Grup İlkesi Kullanılarak Windows'ta USB Sürücüleri Devre Dışı Bırakma veya Etkinleştirme

Bilgisayarınıza yeni bir USB aygıtı bağladığınızda, Windows aygıtı otomatik olarak algılar ve uygun sürücüyü yükler. Sonuç olarak, kullanıcı bağlı USB sürücüsünü veya cihazı neredeyse anında kullanabilir. Kuruluşunuzun güvenlik politikası, taşınabilir USB depolama cihazlarının (flash sürücüler, USB sabit sürücüler, SD kartlar vb.) kullanımını yasaklıyorsa, bu davranışı engelleyebilirsiniz. Bu yazıda, Windows'ta harici USB sürücülerin kullanımını nasıl engelleyeceğinizi, çıkarılabilir flash sürücülere veri yazmayı veya yürütülebilir dosyaların Grup İlkesi (GPO) kullanarak çalışmasını nasıl engelleyeceğinizi göstereceğiz.

Grup İlkesi ile Windows'ta USB Çıkarılabilir Sürücüleri Devre Dışı Bırakma

Windows'ta, Active Directory Grup İlkelerini kullanarak harici sürücülere (USB, CD/DVD vb.) erişimi esnek bir şekilde yönetebilirsiniz (BIOS ayarları aracılığıyla USB bağlantı noktalarını devre dışı bırakmanın radikal bir yolunu düşünmüyoruz). Kullanıcı, çıkarılabilir disk olarak tanınmayan diğer USB aygıt türleri (fare, klavye, yazıcı, USB - COM bağlantı noktası bağdaştırıcıları) kullanırken, yalnızca USB sürücülerini engelleyebilirsiniz.

İş İstasyonları adlı bir etki alanı kuruluş birimindeki tüm bilgisayarlardaki USB sürücülerini engelleyeceğiz. USB kısıtlama ilkesini etki alanının tamamına uygulayabilirsiniz, ancak bu, sunucuları ve diğer teknolojik cihazları etkileyecektir.

1. GPO yönetim konsolunu açın (

   gpmc.msc

   ), Kuruluş Birimi yapısında İş İstasyonları kapsayıcısını bulun, üzerine sağ tıklayın ve yeni bir politika oluşturun (Bu etki alanında bir GPO oluşturun ve buraya bağlayın);

   

   İpucu. Yerel Grup İlkesi Düzenleyicisi'ni (gpedit.msc) kullanarak, bağımsız bir bilgisayarda (ev bilgisayarı veya çalışma grubu bilgisayarı) USB bağlantı noktalarının kullanımını kısıtlamak için bir ilke yapılandırabilirsiniz.

2. GPO adını “USB Erişimini Devre Dışı Bırak” olarak ayarlayın;

   

3. GPO düzenleme moduna geçin (Düzenle).

   

GPO düzenleyicisinin hem Kullanıcı hem de Bilgisayar Yapılandırma bölümlerinde harici depolama aygıtlarını engellemeye yönelik ayarlar vardır:

• Kullanıcı Yapılandırması -> İlkeler -> Yönetim Şablonları -> Sistem -> Çıkarılabilir Depolama Erişimi.

• Bilgisayar Yapılandırması -> İlkeler -> Yönetim Şablonları -> Sistem -> Çıkarılabilir Depolama Erişimi.

Çıkarılabilir Depolama Alanı Erişimi bölümünde, farklı türde depolama sınıflarının kullanımını devre dışı bırakmanıza izin veren birkaç ilke vardır: CD/DVD'ler, FDD, USB aygıtları, teypler vb.

• CD ve DVD: Yürütme erişimini reddet.

• CD ve DVD: Okuma erişimini reddet.

• CD ve DVD: Yazma erişimini reddet.

• Özel Sınıflar: Okuma erişimini reddet.

• Özel Sınıflar: Yazma erişimini reddet.

• Disket Sürücüler: Yürütme erişimini reddet.

• Disket Sürücüler: Okuma erişimini reddet.

• Disket Sürücüler: Yazma erişimini reddet.

• Çıkarılabilir Diskler: Yürütme erişimini reddet.

• Çıkarılabilir Diskler: Okuma erişimini reddet.

• Çıkarılabilir Diskler: Yazma erişimini reddet.

• Tüm Çıkarılabilir Depolama sınıfları: Tüm erişimi reddet.

• Tümü Çıkarılabilir Depolama: Uzak oturumlarda doğrudan erişime izin verin.

• Teyp Sürücüleri: Yürütme erişimini reddet.

• Teyp Sürücüleri: Okuma erişimini reddet.

• Teyp Sürücüleri: Yazma erişimini reddet.

• Windows Taşınabilir Aygıt - bu sınıf, akıllı telefonları, tabletleri, oynatıcıları vb. içerir.

• WPD Cihazları: Yazma erişimini reddet.

Gördüğünüz gibi, her aygıt sınıfı için yürütülebilir dosyaların başlatılmasını reddedebilir (bilgisayarları virüslere karşı koruyabilir), verilerin okunmasını ve harici depolama alanında dosya yazılmasını/düzenlenmesini yasaklayabilirsiniz.

Her tür harici depolama cihazına erişimi tamamen devre dışı bırakmak için "en güçlü" kısıtlama politikasını Tüm Çıkarılabilir Depolama Sınıfları: Tüm Erişimi Reddet uygulayabilirsiniz. Bu politikayı etkinleştirmek için özelliklerini açın ve Yapılandırılmadı ayarını Etkin olarak değiştirin.

İstemci bilgisayarlarda GPO ayarlarını etkinleştirdikten ve güncelledikten sonra (gpupdate /force), Windows bağlı harici cihazları (yalnızca USB cihazları değil, aynı zamanda harici sürücüler de) algılar, ancak bunları açmaya çalışırken , bir hata görünecektir:

Location is not available
Drive is not accessible. Access is denied.

Aynı ilke bölümünde, harici USB sürücülerin kullanımına ilişkin daha esnek kısıtlamalar yapılandırabilirsiniz.

Örneğin, USB flash sürücülere ve diğer USB çıkarılabilir depolama türlerine veri yazılmasını önlemek için Çıkarılabilir Disk: Yazma erişimini reddet politikasını etkinleştirmelisiniz.

Bu durumda, kullanıcılar USB flash sürücüdeki verileri okuyabilir, ancak ona bilgi yazmaya çalıştıklarında bir erişim engellendi hatası alırlar:

Destination Folder Access Denied
You need permission to perform this action

Çıkarılabilir Diskler: Yürütme erişimini reddet politikasını kullanarak yürütülebilir dosyaların ve komut dosyası dosyalarının USB sürücülerden çalıştırılmasını engelleyebilirsiniz.

Belirli Kullanıcılar İçin USB Sürücülerini GPO Yoluyla Engelleyin

Çoğu zaman, yöneticiler dışında etki alanındaki tüm kullanıcılar için USB sürücülerin engellenmesi gerekir.

Bir politikada istisna yapmak için GPO Güvenlik Filtrelemesini kullanabilirsiniz. Örneğin, USB engelleme ilkesinin Domain Admins grubuna uygulanmasını engellemek istiyorsunuz.

1. Grup İlkesi Yönetimi konsolunda USB Erişimini Devre Dışı Bırak politikanızı seçin;

2. Güvenlik Filtreleme bölümünde Domain Admins grubunu ekleyin;

   

3. Yetkilendirme sekmesine gidin ve Gelişmiş'i tıklayın. Güvenlik ayarları düzenleyicisinde, Domain Admins grubunun bu GPO'yu uygulamasına izin verilmediğini belirtin (Grup ilkesini uygula - Reddet).

Başka bir görev olabilir - belirli bir kullanıcı grubu dışında herkesin harici USB sürücüleri kullanmasına izin vermeniz gerekir. "USB'yi Reddet" adlı bir güvenlik grubu oluşturun ve bu grubu GPO'nun güvenlik ayarlarına ekleyin. Bu grup için, GPO'yu okuma ve uygulama izinlerini ayarlayın ve Kimliği Doğrulanmış Kullanıcılar veya Etki Alanı Bilgisayarları grubu için yalnızca okuma izni bırakın (Uygula grup politikasının işaretini kaldırarak) onay kutusu).

Flash sürücülere ve çıkarılabilir USB disklere erişimi engellemesi gereken kullanıcıları bu AD grubuna ekleyin.

Kayıt Defteri ve Grup İlkesi Tercihleri Yoluyla USB Sürücülerine Erişimi Devre Dışı Bırakın

Grup İlkesi Tercihleri (GPP) aracılığıyla yukarıda açıklanan ilkeler tarafından belirlenen kayıt defteri ayarlarını yapılandırarak harici cihazlara erişimi daha esnek bir şekilde kontrol edebilirsiniz. Yukarıdaki ilkelerin tümü, HKLM (veya HKCU) \SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices anahtarındaki (tarafından) belirli kayıt defteri anahtarlarına karşılık gelir varsayılan olarak bu kayıt defteri anahtarı eksik).

1. Bu ilkelerden birini etkinleştirmek için, erişimi engellemek istediğiniz aygıt sınıfının GUID'si ile belirtilen anahtarda yeni bir alt anahtar oluşturmanız gerekir (sütun 2);

2. Yeni kayıt defteri anahtarında, uygulamak istediğiniz kısıtlamanın adıyla bir REG_DWORD parametresi oluşturmanız gerekir:
   Deny_Read — medya sınıfından veri okumayı devre dışı bırakın;
   Deny_Write - veri yazmayı devre dışı bırakır;
   Deny_Execute — harici bir medya sınıfından çalıştırılabilir dosyaları çalıştırmayı reddeder.

3. Parametre değerini ayarlayın:
   1 — bu sınıftaki cihazlara belirtilen erişim türünü engelleyin;
   0 - bu sınıftaki cihazların kullanılmasına izin verin .

Belirtilen kayıt defteri anahtarlarını ve parametrelerini manuel olarak oluşturabilirsiniz. Aşağıdaki ekran görüntüsünde bir RemovableStorageDevices anahtarı ve {53f5630d-b6bf-11d0-94f2-00a0c91efb8b} adlı bir alt anahtar oluşturdum. REG_DWORD parametrelerini kullanarak engelledim USB sürücülerden yürütülebilir dosyaların yazılması ve çalıştırılması.

Windows'ta USB sürücülerine veri okumayı ve yazmayı hızlı bir şekilde engellemek için aşağıdaki PowerShell betiğini çalıştırabilirsiniz:

$regkey='HKLM:\Software\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}'
$exists = Test-Path $regkey
if (!$exists) {
New-Item -Path 'HKLM:\Software\Policies\Microsoft\Windows\RemovableStorageDevices' -Name '{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}' -Force | Out-Null
}
New-ItemProperty -Path $regkey -Name 'Deny_Read -Value 1 -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path $regkey -Name 'Deny_Write' -Value 1 -PropertyType 'DWord' -Force | Out-Null

Bir etki alanı ortamında, Grup İlkesi Tercihlerini kullanarak bu kayıt defteri parametrelerini kullanıcı bilgisayarlarına dağıtabilirsiniz.

Harici USB depolama cihazlarının kullanımını kısıtlayan ayarları esnek bir şekilde uygulamak için bu kayıt defteri anahtarlarını ve GPP'nin Öğe düzeyinde hedeflemesini kullanabilirsiniz. İlkeleri belirli AD güvenlik gruplarına, sitelere, işletim sistemi sürümlerine, kuruluş birimlerine uygulayabilirsiniz (WMI filtrelerini bile kullanabilirsiniz).

Örneğin, Storage-Devices-Restrict etki alanı grubunu oluşturabilir ve USB sürücü kullanımını kısıtlamak istediğiniz bilgisayar hesaplarını ekleyebilirsiniz. Bu grup, Grupta Bilgisayar seçeneğiyle Öğe Düzeyinde Hedefleme -> Güvenlik Grubu bölümünde GPP politikanızda belirtilmelidir. Bu, USB engelleme ilkesini bu AD grubuna eklenen bilgisayarlara uygulayacaktır.

Windows'ta USB Depolama Aygıtları Nasıl Tamamen Devre Dışı Bırakılır?

USB depolama aygıtlarını doğru bir şekilde algılamak ve bağlamak için gerekli olan USBSTOR (USB Yığın Depolama) sürücüsünü tamamen devre dışı bırakabilirsiniz.

Bağımsız bir bilgisayarda, Başlat kayıt defteri parametresinin değerini 3'ten 4'e değiştirerek bu sürücüyü devre dışı bırakabilirsiniz. Bunu PowerShell aracılığıyla yapabilirsiniz:

Set-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\services\USBSTOR" -name Start -Value 4

Bilgisayarınızı yeniden başlatın ve USB depolama aygıtınızı bağlamayı deneyin. Artık Dosya Gezgini'nde veya Disk Yönetimi konsolunda görünmemelidir ve Aygıt Yöneticisi'nde bir aygıt sürücüsü yükleme hatası göreceksiniz.

Grup İlkesi Tercihlerini kullanarak USBSTOR sürücüsünün etki alanı bilgisayarlarında çalışmasını devre dışı bırakabilirsiniz. Bunu yapmak için, GPO aracılığıyla kayıt defterinde değişiklik yapmanız gerekir.

Bu ayarlar, tüm etki alanı bilgisayarlarına dağıtılabilir. Yeni bir Grup İlkesi oluşturun, bunu bilgisayarlarla kuruluş birimine bağlayın ve Bilgisayar Yapılandırması -> Tercihler -> Windows Ayarları -> Kayıt Defteri bölümünde şu değerlerle yeni bir parametre oluşturun:

Action: Update
Hive: HKEY_LOCAK_MACHINE
Key path: SYSTEM\CurrentControlSet\Services\USBSTOR
Value name: Start
Value type: REG_DWORD
Value data: 00000004

Windows'ta Bağlı USB Sürücülerin Geçmişi

USB ortamı engelleme ilkeleriyle ilgili sorunları giderirken, USB sürücülerini bir bilgisayara bağlama geçmişi hakkında bilgi almanız gerekir.

Şu anda bilgisayara bağlı olan USB sürücülerini listelemek için aşağıdaki PowerShell komutunu kullanın:

Get-PnpDevice -PresentOnly | Where-Object { $_.deviceId -match '^USBSTOR' }

Durum Tamam, bu USB sürücüsünün bağlı olduğunu ve düzgün çalıştığını gösterir.

Windows olay günlüğü, USB sürücülerini takma/çıkarma olaylarını izlemenizi sağlar.

1. Bu olayları Olay Görüntüleyici -> Uygulama ve Hizmet Günlükleri -> Windows -> Microsoft-Windows-DriverFrameworks-UserMode -> Operasyonel;

2. Varsayılan olarak Windows, USB depolama bağlantılarının geçmişini kaydetmez. Bu nedenle, manuel olarak (Günlüğü Etkinleştir) veya GPO aracılığıyla etkinleştirmeniz gerekecek;

   

3. Artık EventID 2003'ü kullanabilirsiniz (

   Pnp or Power Management operation to a particular device

   ) USB sürücüsünün ne zaman bağlandığı ve Olay Kimliği 2102 (

   Pnp or Power Management operation to a particular device

   ) flash sürücünün çıkarılması hakkında:

   

   Forwarded a finished Pnp or Power operation (27, 2) to the lower driver for device SWD\WPDBUSENUM\_??_USBSTOR#DISK&VEN_UFD_2.0&PROD_SILICON-POWER16G&REV_PMAP#89283229E6C10D23CE7200A2&2#{12234567-B6BF-11D0-2233-00A0AFBB3321F} with status 0x0.

Nirsoft'un ücretsiz USBDriveLog aracını da kullanabilirsiniz; bu araç, USB sürücülerin kullanıcının bilgisayarına bağlanma geçmişinin tamamını görüntülemenizi sağlar (cihaz, seri numarası, üretici, bağlantı/bağlantı kesme süresi hakkındaki bilgileri görüntüler) , ve cihaz kimliği).

Windows'ta Yalnızca Belirli USB Depolama Aygıtlarına İzin Ver

Windows'ta, yalnızca belirli (onaylanan) USB sürücülerinin bilgisayarınıza bağlanmasına izin verebilirsiniz.

Bilgisayara herhangi bir USB depolama aygıtı bağladığınızda, USBSTOR sürücüsü aygıtı yükler ve HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR altında ayrı bir kayıt defteri anahtarı oluşturur. Bu kayıt defteri anahtarı, USB sürücüsü hakkında bilgiler içerir (örneğin, Disk & Ven_Kingstom & Prod_DT_1010_G2 & Rev_12.00).

Get-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Enum\USBSTOR\*\*| select FriendlyName

İhtiyacınız olanlar dışında, önceden bağlanmış USB flash sürücülerin tüm girişlerini silin. Ardından, SYSTEM ve yöneticiler dahil tüm kullanıcıların yalnızca okuma izinlerine sahip olması için USBSTOR kayıt defteri anahtarındaki izinleri değiştirmeniz gerekir. Sonuç olarak, izin verilenden farklı bir USB sürücüsü bağlarsanız, Windows aygıtı yükleyemez.

Olay Görüntüleyici'de bir USB bağlantılı EventID göründüğünde de belirli bir komutu/komut dosyasını çalıştırabilirsiniz (burada, belirli bir olay meydana geldiğinde bir işlemin nasıl çalıştırılacağına ilişkin ayrıntılı bir örnek verilmiştir). Örneğin, seri numarası komut dosyasında verilenle eşleşmezse tüm USB sürücülerini otomatik olarak çıkaran basit bir PowerShell komut dosyası oluşturabilirsiniz:

$usbdev = get-wmiobject win32_volume | where{$_.DriveType -eq '2'}
If ($usbdev.SerialNumber -notlike “31DF1233BKAD”)
{
$usbdev.DriveLetter = $null
$usbdev.Put()
$usbdev.Dismount($false,$false) | Out-Null

Böylece bilgisayara bağlı USB flash sürücülerin en basit kontrolünü gerçekleştirebilirsiniz.