Windows Server ortamlarında bir sunucunun güvenlik yapılandırmasının belirlediğimiz kurumsal güvenlik standartlarına uygun olup olmadığını kontrol etmek için kullanılabilecek yerleşik araçlardan biri Security Configuration and Analysis (SCA) MMC eklentisidir.
Security Configuration and Analysis temel olarak şu soruya cevap verir:
“Bu sunucunun mevcut güvenlik ayarları benim belirlediğim security baseline ile uyumlu mu?”
SCA yalnızca karşılaştırma yapmakla kalmaz. İstenirse tanımlanan güvenlik ayarlarını doğrudan lokal sisteme de uygulayabilir.
Bu nedenle aracın iki temel çalışma modu vardır:
ANALYZE
Current Security Configuration
vs
Desired Security Configuration
ve:
CONFIGURE
Desired Security Configuration
↓
Current Computer
Microsoft, secedit ve Security Configuration and Analysis araçlarını Windows Server 2025 dahil güncel Windows Server sürümlerinde desteklemeye devam etmektedir. Server Core kurulumlarında MMC ve SCA snap-in bulunmadığından aynı işlemler secedit.exe üzerinden gerçekleştirilir.
1. Security Configuration and Analysis Ne İçin Kullanılır?
SCA’nın temel kullanım alanlarını dört başlık altında değerlendirebiliriz.
Security Compliance Analizi
Bir sunucunun mevcut güvenlik ayarları ile tanımladığımız security baseline karşılaştırılır.
Örneğin:
Expected:
Log on as a service
DOMAIN\SQLService
ancak sistem üzerinde:
Current:
DOMAIN\SQLService
DOMAIN\LegacyService
bulunuyorsa SCA bu farkı gösterebilir.
Bu yöntem özellikle:
- Security hardening kontrollerinde
- Server baseline karşılaştırmalarında
- User Rights Assignment kontrollerinde
- Restricted Groups kontrollerinde
- Registry ACL kontrollerinde
- File System ACL kontrollerinde
- Service security kontrollerinde
kullanışlıdır.
Security Configuration Uygulama
SCA yalnızca analiz aracı değildir.
Database içerisinde tanımlanmış security configuration:
Configure Computer Now
ile doğrudan bilgisayara uygulanabilir.
Bu nedenle Analyze Computer Now ile Configure Computer Now birbirinden kesin olarak ayrılmalıdır.
Analyze Computer Now
↓
READ / COMPARE
↓
Sistemi değiştirmez
Configure Computer Now
↓
WRITE / APPLY
↓
Sistemi değiştirir
Microsoft secedit /configure komutunu da security database içerisinde bulunan ayarlarla mevcut sistemi yapılandırmak için tanımlar.
Security Template Hazırlama
SCA database içerisinde güvenlik ayarlarını değiştirebilir ve daha sonra bunları:
Export Template
ile yeni bir:
.inf
security template dosyasına dönüştürebiliriz.
Bu template daha sonra:
- başka bir server üzerinde analiz için,
- başka bir server üzerinde configuration için,
- Security Templates MMC ile düzenlemek için,
- Group Policy Security Settings içerisinde kullanılmak için
değerlendirilebilir.
Domain Dışındaki Sistemlerde Kullanım
Workgroup sunucular, DMZ sistemleri veya herhangi bir nedenle Active Directory GPO alamayan Windows Server sistemlerinde SCA veya secedit kullanılarak standart security configuration uygulanabilir.
Domain üyeliği bulunan sistemlerde ise aracı doğrudan configuration amacıyla kullanmak yerine çoğu durumda analysis amacıyla kullanmak, düzeltmeleri merkezi olarak Group Policy üzerinden yapmak daha kontrollü bir yöntemdir.
2. Security Configuration and Analysis Hangi Ayarları Yönetir?
SCA tüm Group Policy ayarlarını analiz eden bir araç değildir.
Security Configuration Engine tarafından desteklenen security configuration alanlarıyla çalışır.
secedit tarafında Microsoft aşağıdaki security areas değerlerini tanımlar:
securitypolicy
group_mgmt
user_rights
regkeys
filestore
services
Bunların anlamları şöyledir:
| Security Area | Açıklama |
| securitypolicy | Local/domain security policy, account policy, audit policy, security options vb. |
| group_mgmt | Restricted Groups |
| user_rights | User Rights Assignment / privileges |
| regkeys | Registry key security / ACL |
| filestore | File ve folder security / ACL |
| services | System Services security configuration |
Microsoft bu alanları secedit /configure ve ilişkili Security Configuration altyapısında açık şekilde tanımlamaktadır.
SCA Neleri Kapsamaz?
SCA’yı bütün Group Policy yapısını analiz eden bir araç olarak değerlendirmemek gerekir.
Örneğin aşağıdaki yapıların tamamını SCA üzerinden analiz edemeyiz:
Administrative Templates / ADMX
Group Policy Preferences
Windows Defender Firewall with Advanced Security
Modern AppLocker configuration
Public Key Policies / Certificate deployment
Modern Advanced Audit Policy yapılandırmasının tamamı
BitLocker Administrative Template ayarları
Windows LAPS Administrative Template ayarları
Browser policy’leri
Microsoft Defender ADMX ayarlarının tamamı
Bu nedenle SCA bir GPO Analyzer değil, esas olarak Windows Security Configuration Engine Analyzer aracıdır.
3. SCA Nasıl Çalışır?
Security Configuration and Analysis yapısını anlamak için üç temel bileşeni bilmek gerekir:
Security Template (.inf)
Security Database (.sdb)
Log File (.log)
Akış:
Security Template
.inf
│
▼
Security Database
.sdb
│
├───────────────┐
▼ ▼
Analyze Configure
│ │
▼ ▼
Comparison Apply Settings
│
▼
.log
4. Security Template (.inf) Nedir?
Security Template, security configuration ayarlarının tutulduğu metin tabanlı bir dosyadır.
Örneğin:
[System Access]
MinimumPasswordAge = 1
MaximumPasswordAge = 60
MinimumPasswordLength = 14
PasswordComplexity = 1
veya:
[Privilege Rights]
SeServiceLogonRight = *S-1-5-32-544
gibi alanlar bulunabilir.
Template temel olarak:
“Sistemin nasıl olmasını istiyorum?”
sorusunun cevabıdır.
5. Security Database (.sdb) Nedir?
Security Configuration and Analysis doğrudan .inf template üzerinde çalışmaz.
Önce bir:
Security Configuration Database
oluşturur veya mevcut bir database açar.
Dosya uzantısı:
.sdb
şeklindedir.
Örneğin:
C:\SecDB\VOLSYS-Baseline.sdb
Bu database:
- referans security configuration,
- import edilmiş template bilgileri,
- composite security configuration,
- analysis sonuçları
için çalışma alanı olarak kullanılır.
Microsoft secedit /analyze sonuçlarının database içerisinde ayrı bir bölümde tutulduğunu ve daha sonra Security Configuration and Analysis MMC üzerinden görüntülenebildiğini belirtmektedir.
6. Open Database Nedir?
SCA açıldığında henüz çalışacağı bir database bulunmaz.
Ekranda:
To open an existing database,
right-click Security Configuration and Analysis,
and then click Open Database.
benzeri bir mesaj görülür.
Buradaki Open Database ismi ilk bakışta biraz yanıltıcı olabilir.
Open Database iki iş yapar:
Var Olan Database’i Açmak
Örneğin:
C:\SecDB\Baseline.sdb
daha önce oluşturulmuşsa aynı database tekrar açılabilir.
Böylece daha önce:
- import edilmiş template’ler,
- analysis sonuçları,
- database üzerinde yapılan değişiklikler
yeniden görüntülenebilir.
Yeni Database Oluşturmak
Ayrı bir:
New Database
menüsü bulunmaz.
Open Database seçildikten sonra olmayan bir dosya adı belirtilirse yeni database oluşturulur.
Örneğin:
C:\SecDB\VOLSYS-Test.sdb
dosyası yoksa:
Open Database
↓
VOLSYS-Test.sdb
↓
Yeni Database
oluşturulur.
7. SCA Database ile Windows secedit.sdb Aynı Şey Değildir
Buradaki en önemli ayrımlardan biri budur.
Windows’un kendi Security Configuration database’i:
%windir%\Security\Database\secedit.sdb
dosyasıdır.
Bu Windows tarafından kullanılan sistem security database’idir.
Bizim SCA ile oluşturduğumuz:
C:\SecDB\VOLSYS-Test.sdb
ise özel bir:
Analysis / Working Database
dosyasıdır.
Bunları aynı şey olarak değerlendirmemek gerekir.
Basit şekilde:
%windir%\Security\Database\secedit.sdb
=
Windows Security Configuration Database
C:\SecDB\VOLSYS-Test.sdb
=
Bizim Security Analysis Database’imiz
Windows’un kendi secedit.sdb dosyasını normal SCA çalışma database’i olarak kullanmak doğru değildir.
Her analiz için ayrı bir .sdb database oluşturmak daha güvenli ve kontrollüdür.
8. Adım Adım Security Configuration and Analysis Kullanımı
Adım 1 – MMC Açılması
Administrator yetkileriyle:
mmc.exe
çalıştırılır.
Daha sonra:
File
→ Add/Remove Snap-in
seçilir.
Listeden:
Security Configuration and Analysis
eklenir.
İstenirse aynı MMC içerisinde:
Security Templates
snap-in’i de eklenebilir.
Konsol:
SCA.msc
gibi bir isimle kaydedilebilir.
9. Yeni Database Oluşturulması
Sol tarafta:
Security Configuration and Analysis
üzerine sağ tıklanır.
Open Database
seçilir.
Örneğin:
C:\SecDB\Baseline.sdb
yazılır.
Dosya mevcut değilse yeni database oluşturulur.
10. Security Template Import Edilmesi
Yeni database oluşturulduğunda Security Template seçilmesi istenir.
Örneğin:
C:\SecDB\VOLSYS-Baseline.inf
seçilebilir.
Template:
VOLSYS-Baseline.inf
│
▼
Baseline.sdb
şeklinde database içerisine import edilir.
11. Birden Fazla Template Import Edilebilir mi?
Evet.
Örneğin:
MicrosoftBaseline.inf
sonra:
CompanyHardening.inf
sonra:
SQLServerSecurity.inf
import edilebilir.
Sonuç:
Microsoft Baseline
+
Company Hardening
+
SQL Server Security
↓
Composite Security Configuration
olur.
Yeni template mevcut database içeriğiyle birleştirilebilir veya mevcut database configuration temizlenerek yeniden import edilebilir.
Çakışan ayarlarda import sırası önemlidir; daha sonra import edilen configuration database’deki aynı setting’i değiştirebilir.
12. Analyze Computer Now
Database hazırlandıktan sonra:
Security Configuration and Analysis
→ Right Click
→ Analyze Computer Now
seçilir.
SCA bir log dosyası ister.
Örneğin:
C:\SecDB\Baseline-Analysis.log
Analiz başladığında:
DATABASE SETTING
vs
COMPUTER SETTING
karşılaştırması gerçekleştirilir.
Bu işlem mevcut security configuration’ı değiştirmez.
13. Analysis Sonuçları Nasıl Okunur?
SCA içerisinde çeşitli security kategorileri açılabilir.
Örneğin:
Security Configuration and Analysis
│
├── Account Policies
├── Local Policies
│
│ ├── Audit Policy
│ ├── User Rights Assignment
│ └── Security Options
│
├── Event Log
├── Restricted Groups
├── System Services
├── Registry
└── File System
Bir setting seçildiğinde iki değer görülür:
Database Setting
Computer Setting
Örneğin:
Minimum Password Length
Database Setting : 14
Computer Setting : 10
Bu:
Expected = 14
Actual = 10
anlamına gelir.
14. Analysis İkonları
Genel mantık şöyledir:
| Durum | Anlamı |
| Yeşil işaret | Computer Setting ile Database Setting uyumlu |
| Kırmızı işaret | Computer Setting ile Database Setting farklı |
| Tanımsız | Setting database/template içerisinde tanımlanmamış |
Buradaki:
Not Defined
ifadesi:
Disabled
anlamına gelmez.
Şu anlama gelir:
Bu security setting bu database tarafından değerlendirilmemektedir.
Bu ayrım önemlidir.
15. User Rights Assignment Analizi
Örneğin baseline:
Log on as a service
DOMAIN\SQLService
tanımlıyor.
Server üzerinde ise:
DOMAIN\SQLService
DOMAIN\LegacyService
bulunuyor.
SCA:
Database Setting:
DOMAIN\SQLService
ile:
Computer Setting:
DOMAIN\SQLService
DOMAIN\LegacyService
arasındaki farkı gösterebilir.
Bu özellikle eski service account’ların tespit edilmesinde yararlı olabilir.
16. Restricted Groups Analizi
Security template:
Administrators
DOMAIN\Domain Admins
DOMAIN\Server Admins
tanımlıyor olsun.
Server üzerinde:
Administrator
DOMAIN\Domain Admins
DOMAIN\Server Admins
DOMAIN\Helpdesk
bulunuyorsa database ile computer configuration arasında uyumsuzluk görülebilir.
Restricted Groups için bu analiz özellikle security hardening çalışmalarında önemlidir.
Ancak Restricted Groups üzerinde:
Configure Computer Now
kullanmak çok dikkat gerektirir.
Yanlış configuration mevcut Administrators üyelerini kaldırabilir ve yönetim erişimi kaybedilebilir.
17. System Services Analizi
SCA servis configuration’ını da analiz edebilir.
Örneğin baseline:
Remote Registry
Startup Mode = Disabled
tanımlıyor.
Sistem:
Remote Registry
Startup Mode = Manual
ise mismatch görülebilir.
Servis security descriptor ve bazı service configuration alanları da Security Configuration Engine tarafından yönetilebilir.
18. Registry Bölümü Ne Anlama Gelir?
SCA içerisindeki:
Registry
bölümü GPP Registry veya Administrative Template Registry Value mantığıyla karıştırılmamalıdır.
Burada esas olarak:
Registry Key Security
ACL
Security Descriptor
yönetilir.
Örneğin:
HKLM\Software\Application
üzerinde:
SYSTEM Full Control
Administrators Full Control
Users Read
gibi permission configuration değerlendirilebilir.
Bu bölüm:
EnableFeature = 1
gibi normal registry value yönetimi için değildir.
19. File System Bölümü
File System security aynı şekilde ACL analizi yapar.
Örneğin:
C:\Application
üzerinde beklenen:
SYSTEM Full Control
Administrators Full Control
ServiceAccount Modify
Users Read
iken mevcut ACL farklıysa SCA bunu gösterebilir.
20. Database İçerisindeki Setting Değiştirilebilir mi?
Evet.
Bir setting üzerinde:
Define this policy in the database
seçilebilir.
Örneğin:
Remote Registry
Startup Mode = Disabled
database içerisinde tanımlanabilir.
Bu işlem:
Database değişir
ancak:
Computer değişmez
Yani:
Define this policy in the database
≠
Apply this setting to Windows
Ayar ancak:
Configure Computer Now
yapıldığında sisteme uygulanır.
21. Export Template
Database içerisinde istediğimiz baseline hazırlandıktan sonra:
Security Configuration and Analysis
→ Right Click
→ Export Template
ile:
VOLSYS-Server-Baseline.inf
oluşturulabilir.
Bu dosya başka sistemlerde tekrar kullanılabilir.
22. Configure Computer Now
SCA’nın en dikkat edilmesi gereken fonksiyonudur.
Security Configuration and Analysis
→ Right Click
→ Configure Computer Now
seçildiğinde database içerisinde tanımlanan security settings bilgisayara uygulanır.
Akış:
Security Database
│
│ Configure
▼
Current Windows Configuration
Bu işlem analiz değildir.
Gerçek configuration değişikliği yapar.
23. Analyze ve Configure Arasındaki Fark
| İşlem | Sistemi Değiştirir mi? |
| Open Database | Hayır |
| Create Database | Hayır |
| Import Template | Hayır |
| Analyze Computer Now | Hayır |
| View Analysis | Hayır |
| Define Policy in Database | Hayır |
| Export Template | Hayır |
| Configure Computer Now | Evet |
24. Komut Satırı Karşılığı: SECEDIT
Security Configuration and Analysis GUI üzerinde yapılan işlemlerin büyük bölümü:
secedit.exe
ile gerçekleştirilebilir.
Microsoft güncel Windows Server sürümlerinde şu komutları desteklemektedir:
secedit /analyze
secedit /configure
secedit /export
secedit /generaterollback
secedit /import
secedit /validate
25. Mevcut Security Configuration Export
Configuration değişikliği yapmadan önce mevcut security configuration export edilebilir:
secedit /export /cfg C:\SecDB\CurrentSecurity.inf
Bu dosya mevcut security configuration’ın dokümantasyonu ve karşılaştırılması açısından faydalıdır.
26. Template Validation
Bir .inf template kullanılmadan önce syntax kontrolü yapılabilir:
secedit /validate C:\SecDB\Baseline.inf
Microsoft secedit /validate komutunun security template içerisindeki ayarların syntax kontrolünü yaptığını belirtmektedir. Bozuk veya uygun olmayan security template’lerin tespitinde kullanılabilir.
27. Command Line ile Analysis
Örneğin:
secedit /analyze ^
/db C:\SecDB\Baseline.sdb ^
/cfg C:\SecDB\Baseline.inf ^
/log C:\SecDB\Analysis.log
Bu işlem mevcut sistem configuration ile baseline configuration arasında analysis gerçekleştirir.
Microsoft secedit /analyze komutunu current system settings ile database içerisinde saklanan baseline settings’i karşılaştırmak için tanımlar.
28. Rollback Template Oluşturulması
Security configuration uygulanmadan önce rollback template oluşturmak mümkündür:
secedit /generaterollback ^
/db C:\SecDB\Baseline.sdb ^
/cfg C:\SecDB\Baseline.inf ^
/rbk C:\SecDB\Rollback.inf ^
/log C:\SecDB\Rollback.log
Microsoft secedit /generaterollback komutunun belirtilen configuration template’e göre rollback template oluşturduğunu belirtmektedir.
Bu özellikle değişiklik öncesi önemlidir.
Ancak rollback template mevcut bütün Windows configuration’ın “snapshot backup”ı olarak düşünülmemelidir.
Özellikle:
Registry ACL
File System ACL
gibi security descriptor değişikliklerinde ayrıca mevcut ACL’lerin yedeklenmesi daha güvenlidir.
Örneğin:
icacls C:\Application /save C:\SecDB\Application-ACL.txt /t
29. Security Configuration Uygulanması
Template’i sisteme uygulamak için:
secedit /configure ^
/db C:\SecDB\Baseline.sdb ^
/cfg C:\SecDB\Baseline.inf ^
/overwrite ^
/log C:\SecDB\Configure.log
kullanılabilir.
Burada:
/configure
sistemi gerçekten değiştirir.
Microsoft /configure ile database’de saklanan security configuration’ın current system üzerine uygulanabildiğini belirtmektedir.
30. /areas Kullanımı
Bütün security settings yerine belirli alanlar uygulanabilir.
Örneğin yalnızca User Rights:
secedit /configure /db Baseline.sdb /areas user_rights
Restricted Groups:
secedit /configure /db Baseline.sdb /areas group_mgmt
Registry ACL:
secedit /configure /db Baseline.sdb /areas regkeys
File System ACL:
secedit /configure /db Baseline.sdb /areas filestore
Services:
secedit /configure /db Baseline.sdb /areas services
Microsoft tarafından desteklenen security areas şunlardır:
securitypolicy
group_mgmt
user_rights
regkeys
filestore
services
31. Domain GPO ile Çakışma
Domain ortamında önemli bir konu vardır.
SCA ile:
Log on as a service
veya:
Security Option
lokal olarak değiştirilebilir.
Ancak aynı setting Active Directory Group Policy tarafından da yönetiliyorsa:
Local Security Setting
↓
Domain Group Policy Refresh
↓
Domain GPO Setting
resultant configuration yeniden domain policy tarafından belirlenebilir.
Bu nedenle domain üyesi server’larda benim tercih ettiğim kullanım modeli:
SCA
↓
Analyze
↓
Mismatch tespit et
↓
Düzeltmeyi GPO üzerinden yap
şeklindedir.
32. Domain Controller Üzerinde Kullanım
Domain Controller üzerinde:
Configure Computer Now
çok daha dikkatli kullanılmalıdır.
Özellikle:
User Rights Assignment
Restricted Groups
Security Options
System Services
üzerinde yanlış configuration:
- yönetim erişimini,
- authentication işlemlerini,
- servis hesaplarını,
- domain servislerini
etkileyebilir.
DC security configuration değişikliklerinin merkezi olarak Group Policy üzerinden yönetilmesi daha kontrollüdür.
SCA ise burada özellikle:
Analyze
amacıyla değerlidir.
33. Group Policy Tattooing ile Bağlantısı
Security Configuration and Analysis konusu Group Policy tattooing konusu ile doğrudan ilişkilidir.
SCA’nın yönettiği birçok setting:
Current Windows Security State
üzerinde doğrudan değişiklik oluşturur.
Özellikle:
Registry ACL
File System ACL
Service Security
Restricted Groups
User Rights
gibi ayarlarda:
Policy artık uygulanmıyor
demek:
Sistem mutlaka eski haline döner
anlamına gelmez.
Bu nedenle SCA kullanılarak yapılacak her configuration çalışmasında değişiklik öncesi state’in kaydedilmesi önemlidir.
34. Önerilen Güvenli Çalışma Yöntemi
Üretim ortamında aşağıdaki sıra kullanılabilir:
1. Current State Export
↓
2. Template Validate
↓
3. Security Database oluştur
↓
4. Template Import
↓
5. Analyze
↓
6. Mismatch’leri incele
↓
7. Rollback Template oluştur
↓
8. Gerekirse ACL Backup al
↓
9. Test Server üzerinde Configure
↓
10. Tekrar Analyze
↓
11. Sonuçları doğrula
↓
12. Production
Bu yaklaşım doğrudan:
Configure Computer Now
kullanmaktan çok daha kontrollüdür.
35. Tipik Kurumsal Kullanım Senaryosu
Örneğin şirketimizde Windows Server baseline hazırladığımızı düşünelim:
VOLSYS Windows Server Security Baseline
Template:
VOLSYS-Server-Baseline.inf
oluşturuldu.
Daha sonra:
SQL01
APP01
WEB01
DNS01
FILE01
server’ları analiz edilebilir.
Akış:
VOLSYS-Server-Baseline.inf
│
▼
Baseline.sdb
│
┌───────┼────────┐
▼ ▼ ▼
SQL01 APP01 DNS01
│ │ │
▼ ▼ ▼
Analyze Analyze Analyze
Sonuç:
COMPLIANT
MISMATCH
NOT DEFINED
olarak raporlanabilir.
Domain üyesi sistemlerde bulunan mismatch’ler doğrudan lokal configure yapmak yerine GPO üzerinden düzeltilebilir.
36. Modern Alternatif: Security Compliance Toolkit
Microsoft’un güncel security baseline yönetim araçlarından biri Security Compliance Toolkit (SCT)’dir.
Toolkit içerisinde:
Policy Analyzer
LGPO.exe
SetObjectSecurity.exe
GPO2PolicyRules
gibi araçlar bulunmaktadır.
Microsoft Policy Analyzer ile:
- farklı GPO setlerinin karşılaştırılabilmesini,
- redundant setting’lerin bulunabilmesini,
- conflicting setting’lerin görülebilmesini,
- mevcut local policy/registry ile baseline karşılaştırılabilmesini
sağlamaktadır.
LGPO.exe ise Local Group Policy yönetimini otomatikleştirmek için kullanılabilir ve:
Registry Policy
Security Templates
Advanced Audit Policy
Local Group Policy
gibi daha geniş bir alanı yönetebilir.
Security Configuration and Analysis hâlâ faydalıdır ancak kapsamı Security Configuration Engine ile sınırlıdır.
Bu nedenle araçların kullanım amacı farklıdır:
SCA / SECEDIT
↓
Security Configuration Engine
Security baseline / local security analysis
Policy Analyzer
↓
GPO karşılaştırma
Baseline karşılaştırma
Conflict detection
LGPO.exe
↓
Local Group Policy automation
Registry.pol
Security Template
Advanced Audit
Sonuç
Security Configuration and Analysis Windows Server yöneticileri için eski ancak hâlâ oldukça faydalı bir security analysis aracıdır.
Aracın temel mantığını şu şekilde özetleyebiliriz:
Security Template (.inf)
↓
Security Database (.sdb)
↓
Analyze Computer
↓
Database Setting
vs
Computer Setting
Gerekirse:
Security Database
↓
Configure Computer
↓
Windows Security Configuration
uygulanabilir.
Ancak en önemli ayrım:
Analyze Computer Now
ile:
Configure Computer Now
arasındadır.
Analyze:
READ / COMPARE
işlemidir.
Configure:
WRITE / CHANGE
işlemidir.
Üretim ortamında Security Configuration and Analysis kullanırken benim önerdiğim yöntem:
EXPORT
↓
ANALYZE
↓
COMPARE
↓
ROLLBACK PLAN
↓
TEST
↓
CONFIGURE
şeklindedir. Özellikle Domain Controller ve kritik Windows Server sistemlerinde SCA’yı önce analiz aracı olarak kullanmak, tespit edilen security drift’leri mümkün olduğunca merkezi Group Policy ile düzeltmek daha kontrollü bir Active Directory yönetim modeli sağlar
