Merhaba

Dördüncü bölümün sonunda bir GPO’nun (Group Policy Object) kime ve hangi makineye uygulanacağını belirlemeyi öğrendik. Gerçek hayatta en sık karşılaşılan soru ise başka bir yerden gelir: GPO’yu oluşturdum, link ettim, ama istemcide ayar görünmüyor. Bu sorunun cevabı çoğu zaman GPO’nun kendisinde değil, GPO’nun istemciye ne zaman ulaştığında ya da ulaştıktan sonra neyin eksik kaldığındadır.

Bu bölümde önce Group Policy’nin istemcide ne zaman işlendiğini (açılış, oturum açma ve arka plan yenilemesi, senkron ve asenkron işleme, Fast Logon Optimization), ardından bir GPO uygulanmadığında izlenecek sistematik sorun giderme yolunu ele alıyoruz. Uygulama kısmında Satış kullanıcılarına bir ağ paylaşımından duvar kağıdı dağıtıyor ve düzeneği bilerek bozuyoruz. gpresult GPO’nun uygulandığını söylerken duvar kağıdı neden görünmüyor sorusunu adım adım çözüyoruz.

1. Group Policy İstemcide Ne Zaman İşlenir?

Bir GPO’nun ayarları istemciye üç farklı zamanda ulaşır:

Arka plan yenilemesinin süresi makinenin rolüne göre değişir:

Rastgele kaydırmanın nedeni basittir: yüzlerce istemcinin aynı saniyede domain controller’a gitmesini önlemek. Bu aralıklar Computer Configuration > Policies > Administrative Templates > System > Group Policy > Set Group Policy refresh interval for computers ayarıyla değiştirilebilir. Ayar tamamen kapalı bırakılmak yerine mümkün olduğunca varsayılanda bırakılmalıdır, çünkü çok kısa bir aralık domain controller’lar üzerinde gereksiz yük oluşturur.

Arka plan yenilemesinde iki ayrıntı önemlidir. Birincisi, istemci yalnızca değişen GPO’ları yeniden işler. Bunu GPO’nun iki parçasındaki sürüm numarasıyla anlar: AD’deki (Active Directory) GPC (Group Policy Container) nesnesinde ve SYSVOL’daki (System Volume) GPT (Group Policy Template) klasöründe aynı sürüm numarası tutulur. Sürüm numarası değişmediyse GPO yeniden işlenmez. İstisna olarak güvenlik ayarları, değişmemiş olsalar bile en az 16 saatte bir yeniden uygulanır. İkincisi, bazı ayarlar arka planda hiç uygulanmaz. Yazılım dağıtımı ve Folder Redirection gibi ayarlar kullanıcının oturumunu bozabileceği için yalnızca açılışta ya da oturum açmada işlenir.

2. Senkron ve Asenkron İşleme, Fast Logon Optimization

Açılış ve oturum açma sırasında GPO işleme iki şekilde olabilir:

Fast Logon Optimization, Windows 8 ve sonrasında, domain’e katılmış istemcilerde varsayılan olarak açıktır. Etkinken istemci, ağ hazır olmasa bile açılır ve GPO’ları asenkron işler. Bunun sonucu, yeni bir GPO’nun ya da değişikliğin ilk oturum açmada görünmemesi, ikinci oturum açmada görünmesidir. Bölüm 2‘de Drive Maps ve Bölüm 4‘te Loopback testlerinde gpupdate sonrası oturumu kapatıp yeniden açıyoruz demenin nedeni budur.

Senkron işlemeyi zorlamak için Computer Configuration > Policies > Administrative Templates > System > Logon > Always wait for the network at computer startup and logon ayarı kullanılır. Bu ayar oturum açmayı yavaşlatır, karşılığında güvenlik GPO’larının ilk oturum açmada uygulanmasını garanti eder. Kiosk, laboratuvar ve ortak kullanımlı bilgisayarlarda tercih edilebilir.

Bir başka kavram yavaş bağlantı (slow link) algılamasıdır. İstemci, domain controller’a olan bağlantısının hızı 500 kbps’in altındaysa bağlantıyı yavaş sayar ve yalnızca güvenlik ayarları ve Administrative Templates gibi sınırlı uzantıları işler. Eşik değeri Configure Group Policy slow link detection ayarıyla değiştirilebilir. gpresult çıktısındaki Group Policy slow link threshold: 500 kbps satırı bu değeri gösterir. VPN (Virtual Private Network) üzerinden bağlanan uzak kullanıcılarda GPO’ların kısmen uygulanmasının sık nedeni budur.

3. gpupdate: İşlemeyi Elle Tetiklemek

gpupdate komutu, arka plan yenilemesini beklemeden istemciyi GPO’ları işlemeye zorlar:

gpupdate /force bir sorun gidericinin ilk refleksidir ama her zaman yeterli değildir. Yazılım dağıtımı, Folder Redirection ve masaüstü ayarları gibi oturum açmada işlenen ayarlar için /force sonrasında oturumu kapatıp açmak gerekir. Computer Configuration tarafında yeniden başlatma gereken ayarlar için de aynısı geçerlidir. Uzaktan tetiklemek için, GPMC’de (Group Policy Management Console) bir OU’ya (Organizational Unit) sağ tıklayıp Group Policy Update… seçeneği kullanılabilir. Bu seçenek OU’daki bilgisayarlarda gpupdate /force çalıştırır ve istemcilerde güvenlik duvarı kurallarının uzaktan zamanlanmış görev oluşturmaya izin vermesini gerektirir.

4. Sorun Giderme Yöntemi: Soldan Sağa Bir Kontrol Listesi

Bir GPO uygulanmadığında rastgele denemek yerine aşağıdaki sırayla ilerlemek zaman kazandırır.

Her adım bir öncekini doğruladıktan sonra anlamlıdır:

İlk dört adım yönetim tarafında, son dört adım istemci ve domain controller tarafında çözülür. Uygulama bölümünde 6, 7 ve 8. adımlarda çalışacağız.

Kullanılan araçlar

Group Policy Results ile Group Policy Modeling arasındaki fark önemlidir. Results, istemcide gerçekten olanı raporlar. Modeling ise yalnızca AD’deki konfigürasyona bakarak tahmin yürütür. Bu yüzden neden uygulanmadı sorusuna Results, uygulanırsa ne olur sorusuna Modeling cevap verir.

Event log’daki yaygın olay kimlikleri

1058 ve 1129 genellikle DNS (Domain Name System) ya da SYSVOL erişim sorunlarına, 1085 ise belirli bir CSE’nin (örneğin Drive Maps ya da Registry) hatasına işaret eder.

5. Uygulama: Duvar Kağıdı GPO’su ve Bilerek Bozulan Paylaşım

Bu uygulamada Satış kullanıcılarına UNC (Universal Naming Convention) yolundan bir duvar kağıdı dağıtıyoruz. Duvar kağıdı bir ağ paylaşımında durur ve GPO yalnızca dosyanın yolunu verir. İstemci duvar kağıdını kendi kullanıcı kimliğiyle paylaşımdan okur. Paylaşım izinleri eksik olursa GPO uygulanmış görünür ama duvar kağıdı gelmez. Bu, GPO’nun kendisinde değil, GPO’nun işaret ettiği kaynakta bir sorun olduğunda yaşanan klasik durumdur.

Adım 1: Duvar kağıdını ve paylaşımı hazırlamak

Önce arayüzden yapıyoruz. Domain controller’da yönetici olarak oturum açıp şu adımları izliyoruz. Paylaşımı bilerek eksik izinle oluşturacağız: yalnızca yöneticiler erişebilecek, Satış kullanıcıları henüz listede olmayacak.

1. File Explorer‘ı açıp C:\ sürücüsüne gidiyoruz. Boş alana sağ tıklayıp New > Folder ile Shares adlı klasörü oluşturuyoruz. İçine girip aynı yöntemle Wallpaper adlı klasörü oluşturuyoruz. Sonuç yol <C:\Shares\Wallpaper olur.
2. Duvar kağıdı resmini bu klasöre wallpaper.png adıyla koyuyoruz. Hazır bir kurumsal duvar kağıdınız varsa kopyalayıp adını wallpaper.png yapın. Hazır resminiz yoksa bu lab için aşağıdaki PowerShell bölümündeki betiğin resim üreten kısmını kullanabilirsiniz. Resim 1920×1080 olmalı ve önemli içerik merkeze yakın durmalıdır, çünkü Fill yerleşimi kenarlardan kırpabilir.
3. Wallpaper klasörüne sağ tıklayıp Properties seçiyoruz ve Sharing sekmesine geçiyoruz.
4. Advanced Sharing… düğmesine tıklıyoruz. Share this folder kutusunu işaretliyoruz. Share name alanında Wallpaper yazdığından emin oluyoruz.
5. Permissions düğmesine tıklıyoruz. Varsayılan olarak listede Everyone için Read izni vardır. Everyone satırını seçip Remove diyoruz.
6. Add… düğmesine tıklıyoruz, nesne adı olarak Administrators yazıp Check Names ile doğruluyor ve OK diyoruz.
7. Administrators satırı seçiliyken Allow sütunundaki Full Control kutusunu işaretliyoruz. Apply ve OK ile pencereleri kapatıyoruz.

Paylaşım izinleri artık yalnızca Administrators için Full Control içerir. Satış kullanıcıları henüz paylaşımda yok.

PowerShell ile aynısını yapmak: Aynı klasörü, resmi ve paylaşımı betikle de oluşturabilirsiniz. Birden fazla sunucuda tekrar ediyorsanız işe yarar. Aşağıdaki komutlar yukarıdaki arayüz adımlarının karşılığıdır, ikisini birlikte çalıştırmayın. Resim üreten kısım arayüz kullananlar için de kullanışlıdır:

Domain controller’da Run as administrator (Yönetici olarak çalıştır) açılmış bir PowerShell penceresinde duvar kağıdı dosyasını üretiyor ve paylaşımı bilerek eksik izinle oluşturuyoruz:

New-Item -Path "C:\Shares\Wallpaper" -ItemType Directory -Force | Out-Null

Add-Type -AssemblyName System.Drawing
$bmp = New-Object System.Drawing.Bitmap 1920, 1080
$g = [System.Drawing.Graphics]::FromImage($bmp)
$g.Clear([System.Drawing.Color]::FromArgb(17, 24, 39))
$font = New-Object System.Drawing.Font("Segoe UI", 72, [System.Drawing.FontStyle]::Bold)
$g.DrawString("bakicubuk.tech", $font, [System.Drawing.Brushes]::White, 60, 440)
$bmp.Save("C:\Shares\Wallpaper\wallpaper.png", [System.Drawing.Imaging.ImageFormat]::Png)
$g.Dispose(); $bmp.Dispose()

New-SmbShare -Name "Wallpaper" -Path "C:\Shares\Wallpaper" -FullAccess "Administrators"
Get-SmbShareAccess -Name "Wallpaper"

Kendi ortamınıza uyarlarken:

Metni bilerek resmin ortasına koyuyoruz. Aşağıda Fill yerleşimini kullanacağız ve Fill, resmi ekranı tamamen kaplayacak şekilde büyütür. Ekranın en/boy oranı resimden farklıysa (örneğin 16:10 bir ekranda 16:9 resim) kenarlardan kırpar. Metin kenara yakın olursa harfler kesilir. Kurumsal duvar kağıdı hazırlarken önemli içeriği merkeze yakın tutmak iyi bir alışkanlıktır.

-FullAccess "Administrators" ile paylaşıma yalnızca yöneticiler erişebilir. Paylaşım arayüzden de betikle de oluşturulsa Get-SmbShareAccess çıktısında Wallpaper paylaşımı için yalnızca BUILTIN\Administrators satırı görünür. Bu komutla arayüzdeki sonucu doğrulayabilirsiniz.

Adım 2: Duvar kağıdı GPO’sunu oluşturmak ve link etmek

Duvar kağıdı ayarı, User Configuration > Policies > Administrative Templates > Desktop > Desktop > Desktop Wallpaper yolundaki politikadır. Önce arayüzden yapıyoruz. Arayüzün avantajı, ayarın kayıt defterine yazılacak değerlerini Windows’un kendisinin doğru biçimde üretmesidir.

2.1 GPO’yu oluşturmak

Domain controller’da Group Policy Management konsolunu (GPMC) açıyoruz. Sol ağaçta Forest: bakicubuk.tech > Domains > bakicubuk.tech altındaki Group Policy Objects düğümüne sağ tıklayıp New seçiyoruz.

Açılan New GPO penceresinde Name alanına U - Satis - Duvar Kagidi yazıyoruz. Source Starter GPO alanını (none) bırakıyoruz. Starter GPO, hazır bir şablondan GPO üretmek için kullanılır ve bu uygulamada gerekmez. OK ile pencereyi kapatıyoruz.

GPO listeye eklenir. Yeni GPO’ya sağ tıklayıp Edit seçiyoruz. Bu işlem Group Policy Management Editor penceresini açar. Pencere, GPO’nun ayarlarını düzenlediğimiz yerdir.

2.2 Politikayı yapılandırmak

Editörde iki ana düğüm vardır: Computer Configuration ve User Configuration. Duvar kağıdı kullanıcıya uygulanan bir ayar olduğu için User Configuration > Policies > Administrative Templates altına gidiyoruz. Bu düğümün başlığı, şablon ayarlarının ADMX (Administrative Template) dosyalarından okunduğunu gösterir. Bu dosyalar XML (Extensible Markup Language) biçimindedir. Burada Desktop klasörünü genişletiyoruz.

Dikkat edilecek bir ayrıntı var: Desktop klasörünün altında Active Directory ve Desktop adında iki alt klasör bulunur. Duvar kağıdı politikası, ikinci Desktop klasöründedir. Sağdaki listede Desktop Wallpaper satırının State değeri henüz Not configured görünür. Satır seçiliyken ortadaki bölüm politikanın ne yaptığını ve desteklediği dosya türlerini açıklar.

Desktop Wallpaper satırına çift tıklıyoruz. Pencerenin sol üstünde üç seçenek vardır:

• Not Configured: Politika tanımlı değildir. Varsayılan durumdur.
• Enabled: Politika uygulanır ve kullanıcı duvar kağıdını değiştiremez.
• Disabled: Duvar kağıdı politikası kapalıdır. Yardım metnine göre bu durum, ayarı hiç yapılandırmamakla aynı sonucu verir ve kullanıcı kendi duvar kağıdını seçebilir.

Enabled seçiyoruz. Options bölümündeki Wallpaper Name alanına \\W25DC\Wallpaper\wallpaper.png yazıyoruz. Alanın altında yerel yol ve UNC (Universal Naming Convention) yolu için örnekler görünür. Wallpaper Style listesi başlangıçta Center değerindedir.

Wallpaper Style listesini açıyoruz.

Altı seçenek vardır:

Kurumsal duvar kağıtları için en yaygın seçim Fill‘dir, çünkü ekranda boşluk bırakmaz. Bedeli, oran farkında kenarların kırpılmasıdır. Bu yüzden önemli içeriği merkeze yakın tutmak gerekir. Fill seçiyoruz ve Apply düğmesine tıklıyoruz. Apply değişikliği kaydeder ama pencereyi açık tutar. OK hem kaydeder hem pencereyi kapatır.

Pencereyi kapattığımızda sağdaki listede Desktop Wallpaper satırının State değeri Enabled olur.

Yardım metni dosya türü için bitmap ya da JPEG (Joint Photographic Experts Group) der. Bu lab’da PNG (Portable Network Graphics) dosyası da sorunsuz görüntülendi.

2.3 Computer tarafını kapatmak

Editörü kapatıp GPMC’ye dönüyoruz. GPO yalnızca User Configuration içerdiği için Computer tarafını kapatıyoruz. Böylece istemci, boş olan Computer bölümünü işlemekle uğraşmaz. GPO’ya sağ tıklayıp GPO Status alt menüsünü açıyoruz.

Dört seçenek vardır:

• Enabled: GPO’nun iki bölümü de etkindir. Yanındaki onay işareti mevcut durumu gösterir.
• User Configuration Settings Disabled: Yalnızca kullanıcı bölümü kapalıdır.
• Computer Configuration Settings Disabled: Yalnızca bilgisayar bölümü kapalıdır. Bizim seçimimiz budur.
• All Settings Disabled: GPO’nun tamamı kapalıdır.

Seçimden sonra GPO listesinde U - Satis - Duvar Kagidi satırının GPO Status sütunu Computer configuration settings disabled olur. Satış OU’sundaki diğer GPO’larla aynı durumdadır.

Sol ağaçta LAB > Kullanicilar > Satis OU’sunu seçiyoruz. Sağ bölümde bu OU’ya zaten link edilmiş iki GPO görünür: U - Satis - Ekran Kilidi ve U - Satis - Tercihler. OU’ya sağ tıklayınca iki link seçeneği çıkar:

• Create a GPO in this domain, and Link it here…: GPO’yu tek adımda hem oluşturur hem link eder. Kısayoldur.
• Link an Existing GPO…: Var olan bir GPO’yu OU’ya bağlar. GPO’yu zaten oluşturduğumuz için bunu seçiyoruz.

Açılan Select GPO penceresinde Look in this domain alanı bakicubuk.tech olarak gelir. Group Policy objects listesinden U - Satis - Duvar Kagidi seçip OK diyoruz.

Link tamamlandığında GPO, Satis OU’sunun Linked Group Policy Objects listesinde üçüncü sırada görünür. Enforced değeri No, Link Enabled değeri Yes, GPO Status değeri Computer configuration settings disabled, WMI (Windows Management Instrumentation) filtresi sütunu olan WMI Filter değeri None olmalıdır.

Link Order sütunu önceliği gösterir. 1 numaralı link en yüksek önceliğe sahiptir ve aynı ayar birden fazla GPO’da çakışırsa o kazanır. Yeni link listenin sonuna eklendiği için duvar kağıdı GPO’su en düşük öncelikli sıradadır. Ekran Kilidi ve Tercihler GPO’larında duvar kağıdı ayarı yoksa çakışma olmaz. Duvar kağıdı ileride beklenmedik biçimde değişirse Group Policy Inheritance sekmesinden hangi GPO’nun kazandığına bakabilirsiniz. Bu GPO’da Security Filtering’i varsayılan Authenticated Users olarak bırakıyoruz. Böylece Satış kullanıcıları GPO’yu okuyabilir ve MS16-072 sorunu devreye girmez.

Kendi ortamınıza uyarlarken:

Adım 3: İstemcide sonucu görmek, GPO uygulanmış ama duvar kağıdı yok

İstemcide nihat.cubuk ile oturum açıyor, bir PowerShell penceresinde şu komutları çalıştırıyoruz:

gpupdate /force
gpresult /r /scope user

Oturumu kapatıp açıyoruz ve masaüstüne bakıyoruz. gpresult çıktısında Applied Group Policy Objects altında U - Satis - Duvar Kagidi görünür. Yani GPO kapsamda, filtrelerden geçmiş ve işlenmiştir. Buna rağmen masaüstünde duvar kağıdı yoktur, arka plan düz siyahtır. Settings > Personalization > Background sayfasında ise Some of these settings are managed by your organization uyarısı görünür ve arka plan seçeneği gri ve değiştirilemez durumdadır. Bu, arka planı bir politikanın yönettiğini ama politikanın gösterdiği resmin yüklenemediğini söyler.

Bu noktada kontrol listesinin 7. adımına geliyoruz: GPO işlendi ama ayar görünmüyor. Önce ayarın istemcide kayıt defterine gerçekten yazılıp yazılmadığına bakıyoruz:

Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Policies\System" | Select-Object Wallpaper, WallpaperStyle

Kendi ortamınıza uyarlarken:

Çıktıda Wallpaper değeri \\W25DC\Wallpaper\wallpaper.png, WallpaperStyle değeri 10 olarak görünür. Politika istemciye ulaşmış ve kayıt defterine yazılmıştır. Demek ki sorun GPO’da değil, GPO’nun işaret ettiği dosyaya erişimdedir.

Bunu kullanıcının kendi kimliğiyle doğruluyoruz:

Get-Item "\\W25DC\Wallpaper\wallpaper.png"

Kendi ortamınıza uyarlarken:

Komut iki hata verir. İlk hata Access is denied (UnauthorizedAccessException), ikincisi Cannot find path ... because it does not exist (PathNotFound) hatasıdır. Çıktıda iki hatanın CategoryInfo satırı da farklıdır: ilki PermissionDenied, ikincisi ObjectNotFound der. Dosya aslında yerinde durduğu için ikinci hata yanıltıcıdır. Windows, paylaşıma erişim izni olmayan kullanıcıya bazen bu iki mesajı birlikte verir. Gerçek neden ilk hatadır: kullanıcı, paylaşım izin listesinde olmadığı için dosyaya erişemez. Windows duvar kağıdını oturum açarken yükleyemediği için masaüstü siyah kalır ve kullanıcıya bir hata göstermez. Politikanın yardım metni de aynı şeyi söyler: dosya kullanıcı oturum açarken erişilebilir değilse hiçbir duvar kağıdı gösterilmez.

Adım 4: Paylaşıma okuma izni vermek

Sorunun nedeni belli: GG_Satis grubu paylaşım izin listesinde yok. Domain controller’da bu gruba paylaşımda okuma izni veriyor ve NTFS izinlerini kontrol ediyoruz. Önce arayüzden yapıyoruz.

4.1 Paylaşım iznini eklemek

1. File Explorer’da C:\Shares\Wallpaper klasörüne sağ tıklayıp Properties seçiyoruz ve Sharing sekmesine geçiyoruz.
2. Advanced Sharing… düğmesine, ardından Permissions düğmesine tıklıyoruz. Listede şu an yalnızca Administrators vardır.
3. Add… düğmesine tıklıyoruz. Select Users, Computers, Service Accounts, or Groups penceresinde nesne adı olarak GG_Satis yazıp Check Names ile doğruluyoruz. Ad altı çizili görünüyorsa grup bulunmuş demektir. OK diyoruz.
4. Listede GG_Satis seçiliyken Permissions for GG_Satis bölümüne bakıyoruz. Yeni eklenen bir hesap varsayılan olarak yalnızca Read için Allow ile gelir. Bu bizim istediğimiz izindir. Change ve Full Control kutularını işaretlemiyoruz.
5. Apply ve OK ile tüm pencereleri kapatıyoruz.

Duvar kağıdı için Read yeterlidir. Kullanıcıların dosyayı değiştirebilmesi ya da silebilmesi için bir neden yoktur ve bu izin bir güvenlik riski oluşturur.

4.2 NTFS iznini kontrol etmek

Paylaşım izni tek başına yetmez. Dosyaya erişebilmek için paylaşım izni ve NTFS izni birlikte değerlendirilir ve ikisinin kesişimi, yani daha kısıtlayıcı olanı geçerli olur.

Bu yüzden klasörün NTFS iznine de bakıyoruz:

1. Wallpaper klasörünün Properties penceresinde bu kez Security sekmesine geçiyoruz.
2. Group or user names listesinde Users grubunu seçiyoruz. Alt bölümde Read & execute, List folder contents ve Read için Allow işaretli olmalıdır.
3. C:\ altında oluşturulan klasörler bu izni üst klasörden miras alır. Satış kullanıcıları Users grubunun üyesi olduğu için ek bir NTFS değişikliği gerekmez.

Bir kullanıcının klasöre fiilen hangi NTFS izinleriyle eriştiğini görmek için Effective Access aracı kullanılır. Security sekmesinde Advanced düğmesine, açılan pencerede Effective Access sekmesine tıklıyoruz. Select a user bağlantısından nihat.cubuk kullanıcısını seçip View effective access diyoruz. Okuma ile ilgili satırlarda (Traverse folder / execute file, List folder / read data, Read attributes, Read extended attributes, Read permissions) yeşil onay işareti görünmelidir. Yazma, silme ve izin değiştirme satırlarında kırmızı çarpı olmalıdır.

Üçüncü sütun olan Access limited by, çarpılı bir iznin hangi katman yüzünden verilmediğini söyler. Araç paylaşım izinlerini de hesaba katar. Share yazıyorsa sınırlamayı paylaşım izni, File Permissions yazıyorsa NTFS izni koymuştur. Örneğin Create files / write data satırında yalnızca Share yazar: Users grubunun NTFS iznine göre klasöre dosya yazılabilir, ama GG_Satis paylaşımda yalnızca Read aldığı için ağ üzerinden yazılamaz. Full control, Delete ve Change permissions satırlarında ise iki katman da kısıtlar. Bu sütun, hangi katmanda eksik izin var sorusunu tek bakışta cevaplar.

PowerShell ile aynısını yapmak: Aynı izinleri betikle de verebilir ve kontrol edebilirsiniz. Aşağıdaki komutlar yukarıdaki arayüz adımlarının karşılığıdır, ikisini birlikte çalıştırmanız gerekmez:

Grant-SmbShareAccess -Name "Wallpaper" -AccountName "GG_Satis" -AccessRight Read -Force
Get-SmbShareAccess -Name "Wallpaper"
icacls "C:\Shares\Wallpaper"

Kendi ortamınıza uyarlarken:

Arayüzden de betikle de verilse Get-SmbShareAccess çıktısında artık GG_Satis için Read görünür. Bu komutla arayüzdeki sonucu doğrulayabilirsiniz. icacls çıktısında C:\Shares\Wallpaper klasöründe BUILTIN\Users için (I)(OI)(CI)(RX) ya da benzer bir okuma izni varsa NTFS tarafı da tamamdır. Varsayılan olarak C:\ altında oluşturulan klasörler Users grubuna okuma izni miras alır, bu yüzden ek bir NTFS değişikliği gerekmez.

İstemcide oturumu kapatıp nihat.cubuk ile yeniden açıyoruz. Duvar kağıdı bu kez masaüstünde görünür. gpupdate /force çalıştırmak gerekmez, çünkü GPO’da değişiklik olmadı. Sorun GPO’nun işaret ettiği kaynaktaydı.

Adım 5: Ayrıntılı rapor ve event log

Bu noktaya kadar gpresult /r kullandık. Sorun gidermede daha çok bilgi veren çıktı HTML (HyperText Markup Language) raporudur. Raporu istemcide (W11CLIENT), nihat.cubuk oturumunda açılmış bir PowerShell penceresinde üretiyoruz:

New-Item -Path "C:\Temp" -ItemType Directory -Force | Out-Null
gpresult /h C:\Temp\gpreport.html /f
Start-Process C:\Temp\gpreport.html

Kendi ortamınıza uyarlarken:

Rapor tarayıcıda açılır.

Bölümleri şunlardır:

• Summary: Son kullanıcı politikası yenilemesinin zamanı ve bağlantı bilgisi (A fast link was detected). Computer Details altında No data available yazması normaldir. Standart bir kullanıcı bilgisayar politikası verisini okuyamaz. Bilgisayar tarafı için yükseltilmiş bir oturum gerekir.
• User Details: Kullanıcı adı, domain, Organizational Unit (bakicubuk.tech/LAB/Kullanicilar/Satis) ve Security Group Membership listesi. Listede BAKICUBUK\GG_Satis ve Authenticated Users görünür. Security Filtering sorunlarında ilk bakılacak yer burasıdır.
• Component Status: Her CSE’nin (Client-Side Extension) en son işlenme zamanı ve durumu (Group Policy Registry, Group Policy Drive Maps, Group Policy Shortcuts, Group Policy Infrastructure). Hepsi Success olmalıdır.
• Settings: Her ayarın değeri ve hangi GPO’nun kazandığı (Winning GPO). Duvar kağıdı politikası Administrative Templates > Desktop/Desktop altında Desktop Wallpaper / Enabled olarak, yol ve Wallpaper Style: Fill değerleriyle görünür. Kazanan GPO U - Satis - Duvar Kagidi‘dir. Ekran kilidi ayarları Control Panel/Personalization altında, sürücü eşleme, kayıt defteri ve kısayol ayarları Preferences altında listelenir.
• Group Policy Objects: Applied GPOs altında üç GPO ve her biri için Link Location, Extensions Configured, Security Filters, Revision (örneğin AD (3), SYSVOL (3)) bilgisi vardır. Denied GPOs altında Local Group Policy görünür.

Sorun gidermede Revision satırı değerlidir: AD ve SYSVOL numaraları aynı olmalıdır. Farklıysa Active Directory ile SYSVOL arasında replikasyon sorunu olabilir. Bunu Adım 7’de komutla da kontrol edeceğiz.

Aynı raporu GPMC’den uzaktaki bir bilgisayar için üretmek için Group Policy Results düğümüne sağ tıklayıp Group Policy Results Wizard… seçiyoruz. Sihirbazın Computer Selection adımında Another computer seçeneğini işaretleyip kutuya BAKICUBUK\W11CLIENT yazıyoruz (ya da Browse… ile seçiyoruz). Altındaki Do not display policy settings for the selected computer in the results kutusunu işaretsiz bırakıyoruz. Bu kutu işaretlenirse rapora bilgisayar tarafı girmez. Sonraki adımda kullanıcı olarak BAKICUBUK\nihat.cubuk seçilir. Bu yöntemde bilgisayar tarafı da rapora dahil olur, çünkü sihirbaz yönetici yetkisiyle çalışır.

Bu raporda Extensions Configured satırında Registry yazması dikkat çekicidir. Duvar kağıdı gibi Administrative Templates ayarları sistemin kendi Registry eklentisiyle işlenir. Bunu bir sonraki event log adımında göreceğiz.

Event log’a bakmak için istemcide, Run as administrator (Yönetici olarak çalıştır) açılmış bir PowerShell penceresinde şu komutu çalıştırıyoruz:

Get-WinEvent -FilterHashtable @{LogName="Microsoft-Windows-GroupPolicy/Operational"; Id=5312,4016,5016,8001} -MaxEvents 12 | Select-Object TimeCreated, Id, Message | Format-Table -Wrap

Kendi ortamınıza uyarlarken:

Çıktı en yeni olay en üstte olacak şekilde sıralanır. Bu yüzden akışı alttan üste okuyoruz.

Aşağıdaki tablo, bu çıktıda ve tam günlükte karşımıza çıkan olay kimliklerinin anlamlarını özetler:

Ekran çıktısını şöyle okuyoruz:

• 23:59:43 5312: Kullanıcı için uygulanabilir üç GPO listelenir: Duvar Kagidi, Tercihler ve Ekran Kilidi.
• 23:59:43 ile 23:59:44 arasında 4016 ve 5016 çiftleri: Drive Maps, Registry ve Shortcuts eklentileri sırayla işlenir. Her birinde (No changes were detected.) yazar ve yalnızca U - Satis - Tercihler listelenir. Eklenti çalışır, ama GPO sürümü değişmediği için ayarı yeniden uygulamaz.
• 23:59:44 8001: Kullanıcı oturum açma ilkesi 1 saniyede tamamlanır.
• 23:56:57 5312: Yalnızca Default Domain Policy listelenir. Bu satır kullanıcıya değil bilgisayar ilkesine aittir ve GPMC raporundaki last computer policy refresh zamanıyla aynıdır. Bilgisayarlar\Satis OU’suna bağlı GPO olmadığı için istemciye yalnızca Default Domain Policy iner.
• 22:54:47 8001: Önceki oturum açma. İlk oturum açma 2 saniye, ikinci 1 saniye sürmüştür, çünkü ikincisinde veriler yerel önbellekte hazırdır.

Hata olsaydı ilgili eklenti için 1085 gibi bir olay System günlüğünde yer alırdı. Bu uygulamada GPO sorunsuz işlendiği için hata olayı görmeyiz. Bu da bir sonuçtur: event log temizse sorun GPO işlemesinde değil, kaynak erişimi gibi işleme sonrası bir katmandadır.

Domain controller’da aynı günlüğe baktığımızda bilgisayar ilkesinin işlenişini görürüz.

Orada üç satır öğreticidir:

• Next policy processing for BAKICUBUK\W25DC$ will be attempted in 5 minutes (5315): Domain controller’lar arka planda 5 dakikada bir yenilenir. İstemcilerdeki 90 dakika artı rastgele ofset döngüsünden farklıdır.
• A fast link was detected. The Estimated bandwidth is 1000000 kbps. The slow link threshold is 500 kbps (5314): Hızlı bağlantı algılanır, yavaş bağlantı eşiği varsayılan olarak 500 kbps’dir. Yavaş bağlantıda bazı eklentiler atlanabilir.
• The loopback policy processing mode is "No loopback mode" (5311): Loopback kapalıdır. Bu satır, Adım 6’da Loopback seçeneğini değiştireceğimiz yerin günlükteki karşılığıdır.

Adım 6: Group Policy Modeling ile “ya olursa” sorusu

Group Policy Results, gerçekte olanı gösterir. Group Policy Modeling ise henüz olmamış bir durumun sonucunu önceden hesaplar: Bu kullanıcı şu OU’daki bu bilgisayarda oturum açarsa hangi GPO’lar uygulanır, hangileri uygulanmaz? Gerçek bir istemciye ihtiyaç duymaz. Hesabı bir domain controller yapar ve Active Directory’deki bilgilere bakar. Bu yüzden Adım 5’te yaşadığımız The RPC server is unavailable türü uzak bağlantı sorunları burada çıkmaz. OU taşımadan, GPO bağlamadan ya da Loopback ayarını değiştirmeden önce sonucu görmek için en güvenli yoldur.

Bu adımda şu soruyu soruyoruz: nihat.cubuk kullanıcısı, Kiosk OU’sundaki bir bilgisayarda oturum açarsa ve Loopback modu Replace olursa ne olur? Bölüm 4’te gerçek istemcide gördüğümüz sonucu önceden hesaplatacağız: Satis GPO’ları devreye girmez, yalnızca Kiosk GPO’su uygulanır.

Sihirbazda birçok sayfa var. Hepsini sırayla anlatıyoruz, çünkü hangi sayfada neyin değiştirilmesi gerektiğini bilmeden ilerlemek yanlış sonuç üretir.

Önce sayfaların özeti:

6.1 Sihirbazı başlatmak

GPMC’de sol taraftaki ağaçta Group Policy Modeling düğümüne sağ tıklıyoruz. Açılan menüden Group Policy Modeling Wizard… seçiyoruz. İlk sayfa (Welcome) yalnızca sihirbazı tanıtır, Next diyoruz.

6.2 Domain controller seçimi

Domain Controller Selection sayfasında simülasyonu hangi domain controller’ın çalıştıracağını seçiyoruz. Üstteki Show domain controllers in this domain listesinde bakicubuk.tech görünür. Altta iki seçenek vardır:

• Any available domain controller running Windows Server 2003 or later: Sihirbaz, uygun herhangi bir domain controller’ı kendisi seçer. Varsayılan budur.
• This domain controller: Belirli bir domain controller’ı kendimiz seçeriz. Birden fazla domain controller varsa ve sonucu belirli birinde görmek istiyorsak kullanırız.

Lab’da tek domain controller (W25DC.bakicubuk.tech, site Default-First-Site-Name) olduğu için varsayılanı bırakıp Next diyoruz.

6.3 Kullanıcı ve bilgisayar seçimi

User and Computer Selection sayfası ilk bakışta karışık görünür, çünkü iki ayrı bölümü vardır: User information ve Computer information. Her bölümde iki seçenek bulunur:

• Container: Bir OU veya konteyner seçeriz. Simülasyon, bu kapsayıcının içindeki herhangi bir kullanıcı (ya da bilgisayar) için yapılır. Belirli bir hesap seçmek istemediğimizde ya da henüz taşımadığımız bir hesabı denemek istediğimizde kullanırız.
• User ve Computer: Gerçek bir hesabı seçeriz. Simülasyon o hesabın bugünkü OU konumu ve grup üyelikleri baz alınarak yapılır.

Sayfanın üstündeki iki örnek satır, kutulara hangi biçimde yazılacağını gösterir: kapsayıcı için CN=Users,DC=bakicubuk,DC=tech, hesap için BAKICUBUK\Administrator. Kutulara elle yazmak yerine Browse… düğmesini kullanmak hata riskini azaltır. Kapsayıcılar biçimsel olarak bir DN (Distinguished Name) olarak yazılır, bu yüzden OU’lar tersten (en içteki başta) gelir.

Bu lab’da seçimler:

Sayfanın en altındaki Skip to the final page of this wizard without collecting additional data kutusunu işaretlemiyoruz. Bu kutu işaretlenirse sihirbaz sonraki sayfaları (Loopback, güvenlik grupları, WMI filtreleri) atlayıp varsayılanlarla simülasyonu çalıştırır. Bizim Loopback ayarını değiştirmemiz gerektiği için bu sayfaları görmemiz şart. Kutular doldurulmadan Next düğmesi pasif kalır.

6.4 Gelişmiş simülasyon seçenekleri

Advanced Simulation Options sayfasında simülasyonun koşullarını belirliyoruz:

• Slow network connection (for example, a dial-up connection): Yavaş bağlantıyı simüle eder. Yavaş bağlantıda bazı eklentiler atlanır. İşaretsiz bırakıyoruz. Özette Slow network simulation: No olarak görünür.
• Loopback processing: Bu bir onay kutusudur. İşaretsizken Loopback kapalıdır. İşaretleyince altındaki iki seçenek etkinleşir: Replace (kullanıcının kendi OU’sundaki kullanıcı ayarları yerine bilgisayarın OU’sundaki kullanıcı ayarları uygulanır) ve Merge (iki ayar kümesi birleştirilir, çakışmada bilgisayarın OU’sundaki ayar kazanır). Bölüm 4’teki senaryomuz için kutuyu işaretleyip Replace seçiyoruz.
• Site: Simülasyonun hangi Active Directory sitesi için yapılacağını belirler. Lab’da tek site olduğu için (None) olarak bırakıyoruz.

Bu sayfanın altında da Skip to the final page of this wizard without collecting additional data kutusu vardır ve bu kutu sonraki sayfaların çoğunda tekrar çıkar. Hiçbirinde işaretlemiyoruz.

6.5 Güvenlik grupları

Kullanıcıyı bir kapsayıcı olarak seçtiğimizde sihirbaz o kapsayıcıdaki gerçek bir kullanıcıyı bilmez. Bu yüzden hangi güvenlik gruplarında olduğunu varsaymamız gerekir. Bu, Security Filtering’in simülasyonda doğru çalışması için önemlidir.

User Security Groups sayfasında varsayılan liste yalnızca Authenticated Users ve Everyone içerir. Satis GPO’larının Security Filtering’inde GG_Satis varsa, bu grubu eklemezsek simülasyon kullanıcının bu grupta olmadığını varsayar ve ilgili GPO’yu filtrelenmiş (Denied) gösterir. Bu, Security Filtering sorunu gibi görünür ama aslında simülasyon girdisinin eksikliğidir. Grubu eklemek için:

1. Add… düğmesine tıklıyoruz. Select Groups penceresi açılır.
2. Select this object type alanında Groups, From this location alanında bakicubuk.tech görünür. Bunları değiştirmiyoruz.
3. Enter the object names to select kutusuna GG_Satis yazıp Check Names düğmesine tıklıyoruz. Ad doğru çözülürse altı çizilir ve tam ada dönüşür.
4. OK diyoruz. Liste artık Authenticated Users, BAKICUBUK\GG_Satis ve Everyone olarak görünür.

Eklediğimiz grubu Remove ile silebiliriz. Restore Defaults ise listeyi ilk haline, yani yalnızca Authenticated Users ve Everyone durumuna getirir. Sayfadaki cümle (The selected user is a member of…) bir kapsayıcı seçtiğimizde de aynı kalır, bu bir hata değildir.

Computer Security Groups sayfasında da varsayılan liste aynıdır ve Remove ile Restore Defaults pasiftir, çünkü liste değiştirilmemiştir. Kiosk bilgisayarları için ek bir grup filtremiz olmadığından bu sayfayı olduğu gibi bırakıp Next diyoruz.

6.6 WMI filtreleri

WMI Filters for Users ve WMI Filters for Computers sayfalarında dikkat edilmesi gereken nokta, simülasyonun WMI sorgularını gerçekten çalıştırmamasıdır. Sihirbaz, Assume that the selected user meets the criteria for the following filters (kullanıcının şu filtrelerin ölçütlerini sağladığını varsay) der. Yani sonucu biz belirleriz. İki seçenek vardır:

• All linked filters: Bağlı tüm WMI filtrelerinin sağlandığı varsayılır. Filtreli GPO’lar uygulanır gibi hesaplanır. Varsayılan budur.
• Only these filters: Yalnızca List Filters düğmesiyle seçtiğimiz filtreler sağlanır, diğerleri sağlanmaz kabul edilir. Belirli bir filtrenin sonucunu denemek için kullanırız.

Lab’da WMI filtresi bağlamadığımız için iki sayfada da varsayılanı bırakıp Next diyoruz. Özette bu seçim All linked WMI filters equal TRUE olarak görünür.

6.7 Özet ve çalıştırma

Summary of Selections sayfası yaptığımız tüm seçimleri Selection ve Settings sütunlarında listeler. Liste sayfaya sığmaz, fare tekerleği veya kaydırma çubuğuyla aşağı inerek tamamını görüyoruz.

Bu lab’da şunları görmeliyiz:

Uzun değerler ... ile kısaltılır. Tüm yolu görmek için sütun genişliğini fareyle genişletebiliriz. Computer security groups satırında (Not specified) yazması normaldir: liste varsayılan halinde olduğu için ayrıca belirtilmez. Kullanıcı grupları ise listeyi değiştirdiğimiz için tam olarak yazılır. Sayfanın altında Processing the simulation on this domain controller alanında W25DC.bakicubuk.tech yazar.

Yanlış bir şey varsa Back ile ilgili sayfaya döneriz. Sayfadaki cümle de açıkça söyler: simülasyonu çalıştırmak için Next diyoruz. Sihirbazın son sayfasında (Completing the Group Policy Modeling Wizard) Finish diyoruz. Simülasyon çalışır ve GPMC’de Group Policy Modeling düğümünün altına yeni bir sonuç düğümü eklenir.

6.8 Sonucu okumak

Simülasyon bittiğinde GPMC’de Group Policy Modeling düğümünün altında yeni bir düğüm oluşur. Adı, sihirbazda seçtiğimiz kapsayıcılardan türetilir: Satis on Kiosk. Düğüme tıklayınca rapor açılır ve üç sekme görürüz: Summary, Details ve Query. Tüm bölümleri açmak için sağ üstteki show all bağlantısını kullanıyoruz. Query sekmesi, sihirbazda girdiğimiz seçimlerin kaydını tutar. Raporu birine gösterirken hangi koşulla çalıştığını buradan kanıtlarız.

Rapor bilgisayar ve kullanıcı olmak üzere iki ayrı bölümden oluşur. Beklentimiz ve gördüğümüz sonuç şöyledir:

• Bilgisayar tarafı (Computer Details): Applied GPOs altında CU - Kiosk - Loopback ve Default Domain Policy bulunur. Settings altında Configure user Group Policy loopback processing mode ayarı Enabled ve Mode Replace olarak, Winning GPO CU - Kiosk - Loopback ile görünür. Denied GPOs boştur.
• Kullanıcı tarafı (User Details): User container olarak bakicubuk.tech/LAB/Bilgisayarlar/Kiosk görünür, Loopback processing Replace mode yazar. Settings altında System bölümünde Prevent access to the command prompt ayarı Enabled, Winning GPO CU - Kiosk - Loopback olarak listelenir. Ayarın altındaki Disable the command prompt script processing also? satırı No‘dur.

Bu sonuçta üç noktaya dikkat etmek gerekir:

1. Satis GPO’ları hiçbir yerde görünmez. Ne Applied GPOs ne de Denied GPOs altında yer alırlar. Replace modunda, kullanıcının kendi OU’sundaki GPO’lar değerlendirmeye bile alınmaz, bu yüzden reddedildi diye de listelenmezler. Duvar kağıdı ayarı raporda hiç geçmez. Bu, Bölüm 4’te gerçek istemcide gördüğümüz davranışın aynısıdır.
2. Kullanıcı kapsayıcısı olarak Kiosk görünür. Sihirbazda kullanıcı kapsayıcısı olarak Satis‘i seçtik ama rapor Kiosk gösterir. Replace modunda kullanıcı ayarları bilgisayarın OU’sundan geldiği için rapor da kullanıcı tarafını bu OU’ya göre sunar. Rapor başlığındaki Kiosk on Kiosk ifadesi de bundandır. Düğüm adının Satis on Kiosk olması ise yalnızca sihirbazdaki seçimlerimizi yansıtır.
3. Simülasyon girdisi ile GPO ayarı iki ayrı şeydir. Raporun üstündeki Computer was set to process policy in Replace mode satırı, sihirbazda işaretlediğimiz Loopback processing seçeneğinden gelir. Ayarın GPO’da gerçekten tanımlı olduğunu ise Settings altındaki Enabled / Replace satırı kanıtlar. İkisi tutarlı olduğunda simülasyon, gerçek uygulamayı doğru yansıtır.

Adım 7: GPC ve GPT sürüm kontrolü ve SYSVOL sağlığı

Sorun giderme listesinin son adımı, GPO’nun iki parçasının tutarlı olup olmadığıdır. AD’deki sürüm ile SYSVOL’daki sürüm farklıysa GPO bazı domain controller’larda eski, bazılarında yeni halde olabilir. Domain controller’da şu komutu çalıştırıyoruz:

Get-GPO -All | Where-Object {
    $_.User.DSVersion -ne $_.User.SysvolVersion -or $_.Computer.DSVersion -ne $_.Computer.SysvolVersion
} | Select-Object DisplayName, @{n="UserDS";e={$_.User.DSVersion}}, @{n="UserSysvol";e={$_.User.SysvolVersion}}, @{n="CompDS";e={$_.Computer.DSVersion}}, @{n="CompSysvol";e={$_.Computer.SysvolVersion}}

Kendi ortamınıza uyarlarken:

Tek domain controller’lı bu lab’da komut hiçbir şey döndürmez, çünkü iki sürüm aynıdır. Bu da beklenen sonuçtur. Birden fazla domain controller’lı ortamlarda çıktı boş değilse, o GPO için SYSVOL replikasyonu gecikmiş ya da bozulmuş olabilir. SYSVOL ve replikasyon sağlığını doğrulamak için şu komutlar kullanılır:

dcdiag /test:sysvolcheck /test:advertising
dfsrmig /getglobalstate
repadmin /replsummary
Get-SmbShare -Name SYSVOL, NETLOGON

Kendi ortamınıza uyarlarken:

Beklenen sonuçlar ve bu lab’daki çıktı şöyledir:

• dcdiag: İstediğimiz iki test (Advertising ve SysVolCheck) passed olmalıdır. Çıktıda ayrıca Running partition tests on (ForestDnsZones, DomainDnsZones, Schema, Configuration ve domain bölümü) ve Running enterprise tests on satırları görünür. Bunlar yalnızca bölüm başlıklarıdır. Yalnızca iki test istediğimiz için başka sonuç satırı yazılmaz, bu bir eksiklik değildir.
• dfsrmig: Current DFSR global state: 'Eliminated' yazmalıdır. SYSVOL, eski FRS (File Replication Service) yerine DFSR (Distributed File System Replication) ile çoğaltılıyor demektir.
• repadmin /replsummary: Birden fazla domain controller olan ortamda her satırdaki fails/total sıfır, error sütunu boş olmalıdır. Tek domain controller’lı bu lab’da replikasyon ortağı yoktur. Bu yüzden Source DSA ve Destination DSA tablolarının ikisi de boş gelir. Bu normaldir ve hata anlamına gelmez.
• Get-SmbShare: NETLOGON (C:\WINDOWS\SYSVOL\sysvol\bakicubuk.tech\SCRIPTS) ve SYSVOL (C:\WINDOWS\SYSVOL\sysvol) paylaşımlarını Logon server share açıklamasıyla listelemelidir.

Adım 8: Lab ortamını sonraki bölüme hazırlamak

Bu bölümde iki test nesnesi oluşturduk ya da yeniden oluşturduk: duvar kağıdı için U - Satis - Duvar Kagidi GPO’su ile Wallpaper paylaşımı ve Modeling örneği için CU - Kiosk - Loopback GPO’su. Bölüm 6’da duvar kağıdı paylaşımına saldırgan gözüyle bakacağız. Bu yüzden U - Satis - Duvar Kagidi GPO’sunu ve Wallpaper paylaşımını silmiyoruz. Yalnızca Modeling için kurduğumuz Kiosk GPO’sunu ve Modeling sonucunu temizliyoruz.

Domain controller’da şu komutları çalıştırıyoruz:

Remove-GPLink -Name "CU - Kiosk - Loopback" -Target "OU=Kiosk,OU=Bilgisayarlar,OU=LAB,DC=bakicubuk,DC=tech"
Remove-GPO -Name "CU - Kiosk - Loopback"
Get-GPInheritance -Target "OU=Kiosk,OU=Bilgisayarlar,OU=LAB,DC=bakicubuk,DC=tech"
Get-GPInheritance -Target "OU=Satis,OU=Kullanicilar,OU=LAB,DC=bakicubuk,DC=tech"

Kendi ortamınıza uyarlarken:

Çıktıda Kiosk OU’sunun GpoLinks listesi boş olmalıdır. Satis OU’sunun GpoLinks listesinde ise U - Satis - Duvar Kagidi, U - Satis - Ekran Kilidi ve U - Satis - Tercihler kalır. Duvar kağıdı GPO’su Bölüm 6’ya kadar bilerek yerinde bırakılmıştır.

GPMC’de de Modeling sonucunu siliyoruz: Group Policy Modeling altındaki Satis on Kiosk düğümüne sağ tıklayıp Delete seçiyoruz. Modeling sonuçları konsolda saklanır ve silinmedikçe kalır. Silmeden önce raporu paylaşmayı düşünüyorsanız kaydedin, çünkü rapor hassas bilgi içerir.

Remove-GPLink komutu silinen bağlantının GPO bilgisini ekrana yazar, Remove-GPO ise başarılı olduğunda hiçbir şey yazmaz. Bunlar hata değildir.

Bu seriyi Bölüm 6’ya devam etmeden bırakacaksanız duvar kağıdı nesnelerini de şu komutlarla silebilirsiniz:

Remove-GPLink -Name "U - Satis - Duvar Kagidi" -Target "OU=Satis,OU=Kullanicilar,OU=LAB,DC=bakicubuk,DC=tech"
Remove-GPO -Name "U - Satis - Duvar Kagidi"
Remove-SmbShare -Name "Wallpaper" -Force
Remove-Item -Path "C:\Shares\Wallpaper" -Recurse -Force

Kendi ortamınıza uyarlarken:

6. Güvenlik Açısından Yenileme ve Sorun Giderme

Group Policy sorun giderme araçları, hem savunmacı hem saldırgan için bilgi kaynağıdır. Birkaç noktaya dikkat edilmelidir:

• Raporlar hassas bilgi içerir. gpresult /h ve Group Policy Results raporları, kullanıcının üye olduğu grupları, uygulanan güvenlik ayarlarını ve paylaşım yollarını gösterir. Bu raporlar e-posta ya da ortak klasörlerle paylaşılmamalı, iş bittiğinde silinmelidir.
• Standart kullanıcı kendi gpresult raporunu görebilir. Bu, kullanıcının hangi GPO’ların kendisine uygulandığını öğrenmesi demektir. Saldırgan ele geçirdiği standart bir hesapla ortamın güvenlik ayarlarını (parola politikası, AppLocker, loopback) keşfedebilir. Bu bir açık değil, tasarım gereğidir ama bilinmelidir.
• Yavaş bağlantı ve asenkron işleme güvenlik açığı doğurabilir. VPN üzerinden bağlanan bir istemci yavaş bağlantı eşiğinin altında kalırsa ya da Fast Logon Optimization nedeniyle güvenlik GPO’su ilk oturum açmada uygulanmazsa, istemci bir süre korumasız kalır. Kritik güvenlik ayarları için Always wait for the network at computer startup and logon ayarı değerlendirilmelidir.
• Duvar kağıdı gibi paylaşımlardaki yazma izni risklidir. GPO’nun işaret ettiği paylaşıma yazabilen herkes, o kaynağı kullanan tüm kullanıcılara içerik dağıtabilir. Paylaşım ve NTFS izinleri Read ile sınırlı tutulmalı, yazma izni yalnızca yöneticilerde olmalıdır. Aynı kural logon script’lerinin ve yazılım dağıtım paylaşımlarının bulunduğu yerler için de geçerlidir ve Bölüm 6’da saldırgan gözünden tekrar ele alınacaktır.
• Event log’lar tespit için kullanılabilir. GPO’nun değiştiğini gösteren olay, domain controller’da Audit Directory Service Changes açıksa 5136 olarak görünür. GPO’larda beklenmeyen değişiklikleri izlemek için bu olay SIEM’e (Security Information and Event Management) alınmalıdır.

7. Özet ve Sonraki Bölüm

1. İstemciler GPO’ları açılışta (Computer), oturum açmada (User) ve arka planda işler. Arka plan yenilemesi üye makinelerde 90 dakika artı 0 ile 30 dakika kaydırma, domain controller’larda 5 dakikadır.
2. Fast Logon Optimization varsayılan olarak açıktır ve GPO’ları asenkron işler. Bu yüzden yeni ayarlar çoğu zaman ikinci oturum açmada görünür.
3. gpupdate /force her şeyi çözmez. Oturum açmada işlenen ayarlar için oturumu kapatıp açmak, bazı ayarlar için bilgisayarı yeniden başlatmak gerekir.
4. Sorun gidermeyi sıralı bir kontrol listesiyle yapın: ağ ve DNS, link, GPO durumu, kapsam, izinler, gpresult, kaynak erişimi, GPC ve GPT tutarlılığı.
5. gpresult bir GPO’nun uygulandığını söylüyorsa ama ayar görünmüyorsa, sorun GPO’nun işaret ettiği kaynakta olabilir: paylaşım ve NTFS izinleri, dosya yolu, servis erişimi.
6. Group Policy Results gerçekte uygulananı, Group Policy Modeling ise tahmin edilen sonucu gösterir.
7. Group Policy raporları hassas bilgi içerir ve GPO’nun işaret ettiği paylaşımlar yazma izni açısından sıkı denetlenmelidir.

Bir sonraki bölümde Group Policy’ye saldırgan gözüyle bakacağız: GPO üzerindeki yanlış yetkilendirmeler, SYSVOL’daki parola kalıntıları, GPO ile kalıcılık (persistence) ve BloodHound gibi araçların GPO ilişkilerini nasıl haritaladığı.

Kısaltmalar

Yazıda geçen kısaltmaların açılımlarını ve kısa açıklamalarını aşağıdaki tabloda bir arada bulabilirsiniz.

burada

burada