Kimlik Avına Karşı Telemetri Temelli E-posta Güvenliği

Kimlik Avına Karşı Telemetri Temelli E-posta Güvenliği konusu, güvenlik ekibinin ham alarmı doğrudan aksiyona çevirmesi için net veri modeli gerektirir. Bu yazı e-posta olayı, kullanıcı davranışı ve VPN girişini aynı saldırı hikayesinde bağlamak problemine odaklanır; genel pazarlama anlatımı yerine uygulanabilir sinyal, örnek olay ve ölçüm adımlarını sıralar.

Teknik Problem

Kurumsal ortamlarda en büyük sorun tek bir log kaynağının olayı tam anlatmamasıdır. Ağ, kimlik, cihaz ve uygulama kayıtları ayrı ayrı bakıldığında düşük önem seviyesinde görünebilir. Aynı kayıtlar zaman, kullanıcı ve varlık bağlamıyla birleştiğinde ise müdahale gerektiren bir hikaye ortaya çıkar.

Toplanacak Sinyaller

• şüpheli link tıklaması sonrası yeni ülke VPN girişi
• MFA başarısızlığı ve parola sıfırlama isteği
• aynı kampanya başlığıyla çok kullanıcı etkilenmesi

Bu sinyaller merkezi şemada aynı isimlerle tutulmalıdır. Aksi halde bir ekranda kaynak IP, başka ekranda istemci IP olarak görünen değerler raporlarda tutarsızlık üretir.

Gerçekçi Senaryo

E-posta tek başına karantinaya alınmış olabilir; ancak ardından aynı kullanıcıda VPN anomalisi varsa olay kimlik ele geçirme şüphesine yükselir.

Uygulama Yaklaşımı

Telemetri kaynakları kullanıcı merkezli birleşmeli; mail gateway, VPN ve kimlik sistemleri ayrı panolarda kalmamalıdır.

Ölçüm ve Doğrulama

Başarı metriği: kampanya tespit süresi ve etkilenen kullanıcı başına aksiyon süresi ölçülür.