WDAC Politikalarında Managed Installer ve Intelligent Security Graph Kullanımı

Windows Defender Application Control (WDAC), sistem üzerinde yalnızca güvenilir ve yetkili yazılımların çalışmasına izin vererek kötü amaçlı yazılımların veya yetkisiz kodların yürütülmesini engelleyen bir güvenlik teknolojisidir. WDAC, “whitelisting” mantığıyla çalışır ve Windows çekirdeği düzeyinde kimlerin hangi uygulamaları çalıştırabileceğini denetler. Bu yazıda, WDAC politikalarında Managed Installer ve Microsoft Intelligent Security Graph (ISG) özelliklerinin nasıl kullanılacağını detaylı biçimde inceliyoruz.

WDAC Temelleri

WDAC politikaları iki temel ilkeye dayanır:

• Allow List: Yalnızca güvenilir kaynaklardan imzalanan veya belirli yollar üzerinden yüklenen uygulamaların çalışmasına izin verilir.
• Deny by Default: Listede olmayan hiçbir uygulama çalıştırılamaz.

Bu yapı, özellikle yönetici haklarının sınırlı olduğu ortamlarda, kurumsal sistemlerin kötü amaçlı yazılım bulaşmalarına karşı dirençli hale gelmesini sağlar.

Managed Installer Nedir?

Managed Installer (Yönetilen Yükleyici), WDAC’ın dinamik olarak güvenilir uygulamaları tanımasını sağlayan bir mekanizmadır. Bu özellik, Microsoft Intune veya System Center Configuration Manager (SCCM) tarafından yönetilen cihazlarda aktif edilir.

Nasıl Çalışır?

1. Bir uygulama, Managed Installer olarak tanımlanan yazılım dağıtım sistemi üzerinden yüklenirse, bu uygulama otomatik olarak güvenilir kabul edilir.
2. WDAC politikası, “Managed Installer” işaretine sahip dosyaları tanır ve çalıştırılmasına izin verir.
3. Manuel veya bilinmeyen kaynaklardan yüklenen uygulamalara izin verilmez.

Managed Installer Etkinleştirme (WDAC Policy)

Set-RuleOption -Option 13  # Enable Managed Installer

Bu kural, WDAC yapılandırma XML dosyasında “Enabled: ManagedInstaller” etiketiyle temsil edilir. Managed Installer aktif olduğunda, sistem yönetici tarafından onaylı yükleyicilerden gelen tüm yazılımları otomatik olarak güvenilir sayar.

Microsoft Intelligent Security Graph (ISG) Nedir?

ISG, Microsoft’un global güvenlik altyapısından (Microsoft Defender, Azure Security Graph, Windows Defender SmartScreen, vb.) gelen tehdit istihbaratını kullanarak WDAC’a dinamik güvenlik zekâsı kazandırır. Bu sayede, WDAC yalnızca statik kurallara değil, Microsoft’un sürekli güncellediği tehdit veritabanına da dayanır.

ISG Nasıl Çalışır?

• Bir uygulama çalıştırılmak istendiğinde, WDAC bu uygulamanın dijital imzasını ve özelliklerini Microsoft’un ISG ağına danışarak değerlendirir.
• Eğer uygulama güvenilir bir yayıncı tarafından imzalanmışsa veya geçmişte kötü amaçlı davranış sergilememişse, izin verilir.
• Kötü amaçlı veya şüpheli olarak sınıflandırılmışsa engellenir.

ISG Etkinleştirme

Set-RuleOption -Option 14  # Enable Intelligent Security Graph

Bu ayar, Microsoft’un güvenlik grafiğini devreye sokar. Özellikle “cloud-delivered protection” açık olan sistemlerde önerilir. ISG, makine öğrenimi tabanlı güvenlik kararlarını WDAC politikalarına entegre eder.

Managed Installer + ISG Birlikte Kullanımı

Bu iki özellik birlikte etkinleştirildiğinde hem iç kaynaklardan yüklenen yazılımlar hem de Microsoft tarafından onaylanmış güvenilir yazılımlar çalışabilir hale gelir. Bu yaklaşım, hem esneklik hem güvenlik sağlar.

Örnek XML Yapılandırması

  {D2E9C8F2-...}
  {E3C27D21-...}
  10.0.0.1
  
    
      Enabled:ManagedInstaller
      Enabled:IntelligentSecurityGraph
    
  

WDAC Politikası Uygulama

1. Politika XML dosyasını oluşturun veya düzenleyin.
2. Binary formata dönüştürün:

ConvertFrom-CIPolicy -XmlFilePath "C:\Policies\WDAC.xml" -BinaryFilePath "C:\Policies\WDAC.bin"

3. Politikayı sisteme uygulayın:

Copy-Item C:\Policies\WDAC.bin "C:\Windows\System32\CodeIntegrity\SIPolicy.p7b"

Yeniden başlatmanın ardından politika aktif olur.

Raporlama ve İzleme

WDAC olaylarını izlemek için:

Event Viewer → Applications and Services Logs → Microsoft → Windows → CodeIntegrity → Operational

Olay ID 3089 (İzin verildi) veya 3090 (Engellendi) WDAC kararlarını gösterir. Ayrıca Microsoft Defender for Endpoint entegrasyonu ile merkezi raporlama sağlanabilir.

En İyi Uygulamalar

• Politika değişikliklerini önce “Audit Mode”da test edin.
• Managed Installer kaynağını yalnızca kurumsal yükleyici (ör. Intune, SCCM) ile sınırlandırın.
• ISG’yi aktif tutarak Microsoft’un güncel güvenlik zekâsından yararlanın.
• Politikaları Git veya Intune Configuration Profile üzerinden versiyonlayın.
• WDAC loglarını merkezi SIEM sistemine (ör. Sentinel, Splunk) yönlendirin.

Sonuç

WDAC Managed Installer ve Intelligent Security Graph entegrasyonu, kurumsal Windows sistemlerinde en gelişmiş uygulama denetim stratejisini sağlar. Managed Installer iç kaynak güvenliğini, ISG ise bulut tabanlı tehdit zekâsını devreye alır. Bu birleşim, Zero Trust yaklaşımının uygulama katmanındaki en güçlü temsilidir. Kurumsal güvenliği artırmak ve merkezi politika yönetimi sağlamak için WDAC politikalarınızı bu iki özellikle güçlendirmeniz önerilir.