• Makale

Configuration Manager'da İşletim Sistemi Dağıtmayla İlgili Güvenlik ve Gizlilik

 

Uygulama Alanı: System Center 2012 Configuration Manager, System Center 2012 Configuration Manager SP1, System Center 2012 Configuration Manager SP2, System Center 2012 R2 Configuration Manager, System Center 2012 R2 Configuration Manager SP1

Not

Bu konu şunları içerir:System Center 2012 Configuration Manager'da Yazılım ve İşletim Sistemlerini Dağıtma kılavuzu ve System Center 2012 Configuration Manager için Güvenlik ve Gizlilik kılavuzunda.

Bu konuda, System Center 2012 Configuration Manager'te işletim sistemi dağıtımıyla ilgili güvenlik ve gizlilik bilgileri yer almaktadır.

İşletim Sistemi Dağıtımı İçin En İyi Güvenlik Uygulamaları

Configuration Manager ile işletim sistemi dağıtımı yaparken aşağıdaki en iyi güvenlik uygulamalarını kullanın:

En iyi güvenlik yöntemi

Daha fazla bilgi

Önyüklenebilir medyayı korumak için erişim denetimleri uygulayın

Önyüklenebilir medya oluştururken, medyanın korunmasına yardımcı olmak için her zaman bir parola atayın. Öte yandan, bir parolayla bile, yalnızca önemli bilgileri içeren dosyalar şifrelenir ve tüm dosyaların üzerine yazılabilir.

Bir saldırganın istemci kimlik doğrulaması sertifikasını almak amacıyla şifreleme saldırılarını kullanmasını önlemek için medyaya fiziksel erişimi denetleyin.

Not

Configuration Manager SP1'de, bir istemcinin, üzerinde oynanmış bir içerik veya istemci ilkesi yüklemesini önlemeye yardımcı olmak için içeriğe karma uygulanır ve içerik orijinal ilkeyle kullanılmalıdır. İçerik karması başarısız olursa veya içeriğin ilkeyle eşleşme denetimi başarısız olursa, istemci önyüklenebilir medyayı kullanmaz. Yalnızca içeriğe karma uygulanır; ilkeye uygulanmaz, ancak bir parola belirttiğinizde ilke şifrelenir ve korunur ve bu da bir saldırganın ilkede değişiklik yapmasını daha da zorlaştırır.

İşletim sistemi görüntüleri için medya oluştururken güvenli bir konum kullanın

Yetkisiz kullanıcılar söz konusu konuma erişim olanağı bulursa, bu kullanıcılar, oluşturduğunuz dosyalarla oynayabilir ve ayrıca disk alanının tamamını kullanıp medya oluşturmanın başarısız olmasına neden olabilir.

Sertifika dosyalarını (.pfx) güçlü bir parolayla koruyun ve bunları ağda depoluyorsanız bunları Configuration Manager'ye aktarırken ağ kanalının güvenliğini sağlayın.

Önyüklenebilir medya için kullandığınız istemci kimlik doğrulaması sertifikasını içeri aktarmak için parola istediğinizde bu, sertifikanın saldırganlardan korunmasına yardımcı olur.

Saldırganların sertifika dosyasını izinsiz şekilde değiştirmesini engellemek için ağ konumu ile site sunucusu arasında SMB imzası veya IPsec kullanın.

İstemci sertifikası tehlikedeyse Configuration Manager'den bu sertifikayı engelleyin ve bu bir PKI sertifikasıysa sertifikayı iptal edin.

Bir işletim sistemini önyüklenebilir medya ve PXE önyüklemesi kullanarak dağıtmak için özel anahtarlı bir istemci kimlik doğrulaması sertifikasına sahip olmanız gerekir. Bu sertifika tehlikedeyse, Yönetim çalışma alanı, Güvenlik düğümündeki Sertifikalar düğümünde bu sertifikayı engelleyin.

Sertifikayı engellemekle iptal etmek arasındaki fark hakkında daha fazla bilgi için bkz. İstemcileri Engelleme ve İstemci Sertifikalarını İptal Etmeyi Karşılaştırma.

SMS Sağlayıcısı, site sunucusu dışındaki bir bilgisayarda veya bilgisayarlarda bulunduğunda, önyükleme görüntülerini korumak için iletişim kanalının güvenliğini sağlayın.

Önyükleme görüntüleri değiştirilip SMS Sağlayıcısı site sunucusu olmayan bir sunucuda çalıştığında, önyükleme görüntüleri saldırıya açık olur. SMB imzalama veya IPsec kullanarak bu bilgisayarlar arasındaki ağ kanalını koruyun.

Yalnızca güvenli ağ kesimlerinde PXE istemcisi iletişimi için dağıtım noktalarını etkinleştirin

İstemci bir PXE önyüklemesi isteği gönderdiğinde, isteğin PXE'yi destekleyen geçerli bir dağıtım noktası tarafından servis edildiğinden emin olmanız mümkün değildir. Bu senaryoda aşağıdaki güvenlik riskleri bulunur:

  • PXE isteklerine yanıt veren standart dışı bir dağıtım noktası, istemcilere, üzerinde oynanmış bir görüntü sağlayabilir.

  • Saldırgan, PXE tarafından kullanılan TFTP protokolüne karşı ortadaki adam saldırısı başlatabilir ve işletim sistemi dosyalarıyla birlikte kötü amaçlı kod gönderebilir veya TFTP isteklerini doğrudan dağıtım noktasına yapmak için standart dışı bir istemci oluşturabilir.

  • Saldırgan, dağıtım noktasına yönelik bir hizmet reddi saldırısı başlatmak için kötü amaçlı bir istemci kullanabilir.

İstemcilerin PXE istekleri için dağıtım noktalarına ulaşacakları ağ kesimlerini korumak için derinlemesine savunma kullanın.

System_CAPS_warningUyarı

Bu güvenlik riskleri nedeniyle, bir dağıtım noktası güvenilmeyen bir ağda olduğunda (örneğin, çevre ağı) o dağıtım noktasını PXE iletişimi için etkinleştirmeyin.

PXE'yi destekleyen dağıtım noktalarını yalnızca belirtilen ağ arabirimlerindeki PXE isteklerine yanıt verecek şekilde yapılandırın

Dağıtım noktasının tüm ağ arabirimlerindeki PXE isteklerine yanıt vermesine izin verirseniz bu yapılandırma, PXE hizmetini güvenilmeyen ağlara maruz bırakabilir

PXE önyüklemesi için parola isteyin

PXE önyüklemesi için parola istediğinizde, bu yapılandırma, PXE önyüklemesi işlemine ekstra bir güvenlik düzeyi ekleyerek Configuration Manager hiyerarşisine katılan standart dışı istemcilere karşı koruma sağlanmasına yardımcı olur.

Önemli veriler içeren iş kolu uygulamalarını veya yazılımları, PXE önyüklemesi veya çok noktaya yayın için kullanılacak bir görüntüye dahil etmeyin

PXE önyüklemesi ve çok noktaya yayının doğasında mevcut olan güvenlik riskleri nedeniyle, standart dışı bir bilgisayarın işletim sistemi görüntüsünü indirmesi olasılığına karşılık riskleri azaltın.

Önemli veriler içeren iş kolu uygulamalarını veya yazılımları, görev dizileri değişkenleri kullanılarak yüklenen yazılım paketlerine dahil etmeyin

Yazılım paketlerini görev dizileri değişkenlerini kullanarak dağıttığınızda, yazılımlar, o yazılımları alma yetkisi olmayan bilgisayarlara ve kullanıcılara yüklenebilir.

Kullanıcı durumunu geçirirken, SMB imzalama veya IPsec kullanarak istemciyle durum geçiş noktası arasındaki ağ kanalının güvenliğini sağlayın

HTTP üzerinden ilk bağlantının ardından, kullanıcı durumu geçirme verileri SMB kullanılarak aktarılır. Ağ kanalının güvenliğini sağlamazsanız saldırganlar bu verileri okuyup bunlar üzerinde değişiklik yapabilir.

Kullanıcı Durumu Geçirme Aracı'nın (USMT) Configuration Manager'nin desteklediği en son sürümünü kullanın

USMT'nin en son sürümünde, kullanıcı durumu verilerinin geçirilmesiyle ilgili güvenlik geliştirmeleri ve daha fazla denetim sağlanmaktadır.

Durum geçiş noktasındaki klasörlerin yetkisi alındığında bunları el ile silin

Durum geçiş noktası özelliklerinde Configuration Manager konsolunda bir durum geçiş noktası klasörünü kaldırdığınızda, fiziksel klasör silinmez. Kullanıcı durumu geçirme verilerinde bilgilerin açığa çıkması sorununun yaşanmaması için, el ile, ağ paylaşımını kaldırmanız ve klasörü silmeniz gerekir.

Silme ilkesini, kullanıcı durumu hemen silinecek şekilde yapılandırmayın

Durum geçiş noktasında, silme ilkesini, silinmek üzere işaretlenmiş veriler hemen kaldırılacak şekilde yapılandırırsanız ve bir saldırgan, geçerli bilgisayardan önce kullanıcı durumu verilerini almayı başarırsa, kullanıcı durumu verileri hemen silinir.Sonra sil aralığını, kullanıcı durumu verilerinin başarıyla geri yüklendiğini doğrulamaya yetecek kadar uzun olacak şekilde ayarlayın.

Kullanıcı durumu geçirme verilerinin geri yüklenmesi tamamlanıp doğrulandığında bilgisayar ilişkilerini el ile silin

Configuration Manager, bilgisayar ilişkilerini otomatik olarak kaldırmaz. Artık gerekli olmayan bilgisayar ilişkilerini el ile silerek kullanıcı durumu verilerinin belirlenmesini korumaya yardımcı olun.

Durum geçiş noktasındaki kullanıcı durumu geçirme verilerini el ile yedekleyin

Configuration Manager Yedekleme, kullanıcı durumu geçirme verilerini içermez.

İşletim sistemi yüklendikten sonra BitLocker'ı etkinleştirmeyi unutmayın

Bir bilgisayar BitLocker’ı destekliyorsa, işletim sistemini katılımsız yüklemek için bir görev dizisi adımı kullanarak devre dışı bırakmanız gerekir.Configuration Manager işletim sistemi yüklendikten sonra BitLocker’ı yeniden etkinleştirmez, bu nedenle BitLocker’ı el ile yeniden etkinleştirmeniz gerekir.

Önceden hazırlanan medyayı korumak için erişim denetimleri uygulayın

Bir saldırganın istemci kimlik doğrulaması sertifikasını ve önemli verileri almak amacıyla şifreleme saldırılarını kullanmasını önlemek için medyaya fiziksel erişimi denetleyin.

Başvuru bilgisayarı görüntüleme işlemini korumak için erişim denetimleri uygulayın

Uygun erişim denetimleriyle, işletim sistemi görüntülerini yakalamak için kullandığınız başvuru bilgisayarının güvenli bir ortamda bulunmasını sağlayın; böylece beklenmeyen veya kötü amaçlı yazılımlar yüklenemez ve yakalanan görüntüye yanlışlıkla dahil edilemez. Görüntüyü yakalarken, hedef ağ dosya paylaşımı konumunun güvenli olmasını sağlayın; böylece görüntü yakalandıktan sonra görüntünün üzerinde oynanamaz

Başvuru bilgisayarına daima en yeni güvenlik güncelleştirmelerini yükleyin

Başvuru bilgisayarında güncel güvenlik güncelleştirmeleri mevcut olduğunda, bu durum, yeni bilgisayarlar ilk defa başlatıldığında bu bilgisayarlarda yaşanacak güvenlik açığı süresini azaltır.

İşletim sistemlerini bilinmeyen bir bilgisayara dağıtmanız gerekiyorsa, yetkisiz bilgisayarların ağa bağlanmasını önlemek için erişim denetimleri uygulayın

Bilinmeyen bilgisayarlara içerik sağlamak, yeni bilgisayarlara isteğe bağlı olarak dağıtım yapmak için kullanışlı bir yöntem sunmakla birlikte bir saldırganın etkin bir şekilde ağınızdaki güvenilen bir istemci haline gelmesine de olanak sağlayabilir. Ağa fiziksel erişimi kısıtlayın ve yetkisiz bilgisayarları algılamak için istemcileri izleyin. Ayrıca, PXE tarafından başlatılan işletim sistemi dağıtımına yanıt veren bilgisayarlar, işletim sistemi dağıtımı sırasında verilerin tümünü yok etmiş olabilir ki bu da yanlışlıkla yeniden biçimlendirilen sistemlerde kullanılabilirlik kaybına neden olabilir.

Çok noktaya yayın paketleri için şifrelemeyi etkinleştirin

Her işletim sistemi dağıtım paketi için, Configuration Manager, paketi çok noktaya yayın kullanarak aktarırken şifrelemeyi etkinleştirme seçeneğiniz vardır. Bu yapılandırma, standart dışı bilgisayarların çok noktaya yayın oturumlarına katılmasını önlemeye ve saldırganların iletim üzerinde oynama yapmasını önlemeye yardımcı olur.

Yetkisiz çok noktaya yayını destekleyen dağıtım noktalarını izleyin

Saldırganlar ağınıza erişebilirse, standart dışı çok noktaya yayın sunucularını işletim sistemini kandıracak şekilde yapılandırabilirler.

Görev dizilerini bir ağ konumuna aktardığınızda konumun ve ağ kanalının güvenliğini sağlayın

Ağ klasörüne erişebilecek kişileri kısıtlayın.

Saldırganların dışarı aktarılan görev dizisinde oynama yapmasını önlemek için ağ konumu ile site sunucusu arasında SMB imzalama veya IPsec kullanın.

Yalnızca System Center 2012 R2 Configuration Manager ve sonraki sürümleri için:

Sanal Makine Yöneticinize bir sanal sabit disk yüklerken iletişim kanalının güvenliğini sağlayın.

Ağ üzerinden aktarılan verilerin üzerinde oynanmasını önlemek için, Configuration Manager konsolunu çalıştıran bilgisayarla Sanal Makine Yöneticisi'ni çalıştıran bilgisayar arasında Internet Protokolü güvenliği (IPsec) veya sunucu ileti bloğu (SMB) kullanın.

Görev Dizisi Farklı Çalıştır Hesabı kullanmanız gerekiyorsa ek güvenlik önlemleri alın

Görev Dizisi Farklı Çalıştır Hesabı'nı kullanırsanız aşağıdaki önlem amaçlı adımları uygulayın:

  • Mümkün olan en düşük izinlere sahip bir hesap kullanın.

  • Bu hesap için Ağ Erişimi hesabı kullanmayın.

  • Hesabı asla etki alanı yöneticisi yapmayın.

Bunlara ek olarak:

  • Bu hesap için asla dolaşım profilleri yapılandırmayın. Görev sırası çalıştırıldığında hesap için dolaşım profilini indirir ve bu durum profili yerel bilgisayarda erişime açık halde bırakır.

  • Hesabın kapsamını sınırlandırın. Örneğin, her bir görev sırası için farklı Görev Dizisi Farklı Çalıştır Hesapları oluşturun; böylece bir hesap tehlikede olursa yalnızca, o hesabın erişebildiği istemci bilgisayarlar tehlikede olur. Komut satırı, bilgisayarda yönetim erişimi gerektiriyorsa, görev dizisini çalıştıracak bilgisayarların tümünde yalnızca Görev Dizisi Farklı Çalıştır Hesabı için bir yerel yönetici hesabı oluşturmayı düşünün ve artık gerekmediğinde hesabı hemen silin.

İşletim Sistemi Dağıtım Yöneticisi güvenlik rolü verilen yönetim kullanıcılarını kısıtlayın ve izleyin

İşletim Sistemi Dağıtım Yöneticisi güvenlik rolü verilen yönetim kullanıcıları, bir istemcinin kimliğine bürünmek ve Configuration Manager'den istemci ilkesi almak için kullanılabilecek otomatik olarak imzalanan sertifikalar oluşturabilir.

İşletim Sistemi Dağıtımıyla İlgili Güvenlik Sorunları

İşletim sistemi dağıtımı, ağınızdaki bilgisayarlar için en güvenli işletim sistemlerini ve yapılandırmaları dağıtmak için kullanışlı bir yöntem olabilir; ancak bu yöntem aşağıdaki güvenlik risklerini de getirir:

  • Bilgilerin açığa çıkması ve hizmet reddi

    Bir saldırgan Configuration Manager altyapınızın kontrolünü ele geçirebilirse, herhangi bir görev dizisini çalıştırabilir (buna, tüm istemci bilgisayarların sabit sürücülerinin biçimlendirilmesi de dahil olabilir). Görev dizileri, önemli bilgileri (örneğin, etki alanına katılma izinleri olan hesaplar ve toplu lisanslama anahtarları) içerecek şekilde yapılandırılabilir.

  • Kimliğe bürünme ve ayrıcalıkların yükseltilmesi

    Görev dizileri, bir bilgisayarın etki alanına katılmasını sağlayabilir ve bu da standart dışı bir bilgisayara kimlik doğrulamalı ağ erişimi sağlayabilir. İşletim sistemi dağıtımıyla ilgili başka bir önemli güvenlik meselesi de önyüklenebilir görev sırası medyası ve PXE önyüklemesi dağıtımı için kullanılan istemci kimlik doğrulaması sertifikasının korunmasıdır. Bir istemci kimlik doğrulaması sertifikasını yakaladığınızda, bu durum, saldırganlara, sertifikadaki özel anahtarı ele geçirip ağdaki geçerli bir istemcinin kimliğine bürünme fırsatını sağlar.

    Bir saldırgan, önyüklenebilir görev sırası medyası ve PXE önyükleme dağıtımı için kullanılan istemci sertifikasını elde ederse bu sertifika, geçerli bir istemcinin Configuration Manager kimliğine bürünmesi için kullanılabilir. Bu senaryoda dolandırıcı bilgisayar, duyarlı verileri içerebilen ilkeyi indirebilir.

    İstemciler durum yükseltme noktasında depolanan verilere erişmek için Ağ Erişim Hesabı'nı kullanıyorsa bu istemciler aynı kimliği etkin bir şekilde paylaşır ve Ağ Erişim Hesabı'nı kullanan diğer bir istemciden gelen durum yükseltme verilerine erişebilir. Veriler şifrelenir, böylece bu verileri yalnızca orijinal istemci okuyabilir; ancak verilerle oynanabilir veya veriler silinebilir.

  • Durum yükseltme noktası, hizmet paketi olmayan Configuration Manager'da kimlik doğrulama kullanmaz

    Hizmet paketi olmayan Configuration Manager'da, durum yükseltme noktası kimlik doğrulama bağlantılarını kullanmaz, böylece herkes durum yükseltme noktasına veri gönderebilir ve burada depolanan verileri alabilir. Alınan kullanıcı durum verilerinin yalnızca orijinal bilgisayar tarafından okunabilmesine rağmen bu verilerin güvenli olduğunu düşünmeyin.

    Configuration Manager SP1'de, durum yükseltme noktası için istemci kimlik doğrulaması, yönetim noktası tarafından verilen bir Configuration Manager belirteci kullanılarak gerçekleştirilir.

    Ayrıca Configuration Manager, durum yükseltme noktasında depolanan verilerin miktarını sınırlamaz veya yönetmez ve bir saldırgan kullanılabilir disk alanını doldurup hizmet reddine sebep olabilir.

  • Koleksiyon değişkenleri kullanıyorsanız yerel yöneticiler olası duyarlı bilgileri okuyabilir

    Koleksiyon değişkenlerinin işletim sistemlerini dağıtmak için esnek yöntemler sunmasına rağmen bu durum, bilgilerin açıklanmasıyla sonuçlanabilir.

İşletim Sistemi Dağıtımı için Gizlilik Bilgileri

İşletim sistemi olmayan bilgisayarlara işletim sistemleri dağıtılmasına ek olarak Configuration Manager, kullanıcı dosyalarını ve ayarlarını bir bilgisayardan diğer bir bilgisayara geçirmek için kullanılabilir. Kişisel veri dosyaları, yapılandırma ayarları ve tarayıcı tanımlama bilgileri dahil olmak üzere yönetici, hangi bilgilerin aktarılacağını yapılandırır.

Bilgiler bir durum yükseltme noktasında depolanır ve iletim ve depolama sırasında şifrelenir. Bilgilerin, durum bilgileriyle ilişkilendirilen yeni bilgisayar tarafından alınmasına izin verilir. Yeni bilgisayar, bilgileri alan anahtarı kaybederse, bilgisayar ilişkilendirme örnek nesneleri için Kurtarma Bilgilerini Görüntüle hakkı olan bir Configuration Manager yöneticisi bilgilere erişebilir ve bu bilgileri yeni bir bilgisayarla ilişkilendirebilir. Yeni bilgisayar, durum bilgilerini geri yükledikten sonra verileri varsayılan olarak bir gün sonra siler. Silme için işaretlenen verilerin durum yükseltme noktası tarafından ne zaman kaldırılacağını yapılandırabilirsiniz. Durum yükseltme bilgileri site veritabanında depolanmaz ve Microsoft'a gönderilmez.

İşletim sistemi görüntülerini dağıtmak için önyükleme medyası kullanıyorsanız, önyükleme medyasını parolayla korumak için her zaman varsayılan seçeneği kullanın. Parola görev sırasında depolanan tüm değişkenleri şifreler, ancak bir değişkende depolanmayan bilgiler ifşaya açık olabilir.

İşletim sistemi dağıtımı, uygulamaların ve yazılım güncelleştirmelerinin yüklenmesini içeren dağıtım işlemi sırasında birçok farklı görevi gerçekleştirmek üzere görev sıralarını kullanabilir. Görev sıralarını yapılandırdığınızda aynı zamanda yazılım yüklemeye ait gizlilik bilgilerine de dikkat etmeniz gerekir.

İlk olarak görüntüyü temizlemek için Sysprep kullanmadan Virtual Machine Manager'a bir sanal sabit disk yüklerseniz yüklenen sanal sabit disk, orijinal görüntüden alınan kişisel verileri içerebilir.

Configuration Manager varsayılan olarak işletim sistemi dağıtımını uygulamaz ve kullanıcı durum bilgilerini toplamadan veya görev dizilerini ya da önyükleme görüntülerini oluşturmadan önce çeşitli yapılandırma adımları gerektirir.

İşletim sistemi dağıtımını yapılandırmadan önce gizlilik gereksinimlerinizi göz önünde bulundurun.