Merhaba, Windows 10 ve Windows 11 kullanan kurumsal bilgisayarlarda USB bellek kullanımını tamamen engellemek, yalnızca okumaya izin vermek veya belirli aygıtları istisna olarak tanımlamak sıklıkla karşılaştığımız bir ihtiyaç. Özellikle kullanıcıların USB üzerinden veri çıkarmasını sınırlandırmak istediğimizde, ilk akla gelen yöntemlerden biri Active Directory Group Policy oluyor.
Bu yazıda USB portunu fiziksel olarak kapatmak ile USB depolama aygıtına erişimi engellemek arasındaki farkı, GPO üzerinden uygulanabilecek politikaları, Windows 10/11 istemcilerinde kontrol yöntemlerini ve daha gelişmiş kurumsal seçenekleri ele alacağım.
Güncelleme notu: Bu makale ilk olarak 9 Temmuz 2020 tarihinde yayımlandı. Orijinal Windows 10 laboratuvarının ÇözümPark bağlantısı korunarak, içerik Windows 11 ve güncel kurumsal güvenlik yaklaşımlarıyla genişletildi.
USB Portlarını Kapatmak ile USB Belleği Engellemek Aynı Şey mi?
Hayır. USB portunu tamamen devre dışı bırakmak, aynı port üzerinden çalışan klavye, fare, akıllı kart okuyucu, kamera ve başka çevre birimlerini de etkileyebilir. Removable Storage Access ilkeleri ise esas olarak USB bellek gibi çıkarılabilir depolama sınıflarına okuma/yazma/çalıştırma erişimini kontrol eder. Bir USB hub veya portu fiziksel olarak kapatmaz.
Bu ayrım önemli; çünkü kurumların çoğunda amaç USB klavyeyi engellemek değil, harici belleğe dosya kopyalanmasını önlemektir.
Hangi Politika Hangi İhtiyaca Uygun?
| İhtiyaç | Önerilen yöntem | Davranış |
|---|---|---|
| USB bellek erişimini tamamen engelle | All Removable Storage classes: Deny all access | Politikanın kapsadığı çıkarılabilir depolama sınıflarına erişimi engeller. |
| USB belleğe kopyalamayı engelle | Removable Disks: Deny write access | Okuma mümkünken yazma engellenebilir. |
| USB bellekten dosya çalıştırmayı engelle | Removable Disks: Deny execute access | Çıkarılabilir diskten çalıştırılabilir içeriğin yürütülmesini sınırlar. |
| Yalnızca şifreli USB belleğe yazma izni ver | BitLocker: Deny write access to removable drives not protected by BitLocker | Şifresiz çıkarılabilir diskler salt okunur bağlanır. |
| Belirli USB cihazlarına izin ver, diğerlerini engelle | Microsoft Defender for Endpoint Device Control | Kimlik tabanlı cihaz grupları ve ayrıntılı izinler sağlar; ürün/lisans/yönetim ön koşulları kontrol edilmelidir. |
Active Directory GPO ile USB Bellek Yasaklama
Domain ortamında Group Policy Management Console üzerinden yeni bir GPO oluşturmak yönetimi ve geri almayı kolaylaştırır. İlk aşamada tüm domain yerine test bilgisayarlarının bulunduğu pilot OU üzerinde çalışmanızı öneririm.
- Domain Controller veya RSAT yüklü yönetim bilgisayarında Group Policy Management konsolunu (
gpmc.msc) açın. - Pilot bilgisayarların bulunduğu OU üzerinde yeni GPO oluşturun; örneğin USB – Removable Storage Control – Pilot.
- GPO üzerinde Edit seçeneğini açın.
- Şu konuma ilerleyin: Computer Configuration → Policies → Administrative Templates → System → Removable Storage Access.
- İhtiyaçlarınıza göre aşağıdaki politikalardan birini etkinleştirin.
- GPO bağlantısını ve Security Filtering ayarlarını kontrol edin; pilot istemcide uygulamayı doğrulayın.
Bu politikaların bir kısmı User Configuration → Policies → Administrative Templates → System → Removable Storage Access altında da bulunur. Kullanıcı bazlı ve bilgisayar bazlı ilkelerin kapsamı farklıdır; tasarımı hedeflemek istediğiniz kullanıcı/bilgisayar ilişkisine göre yapın.
Senaryo 1: USB Bellekleri Tamamen Engelleme
All Removable Storage classes: Deny all access politikasını Enabled yapın. Bu ayar farklı çıkarılabilir depolama sınıflarını kapsar. Kapsamı yalnızca klasik USB flash diskle sınırlı olmadığından taşınabilir depolama, harici disk ve diğer depolama tipleri üzerindeki etkileri pilotta test edilmelidir.
Bu seçeneği sadece dosya kopyalamayı engellemek için gelişigüzel kullanmayın. Özellikle yedekleme/onarım medyası ve iş gereği kullanılan cihazlar açısından operasyonel sonuçlarını değerlendirin.
Senaryo 2: USB Belleği Salt Okunur Yapma
Removable Disks: Deny write access politikasını Enabled yapın. Böylece kullanıcı USB belleğin içeriğini okuyabilir; ancak bu sınıftaki aygıtlara yazma işlemleri engellenir. Bu yapı, belirli bir uygulama için dışarıdan dosya okunması gerekli fakat kurumsal verinin taşınması istenmediği durumlarda başlangıç kontrolü sağlar.
Gerekirse Removable Disks: Deny read access ve Removable Disks: Deny execute access ayarlarını ayrı ayrı değerlendirin. Bir ayarın etkinleştirilmesi diğerlerinin de otomatik olarak etkin olduğu anlamına gelmez.
Senaryo 3: Yalnızca BitLocker Şifreli USB Diske Yazma İzni
Daha kontrollü bir senaryoda Computer Configuration → Policies → Administrative Templates → Windows Components → BitLocker Drive Encryption → Removable Data Drives altında Deny write access to removable drives not protected by BitLocker ilkesini etkinleştirebilirsiniz.
Böylece BitLocker ile korunmayan çıkarılabilir veri sürücüleri salt okunur olarak bağlanırken, uygun şekilde korunanlar için yazma mümkün olabilir. Removable Disks: Deny write access etkinse BitLocker korumalı disklerin yazılması da engellenebilir; iki ilkenin birlikte davranışını test edin. BitLocker anahtar kurtarma sürecinizi ayrıca tanımlayın.
GPO Uygulandı mı? Windows 10 ve Windows 11 Kontrolü
Test bilgisayarında yönetici yetkileriyle komut satırını açıp ilkelerin yeniden değerlendirilmesini isteyebilirsiniz:
gpupdate /forceBazı ayarlarda kullanıcı oturumunun yenilenmesi veya yeniden başlatma gerekebilir. Önce GPO kapsamını doğrulayın:
gpresult /rAyrıntılı HTML raporu almak için mevcut bir klasör seçerek çalıştırın:
gpresult /h C:\Temp\usb-gpo-raporu.html /fC:\Temp dizini yoksa önceden oluşturun. Raporun Computer Details bölümünde USB politikası içeren GPO bağlantısının uygulanıp uygulanmadığına, reddedilen GPO nedenlerine ve Security Filtering sonucuna bakın.
Uygulamanın çalıştığını sadece GPO listesine bakarak varsaymayın. Pilot cihazda gerçek USB bellekle okuma, yazma ve gerektiğinde çalıştırma testlerini ayrı ayrı yapın.
USB Hala Çalışıyorsa Neleri Kontrol Etmeliyiz?
- Yanlış GPO kapsamı: Bilgisayar başka OU altında olabilir; bağlantı veya güvenlik filtresi hedefe uygulanmıyor olabilir.
- User / Computer Configuration farkı: Yanlış bölüme ayar yazılmış olabilir.
- WMI Filter veya Block Inheritance: Politikayı devre dışı bırakıyor ya da engelliyor olabilir.
- Başka yönetim kaynağı: Aynı aygıt Intune, MDM veya Defender Device Control politikalarıyla yönetiliyorsa çatışma oluşabilir.
- Yanlış cihaz sınıfı: USB bağlantısı üzerinden çalışan her cihaz Removable Disks sınıfına girmez. Örneğin MTP ile çalışan telefonları klasik flash bellek politikasına eşdeğer değerlendirmeyin.
- GPO işleme sorunu: DNS, DC/SYSVOL erişimi veya GroupPolicy Operational günlüklerini kontrol edin.
Device Installation Restrictions ile Farkı
Device Installation Restrictions ayarları cihazların kurulumunu donanım kimliğine veya sınıfına göre kısıtlayabilir; ancak Removable Storage Access politikalarının aynısı değildir. Daha önce kurulmuş aygıtlara etkisi de seçilen ilkeye göre değişebilir. USB depolamayı engellemek için bu iki politika ailesini eş anlamlı kullanmayın.
Özellikle USBSTOR servisini rastgele devre dışı bırakmak ya da sürücü kayıt defteri anahtarlarını geniş kapsamlı değiştirmek yerine desteklenen GPO/Device Control ilkeleri üzerinden yönetim yapmak, denetimi ve geri almayı kolaylaştırır.
Kurumsal Ortamda Defender for Endpoint Device Control
Microsoft Defender for Endpoint Device Control, klasik GPO yaklaşımından daha ayrıntılı senaryolar sunar. Örneğin belirli USB seri numaralarına veya cihaz gruplarına izin verirken diğerlerine okuma/yazma sınırlaması uygulamak ve denetim olaylarını izlemek mümkündür. Ancak bunun için uygun Defender lisansı, cihaz onboarding ve yönetim ön koşulları gerekir.
Intune ile yönetilen ortamlarda Device Control profillerini kullanabilir, desteklenen senaryolarda GPO üzerinden XML tabanlı kurallar tanımlayabilirsiniz. Intune/MDM ile GPO üzerinden aynı ayarları çakışacak biçimde dağıtmayın. GPO erişim engelleme ile Defender Device Control istisna tasarımlarını ayrı pilotlarda test edin.
Önemli bir diğer ayrım da şu: USB bellek erişimini engellemek, tek başına kapsamlı bir DLP çözümü değildir. E-posta, bulut depolama, tarayıcı yüklemeleri ve ağ paylaşımları gibi veri çıkış kanalları için ayrı politikalar gerekir.
Sık Sorulan Sorular
GPO ile USB portunun tamamı kapanır mı?
Hayır, burada anlattığımız Removable Storage Access ilkeleri USB fiziksel portunu değil belirli depolama sınıflarına erişimi kısıtlar. Klavye, fare ve diğer cihaz kategorileri farklı davranabilir.
USB belleği okuma açık, yazma kapalı kullanabilir miyim?
Evet. Removable Disks: Deny write access ayarı bunun için kullanılır. Ancak hedef cihaz sınıfını ve ek güvenlik politikalarını kontrol edin.
Telefon üzerinden dosya aktarımı da otomatik engellenir mi?
Her zaman değil. MTP/PTP üzerinden bağlanan telefonlar ve diğer taşınabilir cihazlar farklı ilke sınıflarına girebilir. Bu senaryo için WPD/Device Control kontrollerini ayrıca değerlendirin. Tek bir WPD politikası bütün USB depolamayı güvenilir biçimde engellemez.
Windows 11 için yöntem değişti mi?
Windows 11 üzerinde de bu yerleşik Removable Storage Access ilkeleri kullanılabilir. Bununla birlikte merkezi cihaz istisnaları, gelişmiş denetim ve raporlama gereken kurumlarda modern Device Control çözümleri daha uygun olabilir.
Sonuç
Özetle GPO ile USB yasaklama için önce tam olarak neyi engellemek istediğinizi belirleyin: tüm çıkarılabilir depolama erişimi mi, sadece yazma mı, yoksa yalnızca kurumun onayladığı USB cihazlarına izin vermek mi? Basit senaryolarda Removable Storage Access, BitLocker gereksinimi bulunan yapılarda BitLocker politikaları, ayrıntılı istisna ve izleme ihtiyacında ise Defender Device Control öne çıkar.
Bu konunun Windows 10 üzerinde ekran görüntüleriyle anlatıldığı orijinal ÇözümPark laboratuvarına da aşağıdaki bağlantıdan erişebilirsiniz: Windows 10 İşletim Sistemi Üzerinde Flash Bellek Kontrolü: Engelleme ve Salt Okunur İzin Verme.
