Bu rehberde, Grup İlkesi (GPO) kullanarak etki alanına katılmış bilgisayarlardaki yerleşik Administrator (Yerel Yönetici) hesabının adını nasıl değiştireceğimizi anlatıyorum. Bunun için yeni bir GPO oluşturup bir OU’ya bağlayarak, kapsamdaki tüm bilgisayarlarda yönetici hesabının adını tek seferde değiştireceğiz. Böylece yüzlerce bilgisayarda elle işlem yapmadan, merkezi ve tutarlı bir güvenlik sertleştirmesi uygulamış olursunuz.
Administrator Hesabının Adı Neden Değiştirilmeli?
Windows’ta yerleşik Administrator hesabı bilinen bir ada ve sabit bir güvenlik tanımlayıcısına (RID 500) sahiptir. Saldırganların ilk denediği kullanıcı adlarından biri olduğu için, bu hesabın adını değiştirmek kaba kuvvet (brute force) ve parola tahmin saldırılarını bir miktar zorlaştırır. Tek başına yeterli bir önlem olmasa da, Active Directory ortamında uygulanması önerilen güvenlik sertleştirme (hardening) adımlarından biridir ve çoğu güvenlik temel çizgisinde (security baseline) yer alır.
Adım 1: Yeni Bir GPO Oluşturma
Domain Controller üzerinde Grup İlkesi Yönetim Konsolu‘nu (Group Policy Management Console – GPMC) açın. Etki alanınızı genişletip Group Policy Objects (Grup İlkesi Nesneleri) üzerine sağ tıklayın ve New (Yeni) seçin.
Önemli: Etki alanının Default Domain Policy nesnesini düzenlemeyin. Her zaman yeni, özel bir GPO oluşturup bunu ilgili OU’ya bağlayın.
Açılan pencerede GPO için anlamlı bir ad girin (örneğin “Local Admin Yeniden Adlandırma”) ve OK‘e tıklayın.
Adım 2: İlke Ayarını Yapılandırma
Oluşturduğunuz GPO’ya sağ tıklayıp Edit (Düzenle) deyin. Açılan Grup İlkesi Yönetim Düzenleyicisi’nde şu yolu izleyin:
Computer Configuration \ Policies \ Windows Settings \ Security Settings \ Local Policies \ Security OptionsSağ bölmede “Accounts: Rename administrator account” (Hesaplar: Yönetici hesabını yeniden adlandır) ayarını bulup çift tıklayın.
Define this policy setting (Bu ilke ayarını tanımla) kutusunu işaretleyin ve yeni yönetici hesabı adını yazın. Adın sembol veya özel karakter içermemesine dikkat edin. Apply → OK deyip düzenleyiciyi kapatın.
Adım 3: GPO’yu Bir OU’ya Bağlama
GPO’nun etkili olması için bir OU’ya bağlanması gerekir. Önce küçük bir test OU’sunda denemenizi, sonuç başarılıysa daha geniş kapsama almanızı öneririm. GPMC’de hedef OU’ya sağ tıklayın, “Link an Existing GPO” (Var olan bir GPO bağla) deyin ve oluşturduğunuz GPO’yu seçip OK‘e tıklayın.
Adım 4: İlkeyi Uygulama ve Doğrulama
Etki alanına katılmış bilgisayarlarda Grup İlkesi varsayılan olarak yaklaşık 90 dakikada bir yenilenir. Hemen uygulamak için istemci bilgisayarda Komut İstemi’ni yönetici olarak açıp şu komutu çalıştırın:
gpupdate /forceArdından lusrmgr.msc (Yerel Kullanıcılar ve Gruplar) konsolunu açıp Users klasöründe yönetici hesabının yeni adla göründüğünü doğrulayabilirsiniz. Hangi GPO’ların uygulandığını görmek için gpresult /r komutunu da kullanabilirsiniz.
Sık Karşılaşılan Hatalar ve Çözümleri
- Ad değişmiyor: GPO doğru OU’ya bağlanmamış ya da hedef bilgisayar o OU’da değildir. GPO bağlantısını ve bilgisayarın OU konumunu kontrol edin.
- gpupdate sonrası bile uygulanmıyor: Çoğaltma (replication) henüz tamamlanmamış olabilir ya da GPO Security Filtering ayarı hedefi dışlıyordur. Filtrelemeyi kontrol edin.
- Yerel oturum açmada karışıklık: Ad değişse de hesabın SID’i (RID 500) aynı kalır; betikleriniz hesabı ada göre arıyorsa güncelleyin.
Sıkça Sorulan Sorular (SSS)
Hesabın adını değiştirmek SID’i değiştirir mi?
Hayır. Yerleşik Administrator hesabının RID’i (500) sabittir; yalnızca görünen ad değişir. Bu yüzden saldırgan SID üzerinden hedef alabilir; bu nedenle ad değişikliği ek önlemlerle (hesabı devre dışı bırakma, LAPS vb.) desteklenmelidir.
Yerleşik Administrator’ı tamamen devre dışı bıraksam olmaz mı?
Çoğu ortamda önerilen yaklaşım, yerleşik hesabı yeniden adlandırıp devre dışı bırakmak ve yönetim için ayrı hesaplar kullanmaktır. Yerel yönetici parolalarını yönetmek için LAPS çözümünü de değerlendirin.
İlgili Yazılar
Sonuç
GPO ile yönetici hesabını yeniden adlandırmak, tek bir ilke ile etki alanındaki tüm bilgisayarlarda uygulanabilen pratik bir güvenlik sertleştirme adımıdır. Özel bir GPO oluşturup doğru OU’ya bağladığınızda, ortamınızdaki yönetici hesaplarını saldırganlar için daha zor bir hedef haline getirmiş olursunuz. Bu önlemi; yerleşik hesabı devre dışı bırakma ve LAPS gibi parola yönetimi çözümleriyle birleştirdiğinizde, çok daha güçlü bir güvenlik duruşu elde edersiniz.
