Kurumsal dosya sunucularında rol tabanlı erişim kontrolü (RBAC): NTFS izinleri, departman klasör hiyerarşisi, en az ayrıcalık ve denetim rehberi. İnceleyin.
Hızlı Özet (TL;DR)
Şirketlerde yıllar içinde kontrolsüz büyüyen dosya sunucusu düzensizliği; çalışanların görev tanımı dışındaki tüm şirket verilerine erişebilmesine, iç tehdit (Insider Threat) kaynaklı veri sızıntılarına ve tek bir personelin bilgisayarına bulaşan fidye yazılımının (Ransomware) dakikalar içinde tüm kurumsal arşivi şifrelemesine neden olur. RBAC (Role-Based Access Control - Rol Tabanlı Erişim Kontrolü) ve En Az Ayrıcalık (Least Privilege) mimarisi; çalışanlara yalnızca görevlerini yerine getirebilecekleri dizinlere, yalnızca ihtiyaç duydukları yetki düzeyinde (Salt Okunur, Değiştirme veya Listeleme) erişim verilmesini garanti altına alır.
Kurumsal Dosya Paylaşımlarında Neden Kaos Oluşur?
Birçok KOBİ ve sanayi kuruluşunda ortak dosya sunucusu (\\FILESERVER\Ortak) ilk kurulduğunda hızlı çözüm adına tüm kullanıcılara okuma/yazma izni verilerek devreye alınır. Zamanla “Muhasebe klasörünü sadece Ahmet ve Ayşe görsün”, “Üretimdeki CNC klasörüne Mehmet yazabilsin ama silemesin” gibi anlık taleplerle alt klasörlerde izin kalıtımı (Inheritance) kırılır ve doğrudan kullanıcı hesaplarına yetki tanımlanır.
Birkaç yıl sonra şirkette personel sirkülasyonu yaşandığında veya bir çalışan departman değiştirdiğinde, hangi alt klasörün hangi derinliğinde kimin yetkisi olduğunu kimse bilemez hale gelir. Bu karmaşayı kökünden çözen mühendislik standardı RBAC ve AGDLP metodolojisidir.
AGDLP Metodolojisi ile Sürdürülebilir İzin Mimarisi
Microsoft Active Directory ve Samba/ZFS tabanlı kurumsal depolama standartlarında dosya sistemi (NTFS/POSIX ACL) izinleri asla doğrudan tekil kullanıcı hesaplarına verilmez. Bunun yerine dört katmanlı AGDLP zinciri uygulanır:
- A (Account - Kullanıcı Hesabı): Active Directory üzerindeki gerçek personel hesabı (Örn:
ali.yilmaz). Kullanıcı hesapları hiçbir klasörün güvenlik sekmesinde doğrudan yer almaz. - G (Global Group - Rol/Departman Grubu): Çalışanların şirket içindeki kurumsal rollerini temsil eden gruplardır (Örn:
ROL_Muhasebe_Uzmanlari,ROL_Mekanik_Tasarim_Muhendisleri). Kullanıcılar yalnızca bu rol gruplarına üye yapılır. - DL (Domain Local Group - Kaynak Erişim Grubu): Dosya sunucusundaki her bir ana klasör için oluşturulan yetki tipi gruplarıdır (Örn:
ACL_Finans_Okuma,ACL_Finans_Degistirme). Global rol grupları bu kaynak gruplarının içine eklenir. - P (Permission - Fiziksel NTFS İzni): Klasörün dosya sistemi üzerine tanımlanan gerçek okuma (Read) veya değiştirme (Modify) iznidir ve yalnızca
ACL_ile başlayan Domain Local gruplarına atanır.
AGDLP Yapısının Sağladığı Operasyonel Çeviklik
Yeni bir makine mühendisi işe başladığında bilgi işlem personelinin 40 farklı klasöre tek tek girip yetki vermesine gerek kalmaz. Kullanıcıyı yalnızca ROL_Mekanik_Tasarim_Muhendisleri grubuna eklediği saniye; çalışan Ar-Ge klasörüne yazma, Kalite Standartları klasörüne salt okuma ve ERP Dokümanları klasörüne listeleme yetkisini otomatik olarak kazanır.
| Kriter / Senaryo | Geleneksel (Kullanıcı Bazlı / Dağınık) İzin Yapısı | RBAC ve AGDLP Tabanlı Kurumsal İzin Mimarisi |
|---|---|---|
| İzin Atama Hedefi | Doğrudan kullanıcı hesapları veya Everyone grubu | Yalnızca Rol (G) ve Kaynak Erişim (DL) grupları |
| Personel Departman Değişikliği | Eski izinler unutulur, yetki birikmesi (Privilege Creep) oluşur | Eski rol grubundan çıkarılıp yenisine alınır; saniyeler sürer |
| Ransomware Yayılım Etkisi | Tüm sunucu şifrelenir (Her yere yazma izni vardır) | Yalnızca kullanıcının yazma yetkisi olan dar alt klasör etkilenir |
| Yetkisiz Klasör Görünürlüğü | Kullanıcı giremese bile tüm klasör isimlerini görür | ABE (Access-Based Enumeration) ile yetkisiz klasörler gizlenir |
| KVKK ve ISO 27001 Denetimi | Kimin nereye eriştiği raporlanamaz, denetimden kalınır | Tek bir PowerShell/LDAP sorgusuyla tam yetki matrisi çıkarılır |
Dosya Sunucusu Güvenliğinde 4 Kritik Mühendislik Kuralı
1. Access-Based Enumeration (ABE) ile Yetkisiz Klasörleri Gizleme
Bir üretim operatörünün veya satış temsilcisinin dosya sunucusuna girdiğinde “Yönetim Kurulu Kararları”, “Maaş Bordroları” veya “Ar-Ge Patent Başvuruları” gibi klasörlerin içine giremese dahi isimlerini görmesi bile siber güvenlikte bilgi ifşası (Information Disclosure) olarak kabul edilir. Sunucu üzerinde Access-Based Enumeration (Erişim Tabanlı Numaralandırma) özelliği aktif edildiğinde, dosya sunucusu kullanıcının okuma yetkisi olmayan klasörleri ağ paylaşım listesinde hiç göstermez. Kullanıcı ekranda yalnızca kendi işiyle ilgili klasörleri görür.
2. Kullanıcılara “Tam Denetim (Full Control)” İzni Vermeme Kuralı
Departman müdürleri dahil hiçbir standart kullanıcıya klasörler üzerinde Full Control (Tam Denetim) yetkisi verilmemelidir; en üst yetki düzeyi Modify (Değiştirme) olmalıdır. Çünkü Full Control yetkisi, kullanıcının (veya kullanıcının bilgisayarını ele geçiren zararlı yazılımın) o klasörün NTFS izin tablosunu (ACL) değiştirmesine ve sistem yöneticilerini bile klasörden dışarı atmasına olanak tanır.
3. Klasör Derinliği ve Kalıtım (Inheritance) Sınırlandırması
Dosya sunucusu klasör ağacı tasarlanırken izinlerin farklılaştığı derinlik en fazla 2 veya 3 seviye ile sınırlandırılmalıdır (\\Sunucu\Departman\AltBirim). Üçüncü seviyeden sonraki tüm alt klasörlerde izin kalıtımı (Inheritance) açık bırakılmalı ve tekil klasör bazında istisna izin tanımlanması yasaklanmalıdır.
4. FSRM (Dosya Sunucusu Kaynak Yöneticisi) ve Fidye Yazılımı Tuzakları
Windows Server üzerindeki FSRM veya ZFS üzerindeki kota/filtre mekanizmaları ile departman klasörlerine kapasite kotaları uygulanır ve .mp4, .iso, .exe gibi iş dışı dosyaların sunucuya kaydedilmesi engellenir. Ayrıca bilinen 4000’den fazla fidye yazılımı uzantısı (.locked, .ryuk, .akira vb.) kara listeye alınır; bir bilgisayar sunucuda tek bir şüpheli uzantılı dosya oluşturduğu anda Güvenlik Duvarı ve sunucu betikleri devreye girerek o kullanıcının SMB oturumunu milisaniyeler içinde keser.
Erişim Loglama ve DLP Entegrasyonu
İzin hiyerarşisini kurmak kadar, yetkili kullanıcıların içerideki veriyi nasıl kullandığını denetlemek de zorunludur. Dosya sunucusu üzerinde SACL (System Access Control List) ve nesne erişim denetimi (Event ID 4663 / 5145) aktif edilerek; kimin, hangi IP adresinden, hangi saatte hangi teknik resmi sildiği veya kopyaladığı merkezi log sunucusuna kaydedilir. Kritik fikri mülkiyet verilerinin yetkili personel tarafından dahi USB belleğe veya kişisel buluta sızdırılmasını önlemek için DLP Veri Sızıntısı Önleme çözümleriyle dosya sunucusu politikaları entegre çalıştırılır.
Kurumsal dosya sunucusu yapılandırması, Active Directory izin rehabilitasyonu ve fidye yazılımı korumalı depolama mimarisi için Sunucu ve Yedekleme sayfamızı ziyaret edebilirsiniz.
Sıkça Sorulan Sorular
Kullanıcıların dosyaları okuyup düzenleyebilmesi ancak silememesi teknik olarak mümkün müdür?
Evet, NTFS ve gelişmiş POSIX ACL izin mimarisinde standart “Değiştirme (Modify)” izni yerine Gelişmiş İzinler (Advanced Permissions) kullanılarak özel bir yetki profili oluşturulabilir. Bu profilde kullanıcıya dosya oluşturma, mevcut dosyayı açma ve üzerine yazma izni verilirken; “Delete (Sil)” ve “Delete Subfolders and Files (Alt klasörleri ve dosyaları sil)” kutucukları kaldırılır. Ancak Word ve Excel gibi uygulamalar kaydetme sırasında geçici (.tmp) dosya oluşturup sildiği için, bu kural genellikle arşiv ve PDF/CAD yayın klasörlerinde uygulanır.
Mevcut karmaşık ve bozulmuş bir dosya sunucusunda izinleri mesaiyi durdurmadan nasıl düzeltebiliriz?
Canlı çalışan bir dosya sunucusunda izinleri doğrudan sıfırlamak iş süreçlerini durdurabilir. Bu nedenle önce mevcut klasör yapısı ve aktif kullanıcı erişimleri PowerShell betikleriyle haritalandırılır. Ardından paralel bir dizin yapısı ve yeni AGDLP rol grupları hazırlanır. Dosyalar robocopy /MIR /COPY:DAT komutuyla (bozuk izinleri almadan yalnızca veri ve zaman damgalarıyla) yeni hiyerarşiye kopyalanır ve hafta sonu planlı bir geçiş penceresinde DFS (Distributed File System) veya paylaşım yolu yönlendirmesiyle kesintisiz geçiş tamamlanır.
Departmanlar arası ortak çalışılan proje klasörlerinde izinler nasıl kurgulanmalıdır?
Farklı departmanların (örneğin Satış, Ar-Ge ve Üretim) birlikte çalıştığı projeler için departman klasörlerinin içinde kalıtımı kırmak yerine, kök dizinde ayrı bir Projeler paylaşımı oluşturulur. Her büyük proje için ACL_ProjeX_Okuma ve ACL_ProjeX_Yazma adında kaynak grupları tanımlanır ve ilgili departmanlardan yalnızca o projede görevli roller bu gruplara dahil edilir. Proje tamamlandığında ise yazma grubu kaldırılarak klasör salt okunur arşiv statüsüne çekilir.