Bir şirketin verileri artık yalnızca genel merkezin zemin katında bulunan ve kilitli kapılar ardında tutulan fiziksel sunucularda barındırılmıyor. E-postalar, finansal raporlar, müşteri veri tabanları ve stratejik dokümanlar; evdeki bir çalışma masasında duran dizüstü bilgisayarda, bir kafenin ortak Wi-Fi ağına bağlı cep telefonunda veya uçakta internete bağlanmaya çalışan bir tablette dolaşıyor. Çalışanların işlerini diledikleri yerden ve cihazdan yapabilmesi esnekliğin temelini oluştururken, bilgi teknolojileri (BT) ve güvenlik ekipleri için devasa bir kontrol kaybı riskini beraberinde getiriyor.
Bir kullanıcının kimlik bilgilerinin doğru olması (geçerli bir parola ve MFA kullanması), o kullanıcının elindeki cihazın kurumsal güvenlik standartlarını karşıladığı anlamına gelmez. İşletim sistemi güncellenmemiş, üzerinde lisanssız yazılımlar bulunan, ekran kilidi dahi olmayan kişisel bir tabletten şirket e-postalarına erişilmesi veri sızıntılarına açık davetiye çıkarır. Dahası, yüzlerce veya binlerce çalışanı olan bir organizasyonda yeni işe başlayan birine gerekli yazılımların yüklenmiş olduğu bir bilgisayar teslim etmek (onboarding) veya işten ayrılan birinin telefonundaki şirket verilerini uzaktan temizlemek (offboarding), manuel yapıldığında sürdürülemez bir operasyonel yüktür.
Bu karmaşayı çözmek, cihazların yaşam döngüsünü kontrol altına almak ve verinin uç noktadaki (cihazdaki) güvenliğini sağlamak için Microsoft 365 ekosisteminin merkezinde Microsoft Intune yer alır.
Microsoft Intune, bulut tabanlı bir Mobil Cihaz Yönetimi (MDM) ve Mobil Uygulama Yönetimi (MAM) hizmetidir. Zero Trust (Sıfır Güven) mimarisinin “Cihaz” bacağını oluşturan bu platform; Windows, macOS, iOS, iPadOS, Android ve Linux cihazlarını tek bir konsoldan yönetmenizi, güvenlik ilkelerini uygulamanızı ve şirket verilerini kişisel cihazlarda bile güvende tutmanızı sağlar. Bu detaylı rehberde, Microsoft Intune’un ne olduğunu, MDM ve MAM kavramlarının farklarını, Windows Autopilot ile sıfır dokunuş kurulumlarını, BYOD (Kendi Cihazını Getir) senaryolarında nasıl hayat kurtardığını ve işletmelerin uç nokta yönetimini nasıl stratejik bir avantaja dönüştürebileceğini inceleyeceğiz.
Microsoft Intune Nedir?
Microsoft Intune, işletmelerin çalışanlarına ait mobil cihazları, dizüstü ve masaüstü bilgisayarları bulut üzerinden yönetmesini sağlayan kurumsal bir platformdur. Microsoft’un Uç Nokta Yönetimi (Endpoint Management) vizyonunun bulut bacağını temsil eder. Kurulacak bir şirket içi sunucuya, yönetilecek bir ağ geçidine veya karmaşık yerel veritabanlarına ihtiyaç duymaz; doğrudan Microsoft Azure bulut altyapısı üzerinde çalışır ve Microsoft Entra ID (eski adıyla Azure AD) ile tam entegredir.
Intune’un temel amacı, şirket cihazlarının veya şirkete ait verilere erişen kişisel cihazların (BYOD) BT departmanının belirlediği uyumluluk ve güvenlik kurallarına göre yapılandırılmasını sağlamaktır. Bir cihazı Intune’a kaydettiğinizde (enrollment), o cihaza uzaktan Wi-Fi profilleri yükleyebilir, VPN ayarlarını gönderebilir, belirli uygulamaları zorunlu kılabilir veya işletim sistemi güncellemelerinin yapılmasını dikte edebilirsiniz.
Geçmişte işletmeler, cihazları yönetmek için cihazların fiziksel olarak şirket ağına (domain) bağlı olmasına veya sürekli bir VPN bağlantısına ihtiyaç duyuyordu (örneğin geleneksel Active Directory Group Policy – GPO yaklaşımı). Intune ise cihazın yalnızca internete bağlı olmasını yeterli bulur. Kullanıcı dünyanın neresinde olursa olsun, cihaz internete çıktığı anda Intune politikalarını alır ve uygular.
Modern İşletmelerde Cihaz Yönetimi Neden Kritik Bir İhtiyaçtır?
Intune gibi bir uç nokta yönetim çözümünün neden sadece “büyük kurumsal firmalar” için değil, verisi olan her işletme için kritik bir altyapı olduğunu anlamak için mevcut çalışma pratiklerinin getirdiği riskleri analiz etmek gerekir:
Veri Dağınıklığı (Data Sprawl)
Çalışanlar, Microsoft Teams üzerinden paylaşılan dosyaları cihazlarına indirir, OneDrive’ı yerel diske senkronize eder veya Outlook eklerini telefonlarının hafızasına kaydederler. Cihaz üzerinde denetiminiz yoksa, o veri şirket sınırlarından çıkmış demektir. Cihaz çalındığında, kaybolduğunda veya satıldığında içindeki verilere ne olacağı tamamen şansa kalır.
Güncelleme ve Zafiyet Yönetimi
Siber saldırıların (özellikle fidye yazılımlarının) büyük bir kısmı, işletim sistemlerinin veya yazılımların güncellenmemiş sürümlerindeki bilinen açıklıkları hedef alır. BT departmanı, her bir çalışanın cihazındaki Windows veya iOS güncellemelerini manuel olarak takip edemez. Merkezi bir yönetim sistemi olmadan, ağdaki “en zayıf halka” (güncellenmemiş tek bir cihaz) tüm şirketi riske atar.
Uygulama Dağıtımı ve Standartlaştırma
Şirket büyüdükçe her yeni çalışana Office uygulamalarını, şirket içi CRM yazılımını, VPN istemcisini ve güvenlik araçlarını tek tek kurmak saatler alır. Ayrıca, çalışanların cihazlarına iş süreçleriyle ilgisi olmayan, hatta potansiyel olarak zararlı (shadow IT) üçüncü taraf yazılımlar kurmasını engellemek manuel yöntemlerle imkansızdır.
BYOD (Kendi Cihazını Getir) Zorlukları
İnsanlar iş e-postalarını okumak veya Teams toplantılarına katılmak için genellikle kendi kişisel cep telefonlarını kullanmayı tercih ederler. Şirket, çalışanın kişisel fotoğraflarının bulunduğu telefonu tamamen kontrol etmek (şifresini değiştirmek, tümünü silmek) istemez; çalışan da buna izin vermez. Ancak şirket, o telefondaki kendi kurumsal verisini (Outlook) korumak zorundadır. Bu hassas denge, cihaz yönetim sistemleri olmadan kurulamaz.
MDM (Mobil Cihaz Yönetimi) ve MAM (Mobil Uygulama Yönetimi) Arasındaki Farklar
Microsoft Intune’un kalbinde iki temel yönetim felsefesi bulunur. İşletmeler cihazın mülkiyetine (şirket mi verdi, çalışana mı ait?) göre bu iki yöntemden birini veya ikisini aynı anda kullanırlar.
MDM (Mobile Device Management – Mobil Cihaz Yönetimi)
Cihazın tamamının şirket tarafından yönetildiği modeldir. Genellikle cihazın mülkiyeti şirkete aittir (Corporate-owned). Cihaz, Intune platformuna tam olarak kaydedilir (Enrolled). Bu kayıttan sonra BT yöneticisi cihaz üzerinde tam yetkiye sahip olur. Neler yapılabilir?
- Cihazın kamerası uzaktan devre dışı bırakılabilir.
- Cihazın parolası (PIN) sıfırlanabilir.
- Tüm işletim sistemi güncellemeleri zorlanabilir.
- Cihaz çalındığında içindeki kişisel veriler dahil her şey uzaktan tamamen silinebilir (Full Wipe).
- Wi-Fi sertifikaları ve VPN profilleri cihaza gömülebilir.
MAM (Mobile Application Management – Mobil Uygulama Yönetimi)
Cihazın tamamının değil, yalnızca içindeki kurumsal uygulamaların ve verilerin yönetildiği modeldir. Genellikle cihaz çalışana aittir (BYOD). Cihaz Intune’a kaydedilmek zorunda değildir (Unenrolled). BT yöneticisi cihazın ayarlarına, kullanıcının kişisel uygulamalarına (WhatsApp, Galerisi, kişisel oyunları) veya GPS konumuna müdahale edemez. Sadece Microsoft 365 uygulamaları (Outlook, Teams, OneDrive, Edge) gibi yönetilen uygulamalar içinde koruma kalkanı oluşturur. Neler yapılabilir?
- Outlook uygulamasını açarken telefondan bağımsız olarak ayrı bir PIN veya FaceID sorulması sağlanabilir.
- Şirket e-postasındaki bir metnin kopyalanıp kişisel not defterine yapıştırılması (Copy/Paste) engellenebilir.
- Şirket verilerinin kişisel Google Drive veya iCloud hesaplarına yedeklenmesi durdurulabilir.
- Çalışan işten ayrıldığında, cihazdaki kişisel fotoğraflara dokunulmadan sadece Outlook ve Teams içindeki veriler uzaktan silinebilir (Selective Wipe / Kurumsal Silme).
MDM ve MAM Karşılaştırması
| Özellik | MDM (Cihaz Yönetimi) | MAM (Uygulama Yönetimi) |
|---|---|---|
| Hedef cihaz | Genellikle şirkete ait cihazlar | Genellikle kişisel (BYOD) cihazlar |
| Kayıt (Enrollment) | Zorunludur | Gerekli değildir |
| Kontrol seviyesi | İşletim sistemi dâhil tam kontrol | Sadece kurumsal uygulama içi kontrol |
| Kişisel veri gizliliği | Düşüktür (BT birçok ayarı görebilir) | Yüksektir (BT kişisel veriye/cihaza dokunamaz) |
| Uzaktan silme (Wipe) | Tüm cihazı fabrika ayarlarına döndürür | Sadece kurumsal uygulamaların içini temizler |
| Kullanım senaryosu | Dağıtılan şirket laptopları, ofis telefonları | Çalışanın kendi iPhone/Android telefonu |
Microsoft Intune’un Temel Yetenekleri ve Özellikleri
Intune, işletmelerin uç nokta stratejilerini hayata geçirebilmeleri için dört temel yapı taşı üzerinden çalışır: Uyumluluk (Compliance), Yapılandırma (Configuration), Uygulama Koruması (App Protection) ve Koşullu Erişim (Conditional Access) entegrasyonu.
1. Cihaz Uyumluluk İlkeleri (Device Compliance Policies)
Uyumluluk ilkeleri, bir cihazın şirket kaynaklarına erişebilmesi için “hangi asgari sağlık şartlarını sağlaması gerektiğini” tanımlar. Sistem yöneticisi Intune üzerinde kurallar yazar ve cihazlar düzenli olarak (örneğin her 8 saatte bir) bu kurallara uyup uymadıklarını (Check-in) raporlarlar.
Tipik uyumluluk kuralları:
- “İşletim sistemi Windows 11 olmalı ve sürümü en az 22H2 olmalı.”
- “Cihazın diski BitLocker (veya macOS için FileVault) ile tamamen şifrelenmiş olmalı.”
- “Cihazda aktif bir antivirüs (Microsoft Defender) çalışıyor olmalı.”
- “Mobil cihaz Root’lu veya Jailbreak’li olmamalı.”
- “Cihazda minimum 6 haneli karmaşık bir ekran kilidi bulunmalı.”
Eğer bir çalışan cihazındaki antivirüsü kapatırsa veya Root işlemi yaparsa, Intune saniyeler içinde bu değişikliği algılar ve cihazın statüsünü “Uyumlu Değil” (Non-Compliant) olarak günceller.
2. Cihaz Yapılandırma Profilleri (Configuration Profiles)
Uyumluluk ilkeleri cihazın durumunu “okur”; yapılandırma profilleri ise cihaza ayar “yazar”. Intune, binlerce farklı işletim sistemi ayarını bulut üzerinden cihazlara zorla uygulayabilmenizi (push) sağlar.
Yapılandırma örnekleri:
- Ağ Ayarları: Şirketin karmaşık EAP-TLS destekli Wi-Fi ağ ayarlarının parolaya gerek kalmadan cihazlara otomatik yüklenmesi.
- Kısıtlamalar: Şirket telefonlarında kameranın donanımsal olarak kapatılması, USB bellek takılmasının engellenmesi veya ekran görüntüsü alınmasının (screenshot) yasaklanması.
- Kişiselleştirme: Tüm şirket bilgisayarlarının masaüstü arka planının şirket logosu yapılması ve kilit ekranı süresinin 5 dakika olarak ayarlanması.
3. Uygulama Koruma İlkeleri (App Protection Policies – APP)
Daha önce MAM başlığında bahsettiğimiz gibi, bu ilkeler verinin uygulama içindeki hareketini kısıtlar. Geleneksel güvenlik, verinin ağdan çıkışını engellemeye çalışır. Intune APP ise verinin uygulama değiştirmesini engeller. Örneğin; kurumsal verinin bulunduğu onaylı bir uygulama (Microsoft Word) ile kişisel kullanımda olan yönetilmeyen bir uygulama (WhatsApp) arasına görünmez bir duvar örülür. Veri, Outlook’tan Word’e geçebilir, ancak Outlook’tan WhatsApp’a kopyalanamaz (Data Leakage Prevention mantığı). Ayrıca uygulamaların içindeki veriler uygulama seviyesinde şifrelenir (Encryption at rest).
4. Yazılım ve Uygulama Dağıtımı (App Deployment)
Kullanıcıların yeni bir yazılım gerektiğinde BT departmanına bilet (ticket) açmasına veya BT uzmanının cihazlara tek tek uzak masaüstü (AnyDesk/TeamViewer) yapmasına gerek yoktur. Intune ile Microsoft 365 uygulamaları (Word, Excel), mağaza uygulamaları (Microsoft Store, App Store, Google Play), ve hatta şirkete özel .msi, .intunewin veya .pkg (macOS) formatındaki uygulamalar cihazlara arka planda (sessiz kurulum – silent install) dağıtılabilir. Aynı şekilde, şirket kurallarına aykırı olan uygulamaların (örneğin Torrent yazılımları) yüklenmesi engellenebilir veya kuruluysa otomatik olarak kaldırılabilir (Uninstall).
Zero Trust (Sıfır Güven) Mimarisinde Intune’un Rolü
Microsoft 365 güvenliğini sağlamak isteyen bir işletmenin temel hedefi Zero Trust mimarisine ulaşmaktır. “Asla güvenme, daima doğrula” prensibi, bir kullanıcının her bağlantı isteğinde kimliğini, cihazını ve bulunduğu bağlamı kontrol etmeyi gerektirir.
Entra ID ve Conditional Access Entegrasyonu
Zero Trust’ın beyni Microsoft Entra ID (Conditional Access – Koşullu Erişim) motorudur. Ancak Koşullu Erişim karar verirken cihazın sağlığı hakkında bilgiye ihtiyaç duyar. İşte bu bilgiyi sağlayan organ Microsoft Intune‘dur.
Sistem şöyle çalışır:
- Kullanıcı doğru parolayı ve MFA’yı girerek Microsoft 365 portalına (örneğin SharePoint’e) girmeye çalışır.
- Entra ID, bağlantıyı bekletir ve Intune’a sorar: “Bu kullanıcının bağlandığı cihaz senin sistemine kayıtlı mı ve yazdığımız güvenlik kurallarına uygun mu (Compliant)?”
- Intune cihazın durumunu kontrol eder. Cihazda BitLocker kapalıysa veya güncelleme yapılmamışsa Intune, Entra ID’ye “Bu cihaz uyumlu değil (Non-compliant)” sinyalini gönderir.
- Koşullu Erişim politikası devreye girer: “Cihaz uyumlu değilse erişimi engelle (Block access).”
- Kullanıcının ekranında: “Buraya oradan erişemezsiniz. Cihazınız kuruluşunuzun güvenlik standartlarını karşılamıyor” şeklinde bir uyarı çıkar ve oturum açması reddedilir.
Intune’un Conditional Access ile olan bu doğrudan bağı, cihaz yönetimini basit bir “bilgisayar envanter” aracı olmaktan çıkarıp, anlık (real-time) bir güvenlik ve siber savunma kalkanına dönüştürür.
(Zero Trust prensipleri hakkında daha geniş bir perspektif için Microsoft 365’te Zero Trust Rehberimizi inceleyebilirsiniz.)
İşletim Sistemlerine Göre Intune Yönetimi
Microsoft Intune, bir “sadece Microsoft” (Windows) yönetim aracı değildir. Modern çalışma ortamlarının gerektirdiği heterojen (farklı işletim sistemlerinin bir arada kullanıldığı) yapıları destekleyen birleşik bir uç nokta yönetimi (UEM – Unified Endpoint Management) çözümüdür.
Windows 10 ve Windows 11 Yönetimi
Windows platformunda Intune en derin yeteneklerini sergiler. Group Policy (GPO) kullanan geleneksel Active Directory ortamlarının buluttaki eşdeğeridir. Windows cihazlarında BitLocker yapılandırması, Windows Defender Firewall kuralları, Windows Update for Business ile yama yönetimi (patch management) ve yerel yönetici ayrıcalıklarının (LAPS) yönetilmesi doğrudan buluttan gerçekleştirilir.
macOS Yönetimi
Apple ekosisteminde çalışan cihazlar (MacBook, iMac), geçmişte BT yöneticileri için yönetimi en zor olan alanlardı. Bugün Intune, Apple Automated Device Enrollment (eski adıyla DEP) ile tam entegre çalışır. Bir şirket, Apple üzerinden aldığı MacBook’ları doğrudan çalışanının evine gönderebilir. Çalışan bilgisayarı açıp Wi-Fi’ye bağlandığında cihaz otomatik olarak şirketin Intune ortamına kaydedilir, FileVault disk şifrelemesi açılır ve şirket sertifikaları yüklenir. Şirket içi .pkg veya .dmg dosyaları Intune üzerinden Mac’lere dağıtılabilir.
iOS ve iPadOS Yönetimi
Mobil cihazlarda iPhone ve iPad yönetimi Apple Push Notification service (APNs) kullanılarak sağlanır. İki mod vardır: Ya tamamen şirket kontrolündeki denetimli cihazlar (Supervised Mode – cihaz çalınırsa Activation Lock aşılıp sıfırlanabilir) ya da kişisel kullanımdaki (BYOD) cihazlar için User Enrollment (sadece iş verisinin ayrıştırıldığı, kişisel veriye dokunulmayan model).
Android Yönetimi
Android ekosistemindeki cihaz çeşitliliği yönetimi zorlaştırdığı için Intune, Google’ın Android Enterprise altyapısını kullanır.
- İş Profili (Work Profile): BYOD senaryosu içindir. Telefonun içinde izole, şifreli ayrı bir “İş” sekmesi (evrak çantası ikonu) oluşturulur. Çalışan Outlook’u kişisel tarafa değil, iş profiline kurar. İş profilindeki veriler şirketin, kişisel profildeki fotoğraflar ve oyunlar çalışanın kontrolündedir.
- Tam Olarak Yönetilen Cihaz (Fully Managed): Cihaz şirkete aittir. Çalışan cihaza kendi kişisel Google hesabını giremez.
- Kiosk (Dedicated Device): Mağazalarda sipariş ekranı olarak kullanılan, sadece tek bir uygulamanın çalıştığı cihaz senaryolarıdır.
BYOD (Kendi Cihazını Getir) Senaryolarında Intune Kullanımı
“Kendi cihazını getir” (BYOD) yaklaşımı donanım maliyetlerini düşürür ve çalışan memnuniyetini artırır. Ancak güvenlik açısından en problemli alandır. Intune, bu problemi dengelemek için tasarlanmıştır.
Bir işletme, çalışanlarına “Şirket maillerinize kendi telefonunuzdan bakabilirsiniz ama telefonu Intune ile yöneteceğiz (MDM)” dediğinde, çalışanlar genellikle haklı bir gizlilik endişesi taşırlar: “Şirket WhatsApp mesajlarımı okuyabilir mi?”, “Fotoğraflarımı görebilir mi?”, “Telefonumu uzaktan silebilir mi?”.
Gizlilik Sınırı: Intune (MDM ile kayıtlı olsa dahi) hiçbir cihazın çağrı geçmişini, web tarayıcı geçmişini (kişisel profildeki), mesajlarını, kişisel e-postalarını, fotoğraflarını, kişisel uygulama içeriklerini veya anlık konumunu göremez.
Buna rağmen, çalışanlar cihazlarını şirket envanterine kaydetmek istemiyorsa, Intune’un MAM (Uygulama Koruma İlkeleri) devreye girer. Cihaz MDM’e alınmaz. Ancak BT şöyle bir Koşullu Erişim kuralı yazar: “Microsoft 365 e-postalarına mobil cihazdan erişmek isteyen herkes resmi Outlook uygulamasını kullanmak zorundadır (Native e-posta uygulamaları engellenir) ve Outlook uygulaması Intune Uygulama Koruma İlkelerine tabi olmalıdır.”
Böylece çalışan telefonu üzerinde tam kontrole sahip olurken, şirket de kendi verisinin Outlook’tan dışarı kopyalanmamasını veya silinmemesini garanti altına almış olur. Her iki tarafın da (şirket veri güvenliği – çalışan kişisel gizliliği) kazandığı modern model budur.
Windows Autopilot ile Sıfır Dokunuşla Cihaz Kurulumu (Zero-Touch Provisioning)
Geleneksel BT operasyonlarında işe yeni başlayan birine bilgisayar hazırlamak eziyetli bir süreçtir. Bilgisayar kutusundan çıkarılır, ağ (network) kablosu takılır, BT sunucusundan Windows İmajı (Image) yüklenir (SCCM vb.), saatlerce güncellemeler geçer, Office kurulur, cihaz paketlenir ve çalışana kargolanır. Bu süreç cihaz başına 2-4 saat arası efor gerektirir.
Windows Autopilot, cihaz kurulum sürecini tamamen buluta taşıyan ve donanım üreticileriyle (OEM – Dell, Lenovo, HP vb.) entegre çalışan bir Microsoft Intune teknolojisidir.
Autopilot Nasıl Çalışır?
- Şirket, distribütörden 50 adet laptop satın alır.
- Donanım üreticisi veya satıcı, cihazları kutusundan hiç çıkarmadan cihazların donanım kimliklerini (Hardware Hash) elektronik ortamda doğrudan şirketin Microsoft Intune portalına yükler.
- Cihazlar fiziksel olarak BT departmanına uğramadan doğrudan yeni çalışanların ev adreslerine veya uzak ofislere kargolanır.
- Yeni çalışan kutuyu açar, bilgisayarı çalıştırır. Karşısına standart Windows 10/11 kurulum ekranı (OOBE) gelir.
- Çalışan evdeki Wi-Fi ağına bağlandığı anda, bilgisayar arka planda internet üzerinden Microsoft sunucularına sorar: “Ben kimim?”
- Microsoft sunucuları hardware hash’i tanır ve der ki: “Sen X Şirketi’ne aitsin. Şu anda X şirketinin giriş ekranını göster.”
- Ekranda standart Windows ekranı yerine şirketin logosu ve şirket e-postası giriş ekranı belirir.
- Çalışan e-postasını ve parolasını (ve MFA’sını) girer.
- Giriş yapılır yapılmaz Intune devreye girer. Arka planda cihazı şirketin Intune sistemine kaydeder, politikaları (BitLocker, Wallpaper) çeker ve çalışanın ihtiyacı olan yazılımları (Office, VPN) otomatik olarak kurmaya başlar.
10-15 dakika içinde, BT departmanı cihaza hiç fiziksel temas etmeden, standart (out-of-box) bir bilgisayar şirket güvenlik kurallarıyla donatılmış kurumsal bir bilgisayara dönüşür.
Geleneksel İmaj Yönetimi vs. Windows Autopilot
| Kriter | Geleneksel (Golden Image / SCCM) | Windows Autopilot + Intune |
|---|---|---|
| Altyapı | İmaj sunucuları (WDS/SCCM), yerel ağ | Sadece internet bağlantısı yeterli |
| BT Dokunuşu | Cihaza fiziksel temas zorunlu | BT cihaza hiç dokunmaz (Zero-touch) |
| Kargo / Lojistik | Satıcı -> BT Merkezi -> Kullanıcı | Satıcı -> Kullanıcı (Doğrudan) |
| Sürücü Yönetimi | Farklı donanımlar için sürekli imaj güncellemesi | Fabrika sürümü kullanılır, imaja gerek yok |
| Kurulum süresi | Cihaz başına saatler alabilir | İnternet hızına bağlı olarak dakikalar içinde |
Intune ve Microsoft Defender for Endpoint Entegrasyonu
Cihazı yapılandırmak ve yönetmek Intune’un işidir; ancak cihazı siber saldırılara (virüsler, malware, ransomware) karşı korumak ve izlemek Microsoft Defender for Endpoint’in işidir. Bu iki sistem Microsoft 365 ekosisteminde kusursuz bir uyumla çalışır (XDR mimarisinin parçası).
Intune, Defender for Endpoint’in bilgisayarlara dağıtılmasını ve güvenlik sensörlerinin aktif edilmesini (onboarding) sağlar. Aynı zamanda Defender’ın ayarlarını (örneğin Tam Tarama’nın Cuma günleri saat 18:00’de yapılmasını) merkezi olarak yönetir.
Bunun da ötesinde, Defender cihazın anlık tehdit durumunu (Machine Risk Score) hesaplar. Örneğin, kullanıcı bir PDF indirir ve PDF’in içinde gizli bir fidye yazılımı çalışmaya başlarsa, Defender bu cihazın risk skorunu anında “Yüksek (High Risk)” olarak günceller. Intune Uyumluluk İlkeleri arasında “Cihazın risk skoru düşük olmalıdır” şeklinde bir kural bulunduğu için, Intune bu “Yüksek Riskli” cihazı anında “Uyumsuz (Non-compliant)” durumuna çeker. Bu durum, Entra ID (Koşullu Erişim) ile senkronize olur ve zararlı yazılım aktif olan bilgisayarın Microsoft 365 ortamına (SharePoint vb.) ulaşması saniyeler içinde otomatik olarak kesilir (Isolation). Cihazdaki virüs temizlendiğinde risk skoru düşer ve erişim otomatik olarak geri açılır. Bu, manuel insan müdahalesine gerek kalmadan çalışan otonom bir güvenliğe (SOAR) örnektir.
Gerçek İşletme Senaryolarıyla Microsoft Intune
Teknolojinin iş süreçlerinde ne ifade ettiğini anlamak için teoriyi gerçek hayata uyarlayalım:
Senaryo 1: Çalınan Dizüstü Bilgisayar
Problem: Finans yöneticisinin, içinde yıllık bütçe verilerinin yerel kopyalarının bulunduğu dizüstü bilgisayarı bir takside unutulur veya çalınır. Intune Çözümü: Cihaz Intune’a kayıtlı olduğu için, BT ekibi Intune portalından cihaza “Remote Wipe (Uzaktan Sil)” veya “Wipe / Retire” komutu gönderir. Cihaz internete bağlandığı ilk saniye, içindeki tüm veriler kurtarılamayacak şekilde silinir. Ayrıca Intune, cihaz uyumluluk kuralıyla disk şifrelemesini (BitLocker) daha en başından zorunlu kıldığı için, hırsız diski söküp başka bilgisayara taksa bile verilere ulaşamaz.
Senaryo 2: BYOD Veri Sızıntısı Girişimi
Problem: Satış temsilcisi, kendi kişisel iPhone’undaki Outlook uygulamasından şirketin yaklaşan strateji raporunu açar ve bu raporun metnini kopyalayıp WhatsApp üzerinden rakip firmadaki bir arkadaşına yapıştırmak (göndermek) ister. Intune Çözümü: Intune MAM (Uygulama Koruma İlkeleri) sayesinde, kopyalama işlemi Microsoft onaylı uygulamalar dışında kısıtlanmıştır. Satış temsilcisi WhatsApp’a gidip “Yapıştır” (Paste) tuşuna bastığında karşısına “Şirket verileri buraya yapıştırılamaz” uyarısı çıkar. Veri dışarı sızmamış olur.
Senaryo 3: Yamasız Bilgisayara Fidye Yazılımı (Ransomware)
Problem: Bir çalışanın cihazında, yayınlanmasının üzerinden 3 ay geçmesine rağmen yüklenmemiş bir Google Chrome güvenlik açığı bulunmaktadır. Saldırganlar bu açıklıktan faydalanarak cihaza ransomware yerleştirir. Intune Çözümü: Intune olsaydı, Defender’ın “Tehdit ve Zafiyet Yönetimi” modülü bu uygulamanın güncel olmadığını tespit eder, Intune da üçüncü taraf yazılımı veya Windows yamasını kullanıcı inisiyatifine bırakmadan otomatik olarak güncellerdi. Olası bir bulaşma durumunda ise, cihaz anında izole edilerek bulut verilerine sıçraması (Conditional Access aracılığıyla) engellenirdi.
Senaryo 4: Uzaktan Onboarding (İşe Alım)
Problem: Şirketiniz, İstanbul’daki merkeze bağlı çalışacak ancak İzmir’de ikamet eden bir yazılım geliştiriciyi işe alır. Cihazın kurulması, VPN yüklenmesi ve güvenlik ayarlarının yapılması için çalışanın merkeze gelmesi istenir. Intune Çözümü: Windows Autopilot ile cihaz doğrudan İzmir’deki çalışanın adresine kargolanır. Çalışan internete bağlandığı an, Intune şirketin tüm sertifikalarını, güvenlik programlarını ve geliştirme araçlarını arka planda otomatik kurarak çalışanı ilk saatinden itibaren üretken hale getirir.
Senaryo 5: Öfkeli veya Ayrılan Çalışan (Offboarding)
Problem: Bir çalışan aniden istifa eder ve kötü niyetli olarak kişisel telefonundaki (BYOD) tüm müşteri listelerini, e-postaları tutmaya çalışır. Veya telefonunu şirkete iade etmeden önce “format atıyorum” bahanesiyle şirkete zorluk çıkarır. Intune Çözümü: BT departmanı, Intune portalından o kullanıcının cihazına “Selective Wipe” (Uygulama Seçmeli Silme) komutu gönderir. Bir sonraki Outlook eşitlemesinde çalışanın telefonundaki tüm iş mailleri ve dosyaları uçar; ancak kendi kişisel fotoğraf ve uygulamaları sağlam kalır. İş süreçleri güvenle sonlandırılır.
Microsoft Intune Kurulumu ve Yapılandırma Adımları
Bir cihaz yönetim sistemi kurmak, rastgele düğmelere basılacak bir süreç değildir. Yanlış yapılandırılmış bir Intune politikası, şirketinizdeki tüm cihazların internete çıkmasını engelleyebilir. Güvenli ve doğru bir uygulama şu adımları izlemelidir:
1. Gereksinimlerin ve Lisansların Belirlenmesi
Mevcut cihaz türlerinin (Windows, Mac, iOS, Android) envanteri çıkarılır. Şirketin mülkiyetindeki cihazlar ile kişisel (BYOD) cihazlar ayrıştırılır.
2. MDM Authority Belirlenmesi
Intune’un ortamınız için resmi Mobil Cihaz Yönetim otoritesi olarak Entra ID üzerinden ayarlanması gerekir.
3. Kayıt (Enrollment) Kısıtlamalarının Oluşturulması
Herkesin her cihazı şirket ortamına kaydetmesi istenmeyebilir. “Sadece Windows ve iOS cihazlar kaydedilebilsin, Android cihazların kaydı reddedilsin” veya “Kişisel Windows cihazlar kaydedilemesin, sadece Autopilot ile alınan kurumsal cihazlar eklensin” şeklinde kurallar (Enrollment Restrictions) yazılır.
4. Uyumluluk (Compliance) Kurallarının Yazılması
Cihazların şifre karmaşıklığı, antivirüs durumu, işletim sistemi sürümleri için asgari “uyum” kuralları tasarlanır. Test modunda uygulanarak hangi cihazların kurallara uymadığı (non-compliant) tespit edilir.
5. Koşullu Erişim (Conditional Access) Entegrasyonu
Uyumluluk kuralları Entra ID’ye bağlanır. “Uyumlu olmayan cihazlar Microsoft 365 kaynaklarına (Teams, Exchange) bağlanamaz” kuralı aktif edilir. Bu adım, Zero Trust mimarisinin tamamlanmasını sağlar.
6. Yapılandırma Profillerinin (Configuration Profiles) Dağıtımı
Cihazlar için gerekli Wi-Fi ayarları, BitLocker kısıtlamaları, kilit ekranı süreleri ve yerel ağ ayarları profiller halinde cihaz gruplarına atanır.
7. Uygulama ve Uygulama Koruması (MAM) Yapılandırması
Dağıtılacak uygulamalar (.msi, .pkg vb.) Intune’a paketlenip yüklenir. BYOD (kişisel) cihazlardan giriş yapıldığında devreye girecek Veri Sızıntısı Önleme (Copy/Paste engeli vb.) APP kuralları oluşturulur.
8. Pilot Test ve Yaygınlaştırma
Kurallar tüm şirkete (All Users/All Devices) anında uygulanmaz. Küçük bir BT veya test ekibiyle denenir. Kullanıcı deneyimini bozmadığından emin olunduktan sonra departman departman yaygınlaştırılır.
Intune Yapılandırmasında Sık Yapılan Hatalar
Cihaz yönetimini devreye alırken işletmelerin sıklıkla düştüğü hatalar:
Kişisel cihazları şirket cihazı gibi yönetmeye çalışmak
BYOD (kişisel) cihazları tam kontrolle (MDM) Intune’a kaydetmeye çalışmak çalışan direnciyle karşılaşır ve mahremiyet sorunları doğurur. Kişisel cihazlar için mutlaka Uygulama Koruma (MAM) politikaları kullanılmalı, cihazın değil uygulamanın kontrolüne odaklanılmalıdır.
Uyumluluk ilkelerini aniden devreye almak
Bir uyumluluk kuralını yazıp anında tüm şirketi Koşullu Erişim ile engellemek (Enforce), ertesi gün çalışanların %80’inin sisteme girememesine (lockout) yol açabilir. Kurallar önce izleme (report-only) modunda çalıştırılmalı, kullanıcılara örneğin “Cihazınızı güncelleyin, 7 gün sonra erişiminiz kesilecek (Grace Period)” şeklinde süre tanınmalıdır.
İletişim ve eğitim eksikliği
Kullanıcı cihazlarına Intune Company Portal kurmalarını isterken, bunun neden yapıldığını, şirketin “fotoğraflarını veya kişisel WhatsApp’ını göremeyeceğini” çalışana açık bir İK/BT metniyle anlatmamak büyük güven problemlerine yol açar.
Çok fazla ve çakışan profiller yaratmak
Bölge, departman ve cihaz tipine göre yüzlerce farklı Yapılandırma Profili yaratmak, bir süre sonra “Conflict” (Çakışma) hatalarına neden olur. Ayarlar olabildiğince basitleştirilmeli ve standartlaştırılmalıdır (örneğin herkes için tek bir Windows Security Baseline).
Microsoft 365 Lisanslamasında Intune (E3/E5 ve Business Premium)
Microsoft Intune, tek başına bağımsız bir lisans (standalone) olarak alınabileceği gibi, Microsoft’un kurumsal ve iş paketlerinin çoğuna entegre edilmiştir. Yalnızca Office uygulamalarına değil, bütünsel bir güvenliğe sahip olmak için Intune’u barındıran paketleri seçmek gerekir.
- Microsoft 365 Business Premium: KOBİ’ler (300 kullanıcıya kadar) için mükemmel bir pakettir. Hem Office uygulamalarını, hem temel Entra ID (Azure AD) P1’i hem de tam sürüm Microsoft Intune‘u içerir. Cihaz güvenliği ve yönetimini tek fiyatta birleştirir.
- Microsoft 365 E3: Büyük ölçekli işletmeler için standarttır. İleri seviye güvenlik özelliklerine hazırlık sağlar ve Microsoft Intune’u barındırır.
- Microsoft 365 E5: Microsoft’un en üst düzey güvenlik, analiz ve otomasyon paketidir. Elbette Intune lisansını içerir, üstelik Defender for Endpoint ve Entra ID P2’nin getirdiği risk bazlı Conditional Access yetenekleriyle Intune’un otomasyon kapasitesini en üst noktaya taşır.
- Intune Suite Eklentileri: Yakın zamanda duyurulan Intune Plan 2 ve Intune Suite, standart Intune yönetiminin ötesine geçerek; Uzak Yardım (Remote Help), Özel Ayrıcalık Yönetimi (Endpoint Privilege Management – kullanıcıların admin olmadan uygulama kurabilmesi) ve Gelişmiş Uygulama Analizi gibi eklentileri (add-on) işletmelerin hizmetine sunar.
(Lisans paketlerinin güvenliği ve uyumluluğu ne düzeyde etkilediğine dair derinlemesine karşılaştırmalar için Microsoft 365 Güvenlik Paketleri değerlendirmemizi inceleyebilirsiniz.)
Microsoft Intune İçin Cihaz Güvenliği Kontrol Listesi
Ortamınızda Intune yapılandırmanızın doğru yolda olup olmadığını değerlendirmek için bu temel kontrol listesini (checklist) kullanabilirsiniz:
MDM Otoritesi Doğru Ayarlanmış mı? (Cihazların Intune tarafından yönetildiğinden emin olun.)
Cihaz Uyumluluk Kuralları Yazıldı mı? (Windows’ta BitLocker ve antivirüs, mobilde şifre ve root/jailbreak kontrolü aktif olmalıdır.)
Koşullu Erişim (Conditional Access) Çalışıyor mu? (Uyumsuz – Non-compliant olan cihazların kurumsal verilere erişmesi engellenmelidir.)
BYOD (Kişisel) Cihazlar İçin Uygulama Koruması (MAM) Devrede mi? (Şirket Outlook uygulamasından kişisel WhatsApp/Notlar gibi yerlere “Kopyala-Yapıştır” engellenmiş olmalıdır.)
Şirket Kaynakları (Wi-Fi, VPN) Otomatik Dağıtılıyor mu? (Kullanıcılar parola veya karmaşık ayar girmekle uğraşmamalıdır.)
Windows Autopilot Kurgulandı mı? (İşe yeni başlayanlar için sıfır dokunuş kurulum yapılandırması test edilmelidir.)
Endpoint Security (Defender) Entegre Edildi mi? (Defender for Endpoint sensörleri Intune üzerinden tüm bilgisayarlara dağıtılmış olmalıdır.)
Kayıt Kısıtlamaları (Enrollment Restrictions) Aktif mi? (Kullanıcıların rastgele, yönetilmeyen kişisel Windows cihazlarını şirkete kaydetmesi sınırlandırılmalıdır.)
Yerel Yönetici Yetkileri (Local Admin) Kısıtlandı mı? (Kullanıcıların kendi cihazlarında her istedikleri yazılımı kurma (Local Admin) yetkileri ellerinden alınmalıdır.)
İşten Ayrılış (Offboarding) Süreçleri Belirlendi mi? (Cihazların emekliye ayrılması (Retire) veya kurumsal verilerin uzaktan silinmesi (Wipe) prosedürleri test edilmiş olmalıdır.)
Microsoft Intune Hakkında Sık Sorulan Sorular (FAQ)
Microsoft Intune nedir?
İşletmelerin cep telefonlarını, tabletlerini ve bilgisayarlarını bulut üzerinden yönetmelerini, uygulamaları dağıtmalarını ve şirket verilerini korumalarını sağlayan bulut tabanlı bir MDM ve MAM çözümüdür.
Intune bir antivirüs programı mıdır?
Hayır. Intune bir antivirüs değildir; bir yönetim platformudur. Güvenlik ve antivirüs süreçleri Microsoft Defender for Endpoint tarafından yapılır, Intune ise Defender’ın bu cihazlara yüklenmesini ve ayarlarının yönetilmesini sağlar.
Intune kişisel telefonumdaki (BYOD) mesajlarımı okuyabilir mi?
Kesinlikle hayır. Intune, cihaz MDM ile yönetilse bile kişisel web geçmişini, mesajları, telefon çağrılarını, fotoğrafları ve kişisel e-postaları teknik ve yasal olarak göremez, kaydedemez.
MDM ile MAM arasındaki fark nedir?
MDM (Mobil Cihaz Yönetimi), cihazın tamamını (işletim sistemini, kamerayı, disk şifrelemesini) yönetirken; MAM (Mobil Uygulama Yönetimi) sadece cihazın içindeki şirket uygulamalarını (Outlook, Teams) ve oradaki verileri korur, kişisel tarafa dokunmaz.
Intune için ayrı bir sunucu kurmam gerekiyor mu?
Hayır. Intune %100 bulut tabanlı (SaaS) bir hizmettir. Herhangi bir yerel sunucuya, veri tabanına veya ağ geçidine (Gateway) kurulum gerektirmez. Doğrudan Microsoft portalı üzerinden yönetilir.
Windows Autopilot nedir?
Bilgisayarları kutusundan çıktığı haliyle, çalışanın ofise gelmesine veya cihazın BT departmanına uğramasına gerek kalmadan, internet üzerinden otomatik olarak şirketin güvenlik kurallarına ve programlarına sahip hale getiren Intune entegreli kurulum teknolojisidir.
Intune hangi işletim sistemlerini destekler?
Windows 10 ve 11, macOS, iOS, iPadOS, Android (Android Enterprise) ve bazı yönetim seviyelerinde Linux cihazları destekler. Yani tamamen heterojen bir filoyu tek ekrandan yönetebilirsiniz.
Intune olmadan Microsoft 365 güvende sayılır mı?
Kimlik doğrulama (MFA) kısmında güvende olsanız da, o kimliğin kullanıldığı cihaz güncel değilse veya cihazdan veriler kopyalanıp dışarı sızdırılabiliyorsa (cihaz güvenliği yoksa) ortamınız tamamen güvende (Zero Trust) sayılmaz. Intune, güvenlik zincirinin “uç nokta” halkasıdır.
Şirket bilgisayarını kaybedersem ne olur?
Intune üzerinden cihaza anında “Uzaktan Sil (Wipe)” komutu gönderilir. Cihaz ilk internet bağlantısını yakaladığında kendini tamamen sıfırlar. Zaten disk BitLocker ile şifrelendiği için internete girmese bile donanımsal veriler hırsızlar tarafından okunamaz.
Intune lisansı M365 Business Basic veya Standard içinde var mı?
Hayır. Business Basic ve Standard paketleri Intune barındırmaz. Intune için M365 Business Premium, M365 E3/E5 paketlerinden birini almanız veya Intune Plan 1 lisansını bağımsız (standalone) olarak eklemeniz gerekir.
Çalışanların cihazlara kendi başına yazılım kurmasını engelleyebilir miyim?
Evet. Intune üzerinden kullanıcıların “Local Administrator” (Yerel Yönetici) yetkilerini kaldırabilir, sadece sizin Intune portalından atadığınız ve güvendiğiniz kurumsal uygulamaların cihaza otomatik yüklenmesini (ve diğerlerinin engellenmesini) sağlayabilirsiniz.
Koşullu Erişim (Conditional Access) ile Intune’un ilişkisi nedir?
Koşullu erişim “kapıdaki güvenlik görevlisi” ise, Intune “cihazın sağlık raporunu yazan doktor”dur. Intune cihazın güvenli (uyumlu) olduğunu Entra ID’ye bildirir, Koşullu Erişim de bu rapora göre kapıyı açar veya kilitler.
BYOD (Kişisel) cihazı Intune’dan çıkarırsam veriler silinir mi?
Cihaz şirketten veya projeden ayrılıp Intune kaydından silindiğinde (Retire işlemi), cihaz fabrika ayarlarına dönmez; yalnızca şirkete ait e-postalar, belgeler, VPN profilleri ve sertifikalar silinir. Kişisel veriler cihazda kalır.
Intune ile USB bellek kullanımı yasaklanabilir mi?
Evet, Configuration Profiles (Yapılandırma Profilleri) oluşturarak tüm şirket bilgisayarlarında USB bellek portlarını (çıkarılabilir depolama) yazmaya karşı tamamen veya kısmen (sadece okunabilir) kilitleyebilirsiniz.
SCCM (Endpoint Configuration Manager) kullanıyorum, Intune’a geçmeli miyim?
İkisini birden (Co-management) kullanabilirsiniz. Şirket içi (on-prem) ağır imaj dağıtımları için SCCM/MECM kullanmaya devam ederken, bulut uyumluluğu, koşullu erişim ve mobil cihaz yönetimi görevlerini Intune’a devrederek kademeli bir modern uç nokta yönetimine geçiş yapabilirsiniz.
Modern Çalışma Alanlarında Cihaz Yönetiminin Geleceği
Kullanıcıların yalnızca şirket ağına bağlı ofis masaüstü bilgisayarlarından çalıştığı, verinin sadece yerel sunucularda durduğu dönemler artık siber güvenlik tarihinin tozlu sayfalarında kalmıştır. Bugünü ve geleceği temsil eden modern çalışma mimarisi (Modern Workplace); kullanıcıların istedikleri zaman, kafeden, evden veya havaalanından, şirket laptoplarıyla veya kendi kişisel cep telefonlarıyla verilere anında ulaşabilmeleri esasına dayanır.
İşletmelerin bu özgürlüğü sağlarken şirketin en değerli varlığı olan “bilgiyi” korumasının tek yolu, güvenliğin sınırını ofis duvarlarından cihazın içine ve uygulamanın katmanlarına kadar indirmektir. Microsoft 365 ekosisteminin merkez gücü olan Microsoft Intune; kimlik, cihaz, erişim ve uyumluluk ayaklarını birbirine bağlayarak Zero Trust mimarisini kağıt üzerinde bir felsefe olmaktan çıkarıp işletilebilir, gerçek bir güvenlik kalkanına dönüştürür.
Autopilot ile sıfır eforla (zero-touch) uzaktan cihaz kurabilme, Uygulama Koruması (MAM) ile kişisel veriyi kurumsal veriden ayırabilme ve Defender entegrasyonu ile tehdit anında bilgisayarı otomatik izole edebilme yetenekleri; yalnızca BT departmanının üzerindeki hantal destek operasyonlarını azaltmakla kalmaz, aynı zamanda şirket verilerinizin çalınma ve sızdırılma riskini asgariye indirir. Tüm bu mimarinin şirket süreçlerinizi tıkamadan, çalışan gizliliğini ihlal etmeden ve doğru lisans (E3/E5 veya Business Premium) modelleriyle kurgulanabilmesi için, kurulum öncesi testlerin (proof-of-concept) yapıldığı uzman bir Microsoft 365 mimari planlaması ve cihaz yönetimi danışmanlığına başvurmak operasyonel başarının anahtarıdır.
