[Çözüldü] Program tavsiyesi hk

Selamlar, aradığın ürün EPM (Endpoint Privilege Management) ya da PEDM (Privilege Elevation and Delegation Management) diye geçiyor. Yani genelde pahalı ürünler ne yazık ki. Şu andaki sisteminde bu ürün olmadığı için her ne kadar doğru görünse de eğer birisi local admin ise onu hiç bir şekilde durduramazsın. Ancak zaten ürünü satın aldıktan sonra sistem nasıl işliyor onu anlatayım. Örnek ben bu sistemleri 5 yıl aktif 8000 kişilik bir bankada kullandım. 

Bu ürünlerden birini alıyorsun, önce tüm adminleri local user yapıyorsun, sonra ajanları dağıtıyorsun, ne zaman ki makinede admin ihtiyacı oldu önüne talep düşüyor, örnek hakan kullanıcısı istinye şantiyedeki pc01 makinede sql.exe çalıştırmak istedi, bakıyorsun, bilgin dahilinde ise ( exe seviyesine inmene gerek yok, örnek yükleme, kaldırma için ilke yazarsın) hop onay veriyorsun,  o işi yapıyor ama admin olmuyor.

Eğer bütçen yok ise aşağıdaki bizim eski çözümleri deneyebilirsin; Ama bunlar uğraştırıcı yöntemler ve %100 çalışır demek doğru olmaz.

UAC ayarı: Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options altında "User Account Control: Behavior of the elevation prompt for standard users" = Prompt for credentials on the secure desktop. Bu, kullanıcı setup.exe çalıştırdığında şifre sorar.

Windows LAPS: Lokal Administrator hesabının şifresi her makinede farklı ve otomatik rotasyonlu olur. Helpdesk kurulum yapacağı zaman o makinenin anlık şifresini portaldan alır. Kullanıcı şifreyi öğrense bile 24 saat sonra geçersiz. LAPS olmadan bu modeli kurma, tek bir ortak lokal admin şifresi lateral movement açısından felaket. Tabi bu da %100 çözüm değil neden? 24 saat bir sistemi hacklemek için uzun bir süre.

AppLocker / App Control for Business (WDAC): Kullanıcı admin olmasa bile %AppData%, %Temp%, USB gibi yollardan portable exe çalıştırabiliyor. Bu dizinlerden execute engellenmeli.

BIOS/UEFI şifresi + USB/network boot kapalı + BitLocker: Aksi halde kullanıcı bir Windows USB'si ile açılıp lokal admin şifresini sıfırlar. Bu adım çoğu projede atlanıyor, sonra "nasıl oldu" deniyor 🙂

Bu paket işi görür ama her kurulum için helpdesk müdahalesi demektir. 250 kişide, üstelik şantiyelerde, bu ciddi bir yük, yani para var ise ürün al geç.

Ürün ne dersen, eğer Microsoft 365 E5 lisansın var ise Intune EPM

Ya da BeyondTrust, CyberArk, Delinea gibi ürünlere bakabilrsin. ThreatLocker var, Securden var, ürün çok yani bütçene göre.

teşekkürler Hakan hocam evet şantiyelerde internet sorunu da çok yaşıyoruz bağlanıp müdahale etme de bir mail kurmada bile bazen internet yüzünden sorunlar çıkıyor ama işte bilgisayarları da çok hor kullandıkları için bir kısıtlamaya gitmek de gerekiyordu , dediğiniz tüm ürünleri bir araştırayım.

çok teşekkürler.

Durumun çok zor, bir meslektaşın olarak söylüyorum, şirketi bilmiyorum ama en büyük inşaat firması bile özünde patron firması oluyor ve ne yazık ki IT' ye, Beton' a yaptığı kadar yatırım yapmıyor. TR' nin önde gelenleri ile çalışıyorum oradan biliyorum. Özetle az bütçe ile bu işi yönetmek zor, en kötü insan kaynağı ile çözmen gerekecek, sana kolaylıklar diliyorum.

Not: İstisnalar kaideyi bozmaz 🙂

Yok hocam nokta atışı yorum emin olabilirsiniz 🙂 

Benim yaş 46, var bizim de biraz hayat tecrübemiz 🙂