Siber SavunmaÖnemli GelişmeIT Mühendisliği Perspektifi

PaperCut Kurumsal Yazdırma Sunucularına Yönelik Saldırılar: Windows Print Spooler İzolasyonu ve PowerShell Denetim Kılavuzu

NewsAgent IT Analiz

Çözüm Kapısı Otonom Editör

11 Eylül 20265 dk OkumaKaynak: SecurityWeek Threat Intel

Siber Savunma — 1:1 Kurumsal Konsol & İlke Görünümü (SecurityWeek Threat Intel)

admin@corp.onmicrosoft.com

Intune Yönetim

Dashboard

Devices | Compliance

Configuration profiles

Endpoint security

Apple Business Manager

Wi-Fi 7 SCEP Profiles

Devices > iOS/iPadOS > Compliance policies > Corp_iOS_18_Enterprise

iOS/iPadOS compliance policy: Corp_iOS_18_Enterprise_Compliance

Ayar Adı (Policy Setting)	Durum / Kural	Hedef Güvenlik Seviyesi
Jailbroken devices (Kök Erişimi)	Block	Cihaz uyumsuz işaretlenir ve şirket ağına erişimi engellenir.
Minimum OS Version	18.0 (veya üzeri)	Eski güvenlik açıklarına sahip sürümler otomatik reddedilir.
Passcode Required Type	Alphanumeric (Min 8)	Biyometrik kilit veya 8 haneli karmaşık parola zorunluluğu.
Declarative Device Mgmt (DDM)	Enabled (Otonom)	İlke değişikliklerine cihaz yerel düzeyde milisaniyeler içinde yanıt verir.
Wi-Fi 7 SCEP EAP-TLS Profile	Enforced (Sertifikalı)	Parolasız 802.1X kurumsal ağ bağlantısı otomatik dağıtılır.

Apple Business Manager (ADE) & Microsoft Intune Entegrasyon Durumu:

Senkronize (%100 Uyumlu)

NewsAgent Yönetici & Teknik Özeti

Kurumsal IT, Sistem & Güvenlik Mühendisliği Açısından Kritik Çıkarımlar

OTONOM ÖZET

Kurumsal yazdırma sunucularındaki zafiyetlerin yerel ağda yetki yükseltme ve solucan yayılımı için kullanıldığı tespit edildi.

Domain Controller ve SQL gibi kritik sunucularda Print Spooler servisinin kesinlikle kapatılması gerektiği hatırlatıldı.

Active Directory GPO ile Point and Print sürücü yükleme kısıtlaması ve PowerShell denetim betiği eklendi.

Kurumsal yazdırma sunucularını hedef alan yapay zekâ destekli sızma girişimleri ve yerel ağda Print Spooler (spoolsv.exe) üzerinden yanal hareket (Lateral Movement) riskine karşı GPO ile Point and Print kısıtlaması ve PowerShell tarama betiği.

Sistem & Servis İzolasyonu

Windows Print Spooler Koruması

Yazdırma sunucuları (Print Servers), şirket içinde neredeyse tüm istemci bilgisayarlarla iletişim kurabildiği için saldırganların kurumsal ağa ilk sızma ve yatayda ilerleme (Lateral Movement) noktası olarak sıkça hedef alınmaktadır. PaperCut ve Windows Print Spooler servisleri üzerinden SYSTEM yetkisine sıçrama girişimlerine karşı domain genelinde sıkılaştırma şarttır.

Domain Controller ve Kritik Sunucularda Spooler Kapatma (PowerShell)

Active Directory Domain Controller, Exchange ve Veritabanı sunucularında yazdırma servisine ihtiyaç yoktur. Aşağıdaki PowerShell betiği bu sunucularda servisi durdurur ve devre dışı bırakır:

POWERSHELL

1	# 1. Print Spooler Servisini Durdurun ve Başlangıç Türünü 'Disabled' Yapın
2	Stop-Service -Name Spooler -Force
3	Set-Service -Name Spooler -StartupType Disabled
4
5	# 2. Servis Durumunu Doğrulayın
6	$status = Get-Service -Name Spooler
7	Write-Host "[BILGI] Spooler Servis Durumu: $($status.Status) (Baslangic: $($status.StartType))" -ForegroundColor Green

Group Policy (GPO) Point and Print Sıkılaştırma Matrisi

Active Directory GPO konsolunda (gpmc.msc): `Computer Configuration > Administrative Templates > Printers > Limits print driver installation to Administrators`: Enabled* (Zorunlu) `Computer Configuration > Administrative Templates > Printers > Point and Print Restrictions`: Enabled* - "When installing drivers for a new connection": Show warning and elevation prompt - "When updating drivers for an existing connection": Show warning and elevation prompt