Grup İlkesi Düzenleyicisi nedir? Nasıl Erişilir ve Kullanılır?
Grup İlkesi Düzenleyicisi Nedir?
Grup İlkesi Düzenleyicisi, aynı etki alanındaki çok çeşitli ağ ve bilgisayar ayarlarının toplu olarak yönetilmesi ve yapılandırılması için merkezi bir yöntem sunan bir Windows aracıdır.
Grup İlkeleri en çok ağ yöneticileri için kullanışlıdır; böylece parola gereksinimlerini yapılandırabilir, programları başlatabilir ve kullanıcıların hangi uygulamaları veya ayarları değiştirebileceğini tanımlayabilirsiniz.
Bu Grup İlkesi ayarları koleksiyonlarına Grup İlkesi Nesneleri (GPO'lar) adı verilir. Microsoft, Grup İlkesi Yönetim Konsolu'nu (GPMC) ve bu sonuçta seçilen seçimleri bir Grup İlkesi Nesnesinde sağlayan bir program ek bileşeni sağlar. GPO, siteler, etki alanları veya kuruluş birimleri (OU) dahil olmak üzere seçilen Active Directory kapsayıcılarıyla ilgilidir.
Grup İlkesi Düzenleyicisi ile Neler Yapabilirsiniz?
Grup ilkeleri, ağ protokollerinin hangi sürümünün mevcut olduğunu kontrol eder ve parola kurallarını uygular. Kurumsal BT güvenliği, katı bir Grup Politikasının oluşturulması ve sürdürülmesiyle önemli ölçüde fayda sağlar. İyi BT güvenlik grubu politikalarına birkaç örnek:
- Kullanıcıların yönetilen kurumsal cihazlarına yükleyebileceği veya erişebileceği uygulamaları sınırlama
- USB sürücüleri gibi çıkarılabilir aygıtları devre dışı bırakın
- Daha güvenli protokollerin kullanımını zorunlu kılmak için TLS 1.0 gibi güvenli olmayan ağ protokollerini devre dışı bırakın
- Kullanıcının Denetim Masası'nı kullanarak hangi ayarları değiştirebileceğini sınırlayın. Örneğin, ekran çözünürlüğünü değiştirmelerine izin verin ancak VPN ayarlarını düzenlemeyin.
- Yukarıdaki ayarlardan herhangi birini değiştirememeleri için kullanıcıların gpedit'e erişimini engelleyin.
Grup İlkesi Düzenleyicisine Nasıl Erişilir
Grup İlkesi Düzenleyicisi'ni açmanın birkaç yolu vardır ancak muhtemelen Yerel Grup İlkesi Düzenleyicisi'ni Çalıştır'da açmanın en kolay yolu:
- Araç Çubuğu'nda Ara'yı tıklayın ve Çalıştır yazın
- Çalıştır komutuna 'gpedit.msc' yazın ve Tamam'ı tıklayın.
Grup İlkesi Düzenleyicisinin Bileşenleri
Grup İlkesi Düzenleyicisi penceresi solda liste görünümü, sağda ise bağlamsal görünümdür. Sol taraftaki bir öğeye tıkladığınızda, sağdaki ekran, solda seçilen öğeyle ilgili ayrıntıları gösterecek şekilde değişir.
Soldaki üst düzey düğümler Bilgisayar Yapılandırması ve Kullanıcı Yapılandırması'dır. Ağacı Bilgisayar Yapılandırması için açarsanız, farklı sistem davranışı özelliklerini yönetmek için mevcut seçenekleri keşfedebilirsiniz.
Örneğin, Bilgisayar Yapılandırması, Yönetim Şablonları, Denetim Masası, Kişiselleştirme altında, sağ tarafta Kilit ekranını görüntüleme gibi şeyler göreceksiniz:
Bu ayarları çift tıklayarak düzenleyebilirsiniz:
Grup İlkesi Düzenleyicisi'nde yüzlerce farklı ayar mevcuttur. Mevcut tüm ayarların tam listesi için lütfen Microsoft belgelerine bakın.
Yerel Grup İlkesi Düzenleyicisi Bileşenleri>
Grup İlkesi Düzenleyicisi Bilgisayar Yapılandırması ve Kullanıcı Yapılandırması olmak üzere iki ana bileşenden oluşur:
Bilgisayar Yapılandırması: Bu politikalar yerel bilgisayar için geçerlidir ve kullanıcı başına değişmez.
Kullanıcı Yapılandırması: Bu politikalar yerel makinedeki kullanıcılar için geçerlidir ve gelecekte bu yerel bilgisayardaki tüm yeni kullanıcılar için geçerli olacaktır.
Bu bileşenler, yöneticilerin özel ihtiyaçlarına uyacak şekilde özelleştirebilecekleri alt kategorileri içerir. Örneğin, Bilgisayar Yapılandırması'nda yöneticiler ağ ayarlarını, Windows bileşenlerini ve sistem hizmetlerini kontrol edebilir. Kullanıcı Yapılandırması bileşeni, yöneticilerin masaüstü yapılandırmaları ve uygulama kısıtlamaları gibi kullanıcıya özel seçenekleri yönetmesine olanak tanır.
Yerel Grup İlkesi Düzenleyici Konsolunu Kullanarak Güvenlik İlkesi Yapılandırma
Hangi GPO'ları ayarlamak istediğinize dair bir fikriniz olduğunda, değişiklikleri yapmak için Grup İlkesi Düzenleyicisi'ni kullanmak basit bir işlemdir.
Örneğin, bir şifre ayarını değiştirmek için:
- gpedit'te, Windows Ayarları, Hesap Ayarları, Şifre Politikası'nı tıklayın.
- Şifre karmaşıklık gereksinimlerini karşılamalıdır seçeneğini seçin
- Etkin'i ve ardından Uygula'yı tıklayın; değişikliğiniz bu yerel bilgisayarda gerçekleşir. Değişikliklerin GPO'lara kurumsal düzeyde uygulanması bu makalenin kapsamı dışındadır.
Grup İlkelerini Yönetmek için PowerShell nasıl kullanılır?
Birçok sistem yöneticisi, grup ilkelerini yönetmek için kullanıcı arayüzü yerine PowerShell'e geçiyor. PowerShell GroupPolicy cmdlet'lerinin bazı örnekleri şunlardır:
Yeni-GPO: Bu cmdlet yeni bir atanmamış GPO oluşturur. Yeni GPO'ya bir ad, sahip, etki alanı ve daha fazla parametre ekleyebilirsiniz
Get-GPOReport: Bu cmdlet, bir XML veya HTML dosyasındaki bir etki alanında bulunan tüm veya belirtilen GPO'ları döndürür
Get-GPResultantSetOfPolicy: Bu cmdlet, bir kullanıcı veya bilgisayar veya her ikisi için Sonuç İlke Kümesinin (RsoP) tamamını döndürür ve sonuçları içeren bir XML dosyası oluşturur.
Bu, GPO'larla ilgili sorunları araştırmanın yararlı bir yoludur. Belirli bir değere ayarlanmış bir politika, başka bir GPO tarafından üzerine yazılabilir ve bunu bulmanın tek yolu, bir kullanıcıya veya bilgisayara uygulanan gerçek değerleri bilmektir.
Invoke-GPUpdate: Bu cmdlet, bilgisayardaki GPO'ları yenilemenize olanak tanır
Grup İlkesi Düzenleyicisinin Sınırlamaları
Gpedit uygulaması, kuruluşunuzun tamamının güvenliğinin sağlanmasına yardımcı olması beklenen bir araç için oldukça basit bir uygulamadır. GPO güncellemeleri, ağdaki bilgisayarlarda veya yeniden başlatma sırasında farklı zaman aralıklarında gerçekleşir. Bu nedenle, değişiklikleriniz ile ağdaki tüm bilgisayarların bu değişikliği alması arasındaki süre bilinmiyor.
Grup İlkesi'nde yapılan değişiklikleri Active Directory'de sık sık izlemek çok önemlidir; bu değişiklikler, bilgisayar korsanlarının bir süre ağınızda kalmak ve gizli kalmak istediği bir siber saldırının ilk işaretleridir.
Saldırganlar, aynı gpedit aracını veya o sistemde etkinleştirdiğiniz korumaları geri alabilecek PowerShell'i kullanarak yerel grup ilkelerini değiştirebilir. Gpedit'in yerleşik bir yerel denetime sahip olmadığını belirtmekte fayda var; bu nedenle kuruluşunuzun güvende kalmasını sağlamak için tüm GPO değişikliklerini bağımsız olarak denetlemeniz gerekir. Bunun bir cevabı Lepide Veri Güvenliği Platformunu kullanmaktır.
Lepide Nasıl Yardımcı Olabilir?
Grup İlkesi değişiklikleriyle ilişkili riskler göz önüne alındığında, kuruluşların Grup İlkesi denetimine yönelik yapılandırılmış ve proaktif bir yaklaşıma sahip olması önemlidir. Lepide Auditor for Group Policy, değişikliklerin kimin, ne, nerede ve ne zaman yapıldığını anında görmenizi kolaylaştırır ve hatta tüm Grup İlkesi Nesnesini önceki durumuna geri döndürmenize olanak tanır. Lepide Çözümü, 40'tan fazla önceden tanımlanmış Grup İlkesi denetim raporu ve gerçek zamanlı uyarılarla birlikte gelir; bu, aksi takdirde oldukça manuel olacak bir süreci kolaylaştırır.
Aşağıda, tüm Grup İlkesi Nesne Değişikliklerini gösteren, Grup İlkesi için Lepide Denetçisinden alınan bir rapor örneği verilmiştir:
Bu raporu çalıştırmak için:
- Durumlar ve Davranış penceresinden Grup Politikası Raporları, Grup Politikası Nesnesi Değiştirildi'yi seçin.
- Bir zaman dilimi seçin
- Rapor Oluştur'u tıklayın
- Rapor çalışacak ve değiştirilen tüm grup ilkesi nesnelerini gösterecektir. Gruplandırılabilir, filtrelenebilir, kaydedilebilir ve dışa aktarılabilir
Ayrıca, bir grup ilkesi nesnesi değiştirildiğinde anında bilgilendirilebilmeniz ve gerekirse anında düzeltici önlem alabilmeniz için bir uyarı oluşturmak da mümkündür.