USB kullanımını tamamen kapatmadan; sınıf, üretici ve seri numarası bazlı izin listeleri, salt okunur erişim ve kademeli geçişle yönetmenin yolu.
Sahadaki bir mühendis tedarikçiden aldığı belleği dizüstüne takar, muhasebe ekibi banka dosyasını harici diske kopyalar, bir yazılımcı projeyi eve götürmek için belleğe atar. Üç işlem de gündeliktir; ama biri zararlı yazılımı içeri sokabilir, diğer ikisi hassas veriyi dışarı taşıyabilir. USB bellek engelleme bu yüzden her kurumun gündeminde, fakat tam yasak çoğu zaman iş akışını kilitler. Bu yazıda Falcon Device Control nedir ve hangi lisansla gelir sorusunun ötesine geçip ürünün tek bir yeteneğine, çıkarılabilir medya politikasının sahada nasıl kurulduğuna odaklanıyoruz.
Kısaca: USB bellek engelleme, uç noktalara takılan çıkarılabilir cihazları merkezi bir politikayla sınırlamaktır. CrowdStrike Falcon Device Control ile cihaz sınıfına göre kural yazılır; onaylı bellekler üretici, ürün veya seri numarasıyla istisna olarak tanımlanır, salt okunur erişim verilebilir ve kopyalanan dosyalar izlenir. Doğru geçiş, önce etkiyi görmek sonra engellemektir.
USB Bellek Engelleme Neden Tam Yasakla Çözülmez?
Çıkarılabilir medya iki yönlü bir risktir. İçeri doğru, bellek üzerinden bulaşan zararlı yazılım MITRE ATT&CK'te "Replication Through Removable Media" (T1091) tekniği olarak tanımlanır. Dışarı doğru ise veri, fiziksel ortam üzerinden sızdırılır; bu da "Exfiltration Over Physical Medium: Exfiltration over USB" (T1052.001) tekniğidir.
İlk refleks genellikle Grup İlkesi (GPO) ile tüm çıkarılabilir depolamayı kapatmaktır. Bu yöntem etki alanına bağlı Windows makinelerde işe yarar, ama sınırları çabuk görünür:
- macOS cihazlar ve etki alanı dışındaki dizüstüler kapsama girmez.
- Belirli belleğe izin vermek, donanım kimliklerinin elle toplanmasını gerektirir.
- Hangi dosyanın hangi belleğe kopyalandığı görünmez.
- Tam yasak, üretim hattı, saha ekibi veya sunum gibi meşru ihtiyaçları da durdurur.
Tam yasak kısa sürede istisna talepleriyle delinir; istisnalar kayıt altına alınmadığında da politika fiilen ortadan kalkar. Sürdürülebilir bir USB bellek engelleme politikası bu yüzden "ya hep ya hiç" değil, kimin hangi cihazla ne yapabileceğini tanımlayan bir izin modelidir.
Falcon Device Control ile USB Cihaz Kontrolü Nasıl Çalışır?
CrowdStrike Falcon Device Control, uç noktada zaten çalışan Falcon sensörüyle gelir; ek ajan veya donanım gerekmez. Politikalar bulut tabanlı Falcon konsolundan tanımlanır ve uç nokta grupları üzerinden dağıtılır. Üreticinin veri sayfasına göre politikalar cihaz çevrimiçi olsa da olmasa da uygulanır; sahadaki dizüstü ağdan kopuk olduğunda kural gevşemez.
Ürün, USB veri yolundaki cihazları kendiliğinden keşfeder. Cihaz sınıfı (yığın depolama, klavye ve fare gibi insan arayüzü cihazları vb.), üretici, ürün adı ve seri numarası konsola raporlanır. Böylece izin listesi yazmak için cihaz yöneticisinde kimlik aramak gerekmez; kural, ortamda gerçekten görülen cihazlardan kurulur.
USB cihaz kontrolü Windows ve macOS üzerinde aynı politika mantığıyla yönetilir. Üreticinin ürün sayfasına göre USB bellek ve SD kart okuyucular tüm uç noktalarda, Bluetooth ve Thunderbolt bağlantıları ise macOS sistemlerde kontrol kapsamındadır. Device Control, Falcon Go paketinde Falcon Prevent yeni nesil antivirüs koruması ile birlikte, üst paketlerde de bu kapsamın parçası olarak sunulur. Bu nedenle Falcon kullanan kurumlarda USB cihaz kontrolü çoğu zaman yeni bir ürün değil, bir yapılandırma projesidir; lisans kapsamınızı yine de sözleşmenizden doğrulayın.
USB İzin Listesi: Sınıf, Üretici ve Seri Numarası Bazlı Kurallar
Falcon Device Control'de mantık basittir: kural cihaz sınıfına yazılır, istisna üretici kimliği (vendor ID), ürün kimliği (product ID) veya seri numarasıyla tanımlanır. Yığın depolama sınıfı için dört eylemden biri seçilir:
| Politika eylemi | Ne yapar? | Tipik kullanım |
|---|---|---|
| Tam erişim | Okuma ve yazmaya izin verir | Kurumun onaylı, şifreli bellekleri (seri numarasıyla) |
| Salt okunur | Okumaya izin verir, belleğe yazmayı engeller | Tedarikçiden gelen dosyayı içeri almak |
| Yürütme yok | Bellekteki uygulamaların çalışmasını engeller | Zararlı yazılım riskini azaltmak |
| Tam engel | Cihazın kullanılmasına izin vermez | Hassas veri işleyen uç noktalar |
İstisna seçerken kapsamı dar tutmak esastır. Üretici kimliği bir markanın tüm belleklerini, ürün kimliği o markanın tek bir modelini kapsar. Seri numarası ise tek bir fiziksel cihazı tanımlar. Kurumun dağıttığı şifreli bellekler için seri numarası, bir üretim makinesinin sabit donanım anahtarı için ürün kimliği genellikle yeterli dengeyi verir.
Salt okunur USB ayarı, tam yasakla tam serbestlik arasındaki en işe yarar ara durumdur. Kullanıcı dışarıdan gelen dosyayı açabilir, ama kurum verisini belleğe yazamaz. Klavye, fare ve kulaklık gibi insan arayüzü cihazlarının ayrı sınıfta kaldığını da unutmayın; bu sınıfa yazılacak geniş bir engel, kullanıcıyı cihazını kullanamaz hale getirir.
Dosya Aktarım Görünürlüğü: Belleğe Ne Kopyalandı?
USB bellek engelleme yalnız engelden ibaret değildir; izin verilen bir cihaz, izlenmeyen bir cihaz olmamalıdır. Falcon Device Control, onaylı USB bellek ve SD kartlara yazılan dosyaların meta verisini ve aktarım hareketlerini kaydeder. Hangi kullanıcının, hangi uç noktadan, hangi cihaza hangi dosyayı kopyaladığı panolardan ve aramadan görülür.
Üreticinin açıkladığı ek yetenekler de bu görünürlüğü derinleştirir:
- ZIP arşivlerinin içeriği incelenir; sıkıştırma, aktarılan dosyayı gizlemez.
- Microsoft duyarlılık etiketleri taşıyan dosyaların aktarımı görünür olur.
- Makine öğrenmesi, 40'tan fazla programlama dilinde kaynak kodu hareketini tespit eder.
- Falcon Insight XDR ile birlikte kullanıldığında cihaz kullanımının geçmiş kayıtları ve bellekten çalıştırılan süreçler aranabilir.
Burada sınırı doğru çizmek gerekir. Device Control çıkarılabilir medya ve çevre birimlerine odaklanır; e-posta, web ve bulut uygulamaları üzerinden sızıntı başka bir kapsamdır. Kanal bazlı bütünlüklü bir veri sızıntısı önleme (DLP) yaklaşımı ile Device Control birbirini tamamlar, birbirinin yerine geçmez.
Denetim tarafında da bu kayıtlar işe yarar. ISO/IEC 27001:2022 Ek A 7.10 "Depolama ortamı" kontrolü, çıkarılabilir ortamın yaşam döngüsü boyunca yönetilmesini ister. KVKK'nın 12. maddesi ise veri sorumlusundan uygun teknik tedbirleri almasını bekler. Politika tanımı, istisna listesi ve aktarım kayıtları bu tedbirin çalıştığını gösteren somut kanıttır.
USB Bellek Engelleme Politikasında Kademeli Geçiş: Önce İzleme
USB bellek engelleme projelerinin çoğu teknik değil, iletişim nedeniyle takılır. Pazartesi sabahı açılan bir engel politikası, yardım masasını "belleğim açılmıyor" talepleriyle doldurur. CrowdStrike'ın veri sayfası bu yüzden politikanın etkisini, zorlamayı açmadan önce uyarı ve panolarla görmeyi önerir. Önerilen sıra şöyledir:
- İzleme: politikayı zorlamayı (enforcement) açmadan devreye alın, birkaç hafta boyunca hangi cihazların kimde kullanıldığını çıkarın.
- Sınıflandırma: görülen cihazları kurum belleği, üretim donanımı, kişisel bellek ve çevre birimi olarak ayırın.
- İzin listesi: onaylı cihazları seri numarası veya ürün kimliğiyle istisnaya ekleyin.
- Pilot: engel veya salt okunur politikayı önce küçük bir uç nokta grubunda zorlayın.
- Yaygınlaştırma: departman bazında genişletin; hassas veri işleyen gruplarla başlayın.
- Gözden geçirme: istisna listesini ve aktarım kayıtlarını düzenli aralıklarla kontrol edin.
İstisna Süreci Nasıl Kurulmalı?
İstisna, politikanın zayıf halkası değil, parçası olmalıdır. Talep bir servis masası kaydıyla gelir, gerekçe ve süre yazılır, yönetici onayından sonra cihaz seri numarasıyla istisnaya eklenir. Süre dolduğunda istisna kaldırılır; bu takibi süreç tarafında bir hatırlatmayla yapmak, listenin yıllar içinde şişmesini önler.
Senaryo: Bir üretim şirketinde mühendisler, CNC tezgâhlarına program taşımak için bilgisayarlarından USB belleğe dosya yazar. İzleme aşamasında bu belleklerin tek bir modelden oluştuğu görülür ve mühendislik grubunda ürün kimliğiyle istisnaya alınır. Ofis bilgisayarlarında yığın depolama salt okunur yapılır, tasarım ekibinde ise yalnız seri numarası kayıtlı şifreli bellekler yazılabilir kalır. Bir ay sonra bir çalışanın kaynak dosyalarını kişisel belleğe kopyalama denemesi engellenir ve konsolda uç nokta, kullanıcı ve cihaz bilgisiyle görünür.
Sıkça Sorulan Sorular
USB bellek nasıl engellenir?
Tek tek bilgisayarlarda kayıt defteri veya yerel ilke ile, etki alanındaki Windows makinelerde ise Grup İlkesi ile çıkarılabilir depolama kapatılabilir. Kurum ölçeğinde USB bellek engelleme için ise macOS cihazları ve etki alanı dışındaki dizüstüleri de kapsayan merkezi bir cihaz kontrolü çözümü daha sürdürülebilirdir. Falcon Device Control gibi araçlar engeli, izin listesi ve dosya aktarım görünürlüğüyle birlikte sunar.
USB belleği salt okunur yapmak mümkün mü?
Evet. Falcon Device Control'de yığın depolama sınıfı için "salt okunur" eylemi seçildiğinde kullanıcı bellekteki dosyaları açabilir, ancak belleğe dosya yazamaz. Bu ayar, dışarıdan gelen dosyaların içeri alınmasına izin verirken kurum verisinin belleğe kopyalanmasını engeller. İstenirse bellekteki uygulamaların çalışması ayrıca engellenebilir.
Sadece belirli USB belleklere nasıl izin verilir?
Önce yığın depolama sınıfına engel veya salt okunur kuralı yazılır. Ardından izin verilecek cihazlar istisna olarak tanımlanır: bir markanın tümü için üretici kimliği, tek bir model için ürün kimliği, tek bir fiziksel bellek için seri numarası kullanılır. En sıkı kontrol seri numarasıyla sağlanır ve kurumun dağıttığı şifreli bellekler için önerilir.
USB engelleme klavye ve fareyi etkiler mi?
Doğru yapılandırıldığında etkilemez. Klavye ve fare insan arayüzü cihazı sınıfındadır, USB bellekler ise yığın depolama sınıfındadır. Politika yalnız yığın depolama sınıfına yazıldığında çevre birimleri çalışmaya devam eder. Bu yüzden izleme aşamasında hangi cihazların hangi sınıfta raporlandığını görmek, beklenmedik kesintileri önler.
Sonuç: Tam Engel mi, Salt Okunur mu, İzin Listesi mi?
Hassas veri işleyen ve USB ihtiyacı olmayan uç noktalarda tam engel doğru tercihtir. Dışarıdan dosya alan ama veri çıkarmaması gereken ekiplerde salt okunur erişim yeterlidir. Meşru yazma ihtiyacı olan ekiplerde ise seri numarasıyla tanımlı izin listesi ve dosya aktarım görünürlüğü birlikte kullanılmalıdır. Hangi paketin bu yetenekleri içerdiğini Falcon Device Control özellikleri ve lisans kalemleri sayfasında bulabilirsiniz.
Technodus, CrowdStrike Falcon çözümlerinde lisans, kurulum ve destek sorumluluğunu aynı ekipte tutar. USB bellek engelleme projelerinde izleme modunu birlikte açıyor, ortamınızdaki gerçek cihaz envanterinden izin listesini çıkarıyor ve engelleme aşamasına kademeli geçiyoruz. Politikaların iş akışınızı nasıl etkilediğini kendi ortamınızda bir PoC ile görmek için bizimle iletişime geçebilirsiniz.