Günümüzde en geniş kurumsal ağlardan kişisel bilgisayarlarımıza kadar verilerimiz her zaman için önem sırasında en üstte yer almıştır. Dijital ortamdaki dosya ve klasörler bu verilere örnek verilebilir. Verilerimiz bu denli önemli olduğuna göre ilk olarak onları korumalı, başka bir deyişle erişim güvenliğine dikkat etmeliyiz, makalemde bu noktadan yola çıkarak sizlere paylaşım ve güvenlikten bahsedeceğim.
Bu makelede aşağıdaki bilgileri bulacaksınız
– Paylaşım ve güvenliğin kullanım alanları ve detaylı tanımları
– Ağ üzerinde paylaşım ve gereksinimleri
– Paylaşım ve güvenliğin İlişkisi
– Genel güvenlik varsayılanları
– İzinlerin tanımlari
– İzinlerin alt objelerle ilişkisi
– İzin Denetimi (Audit)
– Örnek uygulama ve senaryolar
Makalede, anlatım ve şekillerde tutarsızlık olmaması adına gerekli kısımlarda paylaşıma sharing ve güvenliğe security isimleriyle hitap edeceğiz.
Paylaşım ve güvenliğin kullanım alanları
Veriye erişimde esas olan güvenlik izinleridir, paylaşım ise yerel olarak; dosyaları “güvenlik izinleri diğer kullanıcıların erişebileceği şekilde ayarlanmış” klasörlere kopyalamaktır.
Şekil 1 – Yerel Paylaşım
Ağ üzerinden ise; ağdaki bilgisayar, yazıcı gibi kaynaklara ulaşmak için kullanılır.
Şekil 2 – Ağ Üzerinden Paylaşım
Güvenliğin kullanım alanları ise oldukça geniştir, örnek vermek gerekirse; Dosyalar, klasörler, yazıcılar, Group Policy objeleri, mantıksal birimler, kısacası neredeyse elektronik ortamdaki tüm verilerdir.
Tabi ki tüm verilerin güvenlik izinleri farklılık gösterir; dosyalarda – çalıştırma, klasörlerde – içinde gezinme, yazıcılarda – yazdırma, group policy objelerinde – düzenleme, mantıksal birimlerde – yeni obje oluşturma gibi her verinin güvenlik izinlerinde farklılık olduğu gibi tüm verilerin – okuma gibi ortak izinleri de vardır. Dolayısıyla her bir verinin güvenlik izinlerini ve kullanım amaçlarını tamamı ile listelemek yerine bu izinlerin çalışma mantığını anlamak çok daha yerli olacaktır.
Güvenlik; ACL yani Access Control List ( Erişim Kontrol Listesi ) tablosunu kullanarak ilgili veri üzerinde okuma, yazma, değiştirme, silme gibi yetkilerin hangi kullanıcı ve ya gruplara ait olduğunu belirler,
Şekil 3 – Örnek ACL
Kısa bir özet yaptıktan sonra konularımızı detaylandırmaya başlayalım, paylaşım ve güvenlik konularını ayrı olarak ele alacağız.
Paylaşım
Paylaşım konusunuda yerel ve ağ olarak iki ayrı şekilde ele alacağız
Yerel paylaşım
Yerel bilgisayarda paylaşımın kullanım esası şuna dayanır; Kullanıcılar normal şartlarda diğer kullanıcıların kaynaklarına erişemezler ( ileride detaylandırılacaktır ), diğer kullanıcının kaynaklarımıza erişmesini istiyorsak “paylaştırılmış klasörleri” kullanarak diğer kullanıcılarla belgelerimizi yerel bilgisayarda paylaştırabiliriz.( Şekil 1 de gösterildiği gibi )
Bu özellik varsayılanda aktiftir, eğer paylaşılan dokümanları Windows Gezgini içerisinde görmek istemiyorsanız group policy object editor veya registry editoru kullanabilirsiniz;
Not: Group policy programını kullanmak için, başlat – çalıştır gpedit.msc, registry editor aracını kullanmak için ise başlat – çalıştır regedit yazıp enter tuşuna basmanız yeterli olacaktır.
Şekil 4 – Group Policy üzerinde paylaşılan klasörlerin görüntülenmesini değiştirmek
Şekil 5 – Registry Editor üzerinde paylaşılan klasörlerin görüntülenmesini değiştirmek
Ağ üzerinde Paylaşım
Ağ üzerinden paylaşım, isminden de anlaşılacağı gibi verilere ağdan erişimi sağlamak için kullanılır, ( Şekil 2 de gösterildiği gibi )
Ağ Üzerinden Paylaşım Gereksinimleri
1 – Paylaşılan klasörleri Server (Sunucu) isimli servis yönetir ve bu servis açık olmalıdır.(Başlat – çalıştır – services.msc ile servisler konsoluna ulaşılabilir) eğer bu servis kapalı durumda ise ilgili paylaşıma erişim yapılamaz.
Şekil 6 – Server servisi
2 – Yeni bir paylaşım oluşturmak için gerekli izinlere sahip olmamız gerekir
Users grubuna üye kullanıcılar paylaşım oluşturamazlar ve paylaşım özelliklerini görüntüleyemezler, bu işlemleri yapabilmek için kullanıcının en az “power users” isimli gruba üye olması ve ya Policy üzerinden bu izinin kendisine atanmış olması gerekmektedir.
3 – Ağ üzerinden paylaşıma erişmek için dosya ve yazıcı protokolünün yüklü olması gerekmektedir
Şekil 7 – Paylaşıma hizmet veren network bağlantısı üzerindeki dosya ve yazıcı paylaşımı protokolü
4 – Güvenlik duvarı kullanıyorsak Dosya ve yazıcı paylaşımı için gerekli portları açmalıyız
Windows Firewall için başlat – çalıştır – firewall.cpl yazıp enter tuşuna basmamız yeterlidir.Ardından Windows firewall üzerinde dosya ve yazıcı paylaşımına izin verebiliriz, farklı bir firewall kullanıyorsak ilgili portları açmalıyız, ilgili portlar aşağıdaki şekilde görüntülenmektedir.
Şekil 8 – Dosya ve Yazıcı paylaşımı için gerekli olan portlar
5 – Gizli paylaşımlara ulaşmak için bu paylaşımların isimlerini bilmeliyiz, gizli paylaşımlar paylaşım isminin sonunda $ olan paylaşımlardır, eğer herhangi bir paylaşımın görünmesini istemiyorsanız paylaşım isminin sonuna $ yazmanız yeterli olacaktır, tabi ki bu paylaşıma ulaşan kullanıcılar $ ibaresini de kullanmalılar, örnek \sunucugizli$
Varsayılan olarak yönetimsel gereksinimler dolayısıyla C, D, E gibi tüm partitionların kök dizinlerine erişimi sağlayan C$, D$, E$ gibi paylaşımlar bulunmaktadır, bunları ve diğer gizli paylaşımları Bilgisayar yöneticisinden görüntüleyebilir ve silebiliriz,( başlat – çalıştır – compmgmt.msc – shared folders – shares ). Fakat paylaşımları yöneten “server” servisini her yeniden başlattığımızda ve ya bilgisayarımızı yeniden başlattığımızda “yönetimsel paylaşımlar” adını verdiğimiz paylaşımlar tekrar oluşturulacaktır.( ADMIN$, IPC$, Partition$ gibi) Bunu engellemek istersek (Güvenlik amaçlı);
* Başlat > Çalıştır > Regedit [Enter]
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserverparameters anahtarına gelip sağ klikleyerek yeni bir “DWORD” kaydı açmamız gerekmektedir. bu kaydın ismi sunucu işletim sistemleri için AutoShareServer, istemci işletim sistemleri için ise AutoShareWks ve değeri 0 olacaktır, ardından “server” servisini yeniden başlatmamız yeterlidir.
Şekil 9 – Otomatik $ Paylaşımlarını iptal etmek
6 – Group Policy, registry ( Group Policy de yapılan ayarlar registry e yazar fakat registry de yapılan ayarlar group policy ye yazmaz ) veya “tweak manager” gibi 3ncü parti bir programla ağ üzerinde erişimin kısıtlanmış olması durumda sorun yaşayabilirsiniz. Bu tip durumlarda group policy üzerinde Computer – Windows – Security – Local Policies – User Rights assigments da – Access this computer from the network isimli ayarı kontrol edin, erişim yapmak isteyen kullanıcı alenen ve ya grup olarak (örnek – users, everyone) eklenmiş olmalıdır. Diğer kontrol etmeniz gereken nokta ise Security Options ın altına bulunan – Network access: Sharing and security model for local accounts isimli ayardır, bu ayarında “Guest Only” değil “Classic” olduğundan emin olun.
Şekil 10 – Network Erişiminde yaşanan sorunlarda ilk olarak kontrol edilmesi policy objeleri
Ağ Üzerinden Paylaşım – Basit ve Gelişmiş
Ağ Paylaşımında basit ve gelişmiş paylaşım seçenekleri vardır, istemci bilgisayarlarda paylaşım seçenekleri basit paylaşım ayarları ile gelir ve bunu değiştirebiliriz, aksi taktirde aşağıdaki gibi kısıtlı bir menü ile karşı karşıya kalırız
Şekil 11 – Basit Paylaşım
Basit paylaşımı kapatmak için herhangi bir klasör içerisinden veya kontrol panelden klasör seçeneklerine girerek – basit dosya paylaşımını kullan kutucuğunu kaldırabiliriz.
Şekil 12 – Basit Paylaşımın kapatılması
Şekil 13 – Gelişmiş Paylaşım
Şimdi Paylaşım tabının altındaki özellikleri inceleyelim,
Share this folder seçeneği ile klasörü ağdan erişime açıyoruz,
Paylaşım ismi: varsayılan olarak dosya ismi ile aynıdır fakat bunu değiştirebilirsiniz, yalnız burada dikkat edilmesi gereken nokta istemcilere paylaşımı atarken paylaşım isminin doğru yazılması gerektiğidir, (Örnek – Komut satırından paylaşıma erişmek ve ağ sürücüsüne bağlanmak için paylaşım ismi kullanılır, bunu örnekleyelim
Şekil 14 – Paylaşım Açılması
Yukarıdaki şekle dikkat edersek klasörün ve paylaşımın ismi farklıdır, bu paylaşıma komut satırından bağlanmak istersek;
net use atanmak istenen boştaki sürücü harfi: \ip ve ya pc ismipaylaşım adı komutunu kullanmalıyız, örnek;
net use Z: \192.168.2.100microsoft
Comments: Paylaşım hakkında özet bilgiler verir
Şekil 15 – Comment kısmının istemciler tarafından görüntülenmesi
User Limit : Aynı anda en fazla kaç kullanıcının bağlanacağını belirler, varsayılanda işletim sisteminin üst limitidir, örnek Xp işletim sistemlerinde üst limit 10 dur
Şekil 16 – Paylaşım üst sınırının ayarlanması
Permissions: bu kaynağa ağüzerinden erişebilecek kullanıcıları ve hangi izinlerle ulaşacaklarını belirler.
Örnek olarak yerel bilgisayarımızda hasan isimli kullanıcının bu bilgisayara ağdan erişmesini sağlamak için izinliler grubuna atıyoruz, bu kısımda dikkat edilmesi gereken nokta everyone grubu varsa bu grubu kaldırmak olacaktır çünkü everyone “herkes” anlamına gelir ve yetkisiz kullanıcılarda erişim yapabilirler. Aynı zamanda erişimi kontrol etmek için tek tek kullanıcı atamak yerine grupları atamak daha kolaydır ( Örnek users grubuna izin vermek )
Şekil 17 – İzinlerin atanması
Bu kısımdaki en önemli nokta paylaşım konusunu bitirip güvenlik konusuna geçmeden önce ilişkilerini tanımlamaktır. Yukarıda resme dikkat edecek olursak üç adet izin vardır.
1 – Full Control ( izinleri değiştirme, sahipliği alma)
2 – Change ( Dosya ve klasör oluşturma, dosyalardaki verileri değiştirme, alt klasörleri ve dosyaları silme )
3 – Read (Dosya isimlerini ve alt klasörleri görüntüleme, alt klasörler arasında gezinme, dosyaları okuma, .exe dosyalarını çalıştırma)
Paylaşım ve Güvenliğin İlişkisi
Aslında sadece yukarıdaki izinler kullanıcının kaynağa erişmesinde yeterli olmayacaktır, o kullanıcının aynı zamanda da güvenlik sekmesinde de izinlerinin olması gerekir, bunu bir benzetme ile özetlersek;
Microsoft isimli klasörümüzü apartmanımızın dış kapısı, onun içindeki klasörleri de daireler ve odalarına benzetirsek paylaşım dış kapıdan içeri girmemizi sağlar, güvenlik ise daireler ve katlara girmemizi sağlar.
Paylaşım ve Güvenlik tablarının ortak çalışmasını da örneklemek gerekirse paylaşım dış kapıda bekleyen bir güvenlik görevlisi gibidir, sizin paylaşım izinlerinize bakarak güvenlik izinlerine erişiminizi kontrol eder.
Şekil 18 – Paylaşım ve Güvenlik
Peki nedir bu ilgili haklar ?, dikkat edersek ilgili haklar aslında açıkça belirtilmiş,
1 – Sharingde full control hakkı yok ise, security deki full control hakkını kullanamaz
2 – Sharing de change hakkı yok ise, security deki oluşturma, değiştirme, silme gibi hakları kullanamaz
3 – Sharing de read hakkı yok ise, security deki hiçbir hakkını kullanamaz ( zaten tum kutucuklar boş ise kullanıcıda sharing tabından silinir ve bu durumda dış kapıdan geri çevrilir. )
Örnek; 18 ve 19 nolu şekillere dikkat edersek kullanıcı ağ üzerinden erişim yaparken öncelikle paylaşım kapısı ile karşılaşıyor ve güvenlik kapısında tüm kontrollerinin olduğunu söylüyor, bu noktada paylaşım kapısı bir süzgeç gibi görev yaparak kullanıcının paylaşım kapısındaki eksik haklarına istinaden güvenlik kapısındaki ilgili haklarını da dış kapıda bırakıp içeri o şekilde girmesini zorluyor, bu sebeple security sekmesinde tüm haklara sahipde olsa sharing sekmesinde sadece read hakkı olduğu için oluşturma, değiştirme, silme gibi haklarını dış kapıda bırakacaktır.
Şekil 19 – Paylaşım ve Güvenlik üzerinde izinlerin karşılaştırılması
Hasan isimli kullanıcı ile yeni bir dosya veya klasör oluşturmaya çalıştığımızda aşağıdaki hatayı alırız
Şekil 20 – Security sekmesinde full control olmasına rağmen sharing sekmesinde change hakkı olmadığı için kullanıcının dosya ve ya klasör yaratamaması
Bunu bir tablo yardımı ile özetlersek sharingdeki 3 hakkın security deki hangi haklara denk geldiğini görebiliriz.
Şekil 21 – Paylaşım ve Güvenlik izinlerinin karşılaştırılması
Paylaşımdan buraya kadar bahsettikten sonra artık onun hizmet ettiği güvenliğe yani security sekmesine geçebiliriz.
Güvenlik
Daha öncede bahsettiğimiz gibi güvenlik izinleri, ilgili verideki kullanıcı – bilgisayar ve grupların haklarını tanımlar.İzinlerin gereksinimleri paylaşımda olduğu kadar çok değildir yalnızca Windows işletim sistemlerinde güvenlik izinlerini kullanabilmek için ilgili dizinin NTFS dosya sistemi ile formatlanmış olması gerekmektedir.
Genel güvenlik varsayılanları
1 – İzinlerde allow ve deny şeklinde iki tane seçeneğimiz vardır ve deny her zaman baskındır
2 – İzinler kümülatiftir, ( ACL hem alenen kullanıcılara atanan izinleri hemde grup üyeliklerinden gelen izinleri toplar, kullanıcı kendisindeki izinlerden ve ya bağlı bulunduğu grupdaki izinlerden “deny” alırsa bu diğer izinlere baskın gelir, Örnek – Ahmet kullanıcısının bir dosyada tam yetkisi var ama bağlı bulunduğu muhasebe grubunun aynı klasörde yazma yetkisine “deny” verilmiş durumda, dolayısıyla Ahmet bu klasöre yazamaz)
3 – Yeni açılan her dosya veya klasör üstündeki klasörden izinleri miras alır
4 – Dosyalar aynı partitionda taşınmak dışındaki tüm işlemlerde taşındığı üst klasörden miras alır, aynı partitionda dosya taşınırsa miras almaz.
Örnek D:1 isimli klasörden D:2 isimli klasöre taşınan bir dosya “2” isimli klasördeki hakları miras almaz, kendi izinleri ile taşınır )
5 – Klasör ve dosyaların miras alması o klasör ve dosya üzerinden iptal edilebilir
İzinleri iki ayrı şekilde ele almalıyız,
1 – Standart izinler
2 – Gelişmiş izinler
Şekil 22 – Standart ve gelişmiş İzinler
Aslına bakılacak olursa standart izinler gelişmiş izinlerin kısayoldan yönetilmesi için içerisinde birden fazla izin bulunan taslaklardır, örnek verecek olursak sol taraftaki izinlerden read e tıkladığımızda sağ taraftaki gelişmiş izinler sekmesinden birden fazla öğeyi seçmiş oluyoruz
Şekil 23 – Standart izinlerin gelişmiş izinlerle ilişkisi
Standart izinler genel durumlarda, gelişmiş izinler ise özel durumlarda kullanılır, örnek; bir klasör üzerinde dosya değiştirme ve yaratma hakkı vermek istiyorsanız sol taraftan modify kutucuğunu işaretlemeniz yeterli, eğer aynı zamanda kullanıcının dosya üzerindeki ACL yi okumasını engellemek istiyorsanız gelişmiş özellikleri kullanarak ilgili izini kaldırabilirsiniz, şekillendirecek olursak;
Bu durumda üstteki resmimizde bulunan Read Permissions kutucuğundaki işareti kaldırmamız yeterli olur.
Standart ve gelişmiş izinler kavramını eşleştirme yolu ile şekil üzerinde gösterelim
Şekil 24 – Standart ve Gelişmiş izinlerin eşleştirilmesi
Yukarıdaki tabloda eşleşmeyen bir standart iznimiz var gibi görünüyor, ama dikkat ederseniz ismi “özel izinler” , üstteki tabloda olduğu gibi eşleşme olmazsa special permissions kutucuğu işaretlenir, mesela gelişmiş izinlerde Traverse Folders ve Read Attributes izinleri verirsem bu özel izine girer çünkü uygun olan taslağı sol tarafta yoktur.
Gelişmiş izinleri dikey, standart izinleride yatay şekilde sıralarsak gelişmiş izinlerin hangi standart izinlere denk geldiğini daha açık bir şekilde görüntüleyebilirsiniz.
Şekil 25 – Gelişmiş – standart izinlerin eşleştirme tabloları
İzinlerin tanimlari
Standart izinleri eşleştirdiğimize göre sadece gelişmiş izinlerin tanımını yapmak yeterli olacaktır.
İzinlerin alt objelerle ilişkisi
Varsayılan olarak bir klasöre herhangi bir izin atadığınızda o izin klasörün altındaki tüm klasör ve dosyalara etki eder, bunu değiştirmek istersek, apply onto kısmını kullanmalıyız;
Şekil 26 – İzinlerin alt objelerle ilişkisi
Şekil 17 deki 3ncu resmimize göre seçeneklerimiz ise sırası ile şunlardır
Sadece bu klasöre
Bu klasör alt klasörler ve dosyalara
Bu klasör ve alt klasörlere
Bu klasör ve dosyalara
Alt klasör ve dosyalara
Sadece Alt klasörlere
Sadece Dosyalara
etki etmesini sağlayabiliriz
Tabi ki bu noktada “Apply these permissions to objects and/or containers within this container only check” box ı işaretlemediğimiz durum ( varsayılan) ve işaretlediğimiz durumda yukarıda sözünü ettiğimiz davranışda farklı olacaktır.
Bu chechkbox ın işaretlendiği ve işaretlenmediği durumda alt klasör ve dosyalardaki izinlerin farklılığını bir tablo yardımı ile gösterecek olursak; ( Tabloda x leri “evet” ve boş ları da “hayır” olarak değerlendireceğiz )
Şekil 27 – Check Box işaretlenmediği zaman izinlerin alt öğeler mirası ( Varsayılan seçenek)
Şekil 28 – Check Box işaretlendiği zaman izinlerin alt öğeler mirası
Yukarıda bulunan tabloyu yorumlamak gerekirse
Klasöre verdiğiniz izinin bir alt klasör ve içindeki dosyalara uygulanmasını fakat daha ileriye gitmemesini istyorsanız bu check box ı işaretlersiniz
Klasöre verdiğiniz izinin tüm alt klasör ve dosyalara uygulanmasını istiyorsanız check boxın işaretini kaldırırsınız
Örnek olarak; 1, 2, 3 ve 4 klasörlerimiz iç içe olsun, 1 isimli klasörde herhangi bir izin atayıp, tüm klasörlere uygulanmasını seçer ve bu check box ı işaretlemezsek tüm klasör ve dosyalar bu izini alır.Check box ı işaretlersek 1 isimli klasör sadece altındaki dosyalar ve altında bulunan 2 isimli klasöre miras atayacaktır ve 3, 4 klasörleri ve içindeki dosyalar bu ayardan etkilenmeyecektir.
Inherit & Replace ( Miras ve Değiştirme )
Miras kavramı öğenin izinleri bir üst konteynırdan alması (klasör, partition vs..) demektir, bununla beraber öğe izinleri üstten almakla beraber kendisinde açıkca tanımlanmış izinleride kaybetmez (izinler kümülatiftir)
Değiştirme ise alt konteynırlarda bulunan tüm izinlerin silinip seçili konteynırdaki izinlerin atanması anlamına gelir.
Şekil 29 – Miras ve Değiştirme
Varsayılanda her konteynır bir üst konteynırdan miras alır
Şekil 30 – Mirasın alınması
Bu kısımda dikkat etmemiz gereken bir nokta var, miras C:Documents and Settingsserkan isimli klasörden alınmış, nedeni ise açık, “Documents and Settings” isimli klasörden miras alamaz çünkü bu klasörün altındaki klasörlerin hepsinin izini farklıdır. (Documents and Settingsusername olduğu için)
Mirası kaldırma;
Bu işlemin amacı üst konteynırdan alınan izinin veya izinlerin silinmesini sağlamak (Mirası kaldırmadan üst konteynırdan miras olarak gelen izinleri silemezsiniz ) ve üst konteynırda bundan sonra yapılacak izin değişikliklerinden etkilenmemek, mirası kaldırma esnasında iki tane seçeneğimiz var;
1 – mirasdan gelen izinleri sil, <not inherited> yani miras alınmamış olanları bırak ve bundan sonrada üst klasörden miras alma
2 – mirasdan gelen izinleri silme, bununla beraber bundan sonra üst klasörden miras alma
Şekil 31 –Mirasın kaldırılması
İzin Denetimi (Audit)
Sahip olunan izinlere istinaden verilerde yapılan işlemlerin windows olay günlüğü aracılığı ile kayıt tutulmasıdır, iki tip kayıt işlemi vardır, – başarılı ve başarısız.
Tabi ki Audit yapabilmek içinde bazı gereksinimler vardır, bilgisayarımızın audit işlemine açık olması lazımdır, bunu policy üzerinden yapabiliriz, (Eğer bilgisayarımız domainde ise ve domain üzerinde ilgili ayarlar yapıldıysa yerel bilgisayarda değişiklik yapamayız) Group policy object editoru başlat – çalıştır – gpedit.msc ile açıp ilgili ayarları yapalım.
Şekil 32 – İzin denetimilerinin Policy üzerinden açılması
Aşağıdaki örneğimizde yerel bilgisayardaki kullanıcıların “slaytlar” isimli klasörü silmeleri (ve ya silememeleri ) durumunda bunu log tutmak için ilgili denetimin girişinin nasıl yapıldığını görebilirsiniz.
Şekil 33 – İzin denetimi eklenmesi
İşlemimizin ardından Users grubuna üye olan bir kullanıcımızla bu klasörü silmeye çalışalım
Şekil 34 – Gerekli izinleri olmayan kullanıcının klasörü silmeye çalışırken hata alması
Kullanıcının klasörü silmeye çalıştığını ve başaramadığını görmek için olay günlüğünü açalım ( başlat – çalıştır – eventvwr.msc ) ve security tabından işlemi kontrol edelim.Aşağıdaki resimde metin isimli kullanıcının bu klasörü silmeye çalıştığını ve başarısız olduğunu görüyoruz.
Şekil 35 – Audit olaylarının kontrolü
Audit olaylarda dikkat etmemiz gereken nokta ise şudur; audit olayları security isimli olay günlüğüne kayıtlanır ve bu günlük dolduğu zaman yerel yönetici (administrators grubuna üye bir kullanıcı) dışındaki kullanıcılar oturum açamaz, administrators grubuna üye olan kullanıcının bu günlüğü boşaltması ve ya boyutunu büyütmesi lazımdır.Yine Group Policy üzerinde security ayarlarından günlük dolduğunda sistemin hemen kapanmasını da sağlayabilirsiniz.
Sahiplik
Sahiplik verinin kimin tarafından oluşturulduğunu, sahibinin kim olduğunu gösterir, bir dosya üzerinde hiçbir hakkımız olmasa dahi eğer o dosyanın sahibi isek dosya üzerindeki tüm yetkileri alabiliriz.
Örnek olarak; Aşağıdaki Administrator kullanıcısı ile Metin isimli kullanıcının masüstüne yani desktop isimli klasörüne göz atıyoruz, klasörün sahibin Metin olduğunu görebiliriz.
Şekil 36 – Sahiplik Ayarları
Change Owner to kısmının altında bulunan herhangi bir grup veya hesabı seçerek Ok ile devam edersem o klasörün sahipliğini seçtiğim kullanıcıya atamış olurum, alttaki check boxı işaretlemek tüm alt klasörler ve objeleride kapsa anlamına geliyor. Peki, bu hakkı nereden aldığımızı merak edersek tabi ki bakacağımız yer Group Policy içerisindeki security ayarlarıdır:
Şekil 37 – Group Policy üzerindeki sahiplik ayarları
Effective Permissions
Kümülatif izinlerin sonuçlarını alabildiğimiz, başka bir deyişle bir kullanıcı ve grubun diğer üyeliklerden aldığı izinlerde dahil olmak üzere özet izinlerini bulabileceğimiz tabdır.
Örnek; Klasörümüzde 3 farklı grup ve bir kullanıcıya farklı hak atamaları yaptık, kullanıcımız 3 grubada üye ve dolayısıyla 3 grubunda izinlerinden etkileniyor, kullanıcımıza ise alenen tam kontrol verdik fakat Metin isimli kullanıcımız klasörde yeni dosya oluşturamadığı şikâyetinde bulunuyor, aşağıdaki resme bakarsak ilk izlenime göre her şey yolunda
Şekil 38 – Klasör üzerindeki grupların izinleri Sekil 39 – Klasör üzerindeki kullanıcının izinleri
Metin in bu klasördeki “etkili” izinlerini görelim
Sekil 40 – Etkili İzinler
Şeklimize dikkat edersek Metin’in dosya ve klasör oluşturmaya hakkının olmadığını görüyoruz, Metin full control olduğu halde dosya ve klasör oluşturma hakları neden görünmüyor, bunun tek bir cevabı olabilir “üye olduğu bir gruba“ dosya ve klasör oluşturma izinlerinde “deny” verilmiş olması.
Şekil – 41 Etkili İzinler
Öneriler
1 – İzinleri kullanıcılardan ziyade gruplara vererek yönetimi kolaylaştırın
2 – Kullanıcıların çalışabilecekleri minumum izinleri verin, gereksiz izin vermekten kaçının
3 – Aynı izinlere sahip olması gereken objeleri bir klasörde toplamaya özen gösterin ( Birimlere göre güvenlik anlayışını kullanabilirsiniz, muhasebe, bilgi islem gibi )
4 – Everyone (Herkes) isimli kullanıcı grubuna izin atamayın, bunun yerine Authenticated users grubunu kullanın
5 – Kullanıcıların klsörlerini tek bir sunucuda bulundurmanız paylaşımı ve güvenliği yönetmek için etkili aolacağı gibi anti-virüs taramaları, yedekleme ve kota uygulamalarında da size esneklik sağlayacaktır.
6 – Paylaşılan kaynakları bir güvenlik duvarı yardımı ile korumayı ihmal etmeyin.
7 – Paylaşılan klasörde izin vereceğiniz kullanıcı ve grupların sayısı fazla ve sürekli yönetim gerektiriyorsa workgroup yerine domain ortamını tercih edin, bu şekilde dosyaların domain dışından erişiminide yasaklayabilirsiniz.
Örnek Uygulamalar
1 – Aşağıdaki Resimde “A” kullanıcısı iki gruba birden üyedir, bu durumda kullanıcının izinleri ne durumdadır ?
Şekil 42 – Grup izinlerinin kullanıcı izinleriyle karşılaştırılması
A kullanıcısının Write, yani yazma izini dışındaki tüm izinleri vardır, bu izininin elinden alınma sebebi açıktır, üye olduğu pazarlama grubunda write a deny verilmiştir ve deny, allow a baskın gelir.
2 – A isimli kullanıcı satış grubuna üye, satış grubunun dosyayı sadece okumasını, bununla beraber A kullanıcısının tam yetki sahibi olmasını istiyorsak ne yapmalıyız?
Şekil 43 – Kullanıcı izinlerinin grup izinleriyle karşılaştırılması
Satış grubunun write izinine deny vermedik, “eğer izin verilmemişse deny vermeye gerek yoktur” eğer deny verirsek A isimli kullanıcı da bu gruptan etkilenecektir ve tam yetkiye sahip olamayacaktır.
3 – A isimli kullanıcımız hem satış hem de pazarlama grubuna üye, satış grubunun ilgili objeye erişememesini, pazarlama grubu ve A isimli kullanıcının ise tam yetkili olması için ne yapabiliriz.
Şekil 44 – Kullanıcı ve grupların izinleri seçim tablosu
Satış grubuna hiç izin vermememiz onların erişimini yasaklamak demek oluyor, pazarlamaya istendiği gibi tam kontrol verdik, A kullanıcısına da tam yetki vermemiz gerekiyordu ama bunu özellikle yapmamıza gerek yok çünkü pazarlama grubundan izinleri alacaktır.
Örnek Bir Senaryo
Bir dosya sunucunuz var ve bu sunucu üzerinde tüm kullanıcıların dökümanlarını merkezi olarak konumlandırmak istiyorsunuz,
– Herkese paylaşımın içerisinde kendi klasörlerini oluşturma ve içlerine dilediklerini yazıp silmelerini sağlamak istiyorsunuz
– Hiçbir kullanıcı paylaşım klasörününün içinde dosya oluşturamayacak, sadece klasör oluşturabilecek
– Kullanıcılar birbirlerinin klasörlerine giremeyecek
– Hiçbir kullanıcıya tek tek hak ataması yapmadan bunu gruplarla yapmalısınız
Hemen işe koyulalım
1 – Network üzerinden erişim için klasörümü paylaştırıyorum ve bu paylaşımdaki yazma izinlerini kullanabilmeleri için change yani değiştirme izini veriyorum
Şekil – 45 Paylaşım ayarları
2 – Security sekmesinde ise;
Öncelikle bir üst dizinden aldığım miraslar içerisinde users grubu (kullanıcılar) olduğu için mirası kesiyorum, remove seçmemin sebebi ise üst dizinden gelen izinleri istemiyor olmam. ( copy seçilerek tek tek de silindiğini unutmayın )
Şekil 46 – Mirasın kaldırılması
ve özel izinleri aşağıdaki gibi veriyorum
Kullanıcıları için;
Dosya içerisine girmeleri için read
İçeriği görüntülemeleri için list folder contents,
Klasör oluşturabilmeleri için create folders
Önemli nokta ise; bu izinleri users grubuna verirsem her kullanıcı bir diğer kullanıcının klasörünü okuyabilir, bunu önlemek için “this folder only” seçeneğini kullanıyorum
Şekil 47 – Kullanıcılara izin atanması
Peki kullanıcıların “kendi oluşturdukları” klasörlerde tam yetkiye sahip olmaları için ne yapmalıyım ?, sorunun cevabı içinde yani “creator owner” grubuna tam yetki vereceğim
Creator Owner grubu için;
Şekil 48 – Creator owner grubuna izin atanması
Şimdi sonuçları görmek için Metin ve Miray isimli kullanıcılarla deneme yapalım
– Metin isimli kullanıcı ile oturum açarak paylaşım üzerinde bir klaösr açıp adını Metin verelim
Şekil 49 – Metin isimli kullanıcı ile yeni bir kullanıcı açılması
Bu dosyanın izinlerine dikkat edecek olursanız Metinin tam yetkisini olduğunu görürsünüz, Metine manuel olarak izin vermediğimiz halde Metin isimli kullanıcı bu klasörü oluşturduğu için “creator owner” un full control izinlerini almış durumda,
Şekil 50 – Metin isimli kullanıcının kendisine ayrıca hak atanamadığı halde “creator owner” grubundan aldığı yetkilerin görüntülenmesi
Başka kullanıcıların bu klasöre giremeyeceğini doğrulamamıza gerek yok, nedeni ise açık, eğer bir kullanıcı ve ya gruba açıkça izin verilmemişse ilgili objeye erişemez.
Senaryomuzla beraber makaleme burada son veriyorum, paylaşım ve güvenlik adına sıkıntısız günler dilerim.