Ana Sayfa Çözüm Deposu & MakalelerGroup Policy (GPO) ile Kurumsal USB Bellek ve Harici Disk Engelleme / Salt-Okunur Yapma (Adım Adım Resimli Kılavuz)

Kurumsal YazılımlarHOW_TOINTERMEDIATE

Group Policy (GPO) ile Kurumsal USB Bellek ve Harici Disk Engelleme / Salt-Okunur Yapma (Adım Adım Resimli Kılavuz)

Kurumsal veri sızıntılarını (DLP) ve USB kaynaklı fidye yazılımı/zararlı bulaşmalarını önlemek için Group Policy ile çıkarılabilir diskleri tamamen engelleme, salt-okunur yapma ve onaylı USB seri numaralarına izin verme (Whitelist) rehberi.

AdminADMIN

Platform Yöneticisi & Sistem Mimarı

28.08.202610 dk Okuma6890 Görüntülenme

AuditAgent™ Kod & Mimari Doğrulaması

Güven Skoru: %99

AuditAgent Onaylı (USB DLP & GPO Hardened)

Sözdizimi Doğrulandı

Uygulama Önkoşulları & Gereksinimler

Active Directory Domain Controller (2016+)

Domain Admin Yetkisi

Windows 10 / 11 Enterprise İstemciler

İnteraktif Mimari Akış Şeması (Mermaid)Otomatik Çizilen Topoloji

Group Policy (GPO) ile Kurumsal USB Bellek ve Harici Disk Engelleme / Salt-Okunur Yapma (Adım Adım Resimli Kılavuz)Mermaid.js

100%

ADIM 1

USB Bellek Bilgisayara Takıldı

↓

ADIM 2

GPO Kuralı Denetimi

↓

ADIM 3

Erişim Tamamen Engellendi

↓

ADIM 4

Salt-Okunur: Veri Okunabilir / Yazılamaz

↓

ADIM 5

BitLocker Şifreli mi?

↓

ADIM 6

Yazma ve Okuma İzni Verildi

↓

ADIM 7

Yazma Engellendi: Önce BitLocker ile Şifreleyin

Giriş: Neden USB Depolama İlkeleri Uygulanmalıdır?

Kurumsal bilgi güvenliğinde en büyük risklerden biri, şirket verilerinin yetkisiz USB flash bellek veya harici disklere kopyalanması (Veri Sızıntısı - Data Exfiltration) ya da çalışanların dışarıdan getirdiği virüslü USB bellekleri şirket ağına takmasıdır (BadUSB / Ransomware).

Active Directory Group Policy (GPO), ek bir üçüncü taraf DLP yazılımı lisansına ihtiyaç duymadan çıkarılabilir depolama aygıtları üzerinde tam kontrol sağlar.

Group Policy Management Editor — [Default Domain Policy [DC01.corp.local] Policy]

Computer Configuration

Policies

Windows Settings

Administrative Templates:

✓ Policy definitions (ADMX files) retrieved from the central store.

▶ Google / Google Chrome

▶ Microsoft Edge

▶ Windows Components

Setting (Google Chrome Enterprise İlkeleri)Durum / Filtre

Set Google Chrome as Default BrowserEnabled

Enable saving passwords to the password managerDisabled

Force Google SafeSearch in search engine queriesEnabled

Merkezi SYSVOL Şablon Yolu: \\\\corp.local\\SYSVOL\\corp.local\\Policies\\PolicyDefinitionsADMX v24.2 Active

---

1. Yöntem: USB Bellekleri Salt-Okunur (Read-Only) Yapma

Kullanıcıların USB belleklerdeki dökümanları okumasına izin verip şirket verilerini USB'ye kopyalamalarını engellemek için:

1**GPMC (gpmc.msc)** konsolunu açın ve ilgili OU'ya bağlı GPO'yu düzenleyin.
2`Computer Configuration -> Administrative Templates -> System -> Removable Storage Access` yoluna gidin.
3**Removable Disks: Deny write access** ilkesine çift tıklayın -> **Enabled** seçin.

İlke Ayarı	Değer	Sonuç
Removable Disks: Deny write access	Enabled	Kullanıcı USB'ye dosya kopyalamak istediğinde "Hedef klasöre yazma izniniz yok (Access Denied)" uyarısı alır.
Removable Disks: Deny read access	Disabled (veya Not Configured)	USB içindeki dosyaları okuyabilir / açabilir.

---

2. Yöntem: USB Bellekleri ve Harici Diskleri Tamamen Engelleme

Şirket bilgisayarlarına hiçbir USB depolama aygıtının takılamamasını (klavye/fare hariç) sağlamak için:

1`Computer Configuration -> Administrative Templates -> System -> Removable Storage Access` yoluna gidin.
2**All Removable Storage classes: Deny all access** ilkesini bulun ve **Enabled** yapın.
3Bu ilke flash bellekler, harici HDD'ler, hafıza kartları ve optik sürücülerin tamamını bloke eder.

---

3. Yöntem: BitLocker To Go Şifrelemesi Olmayan USB'lere Yazmayı Engelleme

Kullanıcıların yalnızca şirket tarafından BitLocker ile şifrelenmiş kurumsal USB belleklerine veri yazabilmesini sağlamak:

`Computer Configuration -> Administrative Templates -> Windows Components -> BitLocker Drive Encryption -> Removable Data Drives`: - **Deny write access to removable drives not protected by BitLocker:** *Enabled* - **[X] Do not allow write access to devices configured in another organization** seçeneği işaretlenerek harici şirket bellekleri de engellenir.

---

4. Yöntem: Onaylı USB Seri Numaralarına İzin Verme (Hardware ID Whitelist)

Yalnızca IT departmanının onayladığı belirli marka/model veya seri numaralı USB belleklere izin verme:

1`Computer Configuration -> Administrative Templates -> System -> Device Installation -> Device Installation Restrictions`:
2**Prevent installation of devices not described by other policy settings:** *Enabled*
3**Allow installation of devices that match any of these device IDs:** *Enabled* -> İzin verilen USB Donanım Kimliği (Hardware ID) eklenir:
4 - Örn: `USBSTOR\DiskKingstonDataTraveler_3.0PMAP`

Olay Görüntüleyicisi — [Event Viewer (Local) > Security Log]

—□✕

DüzeyTarih / SaatKaynakOlay KimliğiGörev Kategorisi

Bilgi27.08.2026 15:42:10Microsoft-Windows-Security-Auditing4624 / 8003Logon / NTLM Audit

Olay 8003, NTLMv1 Kimlik Doğrulama Uyarısı:

Paket Adı: NTLM V1

Hesap Adı: muhasebe_user01

İstemci İş İstasyonu: FINANCE-PC-12 (192.168.10.45)

Hedef Sunucu: DC01.corp.local

Eylem: NTLMv1 güvensiz kabul edildi. NTLMv2 veya Kerberos zorunlu kılınmalıdır.

---

5. İstemcide Test ve Windows Olay Günlükleri

İstemci bilgisayarda komut satırında `gpupdate /force` çalıştırılır. Engellenen USB takıldığında Windows Olay Günlüğünde şu kayıt oluşur: - **Event Viewer -> Applications and Services Logs -> Microsoft -> Windows -> DriverFrameworks-UserMode -> Operational** - **Event ID 20001 & 20003:** *"A device insertion was blocked by Group Policy."*

#Group Policy#USB Engelleme#DLP#BitLocker To Go#Siber Güvenlik#Active Directory

Bu Makaleyle İlgili Bir Sorunuz mu Var?

Uygulama esnasında aldığınız hata kodlarını veya logları forumda paylaşarak TriageAgent ve topluluktan anında destek alın.

Forumda Konu Aç