Bir çalışan “hesabım yine kilitlendi” diye arıyor, ama hangi cihazın eski parolayla deneme yaptığını kimse bilmiyor. Bir kullanıcının Domain Admins grubuna eklendiği fark ediliyor, ama kimin, ne zaman eklediği belli değil. Muhasebe klasöründen dosyalar silinmiş ve olay günlükleri çoktan üzerine yazılmış. Active Directory kullanan her işletme bu sorularla karşılaşır. Windows bu olayların çoğunu kaydedebilir; sorun, kayıtların onlarca sunucuya dağılmış, okunması zor ve kısa ömürlü olmasıdır. ManageEngine ADAudit Plus, bu kayıtları toplayıp anlaşılır raporlara ve uyarılara dönüştüren bir denetim yazılımıdır. Bu yazıda ne işe yaradığını, neleri izlediğini ve ne zaman gerektiğini anlatıyoruz. Kimlik tarafındaki çözümlerimiz için kimlik ve erişim yönetimi sayfamıza bakabilirsiniz.
ADAudit Plus nedir?
ADAudit Plus, ManageEngine’in Active Directory, Microsoft Entra ID (eski adıyla Azure AD), Windows dosya sunucuları, NAS cihazları, Windows sunucular ve iş istasyonları için geliştirdiği bir değişiklik denetimi ve kullanıcı davranışı izleme çözümüdür. Temel sorusu şudur: Kim, neyi, ne zaman, nereden yaptı?
Yazılım, Windows’un ürettiği güvenlik olaylarını merkezi olarak toplar, anlamlandırır ve saklar. Böylece etki alanı denetleyicisinin olay günlüğü dolup eski kayıtların üzerine yazıldığında bile geçmişe dönük sorgu yapılabilir. Web tabanlı bir arayüzden hazır raporlar, uyarılar ve arama ile kullanılır.
Neleri izler?
Active Directory değişiklikleri
Kullanıcı, grup, bilgisayar ve organizasyon birimi (OU) üzerindeki oluşturma, silme ve değiştirme işlemlerini kaydeder. Grup İlkesi (GPO) ayarlarındaki değişiklikler eski ve yeni değerleriyle görülebilir. Ayrıcalıklı gruplara yapılan eklemeler gibi kritik değişiklikler için anlık uyarı tanımlanabilir.
Oturum açma ve hesap kilitlenmeleri
Kullanıcıların oturum açma geçmişini, başarısız girişleri ve hesap kilitlenmelerini izler. Kilitlenme analizi, bir hesabın hangi kaynaktan gelen hatalı denemelerle kilitlendiğini göstermeye yardımcı olur; eski parolayla bağlanmaya çalışan bir telefon ya da unutulmuş bir oturum gibi.
Dosya sunucusu ve NAS erişimi
Windows dosya sunucularında ve desteklenen NAS cihazlarında dosya ve klasörlerin kim tarafından açıldığını, değiştirildiğini, silindiğini ya da yetkisinin değiştiğini kaydeder. “O dosyayı kim sildi?” sorusu bir rapor aramasıyla cevaplanabilir.
Sunucu ve iş istasyonları
Üye sunucularda ve iş istasyonlarında yerel oturum açmalar, kritik dosyalardaki değişiklikler ve çıkarılabilir depolama aygıtlarının kullanımı gibi olaylar izlenebilir.
Davranış analizi ve uyarılar
Kullanıcı davranışı analizi (UBA), her kullanıcının olağan davranışını öğrenerek sapmaları öne çıkarır: mesai dışında yoğun dosya erişimi, alışılmadık sayıda başarısız giriş gibi. Üretici, yazılımın Kerberoasting, DCSync ve pass-the-hash gibi bilinen Active Directory saldırı tekniklerini tespit edebildiğini belirtir. Uyarılar e-posta ya da SMS ile gönderilebilir, belirli olaylarda bir hesabı devre dışı bırakan bir betik gibi otomatik yanıtlar tanımlanabilir.
Uyum raporları
SOX, PCI DSS, HIPAA, GDPR ve ISO 27001 gibi düzenleme ve standartlar için hazır rapor şablonları sunar. KVKK kapsamındaki teknik tedbirlerin kanıtlanmasında da erişim ve değişiklik kayıtları önemli bir dayanaktır.
ADAudit Plus ile ADManager Plus arasındaki fark
İki ManageEngine ürünü sık karıştırılır, ama farklı işler yapar ve çoğu zaman birlikte kullanılır.
| ADManager Plus | ADAudit Plus | |
|---|---|---|
| Temel işi | Active Directory’yi yönetmek | Active Directory’de olanı izlemek ve kaydetmek |
| Cevapladığı soru | Bu hesabı nasıl hızlı ve doğru açarım, kapatırım? | Bu değişikliği kim, ne zaman yaptı? |
| Örnek kullanım | Yeni çalışan için şablonla hesap açma, toplu güncelleme, ayrılan çalışanın hesabını kapatma | Grup üyeliği değişikliğine uyarı, kilitlenme analizi, dosya silme raporu |
Kısacası ADManager Plus düzeni kurar, ADAudit Plus düzenin korunup korunmadığını gösterir. Yönetim tarafı için ADManager Plus sayfamıza bakabilirsiniz.
Ne zaman ihtiyaç duyulur?
- Birden fazla kişinin Active Directory’de yönetici yetkisi varsa ve kimin neyi değiştirdiği takip edilemiyorsa.
- Hesap kilitlenmeleri yardım masasının zamanını düzenli olarak alıyorsa.
- Dosya sunucusunda silinen ya da değiştirilen dosyaların kaynağı bulunamıyorsa.
- ISO 27001 ya da KVKK çalışmasında erişim kayıtlarının gösterilmesi gerekiyorsa.
- Bir güvenlik olayından sonra geçmişe dönük inceleme yapılamadıysa.
Kurulumdan önce Windows denetim ilkelerinin (audit policy) doğru yapılandırılması gerekir; olay kaydedilmiyorsa hiçbir yazılım onu raporlayamaz. Kayıtların ne kadar süre saklanacağı ve bunun için ne kadar depolama gerektiği de baştan planlanmalıdır.
Örnek bir senaryo
Bir üretim firmasında Pazartesi sabahı dosya sunucusundaki proje klasörünün yarısı yok. ADAudit Plus olmadan BT ekibi önce dosya sunucusunun olay günlüğüne bakar, günlüğün boyut sınırı dolduğu için ilgili kayıtların üzerine yazıldığını görür ve klasörü yedekten geri yüklemekle yetinir. Neden olduğu bilinmez, tekrar edebilir. Denetim açık olduğunda ise tek bir raporla silme işleminin hangi kullanıcı hesabıyla, hangi bilgisayardan ve hangi saatte yapıldığı görülür; toplu silme için tanımlanmış bir uyarı varsa olay daha hafta sonu fark edilir.
Denetim, temizlikle başlar
Yıllar içinde biriken kullanılmayan hesaplar, kimsenin hatırlamadığı gruplar ve gereğinden geniş yetkiler, denetim raporlarını da gürültüyle doldurur. Bu yüzden denetim çalışması çoğu zaman bir Active Directory temizliğiyle başlar. Adımlarını Active Directory temizliği yazımızda anlattık. Temiz bir yapıda uyarılar da anlamlı hâle gelir: Domain Admins grubuna yapılan her ekleme gerçekten dikkat edilmesi gereken bir olaydır.
Unna ile Active Directory denetimi
Unna, ManageEngine’in yetkili iş ortağıdır. Active Directory’nin yönetimi ve denetimini birlikte ele alırız.
- Önce dinleriz. Etki alanı yapınızı, yönetici hesaplarınızı, dosya sunucularınızı ve hangi olaylardan haberdar olmak istediğinizi öğreniriz.
- Birlikte planlarız. Denetim ilkelerini, izlenecek kaynakları, uyarı senaryolarını ve kayıtların saklama süresini belirleriz.
- Kurar ve devreye alırız. Denetim ilkelerini yapılandırır, yazılımı kurar, raporları ve uyarıları doğru kişilere yönlendiririz.
- Yanınızda kalırız. Raporları düzenli olarak sizinle gözden geçirir, yeni sunucular ve kullanıcılar eklendikçe yapıyı güncelleriz.
Etki alanı denetleyicilerinizin bakımı için sunucu yönetimi hizmetimize de göz atabilirsiniz. Başlamak için bize yazın.
