AppLocker ve WDAC ile Şirket Bilgisayarlarında İndirilen İzinsiz Yazılımları ve Komut Dosyalarını Engelleme

Geleneksel bir şirkette kullanıcının yerel admin yetkisini alsanız bile, internetten indirilen birçok yazılım (Google Chrome portable, Spotify, AnyDesk, oyunlar veya zararlı scriptler) kullanıcının kendi profil klasörüne (%LocalAppData% veya %AppData%) admin şifresi sormadan kurulabilir ve çalışabilir. Şirket bilgisayarlarını tam anlamıyla güvenli ve standardize kılmanın tek yolu Uygulama Beyaz Listesi (Application Whitelisting) oluşturan Microsoft AppLocker ve WDAC teknolojileridir.

1. AppLocker Kural Mantığı: Varsayılan Olarak Yasakla!

AppLocker katı bir ilkeye dayanır: "Yalnızca izin verilenler çalışır, geri kalan her şey engellenir."

Standart Kurallar:

1. Windows ve Program Files İzni: C:\Windows\* ve C:\Program Files\* altındaki dijital imzalı yazılımlar çalışabilir.
2. Kullanıcı İndirmeleri Yasağı: C:\Users\*\Downloads, C:\Users\*\AppData veya USB belleklerden hiçbir .exe, .msi, .bat, .ps1 dosyası çalıştırılamaz!

# İstemci makinelerde AppLocker servisinin (Application Identity) çalışması zorunludur!
Set-Service -Name "AppIDSvc" -StartupType Automatic
Start-Service -Name "AppIDSvc"

2. GPO Üzerinde AppLocker Yapılandırması

GPO Yolu:
Computer Configuration -> Policies -> Windows Settings -> Security Settings
-> Application Control Policies -> AppLocker

Kural Grupları:
1. Executable Rules (.exe)
2. Windows Installer Rules (.msi)
3. Script Rules (.ps1, .bat, .cmd, .vbs)
4. Packaged app Rules (Store uygulamaları)

3. Audit Only (Yalnızca Denetle) Modu ile Test Etme

AppLocker'ı ilk günden "Enforce Rules" (Zorla Engelle) modunda açarsanız şirketteki tüm departmanlar kilitlenir!

• İlk 30 gün boyunca kurallar "Audit Only" modunda tutulur.
• Event Viewer'da (Applications and Services Logs -> Microsoft -> Windows -> AppLocker) toplanan Event ID 8003 logları incelenir.
• Şirketin kullandığı meşru muhasebe veya ERP eklentileri tespit edilir ve dijital sertifika (Publisher) kuralıyla istisna listesine eklenir.

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

• Kullanıcının DLL Hijacking ile Kuralı Aşması: İleri düzey saldırganlar onaylı bir programın yanına sahte bir DLL koyarak çalıştırmayı dener. Yüksek güvenlikli sunucularda "DLL Rules" da aktif edilmelidir (Performans etkisi test edilerek).
• PowerShell Constrained Language Mode: AppLocker script kuralları açıldığında, standart kullanıcılar için PowerShell otomatik olarak ConstrainedLanguage moduna geçer. Bu sayede saldırganların PowerShell üzerinden bellek içi saldırı yapması engellenir.

Mühendis Notu

AppLocker devreye alındıktan sonra yardım masasına gelen "Bilgisayarıma virüs girdi" çağrıları %95 oranında bıçak gibi kesilir. Standart bir kullanıcının bilgisayarına izinsiz hiçbir dosya çalıştıramaması, bir kurumun sahip olabileceği en ucuz ve en güçlü antivirüstür.