Ivanti Device Control: USB ve Çevre Birimi Kontrolü

İstemci, takılan tak-çalıştır (plug-and-play) cihazı algılar ve cihazın sınıfına, modeline ya da tekil kimliğine göre tanımlı izni arar. İzin kullanıcıya, kullanıcı grubuna, bilgisayara ya da bilgisayar grubuna verilir; cihazın hangi veri yolundan (USB, FireWire, SATA, SCSI, PCMCIA, Bluetooth, IrDA) bağlandığı da kurala girebilir. İzin yoksa cihaz kullanılamaz. İzin varsa ikinci soru cihazın şifreleme durumudur: Device Control ile şifrelenmiş, BitLocker ile şifrelenmiş ya da şifresiz cihaz için ayrı izinler tanımlanabilir. Son katman veri hareketidir: hangi dosya türlerinin taşınabileceği, günlük kopyalama kotası ve kopyalanan dosyaların kaydı.

İzinler dört biçimde verilebilir: çevrimiçi (bilgisayar kurum ağındayken), çevrimdışı (ağ dışındayken), geçici ve zamanlanmış. Kurallara yüksek ya da düşük öncelik atanır. Politikalar istemcide uygulandığı için bilgisayar ağdan ayrıyken de geçerlidir. İstemci, yönetici hakkına sahip kullanıcılara karşı da yetkisiz kaldırmaya karşı korunur.

Ürün ilk kurulduğunda standart Windows cihaz sınıflarına ait çıkarılabilir depolama aygıtlarını tanır ve veritabanına ekler. Yönetilebilen cihaz türleri arasında çıkarılabilir depolama (USB bellek, harici disk), CD/DVD sürücüleri, taşınabilir cihazlar (telefon, dijital kamera, medya oynatıcı), yazıcılar, görüntüleme cihazları (tarayıcı, web kamerası), akıllı kart okuyucular, biyometrik cihazlar, kablosuz ağ kartları, modemler ve ikincil ağ bağlantıları, COM ve LPT portları, klavye ve fare ile Citrix üzerinden erişilen ağ sürücüleri bulunur. Üreticinin ürün sayfası bulut depolama sistemlerine erişimin de aynı yetkilendirme modeliyle yönetildiğini belirtir.

"Varsayılan olarak her şeyi engeller" genellemesi doğru değildir; varsayılan izin cihaz sınıfına göre değişir:

Kurum bu varsayılanları kendi politikasına göre değiştirir; onaylı modelleri ve belirli cihazları sınıf altına ekleyerek yalnız onlara izin verebilir. Yetkilendirme kullanıcı ve grup bilgisini Active Directory'den alır; 2025.2 sürümüyle Entra ID senkronizasyonu da eklendi.

Device Control'ün kendi şifreleme teknolojisi vardır. Yönetici, kullanıcının yalnız şifreli çıkarılabilir depolamaya yazmasını zorunlu kılabilir; şifreleme, şifre çözme ve anahtarı dosyaya ya da ortama aktarma izinleri ayrı ayrı verilir. Şifreleme anahtarı parolayla korunarak ayrı bir dosyada tutulabilir ya da aygıtın üzerinde saklanabilir; anahtarın ayrı taşındığı model daha güvenlidir, aygıtta saklanan modelde koruma yalnız paroladır. Şifreleme izinleri yalnız çıkarılabilir depolama sınıfı için geçerlidir.

Ajanı olmayan bilgisayarda erişim: Easy Exchange

Easy Exchange ile şifrelenen bir bellek, Device Control istemcisi kurulu olmayan bir bilgisayarda da açılabilir: şifreleme sırasında aygıta yerleşen Secure Volume Browser, geçerli parola ya da içe aktarılan anahtarla erişim verir. Bu, örneğin kurum dışındaki bir paydaşla şifreli veri paylaşmak gerektiğinde işe yarar.

BitLocker ve Media Authorizer

BitLocker ile şifrelenmiş aygıtlar için ayrı izin tanımlanabilir; üreticinin ürün sayfası Microsoft BitLocker sistem sürücüsü şifrelemesinin de merkezi olarak yönetildiğini belirtir. Media Authorizer modülü ise CD/DVD ortamlarını ve şifreli çıkarılabilir ortamları veritabanına ekleyip belirli kullanıcılara yetkilendirmek, merkezi şifreleme yapmak ve ağ dışında kullanılacak ortamlar için anahtar dışa aktarmak için kullanılır.

Gölge kopya (shadowing) üç ayarla çalışır: Disabled (kopya yok), FileName (yalnız dosya adı veritabanına yazılır) ve Enabled (dosya içeriğinin kopyası alınır). Okuma ve yazma yönleri ayrı ayrı ya da birlikte gölgelenebilir. Kopyalanan dosyalar Log Explorer modülünden incelenir; tam kopya açıksa dosyanın kendisi görülebilir ve gerekirse geri getirilebilir. Gölge dosyaların saklandığı klasör yapılandırılabilir; uzak bir paylaşım da kullanılabilir.

Tam içerik kopyası kişisel veri içerebilir. Saklama yeri, saklama süresi ve kopyalara kimin erişeceği kurumun veri politikasıyla belirlenmeli; KVKK kapsamındaki yükümlülükler kurumda kalır. Innoset projelerinde genellikle önce dosya adı kaydıyla başlamayı, tam kopyayı yüksek riskli gruplar ve cihaz sınıfları için açmayı öneriyoruz.

Sahada ya da kurum ağının dışında çalışan bir kullanıcının, normalde izni olmayan bir aygıta acil erişimi gerekebilir. Ürün bunun için internet ya da kurum ağı bağlantısı gerektirmeyen bir yetkilendirme akışı tanımlar:

1. Kullanıcı istemciden 27 karakterlik bir istemci anahtarı alır ve gereken izni anlatarak yöneticiye iletir (örneğin telefonla).
2. Yönetici anahtarı yönetim konsoluna girer, cihaz sınıfını, izni ve süreyi seçer, talebi onaylar.
3. Konsol 46 karakterlik bir kilit açma kodu üretir; yönetici kodu kullanıcıya iletir.
4. Kullanıcı kodu istemciye girer; izin süre dolana ya da bilgisayar yeniden ağa bağlanana kadar geçerli olur.

Yanlış kod girişleri sınırlıdır: 15 hatalı denemeden sonra istemci bir süre kilitlenir.

Windows tarafında ürün Windows 10 ve 11 ile Windows Server 2016–2025'i destekler; Windows 11 ARM64 desteği 2025.3 sürümüyle geldi. Windows Server 2012 ve 2012 R2, Microsoft'un genişletilmiş güvenlik güncellemeleri sürdüğü sürece (13 Ekim 2026'ya kadar) listede yer alıyor; bu tarihten sonraki kurulumlar için planlama yapılmalı. Belgede Citrix XenApp ve XenDesktop 7.x sürümleri de desteklenen ortamlar arasında listeleniyor.

macOS tarafında desteklenen sürümler Catalina (10.15) ile Tahoe (26.0.1) arasındadır. Kurulum Windows'tan farklıdır ve proje planına girmesi gereken üç ön koşulu vardır:

• Mac istemcileri sunucuyla bir MQTT v5 aracısı (broker) üzerinden haberleşir; kurumun bir MQTT aracısı kurması ya da mevcut olanı kullanması gerekir.
• Sunucu tarafında SXS.Net bileşeni yapılandırılır (lisans dosyası, MQTT bağlantısı, REST çağrıları için anahtar).
• Apple ARM işlemcili Mac'lerde çıkarılabilir ortam şifrelemesini sağlayan çekirdek uzantısı için cihazın kurtarma modunda "Reduced Security" seçeneğiyle açılması gerekir.

Üretici iki platform için tam bir özellik karşılaştırması yayımlamıyor; macOS belgesi gölge dosyaların MQTT üzerinden sunucuya yüklendiğini gösteriyor. Mac ağırlıklı bir filoda kullanılacak her özelliği PoC'de ayrıca test ediyor, kapsamı kurulacak sürümün belgesiyle teklif öncesinde netleştiriyoruz.

Asgari donanım gereksinimi düşüktür; büyük ortamlarda veritabanı türü ve Application Server sayısı belirleyicidir. Kurulum ve yükseltmede sıra önemlidir: önce lisans dosyası, sonra veritabanı, sonra Application Server.

1. Envanter. Ürün kurulduğunda standart sınıflardaki çıkarılabilir depolama aygıtlarını tanır; ilk iş hangi cihaz sınıflarının ve modellerin gerçekte kullanıldığını görmektir.
2. Politika tasarımı. Hangi sınıf kapalı kalacak, hangi modellere ve kullanıcı gruplarına izin verilecek, şifreleme hangi gruplarda zorunlu olacak, kopyalama kotası ve dosya türü kısıtları nerede uygulanacak.
3. Gölge kopya kararı. Dosya adı kaydı mı tam kopya mı, kimler için, nerede ve ne kadar süre saklanacağı.
4. İstisna süreci. Geçici ve çevrimdışı erişim talebinin kim tarafından, hangi kanaldan ve hangi sürelerle onaylanacağı.
5. Pilot ve genişletme. Önce bir iş biriminde, sonra kurum genelinde; macOS istemcileri varsa MQTT aracısı ve SXS.Net kurulumu bu aşamadan önce hazırlanır.

Ürün, Lumension'ın cihaz kontrolü ürününün devamıdır. Lumension 2015'te FrontRange ile birleşerek HEAT Software'i oluşturdu; Ocak 2017'de HEAT Software ile LANDESK'in birleşmesiyle Ivanti kuruldu (Ivanti şirket geçmişi). Ivanti'nin Lumension sayfası bu çözümü "Endpoint Security" başlığı altında listeler; şartnamelerde ve eski kurulumlarda ürün Lumension Endpoint Security adıyla da geçebilir. Ürünün belgeleri bugün Ivanti Device and Application Control (IDAC) adıyla yayımlanıyor; aynı ailede ayrı bir uygulama kontrolü bileşeni de bulunur ve bu bileşen, sayfamızda ayrıca anlatılan Ivanti Application Control ile aynı ürün değildir.

Eski kurulumu olanlar için: güncel sürüme yükseltmede 4.5 ve sonrası için düzenlenmiş bir lisans dosyası gerekir; 4.5 öncesinde verilmiş lisans dosyaları Application Server ile çalışmaz. Lumension döneminden kalan bir kurulumunuz varsa sürümü, lisans dosyasını ve işletim sistemi desteğini birlikte kontrol edip yükseltme yolunu çıkarırız.

Uygun olduğu durumlar: taşınabilir bellek ve çevre birimlerinin merkezi politikayla sınırlanması; çıkarılabilir ortama kopyalanan verinin şifreli olmasının zorunlu tutulması; hangi dosyanın hangi cihaza kopyalandığının kayda alınması; sahada ve ağ dışında çalışan kullanıcılar için denetimli istisna süreci; bankamatik ve satış noktası gibi sabit işlevli cihazlar, ince istemciler ve sanal masaüstleri.

Dikkat edilmesi gerekenler: belgelenmiş denetimler cihaz, veri yolu, dosya türü, kota ve şifreleme düzeyindedir; belge içeriğini sınıflandırarak karar veren veri sızıntısı önleme (DLP) ürünleriyle aynı işi yapmaz; fiziksel veri çıkışı tarafında onları tamamlar. macOS'ta kurulum ön koşulları ve özellik kapsamı Windows'tan farklıdır. Gölge kopyanın saklama ve erişim kuralları kurum politikasıyla tanımlanmalıdır.

• Onaylı bir USB bellek modelinin kullanılabilmesi, onaysız bir belleğin engellenmesi.
• Yazma izninin yalnız şifreli bellekte açılması; şifreli belleğin istemcisi olmayan bir bilgisayarda Easy Exchange ile açılması.
• Telefon, yazıcı ve kablosuz ağ kartı gibi sınıflarda politikanın beklenen biçimde çalışması.
• Dosya adı ve tam içerik gölge kopyasının Log Explorer'da görünmesi.
• Ağ dışındaki bir kullanıcıya çevrimdışı geçici erişim verilmesi ve sürenin dolmasıyla iznin kapanması.
• Kurumda Mac varsa macOS istemcisinin MQTT üzerinden kaydı ve politikanın uygulanması.

Lisans. Ivanti 1 Mart 2023'ten itibaren yeni müşterilere yalnız abonelik ya da bulut lisansı satıyor; ölçüm metriği teklif aşamasında yazılı olarak netleştirilir. Belgeler: Datasheet · Özet · USB riski (üreticinin İngilizce belgeleri).

Bu sayfadaki teknik bilgiler 2 Ekim 2026'da üreticinin güncel belgelerinden doğrulandı: cihaz yönetimi ve varsayılan izinler, gölge kopya, çevrimdışı geçici erişim, Easy Exchange, macOS kurulumu, sistem gereksinimleri ve ürün sayfası. Üretici bilgileri sürümle değişebilir; teklif ve PoC öncesinde kurulacak sürümün belgesi yeniden kontrol edilir.