Kurumsal Dizüstü Bilgisayarlarda BitLocker Şifreleme ve Kurtarma Anahtarlarının Active Directory'ye Otomatik Kaydı

KVKK ve ISO 27001 denetimlerinin en katı maddelerinden biri "Taşınabilir Cihazların Güvenliği"dir. Bir satış temsilcisinin veya yöneticinin şirket dizüstü bilgisayarını takside veya havalimanında unutması durumunda, diski şifrelenmemiş bir bilgisayarın içindeki tüm müşteri verileri, teklifler ve veritabanı şifreleri diski bir USB adaptörüne takan herkes tarafından okunabilir. Bu riski bertaraf etmenin yolu TPM 2.0 tabanlı BitLocker Şifrelemesi ve kurtarma anahtarlarının Active Directory'ye zorunlu yedeklenmesidir.

1. Neden Active Directory'ye Yedekleme?

BitLocker şifrelemesi kullanıcıyı korur; ancak anakart arızalandığında, BIOS güncellendiğinde veya TPM yongası kilitlendiğinde bilgisayar açılışta 48 haneli BitLocker Kurtarma Anahtarını (Recovery Key) sorar.

• Eğer bu anahtar bir yere kaydedilmemişse, diskin içindeki veriler sonsuza dek kaybolur!
• Bu nedenle şifreleme başlamadan önce anahtarın otomatik olarak Active Directory bilgisayar nesnesine yazılması şart koşulmalıdır.

2. GPO ile Otomatik BitLocker ve AD Yedekleme Yapılandırması

GPO Yolu:
Computer Configuration -> Policies -> Administrative Templates -> Windows Components -> BitLocker Drive Encryption

1. "Store BitLocker recovery information in Active Directory Domain Services" -> Enabled
   - "Require BitLocker backup to AD DS" (İşaretlenmelidir! Anahtar AD'ye yazılamazsa şifreleme başlamaz!)

2. Operating System Drives:
   - "Choose how BitLocker-protected operating system drives can be recovered" -> Enabled
   - "Do not enable BitLocker until recovery information is stored to AD DS for operating system drives" -> İŞARETLİ!
   - "Require TPM startup PIN with TPM" (Opsiyonel: Açılışta 6 haneli PIN sorma).

3. "Choose drive encryption method and cipher strength":
   - XTS-AES 256-bit (En güçlü endüstri standardı şifreleme).

3. PowerShell ile Sessizce Şifrelemeyi Başlatma

Kullanıcıyı hiçbir ayarla uğraştırmadan arka planda şifrelemeyi tetikleyen betik:

# TPM durumunu denetleme
$tpm = Get-Tpm
if ($tpm.TpmPresent -and $tpm.TpmReady) {
    # C: sürücüsünü TPM koruyucusu ile şifreleme
    Enable-BitLocker -MountPoint "C:" `
        -EncryptionMethod XtsAes256 `
        -UsedSpaceOnly `
        -TpmProtector
        \n    # Kurtarma anahtarını zorla Active Directory'ye gönderme
    $Key = (Get-BitLockerVolume -MountPoint "C:").KeyProtector | Where-Object {$_.KeyProtectorType -eq "RecoveryPassword"}
    Backup-BitLockerKeyProtector -MountPoint "C:" -KeyProtectorId $Key.KeyProtectorId
}

4. Acil Durumda Kurtarma Anahtarını Bulma

Kullanıcı arayıp BitLocker ekranında kaldığını söylediğinde:

1. Active Directory Users and Computers açılır.
2. Bilgisayar adına sağ tıklanır -> Properties -> BitLocker Recovery Keys sekmesine gelinir.
3. Ekranda yazan Recovery Key ID eşleştirilerek 48 haneli şifre telefondan personele okunur.

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

• BitLocker Sekmesinin Görünmemesi: ADUC üzerinde "BitLocker Recovery Keys" sekmesini göremiyorsanız, sunucunuza BitLocker Network Unlock and Recovery Password Viewer RSAT özelliğini yüklemeniz gerekir.
• Used Space Only vs Full Encryption: Yeni bilgisayarlarda "Used Space Only" seçeneği dakikalar içinde biter. Ancak geçmişte kullanılmış eski bir laptopu şifrelerken mutlaka "Full Drive Encryption" seçilmelidir; aksi halde daha önce silinmiş veriler şifresiz sektörlerde kalabilir.

Mühendis Notu

Şirket dışına çıkan tek bir dizüstü bilgisayarı dahi BitLocker'sız sahaya göndermeyin. Bir bilgisayarın çalınması donanım olarak 1000 dolarlık bir kayıptır; ancak içindeki verilerin sızması KVKK cezaları ve itibar kaybıyla milyonlarca liralık bir felakete dönüşür.