Cihaz Koşulları (Posture)
Cihaz koşulları, bir politikanın yalnız belirli şartları sağlayan cihazlar için geçerli olmasını sağlar: "ERP sunucusuna yalnız diski şifreli, güvenlik duvarı açık ve etki alanına katılmış makineler erişsin" gibi.
Koşul erişimin yerine geçmez, onu daraltır: cihaz önce bir politikayla erişim almalı, sonra o politikanın koşulunu da sağlamalıdır.
Hangi denetimler var
Panelde Cihaz Koşulları → Koşul ile oluşturulur. Yedi denetim vardır; bir koşulda istediğiniz kadarını birleştirebilirsiniz (hepsi birden sağlanmalıdır).
| Denetim | Ne arar | Cihaz nereden ölçer |
|---|---|---|
| En düşük istemci sürümü | 0.2.81 ve üzeri |
İstemcinin bildirdiği sürüm |
| En düşük işletim sistemi sürümü | 10.0.22000 (Windows 11) ve üzeri |
Karşılaştırılabilir sürüm numarası |
| Disk şifreleme açık | Sistem diski şifreli | Windows: BitLocker · macOS: FileVault · Linux: LUKS |
| Güvenlik duvarı açık | Yerel güvenlik duvarı etkin | Windows: üç profil de açık · macOS: uygulama güvenlik duvarı · Linux: firewalld/ufw/nftables servisi etkin |
| Antivirüs etkin | Etkin bir antivirüs var (istenirse imzaları da güncel) | Yalnız Windows: Güvenlik Merkezi |
| Etki alanına katılmış | Cihaz kuruma kayıtlı | Windows: Active Directory veya Entra (Azure AD) · macOS: AD · Linux: SSSD/Kerberos |
| İzin verilen seri numaraları | Seri numarası listede | Donanım seri numarası (üretici yer tutucuları elenir) |
Ölçmeyen cihaz koşulu GEÇEMEZ
Her ölçüm üç durumludur: evet / hayır / bilinmiyor. Bilinmeyen bir değer denetimi geçmez (fail-closed). Bu bilinçlidir: ölçemediğimiz bir şeyi "güvenli" saymak, korumanın olmadığı yerde korunduğunuzu düşündürürdü.
Pratikteki sonucu: eski ya da farklı bir istemci (0.2.80 öncesi, stok NetBird istemcisi, OpenWrt/router hedefleri) bu alanları hiç bildirmez ve ölçüme dayalı her koşulda elenir. Filoyu güncellemeden koşul bağlarsanız erişim kesilir.
Antivirüs denetimi yalnız Windows'ta anlamlı
macOS ve Linux istemcileri antivirüs durumu bildirmez — orada standart, sorgulanabilir bir antivirüs kaydı yok (macOS'ta XProtect işletim sisteminin parçasıdır, bir ürün değil). Fail-closed kuralı gereği bu cihazlar antivirüs koşulunu geçemez. Karma filoda antivirüs denetimini yalnız Windows'a giden politikalarda kullanın.
Koşul oluşturma
- Cihaz Koşulları → Koşul.
- Ad verin — ne kontrol ettiği adından anlaşılsın
(ör.
kurumsal-windows-sert). - İstediğiniz denetimleri işaretleyin; sürüm ve seri numarası alanları boş bırakılırsa o denetim kapalıdır.
- Kaydedin. Listede koşulun yanındaki rozetler, o koşulun neyi
denetlediğini gösterir (
disk şifreli,istemci ≥ 0.2.81gibi).
Politikaya bağlama
Koşullar kendi başına bir şey yapmaz; bir politikaya bağlandığında çalışır:
- Erişim Politikaları'nda ilgili politikayı açın.
- Cihaz koşulları alanından koşulu seçin, kaydedin.
Artık o politika yalnız koşulu sağlayan kaynak cihazlar için işler. Koşulu sağlamayan cihaz VPN'den düşmez, yalnızca o politikanın verdiği erişimi alamaz. Cihaz Koşulları listesindeki Kullanım sütunu, koşulun kaç politikada bağlı olduğunu gösterir; "bağlı değil" yazan bir koşul hiçbir şey yapmıyor demektir.
Cihazın ne bildirdiğini görmek
Cihazlar sayfasında bir cihazın satır menüsünden Güvenlik durumu: ölçülen değerler ve "bilinmiyor" kalanlar birlikte listelenir. Bir koşulu dayatmadan önce buradan bakın — hangi cihazların takılacağını önceden görürsünüz.
Ölçüm cihazda 15 dakikada bir tazelenir; kapattığınız BitLocker'ın sunucuya yansıması bu kadar sürebilir. Disk şifreleme bilgisi yönetici yetkisi ister, bu yüzden onu arka plandaki servis okur — kullanıcı oturumu kapalıyken de ölçülür.
Örnek: kademeli sıkılaştırma
Amaç: sunucu ağına yalnız kurumsal ve sert cihazların girmesi.
kurumsal-windows-sertkoşulunu oluşturun: disk şifreleme + güvenlik duvarı + etki alanı üyeliği.- Koşulu önce kritik olmayan bir politikaya bağlayın ve bir hafta Cihazlar sayfasından takılanları izleyin.
- Takılan cihazları düzeltin (BitLocker'ı açın, istemciyi güncelleyin).
- Ancak ondan sonra sunucu erişimini veren politikaya bağlayın.
Neler henüz yok
Coğrafi konum, çalışan süreç ve eş ağ aralığı denetimleri uygulanmıyor ve panelde de görünmüyor. Kaydedilip uygulanmayan bir denetim, olmayan denetimden daha tehlikelidir: yönetici korunduğunu sanır. Bu yüzden sunucu bu türleri kabul etmez.