APP LOCKER
Windows 7 piyasaya sürüldükten sonra çeşitli özellikleriyle adından bahsettirmeye devam ediyor. Bu özelliklerden biri olan ve makalemizde bahsedeceğimiz APP Locker sayesinde kullanıcıların kullanmış olduğu uygulamalar üzerinde çeşitli sınırlılıklar getirebiliyoruz.
Bir çoğumuz Windows XP ve Windows Vista’dan hatırladığımız “Software Restirictions Policies” hakkında bilgi sahibiyiz. Tekrar hatırlayacak olursak, kaba tabirle SRP’ler sayesinde grop policy yardımıyla belirli kullanıcıların belirli uygulamaları çalıştırabilmelerine izin verebiliyor yada engelleyebiliyorduk. Fakat bu policy’leri çok sık olarak kullanmıyorduk. Bunun sebebi efektif olarak kullanılmaması ve kullanıcılar SRP’ler yoluyla uygulanan sınırlandırmalardan kaçınmak için çeşitli yolların bulunmasıydı.
4 tip SRP bulunmaktaydı;
1- Hash policy
2- Certificate policy
3- Path policy
4- Zone policy
Kısaca bahsedecek olursak hash policy sadece dosya belirlenen yerde belirlenen şekilde bulunduğunda etkili olabiliyordu. Günümüz uygulamaları rutin olarak updete olduğu için bu özellik önemini yitirmiştir.
Path policy ile uygulama yollarına sınırlılıklar getirebiliyorduk. Fakat uygulamaların standart bir yolunun olmaması bu policy’ide önemsiz kılmıştır.
Certificate policy şüphesiz SRP ler içinde en etkili olanıdır.Fakat bu özelliğinde sınırlılıkları söz konusudur. İlk olarak tüm uykulama yayınlayıcıları sertifika kullanmamaktadır. Şayet kullanan yayınlayıcılara bu policy’i uygulamak istediğimizde de bu kural yayınlayıcının tüm uygulamalarına sınırlandırma getirecektir. Buda istemeyeceğimiz bir şeydir. Örneğin; microsoft sertifikasına sınırlama getirdiğimizde bu onun tüm uygulamalarından mahrum olacağımız anlamına gelir.
Zone policy ise belirli internet sitelerinden indirilen uygulamaları sınırlandırır. Fakat uygulama daha önceden diskte mevcut ise bunun için bir şey yapamaz.
Tüm bu sınırlılıkları oluştururken administrator çok dikkat li olmalıdır. Çünkü SRP lerle uygulanan kurallar genel çaplıdır ve istemediğimiz uygulamaları engellerken istediklerimizden de mahrum olabiliriz.
Nihayet SRP’nin bu eksik yönlerini gören microsoft windows 7 ile birlikte APP Locker yeniliğini geliştirmiştir. App Locker SRP lere göre çok daha kullanışlıdır ve SRP’lerde yaşadığığımız sınırlılıkları söz konusu değildir. Windows Server 2008 R2 ile de bu özellik server bazında geliştirilmiştir.
App Locker ile kullanılan karma kurallara bağlı olarak kullanıcının yetki dışı bir güncelleştirmeyi kurabilmesi yada ihtiyaç duyduğu bir güncelleştirmeyi yüklemesi engellenebilir.
Versiyon kontrolü ile kullanıcıların belirlenen minimum verisyonun altında uygulama yüklemeleri engellenmektedir. “Version Control” diye bir rule yoktur. Bu seçeneğe Publisher Rule altında erişilir.
Publisher Rule SRP’deki certifacte policy’e benzer. İkiside dijital imzalar üzerinden kısıtlama yaparlar. Aralarındaki fark Certificate Policy sadece yayınlayıcının kimliğini denetler. Publisher Rule ise sertifikada saklanan bilgiler doğrultusunda uygulamaları ve versiyonlarını bireysel olarak değerlendirir.
APP Locker’da SRP ler gibi grup policy üzerinden ayarlanır. Farklı olarak APP Locker’lar Rule Generation Wizard’ ı içermektedir. Bu sayede çok kolay şekilde policy oluşturma işlemi gerçekleşir.
Ayrıca “Automatic Rule Making Tool” ile uygulamalar için harddisk taranarak bir liste oluşturulabilir.
App Locker’ın import ve export özellikleri doğrultusunda, oluşturduğumuz rule’ları başka makinelere taşıyabilirz. Bu sayede domain üyesi olmayan makineleride merkezileştirebiliriz.
Şimdi bir uygulama yla makalemize devam edelim;
Öncelikle Windows 7 kurulu olan makinemizde çalıştır kısmına “gpedit.msc” yazarak grup policy editorü açıyoruz.
Sonra karşımıza Grup Policy Editor penceresi açılıyor. Burada App Locker’a ulaşmak için aşağıdaki yolu izliyoruz.
Computer Configuration\windows settings\Security Settings\Application Control Policies
Bu yolu izlediğimizde karşımıza aşağıdaki gibi App Locker’a ulaşıyoruz.
Resimdede görüldüğü gibi App Locker altında 3 tane başlık bulunuyor. Biz executable bir rule oluşturmak istediğimiz için executable rule seçeneğine sağ tıklayarak create new rule’u seçiyoruz.
Bu işlemin ardından aşağıdaki gibi adım adım kural oluşturacağımız pencere açılıyor. Next butonunu tıklayarak kuralımızı oluşturmaya başlıyoruz.
2. adım olan permissions kısmında kuraldan etkilenecek kullanıcıları belirliyoruz ve bu kullanıcıların bu uygulamaya erişime izin verilmesini yada verilmemesini ayarlıyoruz ve next tuşuna basarak ilerliyoruz.
3. adıma geldiğimizde karşımıza 3 seçenek çıkıyor. Bu üç seçeneğe değinecek olursak ilkinde uygulama yayıncısına, ikincisinde uygulama yoluna ve üçüncü olarak ise imzasız uygulamalara sınırlılıklar getirebiliyoruz. Biz Publisher seçeneğini seçerek diğer adıma geçiyoruz.
4. adımda browse butonuna tıklayarak kural uygulayacağımız uygulamayı seçiyoruz. Sonra altta bulunan oku istediğimiz düzeye getirerek verilen başlıklar bazında kısıtlamalar yapıyoruz. Ben file name düzeyinde bir kural uygulayacağım.
5. adımda eğer kuralımızın dışında kalmasını istediğimiz istisnai durumlar mevcut ise onları add butonuyla bu kuraldan etkilenmesini istemediğimiz dosyaları ekliyoruz ve next diyerek son adıma geçiyoruz.
Son adımda kuralımıza isim veriyoruz ve kural hakkında açıklama ekliyoruz. Ardından Create butonuna tıklayarak kuralımızı oluşturuyoruz.
Oluşumun ardından kural aşağıdaki gibi executable rules altında listeleniyor.
Eğer kuralda sonradan farklılık yapmak istersek kurala çift tıklayarak her türlü değişikliği gerçekleştirebiliriz.
Tüm bu özellikleriyle App Locker SRP’lerin gelişmiş ve daha pratik bir hali olarak önce Windows 7 ile sesini duyurmuştur. Daha sonra Windows Server 2008 R2 ile server platformlarına taşınmıştır. App Locker ile uygulamalar üzerinde daha kolay şekilde ve daha özelleştirilmiş kurallar uygulayabiliriz
FIRAT YAŞAR
