2025 ortasından beri güvenlik haberlerinde sık duyduğumuz bir kalıp var: "saldırgan SSO'yu kırmadı; kullanıcı tek tıkla zararsız görünen bir uygulamaya izin verdi." Microsoft'un OAuth onay (consent) saldırılarına ilişkin yayınladığı uyarıların ardından SSPM (SaaS Security Posture Management) Gartner Hype Cycle'da hızla yükseldi. Sebep tek bir cümle: her SaaS tenant'ı (kiracısı), kullanıcıların kendi başına onayladığı OAuth uygulamalarıyla dolu.
Bu yazıda OAuth izin envanterinin neden modern bir SSPM aracının olmazsa olmazı haline geldiğini, "yüksek-riskli" scope sınıflandırmasının ne olduğunu ve haftada bir gözden geçirmeniz gereken pratik listeyi anlatıyoruz.
OAuth onayı neden bu kadar kritik
Microsoft 365, Google Workspace, Salesforce, Slack — tüm modern SaaS platformlarında kullanıcılar üçüncü taraf uygulamalara tarayıcıdan onay verebiliyor. "Google ile giriş" akışı tipik olarak şunlara izin ister:
- E-postanıza erişim
- Takviminizi yönetme
- Drive dosyalarınızı okuma/yazma
- Kişilerinizi listeleme
Bu izinler kullanıcı oturumu bittikten sonra devam eder. Token (erişim anahtarı) genellikle uzun ömürlüdür. Saldırı senaryosu basit: kullanıcı zararsız görünen bir AI özetleyici uygulamaya izin verir; uygulama Drive'daki tüm belgeleri arka planda kopyalar. SSO logu tertemiz, hiçbir uyarı tetiklenmez — çünkü işlem kullanıcı adına gerçekleşti.
Scope sınıflandırması: hangi izin gerçekten tehlikeli
Bütün OAuth izinleri aynı seviyede değil. Sektör pratiği üç ana kategori ayırır:
Yüksek-risk (admin / yazma)
Mail.Send,Mail.ReadWrite— kullanıcı adına e-posta gönderme ve okumaFiles.ReadWrite.All— tüm dosyaları okuma + yazmaDirectory.ReadWrite.All— kimlik verisini değiştirmeSites.FullControl.All— SharePoint tam kontrol
Orta-risk (geniş okuma)
Files.Read.All— tüm dosyaları okumaCalendars.Read— takvim okumaContacts.Read— kişiler okuma
Düşük-risk (kimlik / profil)
User.Read,openid,profile— sadece kimlik
Önemli olan: bir kullanıcının yüksek-riskli scope verdiği bir uygulamayı haftalarca/aylarca gözden geçirmeden bırakmak aktif bir arka kapı bırakmak demektir. Saldırgan o uygulamayı bir kez ele geçirirse, tüm yetkileri otomatik devralır.
oauth2PermissionGrants uç noktasından gerçek izinleri okuyoruz, scope'ları yüksek/orta/düşük risk olarak otomatik sınıflandırıyoruz ve risks sayfasında listeliyoruz. Adı tanınmayan bir uygulamanın yüksek-riskli scope tutup tutmadığını haftada bir denetlemek — küçük ama etkisi büyük bir alışkanlık.Haftalık OAuth gözden geçirme listesi
SSPM ekibinizin haftada bir gözden geçirmesi gereken minimum liste:
- Yeni eklenen uygulamalar. Geçen haftadan beri tenant'a kayıt olan üçüncü taraf uygulamalar.
- Yüksek-riskli scope alan uygulamalar. Özellikle
ReadWrite.All,FullControliçerenler. - Tek bir kullanıcı tarafından onaylanmış ama tenant genelinde geniş etkisi olabilecek uygulamalar.
- Tanınmayan yayıncılar (publisher). Microsoft, Google, Atlassian gibi bilinen üreticiler değil; bireysel geliştirici adıyla yayınlananlar.
- Eskimiş / kullanılmayan onaylar. 60+ gündür hiç erişim yapmamış ama yetkisi hâlâ açık duran uygulamalar.
Bu izleme ne için DEĞİL
OAuth izin envanteri bir içerik denetleme aracı değildir. CenseCloud uygulama içeriğini incelemez, kullanıcı verisine dokunmaz; sadece "hangi uygulama, hangi scope'la, hangi kullanıcı tarafından, ne zaman onaylanmış" sorularına cevap verir. Hakkımızda sayfasında belirttiğimiz gibi — biz veri yolunda değiliz.
Sonuç: en sessiz açık kapı
OAuth izinleri günümüzdeki en sessiz güvenlik açığı: SSO logu temiz, AD hesabı normal, uygulama "onaylı" rozetinde bile olabilir. Saldırı vektörü olmayan bu davranış, saldırı vektörüne dönüştüğünde fark edilmesi haftalar alır.
Çözüm tek seferlik bir kurulumda değil, sürekli işleyen bir denetim ritminde gizli. Üçüncü taraf risk çözümü veya platform mimarisi OAuth envanterinin nasıl çalıştığını gösterir.