Dosya Sunucusu ve NAS Kurulumu: Yetki Matrisi ve Güvenlik

Dosya sunucusu kurulumu, bir kurumun ortak dosyalarını tek bir merkezde toplayan sunucunun ya da NAS cihazının kurulması, ardından o dosyalara kimin, hangi seviyede erişeceğinin yazılı bir düzene bağlanmasıdır.

Biz bu işi uçtan uca yapıyoruz. Windows Server dosya sunucusunu ya da kurumsal sınıf NAS’ı kuruyor, departman bazlı yetki matrisini yazıyor, silinen ya da şifrelenen dosyalar için önceki sürümleri açıyor ve hassas klasörlerdeki erişimleri kayda alıyoruz; eski sunucudaki veriyi izinleriyle taşıyor ve işi raporla teslim ediyoruz.

Bu sayfa BT sistem yönetimi hizmetimizin dosya ve depolama kolu ve sunucu kurulumu işimizin bir adım ötesi. Dosya paylaşımının ağda nasıl çalıştığını SMB rehberimizde, NAS ile SAN arasındaki farkı ana hizmet sayfamızın depolama bölümünde anlattık; bu sayfa o bilginin sizin kurumunuzda bir düzene dönüştüğü yerdir.

Bir eczanede her şey aynı rafta durmaz. Dermokozmetik ürünleri herkes açık raftan alır, ilaç ise tezgâhın arkasından eczacının elinden verilir. Kırmızı reçeteye tabi ilaçlar Eczacılar ve Eczaneler Hakkında Yönetmelik gereği çelik kasada kilitli durur ve anahtar eczanenin mesul müdüründedir. Satılan her ilaç da kayda geçer.

İyi kurulmuş bir dosya sunucusu da böyle çalışır:

• Açık raf herkesin okuyabildiği ortak klasördür.
• Tezgâh arkası yalnız ilgili departmana açılan klasördür.
• Çelik kasa anahtarını birkaç kişinin taşıdığı İnsan Kaynakları ve finans klasörleridir.
• Eczanedeki kayıt hassas klasörlere yapılan her erişimin kaydıdır.

Dosya Sunucusu Kurulumunda Ne Yapıyoruz, Ne Yapmıyoruz?

Dosya sunucusu projesinde disk takmak ve paylaşım açmak işin kısa kısmıdır. Uzun kısım, hangi dosyanın hangi dolaba gireceğine ve anahtarın kimde duracağına karar vermektir; o yüzden ikisini de kalem kalem yazıyoruz.

Yaptıklarımız:

• İhtiyaç ve veri envanteri. Bugün dosyaların nerede durduğunu, ne kadar yer tuttuğunu ve hangi departmanın hangi klasörü kullandığını çıkarıyoruz.
• Platform seçimi ve boyutlandırma. Windows Server dosya sunucusu ile kurumsal sınıf NAS arasından ortamınıza uyanı seçiyor, disk kapasitesini ve RAID düzenini büyümeyi hesaba katarak belirliyoruz.
• Kurulum ve paylaşım yapısı. Sunucuyu ya da NAS’ı kuruyor, klasör ağacını departman ve iş akışına göre açıyoruz. Domain ortamında cihazı Active Directory’ye bağlıyoruz; domain yapınız henüz yoksa Active Directory kurulum hizmetimiz bu işin bir adım öncesidir.
• Yetki matrisi. Hangi grubun hangi klasörde okuma, yazma ya da değiştirme hakkı taşıdığını yazılı bir tabloya döküyor ve izinleri o tabloya göre grup üzerinden veriyoruz.
• Önceki sürümler. Anlık kopya düzenini kuruyoruz; yanlışlıkla silinen ya da şifrelenen bir dosya, kullanıcının kendi ekranından önceki hâline döndürülebilir.
• Dosya erişim denetimi. Hassas klasörlerde kimin dosya açtığını, sildiğini ve izin değiştirdiğini kaydediyor, kayıtları sunucudan ayrı bir yerde saklıyoruz.
• Eski sunucudan ya da NAS’tan taşıma. Veriyi izinleriyle birlikte yeni sisteme alıyor, sürücü eşlemelerini yeni adrese çeviriyoruz.
• Raporlu teslim. Klasör ağacını, yetki matrisini, denetim ayarlarını ve yönetim erişimlerini yazılı olarak devrediyoruz.

Bu işin bittiği yer:

• Yedekleme düzeni ayrı bir hizmettir. Önceki sürümleri kuruyoruz, ama ayrı donanımda duran kopya, retention policy ve düzenli geri dönüş testi veri yedekleme hizmetimizin konusu.
• Dosyanın kurum dışına çıkmasını engellemek ayrı bir katmandır. Yetki matrisi dosyayı kimin açabileceğini belirler; açan kişinin onu e-postayla ya da USB belleğe kopyalayıp dışarı çıkarmasını durdurmak veri kaybı önleme tarafının işi.

Dosya Sunucusu ve NAS Kime Gerekir?

Sahada gördüğümüz dosya sunucusu projeleri çoğunlukla bir aksilikten sonra başlıyor. En sık karşılaştığımız durumlar şunlar:

• Dosyalar bir çalışanın bilgisayarında duruyor. Ortak klasör aslında bir masaüstü bilgisayar; o bilgisayar kapanınca ya da arızalanınca bütün ekip bekliyor.
• Herkes her klasörü görüyor. Muhasebe dosyaları satış ekibine, İnsan Kaynakları dosyaları bütün şirkete açık duruyor ve bunu fark eden kimse yok.
• Bir dosya silindi ya da şifrelendi. Kimin sildiği bilinmiyor, önceki hâli yok ve geri getirmek için yedeğe gidilmesi saatler sürüyor.
• Eski sunucunun ya da NAS’ın ömrü doldu. Diskler uyarı veriyor, cihaz güncelleme almıyor ve içindeki izin düzenini kimse tam olarak bilmiyor.

Alt sınırı da açıkça çizelim. Üç kişilik, tek odalı ve hassas belge taşımayan bir ofiste yetki matrisi kurmanın getirisi azdır; orada kurumsal bir bulut depolama hizmeti ya da basit bir NAS yeterli olur. Matris, farklı gizlilik seviyesinde belge taşıyan birden fazla departman olduğunda kendini ödemeye başlar.

Windows Server Dosya Sunucusu mu, NAS mı?

İkisini de kuruyoruz ve kararı ürün değil, sizin dizin yapınız ile denetim ihtiyacınız veriyor.

• Windows Server dosya sunucusu, kurum Active Directory kullanıyorsa ve klasör izinlerini ayrıntılı yönetip her erişimi kaydetmek gerekiyorsa mantıklı seçimdir. İzinler dizindeki gruplara doğrudan bağlanır, erişim denetimi işletim sisteminin kendi kayıtlarına düşer ve DFS ile kullanıcılar sunucu adını değil tek bir kurum yolunu görür.
• Kurumsal sınıf NAS, domain yapısı yoksa, ofis küçükse ya da cihazın aynı zamanda yedekleme hedefi olması isteniyorsa daha az bakım isteyen seçimdir. NAS’lar da dizine katılabilir ve anlık kopya alabilir; erişim kaydının ayrıntısı ise cihazdan cihaza değiştiği için kurulumdan önce kontrol ediliyor.

Burada model adına değil disk teknolojisine bakıyoruz. Masaüstü bilgisayar için üretilmiş diskler ve tüketici sınıfı NAS cihazları, gün boyu açık kalan ve birden çok kişinin aynı anda yazdığı bir iş yükü için tasarlanmamıştır. Dizideki bir disk arızalandığında kalan disklerin kaç gün korumasız çalışacağını RAID hesaplama aracımızda görebilirsiniz.

Dosya Sunucusunun Asıl İşi: Yetki Matrisi

Platform seçildiğinde kurulumun kolay yarısı bitmiş olur. Dosya sunucusunu güvenli yapan şey diskin kendisi değil, dolapların kime açıldığıdır.

Yetki matrisi, satırlarında klasörlerin, sütunlarında grupların durduğu ve her hücrede o grubun o klasördeki hakkını yazan tablodur. Eczanedeki raf düzeninin yazılı hâlidir: hangi ürün açık rafta, hangisi tezgâh arkasında, hangisi kasada.

Tablo sunucudan önce yazılır, çünkü izinler sonradan tek tek verilirse düzen değil bir birikinti oluşur. Kişisel veri taşıyan klasörler için yetki matrisinin KVKK açısından neden kanıt değeri taşıdığını KVKK teknik uyum yazımızda anlattık.

Kişiye Değil Gruba İzin

İzin hiçbir zaman tek bir kullanıcıya verilmez. Zincir üç halkadır:

1. Kullanıcı departman grubuna girer.
2. Departman grubu klasörün izin grubuna girer.
3. Klasör yalnız izin grubunu tanır.

Bir çalışan ayrıldığında ya da departman değiştirdiğinde klasörlerin hiçbirine dokunulmaz; yalnız grup üyeliği değişir. Bu iç içe grup modelinin Active Directory’deki adı AGDLP’dir ve ayrıntısı kullanıcı, grup ve OU yönetimi rehberimizde duruyor.

Klasörün izin listesi bir erişim kontrol listesidir (ACL); aynı mantığın switch’te ve bulutta nasıl tekrarlandığını ACL nedir yazımızda anlattık.

Kişiye verilen izin, eczacının yan dükkândaki komşusuna kasanın yedek anahtarını bırakmasına benzer. O gün bir sebebi vardır, ama altı ay sonra kimse o anahtarın kimde olduğunu hatırlamaz.

Kişiye verilen her izin, yetkilerin gelecekte yönetilmesini biraz daha zorlaştırır. İzin listesi gruplardan değil isimlerden oluşmaya başlar ve bir süre sonra o isimlerin neden orada durduğunu bilen kimse kalmaz. Bu birikintinin en tehlikeli hâli, yukarıdaki vakada olduğu gibi kimsenin fark etmediği bir gölge yönetici üretmesidir; nasıl tespit edildiğini Shadow Admin yazımızda anlattık.

Full Control İzni Neden Neredeyse Hiç Verilmez?

Windows’ta Full control izni, dosyayı okumanın ve değiştirmenin ötesinde iki hak daha taşır: izinleri değiştirme ve sahipliği alma. İzinleri değiştirebilen bir kullanıcı, erişimi olmayan bir klasöre kendine erişim yazabilir ve bunu hiçbir yönetici grubunda görünmeden yapar. Bu yüzden departman gruplarına Modify hakkı veriyoruz; Full control yalnız sunucuyu yöneten hesaplarda kalır.

Benzetmenin koptuğu yer de burası. Eczanede kasanın anahtarını taşıyan kişi bellidir ve anahtar elden ele geçerken görülür. Dosya sunucusunda izin değiştirme hakkı sessizce birikir; grup üyeliği raporlarına bakan biri onu göremez, çünkü hak kullanıcıya bir gruptan değil klasörün kendi izin listesinden gelir. Bir önceki bölümdeki maaş klasörü vakasında olan tam olarak buydu.

Ağ üzerinden erişimde bir kural daha işler: paylaşım izni ile klasörün kendi izni birlikte değerlendirilir ve ikisinden daha kısıtlayıcı olan geçerli olur. Biri gevşek, diğeri sıkı bırakılırsa sonuç tahmin edilemez hâle gelir. Biz paylaşım iznini geniş tutup asıl kontrolü klasör izninde yapıyoruz; iki katmanın nasıl kesiştiğini SMB rehberimizde ayrıntısıyla anlattık.

Dosya Sunucusunda Fidye Koruması ve Erişim Kaydı

Yetki matrisi dosyayı yetkisiz kişiden korur. Ama yetkili bir kullanıcının bilgisayarına fidye yazılımı bulaşırsa, o yazılım kullanıcının haklarıyla çalışır ve kullanıcının yazabildiği her dosyayı şifreler. Matris burada yetmez; iki ayrı önlem daha gerekir.

Önceki Sürümler: Şifrelenen Dosyanın Dünkü Hâli

Anlık kopya, sunucunun belirli saatlerde dosyaların o anki hâlini kaydetmesidir. Windows Server’da bu özellik kullanıcının kendi ekranında Previous Versions sekmesi olarak görünür; NAS cihazlarında dosya sisteminin anlık kopyası aynı işi görür. Bir dosya silindiğinde ya da şifrelendiğinde kullanıcı ya da destek ekibi onu birkaç tıklamayla sabahki hâline döndürür.

İki sınırını bilerek kuruyoruz:

1. Anlık kopya aynı disktedir. Disk dizisi giderse kopyalar da gider; bu yüzden yedeğin yerini tutmaz.
2. Sunucuda yönetici yetkisi ele geçirilirse kopyalar silinebilir. Bu, fidye yazılımlarının belgelenmiş bir davranışıdır: MITRE ATT&CK tekniği T1490, saldırganların şifrelemeden önce Windows’un anlık kopyalarını silerek geri dönüş yolunu kapattığını kaydeder. Kopyaları yöneten hesabı kullanıcı hesaplarından ayırıyor ve ayrı donanımda duran yedeği şart koşuyoruz.

Erişim Denetimi: Kim Hangi Dosyayı Açtı?

Eczanede satılan her ilaç kaydedilir; dosya sunucusunda da hassas bir dosyaya yapılan her erişim kaydedilebilir. Windows Server’da bu, klasör üzerinde denetim ayarı açılarak yapılır. Bir dosyaya erişim denemesi 4663, bir dosyanın silinmesi 4660, izinlerin değiştirilmesi 4670 numaralı olay olarak kayda düşer.

Denetimin iki kuralı var ve ikisi de kurulum gününde verilmesi gereken kararlardır:

1. Denetim geriye dönük çalışmaz. Olay yaşandıktan sonra açılan kayıt o olayı göstermez; “Kim sildi?” sorusunun cevabı ancak önceden açılmış bir denetimde vardır.
2. Her klasörde her okumayı kaydetmek günlükleri boğar. Kaydı İnsan Kaynakları, finans ve yönetim gibi hassas klasörlerde, özellikle silme ve izin değişikliği olaylarında tutuyoruz. Kayıtları sunucunun kendisinde bırakmıyor, ayrı bir log sunucusuna gönderiyoruz; sunucuyu ele geçiren biri kendi izini silemesin diye.

Erişim kaydının da bir kör noktası var. Kayıt, dosyanın açıldığını gösterir; açan kişinin onu masaüstüne kopyalayıp kopyayı başka bir yere taşıdığını göstermez. Sunucunun dışına düşen bu kopyaların nasıl biriktiğini gölge veri yazımızda bir dosya sunucusu üzerinde ölçtük.

Dosya Sunucusu Kurulumunu Nasıl Yapıyoruz?

Sıra, geri alınması en zor kararlardan en kolaylara doğru ilerler.

1. Uzaktan ön görüşme, ücretsiz. Kaç kullanıcınız olduğunu, ne kadar veriniz bulunduğunu, dosyaların bugün nerede durduğunu ve domain yapınızın olup olmadığını konuşuyoruz. Görüşmenin sonunda işin mertebesini söylüyoruz.
2. Envanter. Mevcut klasörleri, boyutlarını ve bugünkü izinleri çıkarıyoruz; kimsenin kullanmadığı ve sahibi bulunamayan klasörler bu aşamada ortaya çıkar.
3. Yetki matrisi. Klasör ağacını ve hangi grubun hangi klasörde hangi hakkı taşıyacağını departman sorumlularıyla birlikte yazıyoruz. Matris onaylanmadan kurulum başlamaz.
4. Kurulum. Sunucuyu ya da NAS’ı kuruyor, disk dizisini, paylaşımları, grup izinlerini, önceki sürümleri ve denetimi matrise göre yapılandırıyoruz.
5. Taşıma. Veri izinleriyle birlikte yeni sisteme alınır, sürücü eşlemeleri yeni adrese çevrilir.
6. Doğrulama. Her departmandan bir kullanıcıyla kendi klasörüne erişebildiğini ve başka bir departmanın klasörüne erişemediğini deniyoruz; bir dosyayı silip önceki sürümden geri getiriyoruz ve silme olayının kayda düştüğünü görüyoruz.
7. Raporlu teslim. Teslim dosyası yazılı olarak elinize geçer.

Teslim dosyasının içinde şunlar var:

• Klasör ağacı ve yetki matrisi. Her klasörün hangi gruba hangi hakla açık olduğunu gösterir.
• Grup listesi. Her izin grubunun hangi departman grubunu içerdiğini kaydeder.
• Disk ve RAID yapılandırması. Hangi diskin hangi dizide olduğunu ve boş kapasiteyi yazar.
• Önceki sürüm ayarları. Kopyaların hangi saatlerde alındığını ve kaç gün geriye gidildiğini belirtir.
• Denetim ayarları. Hangi klasörde hangi olayların kaydedildiğini ve kayıtların nereye gönderildiğini listeler.
• Doğrulama sonuçları. Teslim günü yapılan erişim, geri getirme ve kayıt denemelerinin çıktısını içerir.
• Bilerek yapmadığımız işlerin listesi. Kurulum sırasında gördüğümüz ama kapsam dışında kalan eksikleri bu listeyle size bırakırız.

Eski Dosya Sunucusundan ya da NAS’tan Taşıma

Dosya sunucusu projelerinin çoğu boş bir sahada başlamaz; yıllardır kullanılan bir sunucunun ya da NAS’ın yerine geçer. Taşımanın riski dosyalarda değil, dosyaların etrafındaki düzendedir.

Eczane yeni bir dükkâna taşınırken ilaçlar koliyle taşınır, ama çelik kasa da onlarla birlikte gider; kasayı eski dükkânda bırakıp kırmızı reçeteli ilaçları açık rafa dizmek kimsenin aklına gelmez. Dosya taşımada ise bu hata sık yapılır.

Sıradan bir kopyalama dosyaları taşır ama izinleri geride bırakır ve yeni sunucuda klasörler, üst klasörün izinlerini devralarak herkese açılır. Biz veriyi izin listeleriyle birlikte kopyalıyor, taşımadan sonra her hassas klasörün izinlerini eski sistemdeki listeyle karşılaştırıyoruz.

Taşımanın ikinci yarısı kullanıcı tarafıdır. Her bilgisayarda eski sunucunun adına bağlı sürücü eşlemeleri, masaüstü kısayolları ve uygulamaların içine yazılmış dosya yolları bulunur. Bu tarafı üç adımda kapatıyoruz:

1. Sürücü eşlemelerini Group Policy ile tek seferde yeni adrese çeviriyoruz.
2. Mümkün olduğunda kullanıcıların sunucu adını değil DFS ile tek bir kurum yolunu görmesini sağlıyoruz; böylece bir sonraki sunucu değişikliğinde kimsenin bilgisayarına dokunmak gerekmez.
3. Eski sunucuyu, yeni sistem doğrulanana kadar salt okunur olarak açık tutuyoruz.

Sahada Ne Yaptık?

Bu sayfadaki üç tasarım kararı, yani iznin kişiye değil gruba verilmesi, Full control hakkının dağıtılmaması ve hassas klasörlerde erişim kaydının tutulması, yetki matrisi bölümünde anlattığım maaş klasörü vakasından geliyor. Aynı durumu laboratuvar ortamında birebir kurdum; hakkın hangi komutla görünür hâle geldiğini maaş klasörü vakasının lab kurulumunda ölçümüyle birlikte yazdım.

Veeam yedekleme vakasında ise sunucuların tamamı günlük artımlı ve haftalık tam yedeğe alındı. Önceki sürümleri yedeğin yerine koymamamızın gerekçesi de bu ayrım: anlık kopya tek bir dosyayı dakikalar içinde geri getirir, yedek ise bütün sunucuyu.

Dosya Sunucusu ve NAS Kurulumu Fiyatını Ne Belirler?

Bedeli belirleyen şey disk kapasitesinden çok klasör düzeninin karmaşıklığıdır. Teklifleri karşılaştırırken bakacağınız kalemler şunlar:

• Kullanıcı ve departman sayısı. Yetki matrisindeki satır ve sütun sayısını bunlar belirler; tek departmanlı bir ofisle yedi departmanlı bir kurumun matrisi aynı iş değildir.
• Veri miktarı. Taşıma süresini ve disk boyutlandırmasını doğrudan değiştirir.
• Platform. Windows Server dosya sunucusu ile NAS farklı kurulum ve lisans kalemleri taşır.
• Mevcut izin düzeninin durumu. Temiz bir yapıdan taşımak ile yıllar içinde kişiye verilmiş izinlerle dolmuş bir yapıyı ayıklamak aynı emeği istemez.
• Denetim kapsamı. Kaç klasörde hangi olayların kaydedileceği ve kayıtların nereye gönderileceği ayrı bir yapılandırma işidir.
• Donanım. Sunucu ya da NAS cihazı ve diskler teklifte ayrı kalem olarak görünür.

Teklif toplarken tek bir soru çoğu şeyi ayırır: teklifte yazılı bir yetki matrisi var mı? Yoksa o teklif size bir disk ve bir paylaşım satıyor, dolapların kime açılacağını ise kurulum gününe bırakıyor demektir.

Sonuç: Dolabın Anahtarı Kimde?

Bir dosya sunucusunun ne kadar iyi kurulduğu kapasitesinden değil, üç sorunun cevabından anlaşılır: bu klasörü kim açabiliyor, bir dosya silindiğinde dünkü hâline dönülebiliyor mu ve bir hata olduğunda kimin ne yaptığı kayıtlı mı? Üçünün cevabı da kurulumdan önce yazılır.

Sistem ayağa kalktıktan sonra düzeni korumak süreklilik isteyen bir iştir. Yeni çalışanlar gruplara alınır, ayrılanlar çıkarılır, matris yılda en az bir kez gözden geçirilir. Bunu teslim dosyasıyla kendi ekibiniz sürdürebilir; bize bırakmak isterseniz kurumsal bakım anlaşmasıyla kurulumu yapan ekip işletmeye de devam eder.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn