Yapılandırma Uyumunu Ölçmek: CIS Benchmark ve Sapma Takibi

Kurulum günü sıkılaştırılmış sunucu altı ay sonra aynı sunucu değildir. Bir sorun giderme sırasında kapatılan SMB imzalama, bir uygulama kurulumu için açılan NTLMv1, “geçici” diye eklenen bir yerel yönetici hesabı. Hiçbiri geri alınmaz. Denetimde “sıkılaştırma standardımız var” demek kolaydır; zor olan, bugün kaç sunucunun bu standarda uyduğunu sayıyla göstermektir. Bu rehber sistem ve güvenlik ekipleri için güvenlik temel çizgisinin CIS Benchmark veya Microsoft Security Baseline’dan nasıl türetileceğini, nasıl uygulanacağını ve sapmanın düzenli olarak nasıl ölçüleceğini anlatır.

Güvenlik temel çizgisi nedir

Güvenlik temel çizgisi (security baseline), belirli bir platform ve rol için onaylanmış, sürümlü güvenlik ayarları kümesidir: parola ve kilitleme politikası, denetim politikası, kullanıcı hakları, hizmet durumları, protokol ayarları (SMBv1, NTLM, TLS), uzak erişim ayarları ve benzeri. Üç özelliği olmalı:

• Kapsamı bellidir: “Windows Server 2022 üye sunucu”, “Windows 11 kurumsal istemci”, “RHEL 9 web sunucusu” gibi platform ve rol bazında tanımlanır.
• Sürümlüdür: Hangi kaynaktan, hangi sürümden türetildiği ve hangi tarihte onaylandığı kayıtlıdır.
• Ölçülebilirdir: Her ayarın beklenen değeri makine tarafından kontrol edilebilir biçimde yazılmıştır.

Temel çizgi bir kez uygulanıp rafa kaldırılan belge değildir; kurumsal siber güvenlik programında uygulama ve ölçüm döngüsünün referans noktasıdır. Burada döngünün cihaz düzeyindeki kısmı var. Güvenlik programının kurum düzeyinde önceliklendirilmesi CIS Controls uygulama grupları yazısında.

CIS Benchmark ve Microsoft Security Baseline

Windows ortamlarında iki yaygın kaynak vardır. Amaç aynı, yaklaşım farklı:

Özellik	CIS Benchmark	Microsoft Security Baseline
Yayımlayan	Center for Internet Security, topluluk konsensüsü	Microsoft
Platform kapsamı	İşletim sistemleri, ağ cihazları, veritabanı, bulut, uygulamalar	Windows, Windows Server, Microsoft 365 Apps, Edge
Biçim	Gerekçeli PDF, denetim ve düzeltme adımları	GPO yedekleri, raporlar (Security Compliance Toolkit)
Sertlik	Seviye 1 ve seviye 2 profilleri	Tek profil, uygulama uyumluluğu riski düşük
Ölçüm aracı	CIS-CAT (Lite/Pro), üçüncü taraf araçlar	Policy Analyzer, Intune ve Defender raporları

Microsoft baseline’ı işletim sisteminin varsayılan davranışını bozmadan güvenliği artırır ve Microsoft’un kendi destek senaryolarıyla uyumludur. CIS Benchmark daha kapsamlıdır; her öneri için gerekçe ve etki açıklaması verir, Windows dışındaki platformlar için de aynı yapıyı sunar. Karma ortamlarda sık görülen yol: Windows’ta Microsoft baseline’ını temel almak, CIS’in ek önerilerini tek tek değerlendirip eklemek, Linux ve ağ cihazlarında doğrudan CIS Benchmark kullanmak. Hangisi seçilirse seçilsin, kurum temel çizgisinin hangi kaynak sürümünden türetildiği yazılı olmalıdır. Kaynağı belirsiz temel çizgi güncellenemez.

Seviye 1 ve seviye 2 seçimi

CIS Benchmark’larda öneriler profillere ayrılır. Seviye 1 (Level 1), işlevselliği belirgin biçimde bozmadan uygulanabilecek temel ayarlardır. Seviye 2 (Level 2), yüksek güvenlik gerektiren ortamlar için ek ayarlar içerir ve bazı işlevleri kısıtlayabilir. Windows benchmark’larında BitLocker ve Next Generation Windows Security gibi ek profiller de bulunur.

Seçimde pratik kurallar:

• Tüm sunucu ve istemcilerde hedef seviye 1’dir; seviye 1’e uyulamayan ayarlar istisna olarak kaydedilir.
• Seviye 2, etki alanı denetleyicileri, yönetim sunucuları, yedekleme altyapısı, internete açık sunucular ve hassas veri işleyen sistemler gibi yüksek değerli varlıklar için değerlendirilir.
• Seviye 2 ayarları pilot grupta tek tek test edilmeden üretime alınmaz; bazı ayarlar uygulama uyumluluğunu bozar. Pazartesi sabahı yazdıramayan muhasebe, bu testin atlandığını gösterir.

Uygulama yöntemleri: GPO, Intune, yapılandırma yönetimi

Temel çizgiyi elle uygulamak ölçeklenmez ve sapmanın ta kendisidir. Yöntem cihazın yönetim modeline göre seçilir:

Yöntem	Uygun olduğu ortam	Sapma davranışı
Grup İlkesi (GPO)	Etki alanına üye Windows sunucu ve istemciler	Güvenlik ayarları GPO değişmese de 16 saatte bir yeniden uygulanır
Intune güvenlik baseline’ı ve ayar katalogu	Entra ID’ye katılmış veya ortak yönetilen istemciler	Cihaz uyum ve profil durumu raporlanır
Ansible, DSC vb.	Linux sunucular, karma ortamlar	Düzenli çalıştırmada beklenen durum yeniden uygulanır
Altın imaj	Yeni kurulumlar	Kurulum sonrası sapmayı engellemez, tek başına yetersiz

Microsoft Security Compliance Toolkit baseline’ları GPO yedeği olarak sunar; doğrudan içe aktarılabilir. Ama baseline GPO’sunu olduğu gibi etki alanı köküne bağlamayın. Kurum farklarını ayrı bir GPO’da katmanlayıp rol bazlı OU’lara bağlamak, baseline sürümü güncellendiğinde karşılaştırmayı kolaylaştırır ve geri dönüşü tek bağlantı kaldırmaya indirir. Yerel yönetici parolaları gibi temel çizginin parçası olup ayrı yönetilen konular için Windows LAPS geçişi yazısına bakın.

Sapma ölçümü ve araç karşılaştırması

Sapma ölçümü, cihazın gerçek yapılandırmasını temel çizgiyle karşılaştırıp uyumsuz ayarları listelemektir. Seçenekler ölçeğe ve bütçeye göre değişir:

• CIS-CAT Lite / Pro: CIS Benchmark’lara göre puan ve ayar bazlı rapor üretir. Lite sürümü sınırlı sayıda benchmark’ı destekler; Pro sürümü CIS SecureSuite üyeliğiyle sunulur ve toplu tarama ile raporlama sağlar.
• Policy Analyzer: Security Compliance Toolkit içindedir; GPO’ları birbiriyle ve yerel etkin ilkeyle karşılaştırır. GPO tasarımında ve baseline sürüm farkında işe yarar; filo ölçümü için tasarlanmamıştır.
• Microsoft Defender Vulnerability Management: Güvenlik baseline değerlendirmesi özelliği, ajanı olan cihazları CIS veya STIG profillerine göre sürekli değerlendirir (lisans gereksinimini kontrol edin).
• OpenSCAP: Linux’ta SCAP Security Guide içeriğiyle CIS profillerine göre değerlendirme ve HTML rapor üretir.
• Zafiyet tarayıcılarının uyum modülleri: Kimlik bilgili tarama yapan tarayıcıların çoğu yapılandırma denetim politikası da çalıştırır. Mevcut tarama altyapısını kullanmak yeni ajan dağıtmaktan ucuzdur.

RHEL 9 üzerinde OpenSCAP ile CIS profiline göre örnek değerlendirme:

sudo dnf install -y openscap-scanner scap-security-guide
oscap info /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml | grep -i cis
sudo oscap xccdf eval \
  --profile xccdf_org.ssgproject.content_profile_cis_server_l1 \
  --results /var/tmp/cis-l1-sonuc.xml \
  --report /var/tmp/cis-l1-rapor.html \
  /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

Ticari aracı olmayan küçük ortamlarda veya kritik ayarların hızlı kontrolünde PowerShell ile hedeflenmiş bir denetim yazılabilir. Aşağıdaki örnek kurum temel çizgisindeki birkaç kayıt defteri tabanlı ayarı kontrol eder ve sonucu CSV’ye yazar:

$beklenen = @(
  @{Ad='LM uyumluluk düzeyi'; Yol='HKLM:\SYSTEM\CurrentControlSet\Control\Lsa'; Deger='LmCompatibilityLevel'; Beklenen=5},
  @{Ad='LM hash saklama kapalı'; Yol='HKLM:\SYSTEM\CurrentControlSet\Control\Lsa'; Deger='NoLMHash'; Beklenen=1},
  @{Ad='WDigest düz metin kapalı'; Yol='HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest'; Deger='UseLogonCredential'; Beklenen=0},
  @{Ad='SMB sunucu imzalama zorunlu'; Yol='HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters'; Deger='RequireSecuritySignature'; Beklenen=1}
)
$sonuc = foreach ($b in $beklenen) {
  $gercek = (Get-ItemProperty -Path $b.Yol -Name $b.Deger -ErrorAction SilentlyContinue).($b.Deger)
  [pscustomobject]@{
    Bilgisayar = $env:COMPUTERNAME
    Ayar       = $b.Ad
    Beklenen   = $b.Beklenen
    Gercek     = $gercek
    Uyumlu     = ($gercek -eq $b.Beklenen)
  }
}
$sonuc | Export-Csv -Path ".\baseline_$env:COMPUTERNAME.csv" -NoTypeInformation -Encoding UTF8

Bu betik, değer tanımlı değilse (boş) varsayılan davranışı uyumlu saymaz; bazı ayarlarda işletim sisteminin varsayılanı zaten güvenlidir, bunu temel çizgide not edin. Betik bir aracın yerini tutmaz ama seçilmiş kritik ayarların tüm filoda hızlı ölçümü için yeter; Invoke-Command ile uzak sunucularda çalıştırılabilir. WinRM kapalı sunucular sonuç listesinde hiç görünmez. Onları ayrıca sayın.

Ölçümü anlamlı kılan üç metrik:

• Cihaz bazlı uyum: Temel çizgideki ayarların kaçına uyuluyor.
• Ayar bazlı uyum: Belirli bir ayar filonun ne kadarında uyumsuz? Yaygın uyumsuzluk genellikle GPO kapsam hatasını, WMI filtresi yanlışlığını veya kurumsal bir istisna ihtiyacını gösterir.
• Kapsam: Envanterdeki cihazların kaçı ölçülebildi; ölçülemeyen cihaz uyumlu sayılmaz.

Ölçüm en az aylık yapılmalı ve sonuçlar zafiyet yönetimi programı ile aynı raporlama döngüsünde sunulmalıdır. Yanlış yapılandırma da zafiyettir. Saldırgan açık SMBv1’i yamasız yazılım kadar kolay kullanır.

İstisnaların kaydı ve gözden geçirilmesi

Hiçbir ortam temel çizgiye yüzde yüz uymaz. Mesele, uyumsuzluğun bilinçli ve kayıtlı olmasıdır. Kayıtsız uyumsuzluk sapmadır; kayıtlı ve onaylı uyumsuzluk istisnadır. Her istisna kaydında şu alanlar bulunur:

• Ayar ve etkilenen cihaz veya grup.
• Gerekçe: hangi uygulama veya iş ihtiyacı nedeniyle.
• Telafi edici kontrol: örneğin ayar uygulanamayan sunucu ayrı bir segmente alınmış ve erişimi kısıtlanmış.
• Onaylayan ve bitiş tarihi; süresiz istisna verilmez.
• Kaldırma koşulu: uygulamanın yeni sürümü, sistemin devreden çıkışı vb.

Ölçüm aracı istisnaları tanımalı ya da rapor istisna listesiyle birleştirilmelidir. Aksi halde her ay aynı bilinen uyumsuzluklar raporu doldurur, ekip raporu okumayı bırakır ve yeni sapma gözden kaçar. İstisnalar çeyreklik gözden geçirilir; süresi dolan ya yenilenir ya kapatılır.

Temel çizginin hazırlanması ve uygulanması sistem ve sunucu sıkılaştırma, mevcut sapmanın bağımsız ölçümü kontrol ve konfigürasyon denetimi hizmetleri kapsamında ele alınabilir. Benchmark’lar CIS Benchmarks sayfasından, Microsoft baseline’ları ve Policy Analyzer Microsoft Security Compliance Toolkit üzerinden indirilir.

Sık sorulan sorular

CIS Benchmark mı Microsoft Security Baseline mı kullanmalıyım?

Windows ağırlıklı bir ortamda Microsoft baseline’ı uyumluluk riski düşük bir başlangıçtır. Linux, ağ cihazı ve veritabanı gibi farklı platformlar varsa veya her ayar için gerekçe ve etki açıklaması gerekiyorsa CIS Benchmark daha kapsamlıdır. Birçok kurum Windows’ta Microsoft baseline’ını temel alıp CIS önerilerini değerlendirerek ekler.

Seviye 2 ayarlarını tüm sunuculara uygulamak doğru mu?

Genellikle hayır. Seviye 2 bazı işlevleri kısıtlayabilir; etki alanı denetleyicileri, yönetim ve yedek sunucuları gibi yüksek değerli varlıklar için değerlendirilir ve önce pilot grupta test edilir. Genel filo için hedef seviye 1’dir.

GPO uyguladıysam ayrıca sapma ölçmem gerekir mi?

Evet. GPO kapsamı dışında kalan cihazlar, ilkenin uygulanamadığı makineler, GPO ile yönetilmeyen ayarlar ve yerel yönetici yetkisiyle yapılan değişiklikler ancak bağımsız bir ölçümle görünür. Ölçüm, uygulamanın gerçekten tüm kapsamda çalıştığının kanıtıdır.

Uyumsuz bir ayar ne zaman istisna olarak kabul edilebilir?

Ayar bir iş işlevini bozuyorsa, gerekçesi yazılıysa, telafi edici kontrol uygulanmışsa ve istisna süreli olarak onaylanmışsa. Kayıtsız uyumsuzluk istisna değil sapmadır ve düzeltilir.