NTFS File Screening Policy ile Ransomware Önleme Otomasyonu

NTFS File Screening, File Server Resource Manager (FSRM) aracılığıyla dosya sistemine belirli uzantıların kaydedilmesini engelleyen güçlü bir Windows Server özelliğidir. Özellikle ransomware (fidye yazılımı) türlerinin kullandığı .locky, .crypt, .encrypted gibi uzantıları otomatik olarak tespit edip engelleyerek veri bütünlüğünü korumaya yardımcı olur. Bu makalede, NTFS dosya tarama politikasıyla (File Screening Policy) otomatik ransomware önleme altyapısının nasıl kurulacağı adım adım anlatılmaktadır.

1) File Screening Nedir?

File Screening, belirli klasörlerde izin verilmeyen dosya türlerinin oluşturulmasını veya kaydedilmesini engeller. Yönetici, uzantı bazlı bir liste tanımlayarak filtreleme yapabilir.

• Gerçek zamanlı izleme ile anında tepki verir.
• Olay loglarına (Event Viewer) uyarı düşer.
• İsteğe bağlı olarak e-posta bildirimi veya script tetikleme yapılabilir.

2) Gereksinimler

• Windows Server 2016, 2019 veya 2022
• FSRM (File Server Resource Manager) rolü kurulu olmalı.
• Sunucu NTFS veya ReFS dosya sisteminde çalışmalı.

3) FSRM Rolü Kurulumu

Install-WindowsFeature -Name FS-Resource-Manager -IncludeManagementTools

Kurulumdan sonra yönetim konsolunu açın:

fsrm.msc

4) File Group (Dosya Grubu) Tanımlama

Engellenmesi gereken ransomware uzantılarını içeren bir dosya grubu oluşturun:

FSRM Management → File Screening Management → File Groups → Create File Group

Ad: “Ransomware Block List”

Files to include:

*.locky, *.crypt, *.encrypted, *.crypto, *.pay, *.odin, *.zepto, *.wannacry, *.cerber, *.no_more_ransom

5) File Screen Template (Şablon) Oluşturma

Yeni bir File Screen Template oluşturun:

1. File Screens → Create File Screen Template
2. Screening Type: Active (dosyayı tamamen engeller)
3. File Groups: “Ransomware Block List” seçin

Bildirim Seçenekleri (Notification Settings)

• E-posta bildirimi: Sistem yöneticisine olay detayı gönderir.
• Event log kaydı: Windows Event Viewer’a uyarı düşer.
• Komut veya script çalıştırma: Ransomware tespitinde otomatik müdahale (örneğin, kullanıcı hesabını devre dışı bırakma).

6) File Screen Uygulama (Policy Dağıtımı)

Koruma uygulanacak dizine gidin (örneğin paylaşımlı ağ klasörü):

FSRM Management → File Screening Management → File Screens → Create File Screen

Path: D:\Paylasimlar\

Template: “Ransomware Block Template”

7) PowerShell ile Otomatik Kurulum

# File Group oluştur
New-FsrmFileGroup -Name "Ransomware Block List" -IncludePattern @("*.locky","*.crypt","*.encrypted","*.wannacry")

# Şablon oluştur
New-FsrmFileScreenTemplate -Name "Ransomware Block Template" -Active:$true -IncludeGroup "Ransomware Block List"

# Policy uygula
New-FsrmFileScreen -Path "D:\Paylasimlar" -Template "Ransomware Block Template"

8) Otomatik Script ile Olay Müdahalesi

Ransomware tespiti durumunda otomatik eylem gerçekleştirmek için aşağıdaki örnek kullanılabilir:

@echo off
net user %1 /active:no
msg * "Ransomware tespit edildi! Kullanıcı hesabı devre dışı bırakıldı."

Bu script, saldırıyı başlatan kullanıcı hesabını geçici olarak devre dışı bırakabilir.

9) İzleme ve Loglama

Tüm olaylar aşağıdaki loglarda bulunur:

Event Viewer → Applications and Services Logs → Microsoft → Windows → FSRM → Operational

Olay ID 8215: Engellenen dosya denemesi.

10) FSRM Raporlama

File Screening Report özelliğiyle hangi kullanıcıların hangi dosya türlerini oluşturmaya çalıştığı raporlanabilir:

FSRM → Storage Reports Management → Generate Report Now → File Screening Audit

11) Gelişmiş Güvenlik Entegrasyonları

• Windows Defender Application Control (WDAC): Yetkisiz .exe dosyalarını çalıştırmayı engeller.
• File Screening + WAF: Ağ katmanında zararlı dosya yüklemelerini önler.
• Sysmon + SIEM: Olay korelasyonu ile merkezi ransomware tespiti.

Sonuç

NTFS File Screening Policy, Windows Server üzerinde ransomware saldırılarını tespit etmek ve önlemek için etkili bir ilk savunma hattıdır. FSRM ile uzantı bazlı engelleme, olay bazlı otomasyon ve SIEM entegrasyonu sayesinde tehditler hızlıca izlenebilir ve durdurulabilir. Kurumsal güvenlik mimarilerinde, bu yaklaşım WAF Koruma ve Kurumsal Hosting çözümleriyle birlikte kullanıldığında maksimum koruma sağlar.

makefile
Kodu kopyala