Az USB-meghajtók letiltása vagy engedélyezése a Windows rendszerben a csoportházirend segítségével

Amikor új USB-eszközt csatlakoztat a számítógéphez, a Windows automatikusan felismeri az eszközt, és telepíti a megfelelő illesztőprogramot. Ennek eredményeként a felhasználó szinte azonnal használhatja a csatlakoztatott USB-meghajtót vagy eszközt. Ha szervezete biztonsági szabályzata tiltja a hordozható USB-tárolóeszközök (flash meghajtók, USB-merevlemezek, SD-kártyák stb.) használatát, letilthatja ezt a viselkedést. Ebben a cikkben bemutatjuk, hogyan blokkolhatja a külső USB-meghajtók használatát a Windows rendszerben, hogyan akadályozhatja meg az adatok cserélhető flash meghajtókra való írását, illetve a végrehajtható fájlok csoportházirend (GPO) használatával.

Az USB cserélhető meghajtók letiltása a Windows rendszerben csoportházirenddel

A Windows rendszerben rugalmasan kezelheti a külső meghajtókhoz (USB, CD/DVD stb.) való hozzáférést az Active Directory csoportházirendekkel (nem tekintjük radikális lehetőségnek az USB-portok BIOS-beállításokon keresztüli letiltását). Csak USB-meghajtókat blokkolhat, míg más típusú USB-eszközök (egér, billentyűzet, nyomtató, USB-COM-port adapterek), amelyeket nem ismer fel cserélhető lemezként, elérhetők lesznek a felhasználó számára.

Letiltjuk az USB-meghajtókat a Workstations nevű domain szervezeti egységében. Az USB-korlátozási házirendet a teljes tartományra alkalmazhatja, de ez hatással lesz a szerverekre és más technológiai eszközökre.

1. Nyissa meg a GPO-kezelő konzolt (

   gpmc.msc

   ), keresse meg a Munkaállomások tárolót a Szervezeti egység szerkezetében, kattintson rá jobb gombbal, és hozzon létre egy új házirendet (Hozzon létre egy csoportházirend-objektumot ebben a tartományban, és linkelje ide);

   

   Tipp. A Helyi csoportházirend-szerkesztő (gpedit.msc) segítségével beállíthat egy házirendet, amely korlátozza az USB-portok használatát egy önálló számítógépen (otthoni számítógépen vagy munkacsoporti számítógépen).

2. Állítsa be a csoportházirend-objektum nevét „USB-hozzáférés letiltása”;

   

3. Váltson csoportházirend-objektum szerkesztési módba (Szerkesztés).

   

A GPO-szerkesztő Felhasználói és Számítógép-konfiguráció részében is vannak beállítások a külső tárolóeszközök blokkolására:

• Felhasználói konfiguráció -> Házirendek -> Felügyeleti sablonok -> Rendszer -> Cserélhető tárhely hozzáférés.

• Számítógép konfigurációja -> Irányelvek -> Felügyeleti sablonok -> Rendszer -> Cserélhető tárhely hozzáférés.

A Cserélhető tárhely hozzáférés szakaszban számos házirend található, amelyek lehetővé teszik a különböző típusú tárolóosztályok használatának letiltását: CD/DVD, FDD, USB-eszközök, szalagok stb.

• CD és DVD: A végrehajtási hozzáférés megtagadása.

• CD és DVD: Olvasási hozzáférés megtagadása.

• CD és DVD: írási hozzáférés megtagadása.

• Egyéni osztályok: olvasási hozzáférés megtagadása.

• Egyéni osztályok: írási hozzáférés megtagadása.

• Hajlékonylemez-meghajtók: A végrehajtási hozzáférés megtagadása.

• Hajlékonylemez-meghajtók: Az olvasási hozzáférés megtagadása.

• Hajlékonylemez-meghajtók: írási hozzáférés megtagadása.

• Cserélhető lemezek: A végrehajtási hozzáférés megtagadása.

• Cserélhető lemezek: olvasási hozzáférés megtagadása.

• Cserélhető lemezek: írási hozzáférés megtagadása.

• Minden cserélhető tárolóosztály: Minden hozzáférés megtagadása.

• Összes cserélhető tárhely: Közvetlen hozzáférés engedélyezése távoli munkamenetekben.

• Szalagos meghajtók: A végrehajtási hozzáférés megtagadása.

• Szalagos meghajtók: olvasási hozzáférés tiltása.

• Szalagos meghajtók: írási hozzáférés megtagadása.

• Windows Portable Device - ebbe az osztályba tartoznak az okostelefonok, táblagépek, lejátszók stb.

• WPD-eszközök: írási hozzáférés megtagadása.

Amint láthatja, minden eszközosztálynál megtagadhatja a végrehajtható fájlok elindítását (megvédheti a számítógépeket a vírusok ellen), letilthatja az adatok olvasását és a fájlok írását/szerkesztését a külső tárolón.

Megvalósíthatja a „legerősebb” korlátozási házirendet Minden cserélhető tárolóosztály: Korlátlan hozzáférés megtagadása, amellyel teljesen letilthatja a hozzáférést minden típusú külső tárolóeszközhöz. A házirend engedélyezéséhez nyissa meg a tulajdonságait, és váltson a Nincs konfigurálva értékről Engedélyezve értékre.

Miután engedélyezte és frissítette a csoportházirend-objektum beállításait az ügyfélszámítógépeken (gpupdate /force), a Windows észleli a csatlakoztatott külső eszközöket (nem csak az USB-eszközöket, hanem az esetleges külső meghajtókat is), de amikor megpróbálja megnyitni őket. , hibaüzenet jelenik meg:

Location is not available
Drive is not accessible. Access is denied.

Ugyanebben a házirend-részben rugalmasabb korlátozásokat is beállíthat a külső USB-meghajtók használatára vonatkozóan.

Például, hogy megakadályozza az adatok USB flash meghajtókra és más típusú USB cserélhető tárolókra való írását, engedélyeznie kell a Cserélhető lemez: írási hozzáférés megtagadása házirendet.

Ebben az esetben a felhasználók elolvashatják az adatokat az USB flash meghajtóról, de amikor megpróbálnak információt írni rá, a hozzáférés megtagadva hibaüzenetet kapnak:

Destination Folder Access Denied
You need permission to perform this action

A Cserélhető lemezek: végrehajtási hozzáférés megtagadása házirend segítségével megakadályozhatja, hogy futtatható és szkriptfájlok fussanak USB-meghajtóról.

Blokkolja az USB-meghajtókat bizonyos felhasználók számára csoportházirend-objektum segítségével

Gyakran szükséges az USB-meghajtók blokkolása a tartomány összes felhasználója számára, kivéve a rendszergazdákat.

Használhatja a csoportházirend-objektumok Biztonsági szűrését, hogy kivételt tegyen a házirendben. Például szeretné megakadályozni, hogy az USB-letiltó házirendet a Tartományi rendszergazdák csoportra alkalmazzák

1. Válassza ki az USB-hozzáférés letiltása házirendet a csoportházirend-kezelési konzolon;

2. Adja hozzá a Domain Admins csoportot a Biztonsági szűrés szakaszhoz;

   

3. Lépjen a Delegálás lapra, és kattintson a Speciális lehetőségre. A biztonsági beállítások szerkesztőjében adja meg, hogy a Domain Admins csoport nem alkalmazhatja ezt a csoportházirendet (Csoportházirend alkalmazása - Megtagadás).

Lehetséges egy másik feladat is - mindenkinek engedélyeznie kell a külső USB-meghajtók használatát, kivéve a felhasználók egy bizonyos csoportját. Hozzon létre egy „USB megtagadása” biztonsági csoportot, és adja hozzá ezt a csoportot a csoportházirend-objektum biztonsági beállításaihoz. Ennél a csoportnál állítson be engedélyeket a csoportházirend-objektum olvasásához és alkalmazásához, és csak olvasási engedélyt hagyjon a Hitelesített felhasználók vagy a Domainszámítógépek csoportnak (az Csoportházirend alkalmazása jelölőnégyzet törlésével). jelölőnégyzet).

Adjon hozzá felhasználókat ehhez az AD-csoporthoz, akiknek le kell tiltaniuk a flash meghajtókhoz és a cserélhető USB-lemezekhez való hozzáférést.

Tiltsa le az USB-meghajtókhoz való hozzáférést a rendszerleíró adatbázis és a csoportházirend-beállításokon keresztül

Rugalmasabban szabályozhatja a külső eszközökhöz való hozzáférést, ha a csoportházirend-beállításokon (GPP) keresztül konfigurálja a rendszerleíró adatbázis-beállításokat, amelyeket a fent tárgyalt házirendek határoznak meg. A fenti házirendek mindegyike megfelel a HKLM (vagy HKCU) \SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices kulcsban található bizonyos beállításkulcsoknak (a alapértelmezés szerint ez a rendszerleíró kulcs hiányzik).

1. Ezen házirendek valamelyikének engedélyezéséhez új alkulcsot kell létrehoznia a megadott kulcsban annak az eszközosztálynak a GUID-jével, amelyhez a hozzáférést blokkolni kívánja (2. oszlop);

2. Az új rendszerleíró kulcsban létre kell hoznia egy REG_DWORD paramétert a végrehajtani kívánt korlátozás nevével:
   Deny_Read - tiltsa le a médiaosztály adatainak olvasását;
   Deny_Write - adatírás letiltása;
   Deny_Execute - megtiltja a külső médiaosztályból származó végrehajtható fájlok futtatását.

3. Állítsa be a paraméter értékét:
   1 - blokkolja a megadott típusú hozzáférést az ehhez az osztályhoz tartozó eszközökhöz;
   0 - engedélyezi ennek az eszközosztálynak a használatát .

A megadott beállításkulcsokat és paramétereket manuálisan is létrehozhatja. Az alábbi képernyőképen létrehoztam egy RemovableStorageDevices kulcsot és egy {53f5630d-b6bf-11d0-94f2-00a0c91efb8b} alkulcsot. A REG_DWORD paraméterek használatával megakadályoztam az USB-meghajtók futtatható fájljainak írását és futtatását.

Az adatok USB-meghajtókra való olvasásának és írásának gyors blokkolásához a Windows rendszerben futtassa a következő PowerShell-szkriptet:

$regkey='HKLM:\Software\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}'
$exists = Test-Path $regkey
if (!$exists) {
New-Item -Path 'HKLM:\Software\Policies\Microsoft\Windows\RemovableStorageDevices' -Name '{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}' -Force | Out-Null
}
New-ItemProperty -Path $regkey -Name 'Deny_Read -Value 1 -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path $regkey -Name 'Deny_Write' -Value 1 -PropertyType 'DWord' -Force | Out-Null

Tartományi környezetben ezeket a beállításjegyzék-paramétereket a csoportházirend-beállítások segítségével telepítheti a felhasználói számítógépekre.

Ezekkel a beállításkulcsokkal és a GPP elemszintű célzásával rugalmasan alkalmazhatja a külső USB-tárolóeszközök használatát korlátozó beállításokat. Irányelveket alkalmazhat adott AD biztonsági csoportokra, webhelyekre, operációs rendszer-verziókra, szervezeti egységekre (akár WMI-szűrőket is használhat).

Létrehozhatja például a Tárolóeszközök korlátozása tartománycsoportot, és hozzáadhatja azokat a számítógépfiókokat, amelyeknél korlátozni szeretné az USB-meghajtók használatát. Ezt a csoportot meg kell határozni a GPP-házirendben az Elemszintű célzás -> Biztonsági csoport részben a Számítógép a csoportban lehetőséggel. Ezzel az USB-blokkoló házirendet alkalmazza azokra a számítógépekre, amelyek hozzáadódnak ehhez az AD-csoporthoz.

Hogyan lehet teljesen letiltani az USB-tárolóeszközöket a Windows rendszerben?

Teljesen letilthatja az USBS (USB tömegtár) illesztőprogramot, amely szükséges az USB-tárolóeszközök megfelelő észleléséhez és csatlakoztatásához.

Önálló számítógépen letilthatja ezt az illesztőprogramot, ha a Start beállításjegyzék paraméter értékét 3-ról 4-re módosítja. Ezt megteheti a PowerShell-en keresztül:

Set-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\services\USBSTOR" -name Start -Value 4

Indítsa újra a számítógépet, és próbálja meg csatlakoztatni az USB-tárolóeszközt. Most nem szabad megjelennie a Fájlkezelőben vagy a Lemezkezelő konzolban, és egy eszközillesztő-telepítési hiba jelenik meg az Eszközkezelőben.

A csoportházirend-beállítások segítségével letilthatja az USBSTOR illesztőprogram futását a tartományi számítógépeken. Ehhez módosítania kell a rendszerleíró adatbázist a csoportházirend-objektum segítségével.

Ezek a beállítások minden tartományi számítógépen telepíthetők. Hozzon létre egy új csoportházirendet, kapcsolja össze a számítógépekkel rendelkező szervezeti egységhez, és a Számítógép konfigurációja -> Beállítások -> Windows-beállítások -> Rendszerleíró adatbázis részben hozzon létre egy új paramétert a következő értékekkel:

Action: Update
Hive: HKEY_LOCAK_MACHINE
Key path: SYSTEM\CurrentControlSet\Services\USBSTOR
Value name: Start
Value type: REG_DWORD
Value data: 00000004

A csatlakoztatott USB-meghajtók története a Windows rendszerben

Az USB-adathordozó-blokkoló házirendek hibaelhárítása során meg kell szereznie az USB-meghajtók számítógéphez csatlakoztatásának előzményeit.

A számítógéphez jelenleg csatlakoztatott USB-meghajtók listájához használja a következő PowerShell-parancsot:

Get-PnpDevice -PresentOnly | Where-Object { $_.deviceId -match '^USBSTOR' }

Az Állapot OK azt jelzi, hogy az USB-meghajtó csatlakoztatva van, és megfelelően működik.

A Windows eseménynaplója lehetővé teszi az USB-meghajtók csatlakoztatásának/kivételének eseményeinek nyomon követését.

1. Ezeket az eseményeket az Eseménynéző -> Alkalmazás- és szolgáltatásnaplók -> Windows -> Microsoft-Windows-DriverFrameworks-UserMode -> Operational;

2. A Windows alapértelmezés szerint nem menti el az USB-tárolókapcsolatok előzményeit. Tehát manuálisan (napló engedélyezése) vagy csoportházirend-objektumon keresztül kell engedélyeznie;

   

3. Most már használhatja a 2003 eseményazonosítót (

   Pnp or Power Management operation to a particular device

   ), hogy információkat kapjon az USB-meghajtó csatlakoztatásának időpontjáról és a 2102 eseményazonosítóról (

   Pnp or Power Management operation to a particular device

   ) a flash meghajtó kiadásáról:

   

   Forwarded a finished Pnp or Power operation (27, 2) to the lower driver for device SWD\WPDBUSENUM\_??_USBSTOR#DISK&VEN_UFD_2.0&PROD_SILICON-POWER16G&REV_PMAP#89283229E6C10D23CE7200A2&2#{12234567-B6BF-11D0-2233-00A0AFBB3321F} with status 0x0.

Használhatja a Nirsoft ingyenesUSBDriveLog eszközét is, amely lehetővé teszi, hogy megjelenítse az USB-meghajtók felhasználó számítógépéhez való csatlakoztatásának teljes előzményét (információkat jelenít meg az eszközről, a sorozatszámról, a gyártóról, a csatlakozási/lekapcsolási időről és az eszköz azonosítójáról).

Csak bizonyos USB-tárolóeszközök engedélyezése a Windows rendszerben

Windows rendszeren csak bizonyos (jóváhagyott) USB-meghajtók csatlakoztatását engedélyezheti a számítógéphez.

Amikor bármilyen USB-tárolóeszközt csatlakoztat a számítógéphez, az USBSTOR illesztőprogram telepíti az eszközt, és létrehoz egy külön rendszerleíró kulcsot a HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR alatt. Ez a beállításkulcs információkat tartalmaz az USB-meghajtóról (például Disk & Ven_Kingstom & Prod_DT_1010_G2 & Rev_12.00).

Get-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Enum\USBSTOR\*\*| select FriendlyName

Törölje a korábban csatlakoztatott USB flash meghajtók összes bejegyzését, kivéve azokat, amelyekre szüksége van. Ezután módosítania kell az USBSTOR beállításkulcs engedélyeit, hogy minden felhasználónak, beleértve a RENDSZERT és a rendszergazdákat is, csak olvasási jogosultsága legyen. Ennek eredményeként, ha az engedélyezetttől eltérő USB-meghajtót csatlakoztat, a Windows nem tudja telepíteni az eszközt.

Futtathat egy adott parancsot/szkriptet is, amikor az Eseménynaplóban megjelenik egy USB-csatlakozó EventID (itt van egy részletes példa egy folyamat futtatására egy adott esemény bekövetkeztekor). Például létrehozhat egy egyszerű PowerShell-szkriptet, amely automatikusan kiadja az összes USB-meghajtót, ha a sorozatszám nem egyezik a szkriptben megadottal:

$usbdev = get-wmiobject win32_volume | where{$_.DriveType -eq '2'}
If ($usbdev.SerialNumber -notlike “31DF1233BKAD”)
{
$usbdev.DriveLetter = $null
$usbdev.Put()
$usbdev.Dismount($false,$false) | Out-Null

Így elvégezheti a számítógéphez csatlakoztatott USB flash meghajtók legegyszerűbb ellenőrzését.