GPO Güvenlik Filtrelemesi

Bu makale size PowerShell kullanarak GPO güvenlik filtrelemesinin tam analizini nasıl yapacağınızı gösterecektir.

GPO güvenlik filtrelemesinin nasıl çalıştığına ilişkin tam bir açıklama arıyorsanız bu bölüme gidin.

Bir GPO'nun güvenlik filtrelemesi, GPO ayarlarının hangi kullanıcı veya bilgisayarları etkileyeceğini sınırlamanıza ve GPO'nun yönetimini devretmenize olanak tanır.

Bir kullanıcıyı veya bilgisayarı hedeflemek için kullanıcıya/bilgisayara veya üyesi oldukları gruba Okuma ve Uygulama izinleri atamanız gerekir. Bu haklar normalde kimliği doğrulanmış kullanıcılara atanır; dolayısıyla kimin hedefleneceğini sınırlamak için bu varsayılan hakları kaldırın.

Bu makalede, tüm GPO'larınızın güvenlik filtrelemesine nasıl genel bir bakış elde edebileceğinize bir göz atacağız. İhtiyacınız olan tek şey PowerShell ve Excel.

(OU güvenlik filtrelemesi hakkında bilgi arıyorsanız bu makaleye göz atın).

PowerShell ile GPO İzinlerini Alın

Etki alanınızdaki tüm GPO'ları listelemek için aşağıdaki PowerShell komutunu kullanın:

$GPOs = Get-GPO -Al

GroupPolicy PowerShell modülünün sisteminizde mevcut olması gerekir: Windows istemcinize RSAT'yi yükleyin veya henüz yapmadıysanız sunucunuzdaki Install-WindowsFeature komutunu kullanın.

Tüm GPO nesnelerinizi sıkı bir şekilde kavrayarak erişim haklarını görmek için aşağıdaki PowerShell komutunu çalıştırabilirsiniz:

$ACLs = Get-GPPermission -Guid $GPO.Id -All

Her GPO için çeşitli erişim hakları yapılandırıldığından, bunları da yinelemeniz gerekecektir.

GPO'larınızın güvenlik ayarlarına ilişkin iyi bir genel bakış elde etmek için aşağıdaki bilgileri almanızı öneririm:

  • GPO adı
  • GPO GUID'i
  • mütevelli heyeti
  • Mütevelli heyetine verilen haklar
  • Mütevelli türü
  • Mal sahibi

Excel'e eklenen bu bilgiler sayesinde ortamınızdaki özel ayarları hızlı bir şekilde tanımlayabilmelisiniz.

Size bu bilgiyi sağlayacak tam komut dosyası burada listelenmiştir:

# Set up output file
$File = "GPO_Delegation.txt"
"Name;GUID;ID;Rights;Type;Owner" | Out-File $File
# Import GPO module
Import-Module GroupPolicy
# Get all GPO's in the domain
$GPOs = Get-GPO -All
$Result = @()
ForEach($GPO In $GPOs){
    # Get ACL of GPO
    $ACLs = Get-GPPermission -Guid $GPO.Id -All
    ForEach($ACL in $ACLs){
        # Objectify the result for easier handling
        $Properties = @{
            ACL = $ACL
            GPO = $GPO
        }
        $Result += New-Object psobject -Property $Properties
    }
}
ForEach ($Item In $Result){
    $Output = $Item.GPO.DisplayName + ";" + $Item.GPO.Id + ";" + $Item.ACL.Trustee.Name + ";" + $Item.ACL.Permission + ";" + $Item.ACL.Trustee.SidType + ";" + $Item.GPO.Owner
    $Output | Out-File $File -Append
    Write-Host $Output
}

Asıl işi yapan yalnızca birkaç satır koddur. Gerisi, Excel'e kolay içe aktarma için sonucun biçimlendirilmesiyle ilgilidir.

Betik aşağıdakine benzer bir çıktı üretecektir:

Default Domain Policy;31b2f340-016d-11d2-945f-00c04fb984f9;Domain Admins;GpoCustom;Group;GIGACORP\Domain Admins
Default Domain Policy;31b2f340-016d-11d2-945f-00c04fb984f9;Enterprise Admins;GpoCustom;Group;GIGACORP\Domain Admins
Default Domain Policy;31b2f340-016d-11d2-945f-00c04fb984f9;SYSTEM;GpoEditDeleteModifySecurity;WellKnownGroup;GIGACORP\Domain Admins
Default Domain Policy;31b2f340-016d-11d2-945f-00c04fb984f9;Authenticated Users;GpoApply;WellKnownGroup;GIGACORP\Domain Admins
Default Domain Policy;31b2f340-016d-11d2-945f-00c04fb984f9;ENTERPRISE DOMAIN CONTROLLERS;GpoRead;WellKnownGroup;GIGACORP\Domain Admins
Default Domain Controllers Policy;6ac1786c-016f-11d2-945f-00c04fb984f9;Domain Admins;GpoCustom;Group;GIGACORP\Domain Admins
Default Domain Controllers Policy;6ac1786c-016f-11d2-945f-00c04fb984f9;Enterprise Admins;GpoCustom;Group;GIGACORP\Domain Admins
Default Domain Controllers Policy;6ac1786c-016f-11d2-945f-00c04fb984f9;SYSTEM;GpoEditDeleteModifySecurity;WellKnownGroup;GIGACORP\Domain Admins
Default Domain Controllers Policy;6ac1786c-016f-11d2-945f-00c04fb984f9;Authenticated Users;GpoApply;WellKnownGroup;GIGACORP\Domain Admins
Default Domain Controllers Policy;6ac1786c-016f-11d2-945f-00c04fb984f9;ENTERPRISE DOMAIN CONTROLLERS;GpoRead;WellKnownGroup;GIGACORP\Domain Admins
802.1x LAN Authentication;b2fdd239-3def-4af9-a53e-6fae160bb1af;G.C.802_1x_LAN_Computers;GpoApply;Group;GIGACORP\Domain Admins
802.1x LAN Authentication;b2fdd239-3def-4af9-a53e-6fae160bb1af;Domain Admins;GpoEditDeleteModifySecurity;Group;GIGACORP\Domain Admins
802.1x LAN Authentication;b2fdd239-3def-4af9-a53e-6fae160bb1af;Enterprise Admins;GpoEditDeleteModifySecurity;Group;GIGACORP\Domain Admins
802.1x LAN Authentication;b2fdd239-3def-4af9-a53e-6fae160bb1af;ENTERPRISE DOMAIN CONTROLLERS;GpoRead;WellKnownGroup;GIGACORP\Domain Admins
802.1x LAN Authentication;b2fdd239-3def-4af9-a53e-6fae160bb1af;Authenticated Users;GpoRead;WellKnownGroup;GIGACORP\Domain Admins
802.1x LAN Authentication;b2fdd239-3def-4af9-a53e-6fae160bb1af;SYSTEM;GpoEditDeleteModifySecurity;WellKnownGroup;GIGACORP\Domain Admins
Computer Certificate Autoenroll;c5985d6f-e519-4fa3-9260-fbe289be7b56;Authenticated Users;GpoApply;WellKnownGroup;GIGACORP\Domain Admins
Computer Certificate Autoenroll;c5985d6f-e519-4fa3-9260-fbe289be7b56;Domain Admins;GpoEditDeleteModifySecurity;Group;GIGACORP\Domain Admins
Computer Certificate Autoenroll;c5985d6f-e519-4fa3-9260-fbe289be7b56;Enterprise Admins;GpoEditDeleteModifySecurity;Group;GIGACORP\Domain Admins
Computer Certificate Autoenroll;c5985d6f-e519-4fa3-9260-fbe289be7b56;ENTERPRISE DOMAIN CONTROLLERS;GpoRead;WellKnownGroup;GIGACORP\Domain Admins
Computer Certificate Autoenroll;c5985d6f-e519-4fa3-9260-fbe289be7b56;SYSTEM;GpoEditDeleteModifySecurity;WellKnownGroup;GIGACORP\Domain Admins

Üretim ortamınızda çıktı elbette çok daha büyük olacaktır.

Daha fazla analiz için verileri kolayca Excel'e aktarmak üzere GPO_Delegation.txt çıktı dosyasını açın.

Excel ile GPO Güvenlik Filtrelemesini Analiz Edin

Veriler önceki komut dosyasıyla dışa aktarıldıktan sonra, Excel'i kullanarak verilere daha yakından bakmanın zamanı geldi.

“GPO_Delegation.txt” çıktı dosyasının içeriğini Excel'e kopyalayın, sütun ayırıcı olarak noktalı virgül kullanın ve üst satırda bir filtre oluşturun:

Yapılandırılmış güvenlik filtrelemesine ilişkin daha fazla ayrıntı için GPO'nun güvenlik sekmesini kontrol edebilirsiniz.

Grup İlkesi Yönetim Konsolu'nda GPO'yu tanımlayın, sağ tıklayın ve Düzenle'yi seçin:

GPO'ya sağ tıklayın ve Özellikler'i seçin:

GPO'nun özel temsilcisine ilişkin tam bilgi için Güvenlik sekmesindeki erişim haklarına göz atın:

Özet

İşte buyur. GPO'larınızda özel güvenlik filtrelemesine genel bir bakış elde etmek göz korkutucu bir görev gibi görünebilir. Ancak bunu başarmak aslında oldukça kolaydır.

Active Directory GPO'larına erişim haklarının devredilmesi her zaman En Az Ayrıcalık İlkesine uygun olmalıdır. PowerShell ve Excel kullanarak kurulumunuzu derinlemesine kolayca inceleyebilirsiniz.

İlgili makaleler