama planını hazırlamak: Kullanıcı ve kayıt türleri için hangi süreler gerekli?
- Yetkileri belirlemek: Kim arama, analiz ve dışarı aktarma yapacak?
- Örnek olaylarla test etmek: Beklenen kayıtlar bulunabiliyor mu?
- Kanıt yönetimini düzenlemek: Çıktılar nerede ve hangi koşullarda saklanacak?
- Entegrasyonları izlemek: Aktarım kesintileri ve veri boşlukları nasıl tespit edilecek?
- Düzenli gözden geçirmek: Yeni hizmetler ve değişen ihtiyaçlar kapsamı nasıl etkiliyor?
Geçmişte kaydedilmemiş veya saklama süresi dolmuş bir olayın, sonradan lisans ya da politika değiştirerek yeniden oluşturulamayacağı dikkate alınmalıdır.
16. Denetim Kayıtlarından İçerik Araştırmasına
Exchange Server Compliance Management etiketi altındaki çalışmalarımızda olduğu gibi Purview Audit de teknik kayıtlarla kurumsal araştırma süreçlerinin birlikte yürütülmesine dayanır.
Kayıtların bulunması kadar doğru yorumlanması, uygun süreyle saklanması ve yetkili kişiler tarafından kullanılması önemlidir. Bir incelemede kaydın gösterdiği olayla araştırmacının vardığı sonuç açıkça ayrılmalıdır.
Bir sonraki bölümde teknik etkinlik izlerinden içerik araştırmasına geçerek Microsoft Purview eDiscovery çözümünü inceleyeceğiz.
