Teknik · 7 dk okuma
Bilgisayarlara uzaktan yazılım kurulumu güvenli nasıl yapılır?
· Yazan: Wilogger ekibi (Eksen Digital)
Kurulum neden riskli bir yetenektir?
Bir yönetim aracı bilgisayarlarda yönetici yetkisiyle çalışır. “Şu dosyayı indir ve çalıştır” yeteneği, araç ele geçirilirse tüm bilgisayarlarda saldırganın kodunu çalıştırmak anlamına gelir. Bu nedenle uzaktan kurulum, bir yönetim aracının en dikkatli tasarlanması gereken özelliğidir.
Üç doğrulama katmanı
Güvenli bir tasarımda kurulum ancak şu üç koşul birlikte sağlanırsa gerçekleşir:
- Program, önceden doğrulanıp dijital olarak imzalanmış bir katalogda olmalıdır. İmza anahtarı yönetim sunucusunda durmaz; sunucu ele geçirilse bile sahte bir girdi imzalanamaz.
- İndirilen dosyanın boyutu ve sha256 özeti katalogdaki değerle birebir aynı olmalıdır; bir bayt farklıysa dosya hiç çalıştırılmaz.
- Dosyanın Authenticode imzası geçerli olmalı ve imzalayan, beklenen yayıncı olmalıdır (örneğin Notepad++ için “NOTEPAD++”).
Sessiz kurulum ve sabit şablon
MSI paketleri msiexec /i dosya.msi /qn /norestart biçiminde sessiz kurulur; EXE kurulumları yayıncıya göre farklı sessiz bayraklar kullanır (örneğin /S). Güvenli bir araç bu bayrakları serbest metin olarak değil, imzalı katalogda sabit bir argüman listesi olarak taşır ve kabuk (komut satırı yorumlayıcısı) kullanmaz; böylece argümanlara komut sızdırılamaz.
Sonuç raporu ve tekrar denemeler
Kurulum işi hangi bilgisayara hangi programın kurulacağını açıkça bağlar, belirli bir süre geçerlidir ve sonucu (kuruldu, zaten kuruluydu, hata ve çıkış kodu) rapor eder. Bilgisayar kapalıysa iş beklemeli, süresi dolunca iptal olmalıdır. Program zaten kuruluysa yeniden kurulmamalıdır.
Neden her program kataloğa giremez?
Dijital imzası olmayan programlar yayıncı doğrulamasını geçemez. Örneğin bazı popüler açık kaynak programların kurulum dosyaları imzasızdır; bunları kurmak, “yayıncı doğrulandı” güvencesini zayıflatır. Wilogger bu nedenle kataloğa yalnızca imzalı dosyaları alır. Lisans ve kullanım sorumluluğu, programı kurdurtan işletmeye aittir.
Sık sorulan sorular
İşletmem kendi programını kurdurabilir mi?
Wilogger’ın ilk sürümünde hayır; yalnızca imzalı katalogdaki programlar kurulur. Kendi paket yükleme daha zayıf bir güven modeli gerektirdiği için ayrıca değerlendirilir.
Dosya Wilogger sunucularından mı iner?
Hayır. Dosya yayıncının kendi internet adresinden bilgisayara indirilir; özeti imzalı katalogla karşılaştırılır.
Yeniden başlatma gerektiren kurulumlarda ne olur?
Bilgisayar zorla yeniden başlatılmaz; kurulum sonucu “yeniden başlatma gerekiyor” diye raporlanır.
Kaynaklar
Konuya ürün tarafından bakmak ister misiniz?
Wilogger Agent’ı inceleyin