Yerel Yönetici Grubu Değişiklikleri: PowerShell ile Bildirim Alın

Bunu hayal et. Güvenlik uygulamalarıyla övünen bir şirkette çalışıyorsunuz. Güvenlik duvarları, IDS/IPS sistemleri var, rutin olarak güvenlik denetimleri gerçekleştiriyorlar, yamaları güncel tutuyorlar ve şüpheli bir durum ortaya çıktığı anda uyarı üreten gerçekten pahalı bir SIEM ürünü var. Çok önemli bir çalışanın bilgisayarında son derece hassas veriler bulunuyor ve günlük işlerini yürütüyor. Ona George diyeceğiz. George öğle yemeği için dışarı çıkmaya karar verir ancak bilgisayarını kilitlemeyi unutur. Bu başlı başına kötü bir uygulamadır ancak daha da kötüsü, eğer etrafta kimse yoksa George'un bilgisayarına halk tarafından erişilebilir. George'un öğle yemeğine yaklaşık 50 dakika kala hain bir kişi (ona Pete diyeceğiz), George'un masaüstü ekranında öylece duran bilgisayarını görür ve şansını denemeye karar verir.

George'un her an geri dönebileceğini bilen Pete'in, George'un bilgisayarına bir an önce erişmesi ve elinden geldiğince hızlı bir şekilde oradan ayrılması gerekiyor. Pete, bilgisayarındayken George'un etki alanı hesabının yerel bir yönetici olduğunu öğrenince kafasının içinde sessiz ve mutlu bir dans yapar. Pete artık bu bilgisayar üzerinde tam kontrole sahip. Pete, George'un şifresini bilmediğinden, başka bir yerel kullanıcı hesabı oluşturmaya ve bunu yöneticiler grubuna yerleştirip bilgisayarın adını almaya karar verir. Pete hızla ayrılır ve George'un geri döndüğünü görür. Pete artık o bilgisayarın kendisine ait olduğunu biliyor.

Etrafta dolaşıp ne yapabileceğini görmenin mutluluğunu yaşayan Pete hemen arabasına gidiyor, dizüstü bilgisayarını alıyor ve lobiye doğru ilerliyor. Bir sandalyenin hemen yanında ücretsiz bir ağ bağlantısı var. Pete, "Bu şirket çok davetkar" diye düşünüyor. Fişi prize takıyor, George'un bilgisayarına erişmeye çalışıyor, kimlik bilgileri isteniyor ve içeri giriyor.

Şirketinizde benzer bir senaryo yaşandı mı? Bunun olduğunu veya olacağını biliyor musun? Burada pek çok güvenlik sorunu yaşanıyordu ancak bunlardan biri yerel yöneticiler grubunu izlemiyordu. Eğer bu şirket bu grubu düzenli olarak izliyor olsaydı, bilinmeyen bir hesabın eklendiğini ve artık tam kontrole sahip olduğunu biliyor olabilirlerdi, ancak bunu yapmadılar ve George'un bilgisayarı tehlikeye girdi. Bu şirket gelecekte bunu nasıl önleyebilir? Bunun bir yolu basit, ücretsiz bir Windows PowerShell betiğidir.

Windows PowerShell çok güçlü bir betik dilidir ve birçok kullanıma sahiptir. Bu kullanımlardan biri, yerleşik e-posta işlevinin yanı sıra yerel veya uzak bilgisayarlardaki yerel kullanıcı hesaplarını numaralandırmaktır. PowerShell'i kullanarak George'un (ve diğer) bilgisayarlarını yerel yöneticiler grubundaki değişiklikler açısından rutin olarak sorgulayan ve yeni bir üye eklenirse otomatik e-postalar alacak bir komut dosyası oluşturabiliriz. Bunu nasıl yapacağımızı görelim. Ama önce, bu senaryoyla nelerin mümkün olduğuna dair bir gösteri.

Bu, birkaç bilgisayarda ilk kez çalıştırıldığında, üye listelerinin takip edildiği günlük dosyasını oluşturacaktır. Bu örnekte bunun ilk çalıştırma olduğunu ve dolayısıyla hiçbir değişiklik bulunamadığını görebilirsiniz.

İkinci kez çalıştırıyorum ve günlük dosyası oluşturulmuş olmasına rağmen her iki bilgisayarın da grup üyeliklerinde herhangi bir değişiklik olmadı.

Bu komut dosyası aşağıdaki içeriğe sahip bir CSV dosyası oluşturuyor. MDTSERVER bilgisayarının yerel yöneticiler grubu içinde iki üyesi varken localhost'un 4 farklı üyesi olduğuna dikkat edin.

Şimdi localhost üzerindeki gruba bir üye ekleyelim.

Son satırda, localhost'un son çalıştırılmasından bu yana yeni bir üyenin bulunduğunu görebiliyorum ve şimdi bunu bildiren bir e-posta aldım. CSV dosyası da bu etkinliği kaydetmiştir.

Şimdi betiği tekrar çalıştırıyoruz ve toplam 5 üye görüyor ancak e-posta bildirimi göndermiyor. Yalnızca değişikliklerle ilgili bildirimleri e-postayla gönderir, ancak herhangi bir sayıda farklı kritere göre bildirimde bulunacak şekilde kolayca değiştirilebilir.

Bu komut dosyası, denetim amacıyla PowerShell ile nelerin mümkün olduğuna dair yalnızca bir örnekti. İhtiyaçlarınıza uymuyorsa şablon olarak kullanın ve dilediğiniz gibi özelleştirin. PowerShell, temel veya geçici denetim hizmetlerine başlamak için harika bir araçtır ancak büyük, kurumsal ölçekte bir denetim çözümü oluşturmak için bunu tavsiye etmem. Kapsamlı bir denetim çözümü bu amaca uygun olmalıdır ve PowerShell'i her zaman tamamlayıcı olarak kullanabilirsiniz.