DERS 3: GÜVENLİK YÖNETİMİ

-Yerel bilgisayar üzerinde güvenlik düzenlemelerini yapmak.

-Güvenlik şablonlarını öğrenmek.

-Güvenlik şablonlarını uygulamak.

I. GÜVENLİK YÖNETİMİ

Windows 2000 ortamındaki güvenlik, disk üzerindeki verilerin iyi bir şekilde organize edilmesine ve izinlerinin (permission) düzenlenmesine, kullanıcı ve grup tanımlamalarının iyi bir şekilde yapılmasına ve özellikle güvenlik için tasarlanmış Security Policy, Auditing gibi düzenlemelerin yapılmasına bağlıdır.

A. SECURİTY POLİCY DÜZENLEMELERİ

Security Policy düzenlemeleri bilgisayarlar (masaüstü) ve network üzerinde güvenlik düzenlemeleri yapmayı sağlar. Security Policy düzenlemesi yapmanın en etkin yolu security şablonlarının kullanılmasıdır. Bu şablonlar bilgisayarlara uygulanabilen düzenlemeleri içeren metin dosyalarıdır.

B. YEREL SECURİTY POLİCY UYGULAMAK

Yerel bilgisayar üzerinde güvenlik düzenlemeleri yapmak için Administrative Tools kullanılır.

1. Administrative Tools menüsünden Local Security seçeneğini seçin.

2. Konsol ağacını genişleterek istediniz bölüme tıklayın.

3. İstediğiniz düzenlemeyi yapın.

C. GÜVENLİK DÜZENLEMELERİ

Güvenlik amaçlı Grup Policy’lerinin kullanımı da şöyledir. Özellikle bilgisayarları yerel olarak ya da network üzerindeki çeşitli risklere karşı korumak için Grup Policy seçenekleri içinde yer alan güvenlik düzenlemeleri (Security Settings) kullanılır.

Security Settings özellikleri:

-Account Policies

-Local Policies

-Event Log

-Restricted Group

-System Services

-Registry

-Public

-Ip Security

Account Policy düzenlemeleri hesap için parola kuralları, account lockout kuralları ve Kerberos Versiyon 5 protokolü kurallarını konfigüre etmeyi sağlar. Bu düzenleme Windows NT’deki User Manager’da yer alan Policy düzenlemelerine benzer.

Local Policy düzenlemeleri ise local bilgisayar için yapılan auditing (denetim) düzenlemelerini içerir. Bu düzenlemeler kullanıcı izinlerinin verilmesi ve local bilgisayar için yapılacak diğer güvenlik düzenlemelerini içerir.

Event Log düzenlemeleri ise Event Viewer’da yer alan application log, system log ve security log için yapılan kapasite, erişim ve bekleme gibi seçeneklerin düzenlenmesini sağlar.

Restricted Group seçeneği ise belli görevleri olan built-in grupların üyeliklerinin yönetilmesini sağlar. System Services düzenlemeleri ise bilgisayarda çalışan servislerin güvenlik başlatma seçeneklerinin düzenlenmesini sağlar. Registry düzenlemeleri ise resgistry keyleri üzerinde güvenlik düzenlemeleri sağlar.

File System düzenlemeleri ise belli bir dosya path için güvenlik sağlar. Public Key Policies düzenlemeleri ise encrypted data recovery agentleri gibi düzenlemeleri sağlar.

IP Security Policy on Active Directory düzenlemeleri ise network Internet Protocol (IP) güvenliğinin konfigürasyonunu sağlar.

NOT: Bu dokümanlar Faruk Çubukçu tarafından hazırlanmıştır. Burada adı geçen ticari ünvanlar ve markalar bilgi amaçlı kullanılmışlardır ve kendi imtiyazlarına sahiptirler. Bu dokümanlar ticari amaçlı olarak kullanılmaz. Daha fazla bilgi için www.farukcubukcu.com adresine bakınız.

II. HAZIR ŞABLONLAR

Windows 2000, tek bir bilgisayar üzerinde güvenlik düzenlemelerinin daha kolay yapılabilmesi için hazır güvenlik şablonlarına sahiptir. Bu şablonlara Predefined Security Templates adı verilir.

-Basic

-Compatible

-Secure

-High

Basic

Basic şablonlar Windows 2000 için varsayım güvenlik düzeyini ifade ederler. Bu şablonları şu dosyalarda bulabilirsiniz:

İş istasyonları için: basicwk.inf

Sunucular için: basicsv.inf

Domin Controller için: basicdc.inf

Bu şablonları Winnt\security\templates klasöründe yer alır.

Compatible

Basic şablondan daha fazla güvenlik düzenlemesi sağlayan bu şablonun yeri: compatws.inf dosyasıdır.

Secure

Ek güvenlik düzenlemelerinin olduğu şablonlardır:

Sunucu ya da iş istasyonu için: securews.inf

Domain Controller bilgisayarlar için: securedc.inf

High

Windows 2000 için maksimum güvenlik sağlar. Uygulamalarla uyumluluğu olmayabilir.

Sunucu ya da iş istasyonu için: hisecws.inf

Domain Controller bilgisayarlar için: hisecdc.inf

A. ŞABLONLARI UYGULAMAK

Güvenlik düzenlemeleri (masaüstü kısıtlamaları, yapılandırma kısıtlamaları, vb) uygulayacağınız bilgisayar Active Directory domaininin bir parçası ise güvenlik düzenlemelerinin Active Directory nesneleri üzerindeki Group Policy’lerle uygulanacağınız unutmayın. Eğer bilgisayar bir Active Directory domaininin bir parçası değilse o zaman yerel bilgisayar için güvenlik şablonu aşağıdaki adımlarla uygulanır:

1. Administrative Tools menüsünden Local Security seçeneğini seçin.

2. Konsol ağacını genişleterek istediniz bölüme tıklayın.

3. Security Configuration and Analysis içinde Security Configuration and Analysis seçeneğini sağ tıklayın.

4. Open Database’e tıklayın.

5. Bir şablon dosyasını seçmek için Import Template’i tıklayın ve ardından Open’ı tıklayın.

6. Security Configuration and Analysis’ı sağ tıklayın ve ardından Configure System Now seçeneğini tıklayın.

Computer Configuration ve User Configuration Düzenlemeleri:

Güvenlik düzenlemeleri Computer Configuration ve User Configuration düzenlemeleri altında Windows Settings, Software Settings ve Administrative Templates başlıkları altında toplanır:

Computer Configuration:

Bu bölümde bilgisayarla ilgili olan masaüstü tasarımı, bilgisayar üzerindeki güvenlik politikalarının düzenlenmesi, uygulamalar ve startup/shutdown scriptleri gibi düzenlemeler yapılır. Computer Configuration başlığı altındaki düzenlemeler işletim sisteminin başlatılmasıyla (açılış) birlikte yürürlüğe girer.

User Configuration:

User Configuration başlığı altındaki düzenlemeler ise kullanıcı ile ilgili düzenlemeleri üstlenir. Bu düzenlemeler masaüstü düzenlemeleri, uygulamalar, logon/logoff scriptler gibi düzenlemelerdir. Bu düzenlemeler kullanıcının logon etmesiyle yürürlüğe girerler.

Computer ve User Configuration grup policy düzenlemelerinde üç kategori vardır:

-Software settings (yazılım düzenlemeleri)

-Windows Settings (Windows düzenlemeleri)

-Administrative Templates (Yönetim şablonları)

NOT: Bu bölümde Security Policies aracılığıyla yapılan güvenlik düzenlemeleri tek bir Windows 2000 Server ya da Professional için düzenlenmiş politikalardır. Windows 2000 Active Directory domaini çin yapılan bu düzenlemeleri Group Policy adı altında ileriki bölümlerde ele alınacaktır.

III. GRUP POLİCY’LERİN UYGULANMASI

GPO’lar bir Active Directory konteynırları ile ilişkilendirilir ya da bağlanır. Örneğin bir OU içindeki kullanıcılar için bir masaüstü kısıtlaması Admistrative Template’ler aracılığıyla yapılır. Grup policy’lerin GPO’ya uygulanması bir Active Directory yönetim işlemidir. Bu süreç içinde GPO’ların inheritance (düzenlemelerin alt nesneleri etkilemesi) özellikleri önemli rol oynar.

Group policy düzenlemeleri, Active Directory araçları ile domain ya da OU gibi nesnelerin üzerinde Properties iletişim kutuları aracılığıyla düzenlenir.

Group policy düzenlemeleri öncelikle iki bölüme ayrılır:

-Computer Configuration (Bilgisayar Düzenlemeleri)

-User Configuration (Kullanıcı Düzenlemeleri)

Ardından bu bölümler içinde şu bileşenlerden oluşan düzenlemeler yapılır:

-Administrative Templates (Yönetimsel Düzenlemeler)

-Security (Güvenlik düzenlemeleri)

-Software Installation (Yazılım kurulması)

-Scripts (scriptlerin çalıştırılması).

-Folder Redirection (Kullanıcı klasörlerinin yönlendirilmesi)

Yönetim amaçlı template’ler registry-temelli grup policy düzenlemeleridir. Bu düzenlemeler uygulamalar, masaüstü ayarları ve sistem servislerini kapsar. Windows bileşenleri, ağ kısıtlamaları ve mönü kısıtlamaları bu bölümde yapılır.

Güvenlik (security) düzenlemeleri ise lokal bilgisayar, domain ve ağ için güvenlik düzenlemeleri sağlar. Kullanıcı ve grupların özel haklar temelindeki izinleri ya da kısıtlamaları buradan yapılır.

Yazılım kurma işlemi ise yazılımların merkezi olarak kurulmasını, güncellenmesini ve kaldırılmasını sağlar.

Scriptler ise bilgisayar açıldığında, kapatıldığında ya da kullanıcıların logon ve logoff işleminde bir script’in çalıştırılmasını sağlar. Klasör düzenlemeleri ise kullanıcı klasörlerini ağ üzerinde saklamayı sağlar.

IV. UYGULAMA

Security Templates aracı için bir MMC tanımlayın:

1. Bilgisayara Administrator olarak logon olun.

2. Start menüsünden Run komutunu seçin.

3. Open iletişim kutusuna mmc yazın ve OK düğmesini tıklayın.

4. Console menüsünden Add/Remove Snap-in seçeneğini tıklayın.

5. Add düğmesini tıklayın.

6. Add Standalone Snap-in iletişim kutusunda Available Standalone Snap-in altında Security Configuration and Analysis seçeneklerinden Add düğmesini tıklayın, ardından Security Templates seçeneğini tıklayın ve ardından Add düğmesini tıklayın.

7. Close tıklayın.

8. Console menüsünden Save As seçeneğini kullanarak MyConsole1 adıyla Desktop dizinine kaydedin.

Security Templates’i çalıştırıp şablon uygulayın:

1. Security Templates üzerinde sağ tıklayın.

2. New Template seçeneğini seçin.

V. GÖZDEN GEÇİRME

1. Güvenlik düzenlemeleri için güvenlik şablonlarını uygulamak için hangi programdan yararlanırız?

2. Güvenlik şablonları nedir? Düzey olarak kaça ayrılır.

3. Disk üzerindeki bir klasöre yapılacak erişimi kontrol etmek için ne yapılır?

4. Güvenlik düzenlemeleri birer kısıtlama olarak bilgisayarın hangi özellikleri üzerinde yapılır.