USB Engelleme Yazılımı: Beyaz Liste ve Denetim Nasıl Kurulur?

USB engelleme yazılımı nedir, ne işe yarar?

Pratikte bu iş tek bir üründen ziyade bir politika katmanıyla yapılır. Bazı kurumlar ayrı bir cihaz kontrol ürünü satın alır. Pek çoğu ise mevcut uç nokta güvenlik platformunun ya da Windows'un yerleşik özelliklerinin işi büyük ölçüde gördüğünü fark eder. Seçenekler arasındaki fark, ölçeklenebilirlikte ve kayıt tutma kabiliyetinde ortaya çıkar.

Sahada gördüğümüz kadarıyla en sık yapılan hata, USB portunu kapatıp işi bitmiş saymaktır. Klavye ve fare de USB üzerinden bağlanır. Telefonlar dosyayı farklı bir protokolle taşır. CD/DVD sürücüleri ve yazıcılar ise ayrı cihaz sınıflarıdır. İyi kurgulanmış bir politika bu sınıfları tek tek ele alır. Aslında zararlı yazılım türleri ve bulaş yolları da benzer şekilde kategorize edilir.

USB kullanımını kısıtlamak hangi standartlarda isteniyor?

CSF Tools üzerinde yayımlanan NIST SP 800-53 Rev.5 MP-7 kontrol metni iki şey istiyor. Birincisi, kurumun belirlediği ortam türlerinin belirlenen sistemlerde kısıtlanması veya yasaklanması. İkincisi, sahibi belirlenemeyen taşınabilir depolama cihazlarının kurum sistemlerinde kullanılmaması. Bu ikinci madde, beyaz liste yaklaşımının doğrudan karşılığıdır: Kimin olduğu bilinmeyen bellek takılmaz.

ISO 27001'in ek kontrol setinde depolama ortamlarının yönetimine ayrılmış kontroller bulunur. Denetçi genellikle hem yazılı bir politika hem de bu politikanın teknik olarak uygulandığına dair kanıt görmek ister. KVKK tarafında ise taşınabilir ortamlar üzerinden veri sızıntısını önlemek, veri sorumlusundan beklenen teknik tedbirler arasında değerlendirilir. Kurumunuz için neyin yükümlülük, neyin öneri olduğunu resmi metinlerden netleştirmek gerekir. Bunun için yapılandırılmış bir KVKK uyum çalışması iyi bir başlangıç noktasıdır.

Tam engelleme mi, beyaz liste mi, salt okunur mu?

“USB'yi kapatalım mı?” sorusunun tek bir doğru cevabı yok. Doğru cevap, ekibin işi ve taşıdığı verinin duyarlılığı birlikte değerlendirilerek bulunur. Aşağıdaki tablo, en sık kullanılan dört modeli karar vermeyi kolaylaştıracak şekilde yan yana koyuyor.

Çoğu kurumda doğru cevap bir karışımdır: Genel kullanıcılar için tam engelleme, saha ve AR-GE ekipleri için beyaz liste, dış kaynaktan veri alan birimler için salt okunur erişim. Önemli olan, her grubun neden o modelde olduğunu yazılı olarak gerekçelendirmektir.

GPO, Intune ve Defender ile USB nasıl engellenir?

İşe bir uyarıyla başlamak gerekmektedir. Microsoft Learn belgelerine göre Defender for Endpoint'te device control etkin değilse varsayılan davranış erişime izin vermektir. Bu durum CD/DVD sürücüleri, yazıcılar, çıkarılabilir medya cihazları ve Windows taşınabilir cihazları için geçerlidir. Device control etkinleştirildiğinde ise varsayılan davranış “Deny” olarak ayarlanabiliyor.

• Grup İlkesi (GPO): Active Directory ortamında “Çıkarılabilir Depolama Erişimi” ilkeleriyle sınıf bazında okuma ve yazma engellenebilir. “Aygıt Yükleme Kısıtlamaları” ile de belirli donanım kimliklerine izin verilebilir. Maliyetsizdir ama raporlama zayıftır ve domain dışındaki cihazlara ulaşmaz.
• Intune: Bulut yönetimli ve uzaktan çalışan cihazlar için uygundur. Politika ağ bağlantısından bağımsız olarak uygulanır.
• Defender for Endpoint device control: Cihaz bazında ayrıntılı kural ve merkezi olay kaydı sunar. Denetim kanıtı için en güçlü yerleşik seçenektir.
• Üçüncü taraf uç nokta ürünleri: Karma işletim sistemi ortamlarında veya Microsoft lisansı yetersiz kaldığında tercih edilir.

Defender tarafındaki Microsoft Learn uygulama anlatımlarında bir cihazın Device ID, Vendor ID (VID), seri numarası ve bus türüyle tanımlanabildiği gösteriliyor. Aynı anlatımlar, varsayılan davranışın tüm cihazları reddedecek şekilde değiştirilip kontrolün yalnızca çıkarılabilir depolamaya uygulanabileceğini de açıklıyor. Böylece klavye ve fare gibi giriş cihazları etkilenmeden depolama sınıfı kilitlenebilir.

USB engelleme politikası nasıl kurulur? Adım adım

Doğrudan “herkesi engelle” düğmesine basmak, ilk sabah yardım masasını kilitlemenin en hızlı yoludur. Aşağıdaki sıra, kesintiyi en aza indirerek varsayılan reddet modeline ulaşmanızı sağlar.

1. Envanter çıkarın Hangi birimlerin harici medyaya gerçekten ihtiyaç duyduğunu, hangi cihaz modellerinin kullanıldığını listeleyin.
2. Denetim modunda başlayın Birkaç hafta boyunca engelleme yapmadan yalnızca kayıt toplayın. Böylece gerçek kullanım tablosu ortaya çıkar.
3. Kullanıcı gruplarını tanımlayın Tam engelleme, beyaz liste ve salt okunur gruplarını belirleyip yönetici onayına sunun.
4. Beyaz listeyi oluşturun Kuruma ait cihazları VID ve seri numarasıyla kaydedin, her cihazı bir kişiye zimmetleyin.
5. Pilot uygulayın Politikayı önce küçük ve teknik olarak toleranslı bir ekipte devreye alın, şikâyetleri not edin.
6. Varsayılanı reddete çekin Pilot sorunsuz ilerlediğinde politikayı kademeli olarak tüm kuruma yayın.
7. İstisna sürecini yazın Geçici erişim talebi, onay sahibi ve izin süresi tanımlı olsun. Süresiz istisna vermeyin.
8. Periyodik gözden geçirin Ayrılan personelin cihazlarını listeden çıkarın, kayıtları düzenli olarak inceleyin.

USB kullanımı nasıl loglanır, denetimde nasıl kanıtlanır?

Engelleme kadar önemli olan, ne olduğunu sonradan gösterebilmektir. Microsoft Learn belgelerine göre Advanced Hunting'deki RemovableStoragePolicyTriggered olayında, disk ve dosya sistemi düzeyindeki uygulamaya ait bilgiler görülebiliyor. Aynı kaynak, bu olay türü için cihaz başına günde 300 olay sınırı bulunduğunu belirtiyor. Tak-çalıştır olaylarına da Advanced Hunting üzerinden ulaşılabiliyor.

Denetçi karşısında işe yaramış kanıt seti genellikle şunlardan oluşur:

• Onaylı ve tarihli USB / taşınabilir ortam politikası
• Politikanın uç noktalara dağıtıldığını gösteren yapılandırma çıktısı
• Güncel beyaz liste ve cihaz zimmet kayıtları
• Engellenen ve izin verilen erişimlere ait örnek olay kayıtları
• İstisna talepleri, onayları ve kapanış kayıtları

USB engelleme yazılımı seçerken nelere bakılmalı?

Ayrı bir ürün değerlendiriyorsanız, satış sunumundaki özellik listesine değil, şu sorulara verilen cevaplara odaklanın:

• Cihazı seri numarası düzeyinde tanımlayabiliyor mu, yoksa yalnızca sınıf bazında mı çalışıyor?
• Salt okunur erişim ve zaman sınırlı istisna tanımlanabiliyor mu?
• Ağ dışındaki dizüstü bilgisayarlarda politika uygulanmaya devam ediyor mu?
• Olay kayıtları dışa aktarılabiliyor ve SIEM ile entegre oluyor mu?
• Windows dışındaki işletim sistemlerini de kapsıyor mu?
• Dosya içeriğini inceleyip hassas veri kopyalamasını ayrıca durdurabiliyor mu?

Son madde, cihaz kontrolüyle veri sızıntısı önlemenin kesiştiği noktadır. İzinli bir belleğe bile kişisel veri kopyalanmasını engellemek istiyorsanız, içerik farkındalığı olan bir DLP katmanı gerekir. Cihaz kontrolünün mevcut uç nokta güvenliği platformunuzla aynı konsoldan yönetilmesi de operasyon yükünü belirgin biçimde azaltır.

Sıkça Sorulan Sorular (SSS)

Sonuç: Önce görünürlük, sonra kısıtlama

İyi bir USB politikası tek bir ayardan ibaret değildir. Önce envanter ve denetim modu gelir, ardından gruplara göre ayrışan kurallar, beyaz liste ve istisna süreci kurulur. Hepsinin üzerinde, aylar sonra bile gösterilebilecek kayıtlar durur. Varsayılan ayarların çoğu zaman erişime izin verdiğini hatırlayın ve işe mevcut durumu ölçerek başlayın. Politika tasarımını ISO 27001 kontrolleriyle hizalamak istiyorsanız yönetim sistemleri danışmanlığı sürecinde bu adımları birlikte planlayabiliriz.