Bu makalemizde Windows 7 ile birlikte gelen yeniliklerden biri olan applocker uygulamasından bahsedeceğiz. Applocker ağ yöneticilerine kullanıcılarının istemli ya da istemsiz bir şekilde bilgisayara herhangi bir sebepten ötürü kurabileceği yazılımlara kısıt getirilebilmesini sağlar. Bu kısıtlamada amaç sistem bütünlüğüne zarar verebilecek her türlü programın bilgisayara yüklenmesinin önüne geçerek ileride ağ yöneticileri için oluşabilecek sorunları meydana gelmeden ortadan kaldırmaktır. Ek olarak paylaşım programlarıyla şirket internet bant genişliğinin azalmasının yada bilgisayardaki gereksiz yazılımda oluşabilecek performans düşüşünün önüne geçilmiş ve BT masasına gelecek yardım telefonlarının oranında azalma ve daha verimli çalışma ortamı sağlanmış olmaktadır. Bu da demektir ki zararlı diye tabir edebileceğimiz yazılımın kurulması engellenerek hem ağ yöneticisinin sorunu gidermesi esnasında hem de kullanıcının bu sırada bilgisayarını kullanamamasından ötürü oluşan zaman ve iş gücü kaybının önüne geçilmiş olur.
Applocker’da ayrıca kullanıcının, sadece bir programın bütünü değil sadece belirli bileşenlerini yahut sürümlerini kullanabilmesi ya da kullanmasının engellenmesi de sağlanabilir. Örneğin Bora kullanıcısına Microsoft Office paketi içerisinde Access ve Visio programını kullanamamasını sağlayabilirken aynı zamanda adobe readerın yalnızca 9 ile başlayan sürümlerini yükleyebilmesini sağlamakta mümkündür. Yine applocker ile kurulabilecek programları belirli bir klasöre yapılacak path tanımlamasıyla belirtmek de olasıdır. Yazılımcılar için ek bilgi vermek gerekirse applocker sadece executables yani programın uygulama kısmına müdahale edebilir. DLL kısmı bunun dışında kalacaktır. Bu duruma engel olmak için DLL tanımlamaları da desteklenmektedir. Tüm bunlar göz önüne alındığında şirket ağı içerisindeki her kullanıcı bilgisayarı belirlenmiş bir şirket politikası ve standartları üzerinde yazılım çalıştırmış olacaktır.
Applocker Konfigürasyonu
Applocker konfigürasyonunda kural yani “rule” mantığı geçerlidir. Sistem yöneticileri şirket ihtiyaçları doğrultusunda çeşitli kurallar oluşturarak hangi kullanıcı grubunun hangi yazılımları kullanabileceğini belirler. Kuralları oluştururken 4 farklı kombinasyondan yararlanabiliriz. Bunlar birlikte kullanılarak istenilen tüm senaryolar gerçekleştirilebilir. İlk olarak İzin ver “Allow” kuralına bakalım. Allow kuralında bir kullanıcı ya da kullanıcı grubuna bir yazılımı kullanma hakkı vermek istediğimizde seçmemiz gereken seçenektir. Örneğin Muhasebe departmanına muhasebe yazılımları için allow kuralı yazıldığında bu departmanda tanımlı kişiler ilgili programları kullanabilme hakkına sahip olacaktır.
Bunun tam tersi ise Reddet (Deny) olarak geçer. Bu kuralı da adından anlaşılacağı üzere herhangi bir kullanıcı ya da kullanıcı grubuna bir programı kullanmaktan men etmek için rule tanımlaması yapmakta kullanacağız. Örnek vermek gerekirse bir departmanının müzik dinlemesini engel olmak, winamp ve windows media player programları üzerine deny kuralı tanımlayarak gerçekleştirmek mümkündür.
Şimdi burada dikkatimizi vermemiz gereken asıl nokta, etkili rulelar yazmak için bir özelliğe daha ihtiyacımız olduğudur. Çünkü bir önceki örnekte olduğu gibi müzik dinlenmesine engel olmak için en bilinen iki yazılımı yasaklamak başlı başına bir çözüm içeremez bunun nedeni ise birçok alternatif programın piyasada bulunması bunların tek tek deny ya da allow edilerek listeye eklenmesinin ise büyük zaman ve çaba gerektirdiği gerçeğidir. İşte burada devreye istisnalar yani “exceptions” girmektedir. Bu özellik kullanılarak belirli bir yazılımın bütünü ya da bir parçası kullanımı için bir allow rule yazılabilir ve exceptions kısmında da kalan tümünün yasaklanması sağlanabilir. Aynı durum tersi bir senaryo için de geçerlidir. Örneğin bir kullanıcı ya da kullanıcı grubuna sadece Office içindeki Excel uygulamasına izin vermek isteniyor ise Excel uygulaması için allow rule yazılarak exceptionda kalan tüm uygulamalar deny olarak gösterildiğinde ağ yöneticisi word, access, Project, power point şeklinde tek tek tanımlama yapmayarak olası zaman kaybından kurtulmuş olacaktır.
Konfigürasyon için başlat çalıştıra mmc yazarak mmc konsolu açıyoruz. Burada yukarıda dosya menüsünden Ek bileşen ekle/kaldır menüsünü seçiyoruz. Buradaki listeden grup ilke nesne düzenleyicisini seçerek ekle butonuna basıyoruz. Daha sonra tamam diyerek yeni açılan pencereden de son ve tekrar tamam dedikten sonra karşımıza bilgisayarımızın Yerel bilgisayar ilkesi konsol eklentisi gelmekte. Bu seçenek ağacını resimdeki gibi genişleterek yukarıda bahsettiğim ayarların tümüne ulaşabilirsiniz.
 |
Bora ENGİN
Yorumlar
Yorum Gönder