Cem Kemal Erbaş Network, Siber Güvenlik ve Teknik Rehberler
Bir e-postanın gelen kutusuna ulaşması yalnızca birkaç saniye sürebilir.
Ancak o mesajın gerçekten güvenilir olup olmadığını anlamak için arka planda çok daha fazla şey kontrol edilmelidir.
Gönderen gerçekten söylediği kişi mi?
Mesaj yetkili bir mail sunucusundan mı geliyor?
İçerisindeki URL güvenilir mi?
Ek dosya zararlı davranış sergiliyor mu?
Gönderen domain, gerçek bir şirketin domainine bilinçli olarak benzetilmiş olabilir mi?
Mesajdaki “acil ödeme yapın” veya “IBAN değişti” talebi teknik olarak temiz görünmesine rağmen bir Business Email Compromise — BEC saldırısının parçası olabilir mi?
İşte kurumsal e-posta güvenliğinde asıl problem burada başlar.
Çünkü modern e-posta güvenliği yalnızca:
“Spam mı, değil mi?”
sorusundan ibaret değildir.
FortiMail gibi Secure Email Gateway çözümlerinde doğru yaklaşım; sender authentication, impersonation/BEC analizi, URL ve attachment inspection, sandboxing ve olay görünürlüğünü birlikte kullanmaktır.
FortiMail e-posta güvenliğinde neden tek katman yeterli değildir?
Gelen bir e-posta tamamen zararsız bir PDF içerebilir.
Hatta hiçbir attachment içermeyebilir.
Mesaj içerisinde bilinen bir malware signature’ı bulunmayabilir.
SPF başarılı olabilir.
DKIM doğrulanabilir.
Buna rağmen mesaj yine de saldırı olabilir.
Örneğin saldırgan şu domaini kaydetmiş olsun:
firma.comyerine:
flrma.comve yöneticinin görünen adını kullanarak:
Cem Erbaş <[email protected]>şeklinde finans departmanına ödeme talimatı göndersin.
Mesaj saldırganın kendi domaininden meşru şekilde gönderildiği için o domainin SPF ve DKIM kontrolleri başarılı bile olabilir.
Burada artık klasik authentication kontrollerinden daha fazlasına ihtiyaç vardır.
FortiMail’in BEC özellikleri bu nedenle cousin domains, suspicious characters, sender alignment, action keywords ve URL kategorileri gibi birden fazla sinyali birlikte değerlendirebilir. Fortinet Dokümanları
SPF nedir ve FortiMail’de ne işe yarar?
Sender Policy Framework — SPF, bir domain adına hangi sistemlerin e-posta gönderme yetkisine sahip olduğunu DNS üzerinden tanımlamaya yarar.
Örneğin:
example.comdomaininin sahibi yalnızca belirli mail server IP’lerinin kendisi adına mesaj göndermesine izin verebilir.
Alıcı mail sistemi gelen bağlantının IP adresini SPF kaydıyla karşılaştırarak gönderen sistemin yetkili olup olmadığını değerlendirebilir.
RFC 7208, SPF’yi domain sahiplerinin hangi hostların MAIL FROM veya HELO/EHLO kimliklerini kullanmaya yetkili olduğunu yayınlayabildiği bir mekanizma olarak tanımlar. RFC Editor
Ancak SPF’nin önemli bir sınırı vardır:
SPF tek başına kullanıcıya ekranda gösterilen From adresinin gerçekten güvenilir olduğunu kanıtlamaz.
Bu nedenle SPF’yi tek başına phishing çözümü olarak değerlendirmek doğru değildir.
DKIM nedir?
DomainKeys Identified Mail — DKIM, e-posta mesajına kriptografik bir imza ekler.
Gönderen mail sistemi mesajı private key ile imzalar.
Alıcı sistem ise gönderici domainin DNS kayıtlarında bulunan public key üzerinden imzayı doğrular.
Bu sayede mesajın belirli bir signing domain tarafından imzalandığı ve imzalanmış içeriğin transit sırasında değiştirilmediği doğrulanabilir.
RFC 6376 DKIM’in domain ile mesaj arasında kriptografik olarak doğrulanabilen bir ilişki kurduğunu tanımlar. RFC Editor
Fakat burada da önemli bir ayrım vardır:
DKIM, ekranda görülen kişinin gerçekten o kişi olduğunu doğrulayan bir kullanıcı kimlik sistemi değildir.
Domain seviyesinde authentication sağlar.
DMARC nedir?
Domain-based Message Authentication, Reporting and Conformance — DMARC, SPF ve DKIM sonuçlarını kullanıcıya görünen From: domaini ile ilişkilendirerek domain sahiplerine ek politika kontrolü sağlar.
Basitleştirilmiş olarak DMARC şunu sorar:
Mesaj SPF veya DKIM açısından doğrulanıyor mu ve doğrulanan domain kullanıcıya görünen From domainiyle hizalı mı?
Domain sahibi daha sonra politikayı örneğin:
p=nonep=quarantineveya:
p=rejectşeklinde tanımlayabilir.
DMARC aynı zamanda raporlama mekanizmalarıyla domain sahibinin kendi domaini adına gönderilen trafik hakkında görünürlük kazanmasına yardımcı olur.
2026 itibarıyla güncel DMARC spesifikasyonu RFC 9989‘dur. Standart, DMARC’ın özellikle yetkisiz exact-domain spoofing kullanımını azaltmaya yönelik olduğunu ancak tüm phishing ve impersonation senaryolarını çözmediğini açıkça belirtir. RFC Editor
SPF + DKIM + DMARC yeterli mi?
Hayır.
Bu e-posta güvenliğinde en önemli noktalardan biridir.
SPF, DKIM ve DMARC güçlü temel kontrollerdir ancak:
look-alike / cousin domain,
display-name impersonation,
meşru fakat saldırgan tarafından kontrol edilen domain,
compromised gerçek mailbox
gibi saldırıları tek başına durdurmazlar.
Örneğin:
fortinet.comyerine:
fortlnet.comkullanılması exact-domain spoofing değildir.
Benzer şekilde:
From: CEO <[email protected]>mesajında saldırgan display name alanına kurum yöneticisinin ismini yazabilir.
Güncel DMARC standardı da display-name saldırılarının DMARC kapsamı dışında olduğunu açıkça belirtmektedir. RFC Editor
İşte BEC korumasının önemi burada ortaya çıkar.
Business Email Compromise — BEC nedir?
BEC saldırısında saldırganın amacı çoğu zaman cihazınıza malware bulaştırmak değildir.
Amaç insanı ikna etmektir.
Örneğin saldırgan CEO, CFO, tedarikçi veya finans yöneticisi gibi davranarak:
“Bu ödemenin bugün tamamlanması gerekiyor.”
“Yeni banka hesabımız aşağıdadır.”
“Faturayı ekte bulabilirsiniz.”
“Bu bilgiyi yalnızca aramızda tutalım.”
gibi sosyal mühendislik yöntemleri kullanabilir.
Dolayısıyla mail:
attachment içermeyebilir,
malware içermeyebilir,
zararlı URL içermeyebilir.
Bu durumda klasik antivirus motorunun yakalayacağı herhangi bir binary zararlı da bulunmayabilir.
FortiMail bu tür saldırılar için impersonation ve BEC analiz mekanizmaları sunar. Impersonation analysis, örneğin değerli kullanıcıların display name ile gerçek e-posta adresi eşleşmesini kontrol edebilir; Fortinet dokümantasyonuna göre From: ve Reply-To: alanları da bu analizde değerlendirilebilir. Fortinet Dokümanları
Cousin Domain saldırıları nasıl tespit edilir?
Saldırganlar gerçek domainin birebir aynısını kullanmak yerine görsel olarak benzer bir domain satın alabilir.
Örneğin:
company.comyerine:
cornpany.comveya karakter değiştirme, kaldırma ya da yer değiştirme teknikleri kullanılabilir.
FortiMail’in Cousin Domain mekanizması bu tür bilinçli olarak benzetilmiş domainleri tespit etmek için kullanılabilir. Fortinet’in güncel dokümantasyonu karakter removal, substitution ve transposition yöntemleriyle oluşturulan benzer domainlerin BEC riskine karşı analiz edilebildiğini belirtiyor. Fortinet Dokümanları
Bu özellikle finans, satın alma ve üst yönetim hesaplarının korunmasında değerlidir.
Zararlı attachment nasıl kontrol edilir?
Bir phishing e-postası saldırıyı ek dosya üzerinden gerçekleştirebilir.
Örneğin Office dokümanları, PDF’ler, arşivler veya çalıştırılabilir dosyalar saldırı zincirinde kullanılabilir.
FortiMail üzerinde antivirus ve attachment inspection mekanizmaları dosyaları analiz edebilir.
Ancak signature tabanlı antivirus tek başına her zaman yeterli değildir.
Yeni veya daha önce görülmemiş bir dosyanın bilinen malware signature’ına sahip olmaması mümkündür.
İşte burada FortiSandbox devreye girer.
FortiMail + FortiSandbox entegrasyonu nasıl çalışır?
FortiMail şüpheli attachment ve URL’leri daha ileri analiz için FortiSandbox’a gönderebilir.
FortiSandbox dosyaları ve URL’leri analiz ederek davranışlarına göre verdict oluşturabilir. Fortinet dokümantasyonuna göre FortiMail antivirus profilleri üzerinden hem attachment hem de URL analizi FortiSandbox’a yönlendirilebilir. Fortinet Dokümanları
Burada iki operasyon modu arasındaki fark özellikle önemlidir.
Submit and wait for result
FortiMail objeyi FortiSandbox’a gönderir ve verdict sonucunu bekler.
Ardından mail configured action’a göre teslim edilebilir, karantinaya alınabilir veya başka bir aksiyon uygulanabilir.
Bu yaklaşım:
“Analiz tamamlanmadan kullanıcıya verme.”
prensibine daha yakındır.
Submit only
Dosya veya URL FortiSandbox’a gönderilir ancak e-posta sonuç beklenmeden teslim edilebilir.
Bu nedenle Submit Only ile Submit and Wait for Result aynı güvenlik davranışını sağlamaz.
Kullanıcının amacı şüpheli bir attachment’ın inbox’a ulaşmadan önce analiz edilmesi ise scan mode tasarımı kritik hale gelir. Fortinet’in güncel antivirus profile dokümantasyonu iki modu da açıkça ayırmaktadır. Fortinet Dokümanları
Zararlı URL’ler neden farklı bir problem?
Phishing saldırganları mail gönderildiği anda tamamen temiz görünen bir URL kullanabilir.
Daha sonra URL’nin arkasındaki içerik değiştirilebilir.
Buna bazen time-of-click problemi olarak yaklaşılır.
E-posta gateway üzerinden geçtiği anda URL kötü amaçlı olmayabilir ancak kullanıcı birkaç saat sonra linke bastığında farklı bir içerikle karşılaşabilir.
Bu nedenle URL analizi yalnızca mail ilk geldiğinde yapılmamalıdır.
FortiMail URL click protection özellikleriyle bağlantıları yeniden yazabilir ve kullanıcı linke tıkladığında trafiği önce kontrol mekanizmasına yönlendirebilir. FortiGuard URL kategorileri ve FortiSandbox sonuçlarına göre erişim engellenebilir veya kullanıcı uyarılabilir. Fortinet Dokümanları
Bu yaklaşım özellikle phishing URL’lerinin sonradan silahlandırıldığı senaryolarda ek koruma sağlar.
QR Code Phishing — Quishing neden unutulmamalı?
Modern phishing kampanyalarında URL doğrudan HTML içerisinde bulunmak zorunda değildir.
Saldırgan URL’yi bir QR kod görüntüsünün içine yerleştirebilir.
Bu yöntem bazı klasik URL analiz kontrollerini aşmaya yönelik kullanılabilir.
FortiMail’in güncel özelliklerinde inline image ve attachment içerisindeki QR kodların URL açısından analiz edilmesi destekleniyor; tespit edilen URL, yapılandırmaya bağlı olarak FortiGuard URL filtering veya FortiSandbox gibi kontrollerden geçirilebiliyor. Fortinet Dokümanları
Bu nedenle modern email security policy yalnızca metindeki hyperlink’leri analiz ederek tamamlanmış sayılmamalıdır.
Content Disarm and Reconstruction — CDR nerede devreye girer?
Bir diğer savunma katmanı Content Disarm and Reconstruction — CDR yaklaşımıdır.
Buradaki amaç dosyanın yalnızca zararlı olup olmadığını sormak değildir.
Potansiyel olarak risk taşıyan aktif içerikler temizlenerek daha güvenli bir doküman kullanıcıya ulaştırılabilir.
FortiMail CDR mekanizmasını attachment’larda kullanabilir ve yapılandırmaya bağlı olarak CDR sonrasında dosyanın FortiSandbox tarafından da analiz edilmesine devam edilebilir. Fortinet Dokümanları
Bu nedenle sandbox ile CDR birbirinin alternatifi olarak değil, farklı savunma fonksiyonları olarak değerlendirilmelidir.
Mail Flow neden izlenmeli?
E-posta güvenliği yalnızca mesajı block etmek değildir.
Neden block edildiğini görebilmek de gerekir.
Örneğin SOC veya e-posta güvenliği ekibi şu sorulara cevap verebilmelidir:
Hangi sender en fazla phishing denemesi yaptı?
Hangi protected domain hedef alındı?
Hangi yöneticilerin isimleri impersonation saldırılarında kullanılıyor?
Hangi cousin domain’ler görülüyor?
Kaç message DMARC fail aldı?
Hangi URL FortiSandbox tarafından malicious olarak değerlendirildi?
Mesaj karantinaya mı alındı, reject mi edildi, yoksa kullanıcıya teslim edildi mi?
FortiMail History ve ilgili loglar bu nedenle yalnızca troubleshooting için değil, incident investigation ve trend analysis için de önemlidir. Örneğin Fortinet’in impersonation log dokümantasyonunda tespit edilen forged display-name mesajlarının History üzerinden incelenebildiği gösterilmektedir. Fortinet Dokümanları
FortiMail için çok katmanlı e-posta güvenliği modeli
Kurumsal bir ortam için e-posta güvenliğini şu şekilde düşünebiliriz:
| Güvenlik katmanı | Temel amaç |
|---|---|
| SPF | Gönderen sistem domain adına mail göndermeye yetkili mi? |
| DKIM | Mesajın domain tabanlı kriptografik imzası doğrulanıyor mu? |
| DMARC | Authentication ile görünen From domaini arasında alignment var mı ve domain politikası ne? |
| Impersonation Analysis | Gönderen kişi veya display name taklit ediliyor mu? |
| Cousin Domain | Gerçek domaine benzeyen sahte domain kullanılıyor mu? |
| BEC Analysis | Mesajın kimlik, davranış ve içerik sinyalleri risk oluşturuyor mu? |
| Antivirus | Bilinen zararlı içerik bulunuyor mu? |
| FortiSandbox | Dosya veya URL şüpheli davranış sergiliyor mu? |
| URL Protection | Link tıklama anında güvenilir mi? |
| CDR | Dosyadaki potansiyel riskli aktif içerik temizlenebilir mi? |
| Logging / Monitoring | Ne oldu, neden oldu ve hangi aksiyon uygulandı? |
Asıl güç bu katmanların tek tek var olmasında değil, birlikte ve doğru policy ile çalışmasındadır.
Phishing kullanıcıya ulaşmadan tamamen engellenebilir mi?
Burada gerçekçi olmak gerekir.
Hiçbir secure email gateway her phishing veya BEC saldırısının yüzde 100 engelleneceğini garanti edemez.
Özellikle ele geçirilmiş gerçek hesaplardan gönderilen mesajlar veya güçlü sosyal mühendislik saldırıları teknik kontrollerin bir bölümünü geçebilir.
Ancak doğru yapılandırılmış bir FortiMail mimarisi:
sender authentication,
impersonation ve cousin-domain analizi,
attachment ve URL inspection,
sandboxing,
CDR,
click-time protection
ve monitoring
katmanlarını bir araya getirerek riski kullanıcıya ulaşmadan önce önemli ölçüde azaltabilir.
Kullanıcı farkındalığı burada hâlâ son savunma katmanlarından biridir.
Ama doğru güvenlik mimarisinde amaç:
her şüpheli mesajın kararını kullanıcıya bırakmak değil, mümkün olduğunca çok riski kullanıcı inbox’ına gelmeden önce elemek olmalıdır.
E-posta güvenliğinde temel yaklaşım
Ben bu yaklaşımı dört cümleyle özetlerim:
Gönderene yalnızca adına bakarak güvenme.
Kimliğini ve domain ilişkisini doğrula.
İçeriği, dosyayı ve URL’yi analiz et.
Risk mümkünse kullanıcıya ulaşmadan önce aksiyon al.
Çünkü phishing ile mücadelede en iyi tıklama:
kullanıcının hiç yapmak zorunda kalmadığı tıklamadır.
Sık Sorulan Sorular
FortiMail phishing saldırılarını engeller mi?
FortiMail; antispam, sender authentication, URL inspection, malware scanning, BEC/impersonation detection, FortiSandbox ve diğer güvenlik kontrollerini kullanarak phishing riskini azaltabilir. Ancak hiçbir çözüm tüm phishing saldırılarının engelleneceğini garanti edemez.
SPF, DKIM ve DMARC arasındaki fark nedir?
SPF hangi sistemlerin domain adına mail gönderebileceğini kontrol eder. DKIM mesajın domain tabanlı dijital imzasını doğrular. DMARC ise SPF/DKIM sonuçlarını görünen From domainiyle hizalayarak domain sahibinin mesaj işleme politikası yayınlamasını sağlar. RFC Editor
DMARC BEC saldırılarını engeller mi?
Tek başına hayır. DMARC exact-domain spoofing’e karşı güçlüdür ancak display-name impersonation ve benzer/cousin domain saldırıları DMARC’ın doğrudan kapsamı dışındadır. RFC Editor
FortiMail BEC saldırılarını nasıl tespit eder?
FortiMail; impersonation, cousin domain, sender alignment, suspicious characters, action keywords ve URL kategorileri gibi birden fazla sinyali değerlendirebilir. Fortinet Dokümanları
FortiSandbox FortiMail ile nasıl çalışır?
FortiMail şüpheli attachment ve URL’leri FortiSandbox’a gönderebilir. Submit and wait for result modunda sonuç beklenerek aksiyon uygulanabilir; Submit only modunda ise e-posta sonuç beklenmeden teslim edilebilir. Fortinet Dokümanları
FortiMail zararlı URL’leri tıklama anında kontrol edebilir mi?
Evet. Yapılandırmaya bağlı olarak URL rewriting/click protection kullanılabilir ve URL FortiGuard veya FortiSandbox sonuçlarına göre engellenebilir ya da kullanıcıya uyarı gösterilebilir. Fortinet Dokümanları
