Grup İlkesini Kullanarak Yerel Yönetici Haklarını Kaldırma

Bu kılavuzda size grup ilkesini kullanarak yerel yönetici haklarını nasıl kaldıracağınızı göstereceğim.

Ayrıca yerel yönetici grubuna nasıl kullanıcı veya grup ekleyeceğinizi de göstereceğim.

Grup ilkesini kullanarak yerel yönetici hakları üzerinde kontrol sahibi olabilir ve onayınız olmadan hiçbir kullanıcının yerel yönetici grubuna tekrar eklenmemesini sağlayabilirsiniz.

Bu kılavuzdaki konular:

Yerel Yönetici Haklarına Sahip Kullanıcılara İlişkin Bir Rapor Oluşturma
Grup İlkesi Kullanılarak Yerel Yönetici Hakları Nasıl Kaldırılır
Yeni bir GPO Oluştur
Gpupdate'i çalıştırın veya Bilgisayarı Yeniden Başlatın
Bilgisayarları GPO Politikasının Dışında Tutma (Belirli kullanıcıların yönetici haklarına sahip olmasına izin ver)

Yerel Yönetici Hakları Neden Büyük Bir Güvenlik Riskidir?

Kullanıcılarınızın bilgisayarlara giriş yapmasını ve yönetici haklarıyla günlük işlerini yapmasını istemezsiniz. Yönetici haklarından yararlanmak, saldırganların bir kuruluş içindeki sistemleri yaymak ve kontrolü ele geçirmek için kullandıkları birincil yöntemdir.

Senaryo 1: Bir kullanıcı bilgisayarında yönetici haklarıyla oturum açmıştır ve bu kişi, kötü amaçlı ek içeren bir e-postayı açacak şekilde kandırılır. Bu ek yürütülebilir kod içerir ve bilgisayarda yürütülür. Kullanıcı yönetici haklarıyla oturum açtığından, bu kötü amaçlı kod bilgisayarda tam haklara sahiptir; bir keylogger yükleyebilir, algılayabilir, fidye yazılımı çalıştırabilir ve tüm dosyaları şifreleyebilir, uzaktan kontrol yazılımı yükleyebilir vb. İyi değil.

Senaryo 2: Birisi...belki bir yardım masası teknisyeni aynı şifreyle birden fazla bilgisayarda yerel bir kullanıcı oluşturdu ve onu yerel yönetici grubuna ekledi. Bir saldırgan bu şifreyi kırarsa, saldırgan bu hesabın oluşturulduğu tüm makinelere yönetici erişimine sahip olur. Saldırgan daha sonra sistemden sisteme yanal olarak hareket ederek kötü amaçlı dosyalar bırakabilir, verileri çalabilir vb.

Her iki senaryo da yerel yönetici gruplarınızın kontrolünü ele alarak hafifletilebilir. Şimdi… Öğreticiye geçelim.

Yerel Yönetici Haklarına Sahip Kullanıcılara İlişkin Bir Rapor Oluşturma

Kimin yerel yönetici haklarına sahip olduğunu görmek için öncelikle tüm bilgisayarlarda bir rapor çalıştırmanız çok önemlidir. Daha sonra bu kullanıcı veya grupların bilgisayarlarında neden yerel yönetici haklarına sahip olduğunu tartışmak için bu raporu personel üyeleriyle birlikte inceleyin. Bir sonraki adım bu kullanıcıları kaldırmak için onay almak olacaktır.

Ben bu süreci büyük organizasyonlarla yaşadım ve insanlar onların admin haklarını kaldırdığınızda çok sinirleniyorlar. Ayrıca işler bozulabilir. Bu değişiklikleri iletmenizi ve uygun onayı almanızı önemle tavsiye ederim.

Bir rapor almak için AD Pro Araç Takımındaki Yerel Yönetici Rapor Aracını kullanabilirsiniz.

İşte adımlar:

1. Araç Setini İndirin ve Yükleyin - Ücretsiz deneme sürümünü buradan indirebilirsiniz.
2. Araç setini açın -> Yerel Yönetici Raporu
3. Arama Seçeneklerini seçin (Alan adının tamamını veya bir kuruluş birimini/Grubu seçin)
4. Çalıştıra tıkla

Çalıştırmayı tamamladığınızda herhangi bir sütunu sıralayabilir ve filtreleyebilirsiniz. Kayıtlarınız için bu raporu CSV'ye aktarabilirsiniz. Kimin yönetici haklarına sahip olduğu ve kimlerin kaldırılacağı konusunda fikir sahibi olmaları için bu raporu personelle paylaşmak iyi bir fikirdir.

Grup İlkesi Kullanılarak Yerel Yönetici Hakları Nasıl Kaldırılır

İpucu: Bu değişiklikleri tüm üretim sistemlerine uygulamadan önce tek bir bilgisayarda veya kullanıcıda test etmenizi öneririm.

Öncelikle bir bilgisayarı kontrol edelim ve yerel yönetici grubunda hangi hesapların bulunduğunu görelim. Bu, aşağıdaki PowerShell komutunu kullanarak kolayca yapılabilir.

Get-LocalGroupMember administrators

Ekran görüntüsünde yönetici grubunda birkaç yerel ve etki alanı kullanıcısının olduğunu görebilirsiniz.

Bu raporu AD Pro Araç Seti'nden de alabilirsiniz.

Bu kötü.

PC1'in bir yerel kullanıcısı ve yerel yönetici grubunun üyesi olan iki grubu olduğunu görebilirsiniz.

Grup ilkesini kullanarak yalnızca bu hesapları kaldırmakla kalmıyorum, aynı zamanda hangi kullanıcı hesaplarının veya grupların bu grubun üyesi olduğunu da kontrol edebiliyorum. Birisi bu gruba manuel olarak bir kullanıcı eklemeye çalışırsa grup politikası bunu geçersiz kılacaktır.

Tüm bilgisayarları bir kuruluş birimine yerleştirmeyi seviyorum; bu, grup ilkelerinin bilgisayar hesaplarına uygulanmasını kolaylaştırıyor.

Yeni bir GPO Oluştur

1. Adım. GPO'nun uygulanmasını istediğiniz kuruluş birimini sağ tıklayın ve "Bu alanda bir GPO oluştur ve buraya bağla"yı seçin.

2. Adım. GPO'yu adlandırın ve Tamam'ı tıklayın

Şimdi GPO'yu düzenlemeniz gerekiyor.

3. Adım. GPO'yu sağ tıklayın ve düzenle'yi tıklayın

4. Adım. Aşağıdaki GPO ayarlarına göz atın

Bilgisayar Yapılandırması -> Tercihler -> Denetim Masası Ayarları -> Yerel Kullanıcılar ve Gruplar

Şimdi sağ taraftaki pencereye sağ tıklayın ve yeni -> Yerel Grup'u seçin

Yeni Yerel Grup Mülkleri

İşlem: Güncelleme
Grup adı: Yöneticiler (yerleşik)
Tüm üye kullanıcıları sil: Bu, yerel yönetici grubundaki tüm kullanıcıları siler. Bu kutuyu işaretleyeceğim.
Tüm üye gruplarını sil: Bu, yerel yönetici grubundaki tüm grupları siler. Bu kutuyu işaretleyeceğim.

Üyeler:

Ekle'ye tıklayın ve yerel yönetici grubuna eklenmesini istediğiniz üyeleri seçin. Muhtemelen yerel yönetici hesabını ve etki alanı yöneticileri grubunu yerel yöneticiler olarak tutmak istersiniz… ancak bu tamamen size bağlıdır. Ayrıca bilgisayarlarda yerel yönetici haklarına sahip olmaları için yardım masası personelinin bulunduğu bir grup ekleyeceğim.

Ayarlarımın ekran görüntüsü

Yukarıdaki ayarlar, yerel yönetici grubundaki tüm kullanıcıları ve grupları silecek ve ardından üye kutusunda belirtilen kullanıcıları geri ekleyecektir. Bu, tüm istenmeyen hesapları temizleyecek ve yalnızca GPO aracılığıyla onayladığınız hesapları ekleyecektir.

Not: Yönetici haklarına sahip bir kullanıcı yine de grup üyeliğini yerel olarak değiştirebilir ancak GPO yenilendiğinde GPO ayarlarına geri döner.

Gpupdate'i çalıştırın veya Bilgisayarı Yeniden Başlatın

Artık GPO oluşturulduğuna ve bir kuruluş birimine bağlandığına göre onu test edelim.

PC1'de grup ilkesi güncellemesini zorlamak için aşağıdaki komutu çalıştıracağım.

gpupdate /force

Komut tamamlandıktan sonra grup üyeliğini tekrar kontrol edeceğim. Aşağıda öncesi ve sonrasına ait bir ekran görüntüsü bulunmaktadır. GPO'nun yerel yönetici grubunun üyelerini kaldırdığını ve üyeleri GPO ayarlarına göre yapılandırdığını görebilirsiniz.

Oldukça hoş değil mi?

İstenmeyen hesapların yönetici grubundan kaldırıldığını ekran görüntüsünden görebilirsiniz. GPO, üç grubu ve iki yerel kullanıcı hesabını kaldırdı. Daha sonra etki alanı yöneticileri grubunu, IT_Wrk_Admin grubunu ve yerel yönetici hesabını ekledi.

Bu politikayı uyguladığınız herhangi bir bilgisayar, tam olarak bu ayarları alacaktır. Tüm üye kullanıcı ve grup hesaplarını silmeyi seçerseniz, bu hesaplar gerçekten de yerel yöneticinin grubundan kaldırılacaktır. Üretime sunmadan önce bunu test etmenizi öneririm.

Bilgisayarları GPO Politikasının Dışında Tutma

Bir bilgisayarı bu politikanın dışında bırakmanız gerekiyorsa şu adımları izleyin:

İpucu: Kullanıcılara yönetici hakları verilmeden çalışmayan, kötü kodlanmış birçok program vardır. Bu programlardan kaçınabiliyorsanız lütfen bunu yapın. Hala yönetici haklarıyla çalıştırılamayan yazılımlar satan şirketlerin olması çok saçma… yine bu programlardan uzak durmaya çalışın. Eğer yapamıyorsanız BeyondTrust ve PolicyPak gibi ayrıcalık yükseltme programlarına bakın. Bu programlar, programları kullanıcıya yönetici hakları vermeden çalışacak şekilde yapılandırmanıza olanak tanır.

1. Adım. Yeni bir aktif dizin grubu oluşturun. Ne istersen adını ver.

2. Adım. Hariç tutmak istediğiniz bilgisayar hesabını bu gruba ekleyin.

3. Adım. Grup ilkesi yönetim konsolunda, oluşturduğunuz GPO'yu seçin ve yetkilendirme sekmesini seçin.

Şimdi gelişmiş sekmeye tıklayın

Ekle'ye tıklayın ve yeni oluşturduğunuz grubu seçin.

Şimdi bu grubun yalnızca şu izinlere sahip olduğundan emin olun:

Okuma: İzin Ver
Grup ilkesini uygula: Reddet

Bu, bu grubun herhangi bir üyesinin GPO'yu uygulamasını engelleyecektir. Bu, bilgisayarların bu GPO'yu uygulamasının dışında bırakılmasına yönelik çok basit bir yaklaşımdır. Aynı zamanda yönetimi de kolaylaştırır; eğer bir GPO'dan kimin hariç tutulduğunu bilmek istiyorsanız, AD grubunun üyelerini kontrol etmeniz yeterlidir.

Şimdi gpresult komutunu kullanarak bilgisayarın hariç tutulduğunu doğrulayacağım.

Bir bilgisayara ve kullanıcıya uygulanan tüm GPO'ları görmek için bu komutu yazın.

gpresult /r

Bilgisayar sonuçlarını almak için bilgisayarda yönetici olmanız gerekir.

Bu bilgisayara GPO “GPO Bilgisayarı - Yerel Yönetici Grubu üyeleri”nin uygulandığını görebilirsiniz. Bilgisayarı yeniden başlatacağım ve komutu tekrar çalıştıracağım. Yeniden başlattıktan sonra artık GPO'nun bu bilgisayara uygulandığını görmemeliyim çünkü uygulanması reddediliyor.

Tekrar gpresult /r komutunu çalıştıracağım

GPO'nun artık bu bilgisayara uygulanmadığını görebilirsiniz. Grup ilkelerini filtreleme hakkında daha fazla bilgi edinmek için grup ilkesi yönetimi kılavuzuma bakın.

İpucu: Öncelikle kullanıcı haklarını denetlemeli ve neden yerel yönetici haklarına sahip olduklarını anlamalısınız. Bu politikayı ilk önce test etmeden ve etkisini anlamadan tüm bilgisayarlarda etkinleştirmek istemezsiniz. Ne yazık ki hâlâ yükseltilmiş haklara ihtiyaç duyan programlar var ve bu politikanın uygulanması programların bozulmasına ve çalışmasının engellenmesine neden olabilir.

Kolayca bir rapor oluşturmak ve bunu CSV dosyasına aktarmak için Yerel Yöneticiler rapor Aracını kullanabilirsiniz.

Herhangi bir sorunuz varsa bunları aşağıdaki yorum bölümüne gönderin.