Author: Ali Koc

Günümüzde, kuruluşlar dijital verilerini korumak için çeşitli güvenlik önlemleri alıyorlar. Ancak, beklenmedik durumlarda, özellikle acil durumlarda, hızlı ve güvenli bir şekilde erişim sağlamak hayati önem taşır. İşte bu noktada “Break Glass User” kavramı devreye girer.

“Break Glass User” adından da anlaşılacağı gibi, bir tür “acil durum kullanıcısı” olarak düşünülebilir. Bu kullanıcı hesabı, normal koşullarda erişilemeyen ancak acil durumlarda erişime açılan bir hesaptır. Genellikle yüksek güvenlikli verilere veya sistemlere erişim sağlamak için kullanılır. Kısacası, yönetici erişiminin kaybedildiği veya mümkün olmadığı kritik durumlarda Microsoft Cloud ortamımıza yeniden erişim sağlamak için bir acil durum erişimi hesabı kullanabiliriz. Örnek senaryolar düşünüldüğünde;

• Authentication serverın devre dışı kalması.
• Yanlış kurgulanmış bir conditional access politikası.
• Yönetici hesaplarının ele geçirilmesi.
• Global Admin kullanıcısının işten ayrılması

Bu özel kullanıcı hesabı, normalde yüksek erişim engelleri ve güvenlik önlemleriyle korunur. Ancak, bir acil durumda, yetkili bir kişi veya ekip, “break glass” işlemi gerçekleştirerek bu hesaba erişim sağlayabilir. Bu işlem, genellikle güvenlik protokollerini dikkate alarak izlenir ve denetlenir.

Break Glass User kullanımı, özenle yönetilmelidir. Bu hesaba erişim yetkisi sadece gerektiğinde ve belirlenmiş prosedürler doğrultusunda verilmelidir. Ayrıca, erişim olayları izlenmeli ve denetlenmelidir, böylece güvenlik açıkları tespit edilebilir ve gerekli önlemler alınabilir.

Böyle bir hesap oluşturursanız, herhangi bir oturum açma bildirimini almak için bir uyarı kuralı ayarlamanız önemlidir.

Bu blog yazısı, bir break glass hesabının nasıl yapılandırılacağı ve oturum açıldığında nasıl uyarı verileceği konusunda bilgi içermektedir.

Creating the break glass account

İlk olarak, Microsoft Entra admin center giriş yaparak Users>Create New User seçeneğiyle kullanıcımızı oluşturuyoruz.

Önemli: Burada şuna dikkat etmeliyiz. Oluşturduğumuz kullanıcının bir Break Glass User olduğunu belirticek principal name kullanmamalıyız. Çünkü MFA politikalarından exclude olacak olan bu kullanıcı tahmin edilemez bir kullanıcı olması önemlidir. Aynı şekilde parolası da minimum 15 karakter olmalı ve tahmin edilemez komplekslikte olmalıdır.

Daha sonra rol atamasını gerçekleştiriyoruz

Daha sonra oluşan bu kullanıcıyı Conditional Access politikalarından Exclude ediyoruz.

Şimdi, bu kimlik bilgilerini fiziksel kasa gibi güvenli bir yerde saklanması gerekmektedir ve oturum açma işlemini periyodik olarak test etmeyi planlamanız gerekir. Örneğin ayda 1 defa erişiminizde sorun var mı kontrol edin.

Creating and configuring the alert on sign in

Break Glass User bizler için çok değerli ve zamansız login olunmasını istemeyiz. Bunu izlemek için iki farklı alert mekanizması planlayabiliriz.

1- Log analytics Workplace ile bir Alert Rule oluşturarak.

İlk olarak Microsoft Azure admin portal giriş yapıyoruz.

Daha sonra bu alert rule için ilk olarak bir Resource Group’a ihtiyacımız var.

Subscription > Resource Group > Create bölümünden RG’yi oluşturuyoruz.

Daha sonra Azure Portal Arama bölümüne “Log Analytics Workspace” yazıyoruz ve giriş yapıyoruz.

Create Diyerek, yeni bir Workspace oluşturuyoruz

Workspace oluştuktan sonra aşağıdaki gibi bir ekranla karşılaşıyor olacağız.

Sol panelden aşağıya kaydırdığımızda Monitoring>Alerts bölümüne giriş yapıyoruz.

Açılan ekranda Create > Alert Rule seçeneğini seçiyoruz.

Açılan ekranda signal name olarak “Custom Log Search” seçeneğini seçiyoruz.

Daha sonra bizden bir Query girmemizi istiyor olacak. Oraya aşağıdaki query’i giriyoruz.

// Search for a single Object ID (UserID)
SigninLogs
| project UserId
| where UserId == “4ea60096-e348-491b-93c3-e755ddd0bc59”

User ID bilgisine Entra ID > Users>Owerview ekranından ulaşabilirsiniz.

Daha sonra ilgili ayarları sağladıktan sonra ileri diyoruz.

Açılan ekranda bir “Action Group” oluşturmamızı beklemektedir. Alert tetiklendiğinde burada oluşturulan gruptaki kişilere bilgilendirme yapılacaktır.

Bir sonraki adımda “Details” kısmında gelen mailin içeriğini ve önem seviyesini belirliyoruz.

Sonra olarak ileri diyerek kuralı tamamlıyoruz.

Not:ilgili kuralın ortalama aylık 1.5$ Civarı bir maliyeti vardır.

Kural oluşturulduktan sonra test işlemimizi sağlamak için break glass user’ımıza giriş yapıyoruz ve alert’in tetiklenmesini sağlıyoruz.

Erişim sonrası dakikalar içinde aşağıdaki gibi bir uyarı almayı bekliyoruz.

2. Activity Alerts

Alert mekanizması için bir diğer yöntem ise e-mail activity Rule yeteneği ile bir kural oluşturulması.

İlk olarak security.microsoft.com adresine giriş yapıyoruz.

Sol panelde bulunan “E-mail and Collaboration” tab’ı altında Policies and Rules seçeğine tıklıyoruz.

Açılan ekranda “Activity Alerts” seçeneğine tıklıyoruz.

Açılan ekranda “New Alert Policy” diyerek kuralı oluşturuyoruz.

Aşağıdaki ayarları yapıyoruz.

“Save” diyerek kuralı tamamlıyoruz.

Bu kural ile bu kullanıcı login olma işlemi sağladığı durumda bizlere aşağıdaki gibi bir alert gelecektir.

Conculusion

Break Glass User, acil durum erişimi sağlamak için önemli bir güvenlik stratejisidir. Doğru şekilde uygulandığında, kuruluşlar beklenmedik olaylara hızlı ve etkili bir şekilde yanıt verebilirler. Ancak, bu hesapların kullanımı ve erişimi sıkı bir şekilde kontrol edilmeli ve izlenmelidir, böylece güvenlik riskleri minimize edilir. Bir sonraki makalede görüşmek üzere.