Group Policy ile Microsoft Defender Antivirus Devre Dışı Bırakmak

#infrastructure #microsoft #security

Giriş

Microsoft Windows Defender; Windows 10, Windows 11 ve Windows Server işletim sistemi için built-in antivirüs çözümüdür.

Bazı durumlarda workstation'arda Windows Defender'ı toplu olarak devre dışı bırakmamız gerekebilir. Örneğin third-party bir antivirüs çözümü kullanıyor olabiliriz, izole bir test ortamı oluşturuyor olabiliriz, kasa satış uygulaması gibi iş uygulamaları false positive olarak bloklanıyor olabilir.

Bir Organizational Unit'e Group Policy nesnesi uygulayarak Windows Defender'ı devre dışı bırakabiliriz.

Microsoft Defender Antivirus ve Windows Defender Firewall farklı iki bileşendir. Bu yazımda malware tarama ve real-time koruma aracı olan Microsoft Defender Antivirus'ü ele alacağım.

Ön Koşullar

Hedef OU'da GPO oluşturmak ve bağlamak için gereken yönetici yetkisine sahip olmalısın.
- Group Policy oluşturmak için minimum gereksinim Group Policy Creator Owners grubuna member olmaktır.
Group Policy Management Console aracı yüklenmiş olmalıdır.
Tamper Protection hedef makinelerde devre dışı bırakılmalıdır.
- https://www.ninjaone.com/blog/tamper-protection-for-windows-10/#how-to-disable-tamper-protection web sitesindeki yazıyı inceleyerek tamper protection'u devre dışı bırakabilirsiniz 🧐
- Büyük ölçekli altyapılarda Intune gibi ürünler ile devre dışı bırakılabilir. Eğer Intune kullanılmıyorsa startup script ile devre dışı bırakılabilir. Sonraki yazılarımda bu konuya da değineceğim 😉

GPMC Kullanarak Microsoft Defender Antivirus Nasıl Devre Dışı Bırakılır?

Group Policy Objects container'ı altında yeni bir group policy nesnesi oluştur.
Microsoft Defender Antivirus'ü devre dışı bırak.
1. Oluşturmuş olduğun GPO nesnesine sağ tıkla ve düzenle.
2. Computer Configuration > Policies > Administrative Templates > Windows Components > Microsoft Defender Antivirus bölümüne ilerle.
3. Turn off Microsoft Defender Antivirus ayarını etkinleştir.
Gerçek zamanlı korumayı devre dışı bırak.
1. Computer Configuration > Policies > Administrative Templates > Windows Components > Microsoft Defender Antivirus > Real-time Protection bölümüne ilerle.
2. Turn off real-time protection ayarını etkinleştir.
GPO'yu uygula.
1. Uygulamak istediğin OU'ya sağ tıkla ve ardından Link an Existing GPO seçeneğine tıkla.
3. Oluşturmuş olduğun GPO'yu seç.
5. Hedef OU'ya sağ tıkla ve ardından Group Policy Update seçeneğine tıkla. (Group Policy Update özelliği OU bazında çalışır, Domain geneline linklenmiş bir group policy nesnesi için domain controller'da komut satırı üzerinde "gpupdate /force" komutunu çalıştırabilirsin.)
8. Bazı Microsoft Defender kuralları etkili olabilmek için restart isteyebilir, mümkünse hedef cihazları yeniden başlat.
Sonucu doğrula.
1. Hedef istemci üzerinde "gpresult /r /scope computer" komutunu çalıştırarak "Disable Microsoft Defender Antivirus" isimli gpo nesnesinin uygulandığını görebilirsin.
3. services.msc üzerinden de ilgili windows servisinin durdurulduğunu görüntüleyebilirsin.

Yeniden başlatmalar veya Windows Update'ler sonrasında bazı ayarlar etkinleşebilir bunu engellemek için aynı gpo nesnesine aşağıdaki registry değerlerini ekleyebiliriz.

Mevcut GPO'yu düzenle.
Computer Configuration > Preferences > Windows Settings > Registry bölümüne ilerle.
Boş alana sağ tıkla ve ardından new > registry item seçeneğine tıkla.
Aşağıdaki görsellerdeki gibi registry value değerlerini değiştir.
"gpupdate /force" komutunu hem domain controller hem de istemcide çalıştırdıktan sonra teyit edebilirsin. İstemcide Registry Editor uygulaması üzerinden kontrol edebilirsin.