Doğru Yapmanız Gereken 6 Grup İlkesi Ayarı

Grup İlkesi, Windows Server Active Directory'nin parçası olan bir yapılandırma yönetimi teknolojisidir. Cihazlar arasında tutarlı ve güvenli bir kurulum yaptığınızdan emin olmak için Windows istemci ve sunucu işletim sistemlerindeki ayarları yapılandırmak için kullanılabilir. Grup İlkesi nesnelerinizi (GPO'lar) yapılandırırken kullanabileceğiniz kelimenin tam anlamıyla yüzlerce ayar vardır, ancak bu blog yazısında size, ortamınızda temel güvenliği sağlamak için doğru şekilde almanız gereken altı kritik Grup İlkesi güvenlik ayarını göstereceğim. .

Grup İlkesini Microsoft'un önerilen ayarlarına göre yapılandırmak istiyorsanız Güvenlik Uyumluluğu Araç Setini indirin. Kendi Grup İlkesi nesneleriniz için temel olarak kullanabileceğiniz Windows'un desteklenen tüm sürümleri için güvenlik temellerini ve önerilen tüm ayarları listeleyen ve açıklayan elektronik tabloları içerir. Bir etki alanının üyesi olmayan cihazlarınız varsa ayarları yapılandırmak için yerel politikayı kullanın. Araç seti, bağımsız cihazlarda yerel politika ayarlarının yönetilmesini kolaylaştıran özel bir uygulama içerir.

Uygulama Kontrolü (AppLocker)

Yetkisiz yazılımları makinelerinizden uzak tutmamak, kötü amaçlı yazılımların sistemleri ele geçirmesinin en önemli yollarından biridir. Sistem çapında değişiklikleri önlemek için son kullanıcılardan yerel yönetici ayrıcalıklarının kaldırılması önemli olsa da, bu kısıtlama tek başına kullanıcıların (veya oturum açmış kullanıcı hesapları bağlamında çalışan işlemlerin) ciddi zarar verebilecek kod çalıştırmasını önlemek için yeterli değildir. .

Bu sorunu çözmek için Microsoft Windows 7, sistem yöneticilerinin uygulama kontrol ilkelerini sistemlere hızlı bir şekilde uygulamasını sağlayan AppLocker'ı tanıttı. AppLocker, çalışabilecek işlemler, komut dosyaları ve yükleyicilerden oluşan bir beyaz liste oluşturarak çalışır. AppLocker ayarlarını, Bilgisayar Yapılandırması > Windows Ayarları > Güvenlik Ayarları > Uygulama Denetim İlkeleri > AppLocker altındaki Grup İlkesi'nde bulabilirsiniz.

Şekil 1. AppLocker ayarlarını Grup İlkesi'nde nerede bulabilirsiniz?

AppLocker'ın altında listelenen her kategori için kurallar oluşturmak üzere kategoriyi sağ tıklayın (örneğin, Yürütülebilir kurallar) ve menünün üst yarısındaki üç seçenekten birini seçin. Otomatik Olarak Kural Oluştur… seçildiğinde bir referans sistemi taranır ve güvenilir konumlarda kurulu yürütülebilir dosyalara dayalı olarak kurallar oluşturulur. Kuralları manuel olarak oluşturmaya karar verirseniz Varsayılan Kurallar Oluşturduğunuzdan emin olun; aksi takdirde Windows'taki sistemleri kullanılamaz hale getirebilecek kritik işlevleri devre dışı bırakma riskiyle karşı karşıya kalırsınız.

Bazı kuralları ayarladıktan sonra AppLocker 'ı sağ tıklayın ve menüden Özellikler 'i seçin. Yaptırım sekmesinde, etkinleştirmek istediğiniz kural kategorilerini tıklayın ve menüden Yalnızca denetim 'i seçin. Kurallarınızın bir süre denetim modunda çalışmasına izin verin ve herhangi bir sorun olup olmadığını görmek için Windows Olay günlüğünü kontrol edin. Kuralların önemli uygulamaları veya Windows özelliklerini engellemediğinden eminseniz ayarı Kuralları uygula olarak değiştirin.

AppLocker'ın politikaları uygulamadan önce Uygulama Kimliği hizmetinin cihazlarda çalışıyor olması gerekir. Windows 10'da AppLocker, Yerel Grup İlkesi düzenleyicisi aracılığıyla da yapılandırılabilir. Ancak Windows 10 ile Microsoft, yerel yöneticilerin atlatması zor olan daha sağlam bir uygulama kontrol teknolojisi olan Windows Defender Uygulama Denetimi'ni (önceki adıyla Device Guard) tanıttı.

Windows güncelleme

Windows Update, işletim sisteminin ve diğer yazılımların güncel kalmasını sağlayan kritik bir Windows bileşenidir. Kuruluşunuz Windows 10 kullanıyorsa cihazları düzeltme eki altında tutmak için Windows Update for Business'ı (WUfB) kullanmayı düşünün. Windows Server Update Services'tan (WSUS) farklı olarak WUfB, herhangi bir şirket içi altyapı gerektirmez ancak Windows 10 özellik ve kalite güncellemelerinin nasıl uygulandığı konusunda size bir miktar kontrol sağlar. Windows Update ve Windows Update'i bulabilirsiniz.

Bilgisayar Yapılandırması > Yönetim Şablonları > Windows Bileşenleri > Windows Update altındaki İş Grubu İlkesi ayarları.

Windows'un daha önceki bir sürümünü kullanıyorsanız, Otomatik Güncelleştirmeleri Yapılandır ve İntranet Belirtin'i kullanarak aygıtları dahili bir WSUS'ye veya System Center Configuration Manager Yazılım Güncelleştirme Noktasına (SUP) yönlendirmek için Grup İlkesi'ni kullanın Microsoft hizmet konumu ayarlarını güncelleyin. Windows Güncellemelerine sahip sürücüleri dahil etmeyin ve Otomatik yeniden başlatmalar için etkin saat aralığını belirtin gibi yararlı olabilecek pek çok başka ayar da vardır.

SMBv1 İstemcisini ve Sunucusunu Devre Dışı Bırakın

SMBv1'in bazı bileşenleri uygun güvenlikten yoksundur. 2017'yi hatırlarsanız, NotPetya virüsünün bu kadar hızlı yayılmasının yollarından biri SMBv1'deki kusurlardı. Microsoft, SMBv1 için zaten yamalar yayınlamış olmasına rağmen birçok kuruluş bunları uygulamamıştı.

Windows 10'un sonraki sürümlerinde, güvenli olmayan SMBv1 bileşenleri varsayılan olarak kaldırılmıştır. Ancak Windows 7, Windows 8 veya Windows 10'un önceki bir sürümünü kullanıyorsanız, SMBv1 bileşenini sisteminizden kaldırdığınızdan emin olmanız veya ihtiyaç duymayan tüm sunucu ve istemcilerde bunu devre dışı bırakmak için Grup İlkesi'ni kullanmanız gerekecektir. BT.

SMBv1 sunucusunu devre dışı bırakmak için aşağıdaki anahtar yolu altında SMB1 adında bir REG_DWORD değeri oluşturun ve değerini 0 olarak ayarlayın:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters

SMBv1 istemcisini devre dışı bırakmak için iki kayıt defteri değeri oluşturun. Birincisi, Başlat adı verilen ve aşağıdaki anahtar yolu altında 4'e ayarlanması gereken REG_DWORD değeridir:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesmrxsmb10

İkincisi, DependOnService olarak adlandırılan REG_MULTI_SZ değeridir ve aşağıdaki yol altında “Bowser”,”MRxSmb20?”,”NSI” olarak ayarlanması gerekir:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanWorkstation

Grup İlkesi'nde yeni kayıt defteri öğelerini yapılandırmak için Bilgisayar Yapılandırması > Tercihler > Windows Ayarları'na gidin ve Kayıt Defteri'ni sağ tıklayın. Menüden Yeni > Kayıt Defteri Öğesi 'ni seçin ve ardından gerekli anahtar yolunu ve değeri ekleyin. Eylem alanının Güncelle olarak ayarlandığından emin olun.

Konuk Hesabını ve Yerel Yönetici Hesaplarını Devre Dışı Bırakın

Yerleşik konuk ve yerel yönetici hesapları, Windows 10'da varsayılan olarak devre dışıdır. Ancak bunun böyle kalmasını istiyorsanız, Grup İlkesi'ndeki hesapları her zaman devre dışı bırakılacak şekilde ayarlayın. Bu, özellikle etki alanı denetleyicileri gibi kritik sunucularda güçlü erişim denetimi sağlamak için önemlidir. Ayarları Bilgisayar Yapılandırması > Windows Ayarları > Güvenlik Ayarları > Yerel İlkeler > Güvenlik Seçenekleri altında bulabilirsiniz. Hem Hesaplar: Misafir hesabı durumu hem de Hesaplar: Yönetici hesabı durumu 'nu Devre Dışı olarak ayarlayın.

Çıkarılabilir Disklerde Yürütme Erişimini Reddet

Kullanıcıların çıkarılabilir medyaya okuma ve yazma yapmasına izin verebilir, ancak herhangi bir yürütülebilir dosyayı çalıştırmalarını engelleyebilirsiniz. AppLocker'ı kurduysanız bu ayar tartışmalı olabilir ancak birçok kuruluş uygulama kontrolünü kullanmaz. Her durumda, çıkarılabilir medyadaki yürütülebilir dosyaların engellenmesi, sistemlerin kötü amaçlı kodlardan korunmasına yardımcı olabilir.

Çıkarılabilir Diskler: Yürütme erişimini reddet ayarını Bilgisayar Yapılandırması > Yönetim Şablonları > Sistem > Kaldırılabilir Depolama Erişimi altında bulabilirsiniz.

Proxy Ayarlarında Değişiklikleri Önleyin

Kuruluşunuzun bir proxy sunucusu kullanıp kullanmadığına bakılmaksızın, kullanıcıların proxy ayarlarını değiştirmesini önlemek akıllıca olacaktır. En kötü ihtimalle, kötü niyetli proxy ayarları ağınızdaki tüm internet trafiğini yetkisiz bir aracı aracılığıyla yönlendirebilir; en iyi ihtimalle kullanıcıların internet kaynaklarına erişimini engelleyebilirler. Kullanıcıların Internet Explorer ve Microsoft Edge için proxy ayarlarını değiştirmesini durdurmak için, Kullanıcı Yapılandırması> Yönetim Şablonları > Windows Bileşenleri > Internet Explorer altında Proxy ayarlarının değiştirilmesini engelle seçeneğini Etkin olarak ayarlayın.

Çözüm

Bunlar, doğru şekilde yapılandırdığınızdan emin olmanız gereken altı Grup İlkesi ayarıdır. Grup İlkesi ayarlarını üretim ortamınızda uygulamadan önce, herhangi bir olumsuz etki yaratmayacağından emin olmak için bunları test etmeyi unutmayın. Microsoft'un önerdiği ayarların tam listesi için Güvenlik Uyumluluğu Araç Takımı'ndaki temel şablonları indirin.