Ограничение на использование USB - накопителей
Суббота, 07 мая 2011 05:01

Ограничение на использование USB - накопителей

Оцените материал
(0 голосов)
no-usb-07052011
Некоторые системные администраторы, особенно начинающие, задумывались об ограничении использования USB флэш карт. Это может быть связано с политикой безопасности предприятия, либо с внутренними посылами админа ограничить пользователя буквально во всем :-) Но не всегда можно было найти то, что может быть применено в каком-то конкретном случае. Здесь я приведу некоторые способы ограничения использования USB накопителей.

Глобально.

Запретить все USB-устройства. «Управление компьютером→диспетчер устройств→контроллеры универсальной последовательной шины USB→(корневые USB концентраторы)→применение устройства»: «отключено». Например, если принтер подключен к какому-либо концентратору, то его можно не отключать. 
Примечание 1.

Диспетчер устройств можно запустить из командной строки:
start devmgmt.msc

Примечание 2.

Интересное свойство диспетчера устройств из консоли выполнить две команды:
set devmgr_show_nonpresent_devices=1
start devmgmt.msc

Тогда в «Диспетчере устройств» отобразятся скрытые устройства. 

Быстрый и простой способ.

Остановка службы «Съемные ЗУ». Если не требуется USB — отключение контролеров USB. Запретить использование всем, кроме избранных через «Управление компьютером→Запоминающие устройства→СъемныеЗУ→Свойства→Безопасность». 

Недостатки.

Здесь есть некие подводные камни, например, запрет на использование группе «User». Но администратор может входить в группу «User». Впрочем, это равносильно изменению следующего параметра: 
HKLM\SYSTEM\CurrentControlSet\Services\USBSTOR "Start"
"Start"=dword:00000004 - запретить
"Start"=dword:00000003 - разрешить

Примечание.

Запустить службу можно из командной строки:
net start "Съемные ЗУ"

USB-устройство еще ни разу не подключалось к компьютеру.

Только-только установленная система. Идем в папку «%Windows%\inf» (папка имеет атрибут hidden), в ней есть два файла: «Usbstor.inf» и «Usbstor.inf». Запрещаем доступ к этим файлам всем, кроме группы администраторов или конкретного пользователя. Более подробно это описано у Microsoft'а. 

Запрет записи на USB-устройство.

Зачем запрещать USB совсем, когда можно запретить только запись? 
HKLM\SYSTEM\CurrentControlSet\control\StorageDevicePolicies

Параметр «WriteProtect» — скорей всего его нет. Тогда его нужно создать с типом «dword» и присвоить значение «1». И не забыть перегрузить компьютер. Чтобы восстановить — присвоить значение «0». 

Групповые политики. 
CLASS MACHINE
 
CATEGORY !!category
CATEGORY !!categoryname
POLICY !!policynameusb
KEYNAME "SYSTEM\CurrentControlSet\Services\USBSTOR"
EXPLAIN !!explaintextusb
PART !!labeltextusb DROPDOWNLIST REQUIRED
VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
 
POLICY !!policynamecd
KEYNAME "SYSTEM\CurrentControlSet\Services\Cdrom"
EXPLAIN !!explaintextcd
PART !!labeltextcd DROPDOWNLIST REQUIRED
VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 1 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
 
POLICY !!policynameflpy
KEYNAME "SYSTEM\CurrentControlSet\Services\Flpydisk"
EXPLAIN !!explaintextflpy
PART !!labeltextflpy DROPDOWNLIST REQUIRED
VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
 
POLICY !!policynamels120
KEYNAME "SYSTEM\CurrentControlSet\Services\Sfloppy"
EXPLAIN !!explaintextls120
PART !!labeltextls120 DROPDOWNLIST REQUIRED
VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
END CATEGORY
END CATEGORY
 
[strings]
category="Custom Policy Settings"
categoryname="Restrict Drives"
policynameusb="Disable USB"
policynamecd="Disable CD-ROM"
policynameflpy="Disable Floppy"
policynamels120="Disable High Capacity Floppy"
explaintextusb="Disables the computers USB ports by
disabling the usbstor.sys driver"
explaintextcd="Disables the computers CD-ROM Drive by
disabling the cdrom.sys driver"
explaintextflpy="Disables the computers Floppy Drive by
disabling the flpydisk.sys driver"
explaintextls120="Disables the computers High Capacity
Floppy Drive by disabling the sfloppy.sys driver"
labeltextusb="Disable USB Ports"
labeltextcd="Disable CD-ROM Drive"
labeltextflpy="Disable Floppy Drive"
labeltextls120="Disable High Capacity Floppy Drive"
Enabled="Enabled"
Disabled="Disabled"

Сохранить приведенный код в файл с расширением «adm». Запустить редактор групповых политик (gpedit.msc). В разделе «Конфигурация компьютера→Административные шаблоны» добавляем новый шаблон (правый клик), предварительно скопировав файл шаблона в папку «%Windows%\system32\GroupPolicy\Adm\». Должен появиться пункт «Custom Policy Settings». Если не появился, то «Вид→Фильтрация...», и снять галочку с «Показывать только управляемые параметры политики». Если вы дошли до этого пункта, то, я думаю, что дальше сами разберётесь. 
Замечу, что в этой политике, также задействованы и другие устройства (CD-ROM, НГМД). Принцип основан на изменении параметраstart на значение «4». Эта политика отработает после перезагрузки компьютера. 

Еще один из вариантов для групповой политики: 
CLASS MACHINE
 
CATEGORY "Services und Drivers"
POLICY "USB Storage"
KEYNAME "System\CurrentControlSet\Services\usbstor"
PART "Startup type" DROPDOWNLIST
VALUENAME "Start"
ITEMLIST
NAME "Boot" VALUE NUMERIC 0
NAME "System" VALUE NUMERIC 1
NAME "Auto Load" VALUE NUMERIC 2 DEFAULT
NAME "Load On Demand" VALUE NUMERIC 3
NAME "Disabled" VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
END CATEGORY

Здесь описано как организовать выборочное использование USB накопителей. Поэтому приведу здесь только краткое описание. 

* Ключ «HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR». Он хранит информацию о всех когда-либо подключенных USB-носителях. 
* Даем себе полный доступ на USBSTORправая клавиша мыши→Разрешения», отметить пункт «Полный доступ у группы Все»). Удаляем все содержимое USBSTOR
* Подключаем одобренную фэшку, убеждаемся в том, что она определилась. Внутри USBSTOR должен появиться ключ типа «Disk&Ven_JetFlash&Prod_TS4GJF185&Rev_8.07» (F5 для обновления списка). 
* Опять ПКМ на USBSTOR, Разрешения. Убираем Полный доступ у группы Все, право на чтение оставляем. 
* Те же самые права нужно назначить пользователю «System», но напрямую это сделать не получится. Сначала нужно нажать кнопку «Дополнительно», убрать галку «Наследовать от родительского обьекта», в появившемся окне «Безопасность» сказать «Копировать». После очередного нажатия на ОК права пользователя «System» станут доступны для изменения. 
* Для закрепления эффекта нажимаем кнопку «Дополнительно» еще раз и отмечаем пункт «Заменить разрешения для всех дочерних объектов...» Подтверждаем выполнение.
Прочитано 10098 раз Последнее изменение Среда, 07 января 2015 12:44