Как закрыть доступ к usb портам в windows 10 - Доктор Windows

Если вам требуется, чтобы к компьютеру или ноутбуку с Windows 10, 8.1 или Windows 7 никто не мог подключить USB-накопители, вы можете запретить использование флешек, карт памяти и жестких дисков используя встроенные средства системы. Мышки, клавиатуры и другая периферия, не являющаяся хранилищем, продолжит работать.

В этой инструкции о том, как заблокировать использование USB флешек и других съемных накопителей с помощью редактора локальной групповой политики или редактора реестра. Также в разделе с дополнительной информацией о блокировке доступа через USB к устройствам MTP и PTP (камера, Android телефон, плеер). Во всех случаях для выполнения описываемых действий вы должны иметь права администратора в Windows. См. также: Запреты и блокировки в Windows, Как поставить пароль на флешку в BitLocker.

Запрет подключения USB флешек с помощью редактора локальной групповой политики

Первый способ более простой и предполагает использование встроенной утилиты «Редактор локальной групповой политики». Следует учитывать, что эта системная утилита недоступна в Домашней редакции Windows (если у вас такая версия ОС, используйте следующий способ).

Шаги по блокировке использования USB накопителей будут следующими:

Нажмите клавиши Win+R на клавиатуре, введите gpedit.msc и нажмите Enter, откроется редактор локальной групповой политики.
Если требуется запретить использование USB накопителей для всех пользователей компьютера, перейдите к разделу Конфигурация компьютера — Административные шаблоны — Система — Доступ к съемным запоминающим устройствам. Если требуется заблокировать доступ только для текущего пользователя, откройте аналогичный раздел в «Конфигурация пользователя».
Обратите внимание на пункты «Съемные диски: Запретить выполнение», «Съемные диски: Запретить запись», «Съемные диски: Запретить чтение». Все они отвечают за блокировку доступа к USB-накопителям. При этом запрет чтения запрещает не только просмотр содержимого флешки или копирование с неё, но и остальные операции (на накопитель нельзя будет что-либо записать, запуск программ с него также не будет выполняться).
Для того, чтобы, например, запретить чтение с USB накопителя, дважды нажмите по параметру «Съемные диски: Запретить чтение», установите значение «Включено» и примените настройки. Выполните то же самое для других требующихся вам пунктов.

На этом процесс будет завершен, а доступ к USB заблокирован. Перезагрузка компьютера не требуется, однако, если на момент включения ограничений накопитель уже был подключен, изменения для него вступят в силу только после отключения и повторного подключения.

Как заблокировать использование USB флешки и других съемных накопителей с помощью редактора реестра

Если на вашем компьютере отсутствует редактор локальной групповой политики, ту же блокировку можно выполнить и с помощью редактора реестра:

Нажмите клавиши Win+R на клавиатуре, введите regedit и нажмите Enter.
В редакторе реестра перейдите к одному из разделов: первый — для запрета использования USB накопителей для всех пользователей. Второй — только для текущего пользователя
```
HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindows
HKEY_CURRENT_USERSOFTWAREPoliciesMicrosoftWindows
```
Создайте подраздел RemovableStorageDevices, а в нем — подраздел с именем {53f5630d-b6bf-11d0-94f2-00a0c91efb8b}
В этом подразделе создайте нужные параметры DWORD32 (даже для Windows x64) — с именем Deny_Read для запрета чтения и других операций, Deny_Execute — для запрета выполнения, Deny_Write — для запрета записи на USB накопитель.
Установите значение 1 для созданных параметров.

Запрет использования USB флешек и других съемных накопителей вступит в силу сразу после внесения изменения (если на момент блокировки накопитель уже был подключен к компьютеру или ноутбуку, он будет доступен до отключения и повторного подключения).

Дополнительная информация

Некоторые дополнительные нюансы блокировки доступа к USB накопителям, которые могут оказаться полезными:

Описанные выше способы работают для съемных USB флешек и дисков, однако не работают для устройств, подключенных по протоколу MTP и PTP (например, хранилище Android телефона продолжит быть доступным). Для отключения доступа по этим протоколам, в редакторе локальной групповой политики в том же разделе используйте параметры «WPD-устройства» для запрета чтения и записи. В редакторе реестра это будет выглядеть как подразделы {53f5630d-b6bf-11d0-94f2-00a0c91efb8b}, {6AC27878-A6FA-4155-BA85-F98F491D4F33} и {F33FDC04-D1AC-4E8E-9A30-19BBD4B108AE} в политиках RemovableStorageDevices (как описывалось выше) с параметрами Deny_Read и/или Deny_Write.
Для того, чтобы в дальнейшем вновь включить возможность использования USB накопителей, просто удалите созданные параметры из реестра или установите «Выключено» в измененных ранее политиках доступа к съемным запоминающим устройствам.
Еще один способ блокировки USB накопителей — отключение соответствующей службы: в разделе реестра
```
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesUSBSTOR
```
измените значение Start на 4 и перезагрузите компьютер. При использовании этого способа подключенные флешки даже не будут появляться в проводнике.

Помимо встроенных средств системы, есть сторонние программы для блокировки подключения различного рода USB устройств к компьютеру, в том числе и продвинутые инструменты наподобие USB-Lock-RP.

Источник

Иногда возникает необходимость отключить USB порты на компьютере или ноутбуке, чтобы ограничить доступ по подключению флешек, жестких дисков и других USB-устройств. Отключение портов USB поможет предотвратить подключение каких-либо накопителей, которые могут быть использованы для кражи важной информации или стать причиной заражения компьютера вирусом и распространения вредоносного программного обеспечения по локальной сети.

Содержание

Ограничение доступа к USB портам
1. Отключение USB портов через настройки BIOS
2. Включение и отключение USB-накопителей с помощью редактора реестра
3. Отключение USB портов в диспетчере устройств
4. Удаление драйверов контроллера USB
5. Запрет пользователям подключение USB-устройств хранения данных с помощью приложения от Microsoft
6. Использование программ для отключения/включения доступа к USB-устройствам хранения данных
7. Отключение USB от материнской платы
Запрет доступа к съемным носителям через редактор групповой политики

Ограничение доступа к USB портам

Рассмотрим 7 способов, с помощью которых можно заблокировать USB порты:

Отключение USB через настройки БИОС
Изменение параметров реестра для USB-устройств
Отключение USB портов в диспетчере устройств
Деинсталляция драйверов контроллера USB
Использование Microsoft Fix It 50061
Использование дополнительных программ
Физическое отключение USB портов

1. Отключение USB портов через настройки BIOS

Войдите в настройки BIOS.
Отключите все пункты, связанные с контроллером USB (например, USB Controller или Legacy USB Support).
После того как вы сделали эти изменения, нужно сохранить настройки и выйти из БИОС. Обычно это делается с помощью клавиши F10.
Перезагрузите компьютер и убедитесь, что USB порты отключены.

2. Включение и отключение USB-накопителей с помощью редактора реестра

Если отключение через БИОС вам не подходит, можете закрыть доступ непосредственно в самой ОС Windows с помощью реестра.

Приведенная ниже инструкция позволяет закрыть доступ для различных USB-накопителей (например флешек), но при этом другие устройства, такие как клавиатуры, мыши, принтеры, сканеры все равно будут работать.

Откройте меню Пуск -> Выполнить, введите команду «regedit» и нажмите ОК, чтобы открыть редактор реестра.
Перейдите к следующему разделу

HKEY_LOCAL_MACHINE SYSTEM CurrentControlSet Services USBSTOR
В правой части окна найдите пункт «Start» и два раза щелкните по нему, чтобы отредактировать. Введите значение «4» для блокировки доступа к USB-накопителям. Соответственно если вы введете опять значение «3», доступ будет вновь открыт.

Нажмите кнопку «ОК», закройте редактор реестра и перезагрузите компьютер.

! Вышеописанный способ работает только при установленном драйвере USB контроллера. Если по соображениям безопасности драйвер не был установлен, значение параметра «Start» может быть автоматически сброшено на значение «3», когда пользователь подключит накопитель USB и Windows установит драйвер.

3. Отключение USB портов в диспетчере устройств

Нажмите правой кнопкой мыши на значке «Компьютер» и выберете в контекстном меню пункт «Свойства». Откроется окно в левой части которого нужно нажать на ссылку «Диспетчер устройств».
В дереве диспетчера устройств найдите пункт «Контроллеры USB» и откройте его.
Отключите контроллеры путем нажатия правой кнопки мыши и выбора пункта меню «Отключить».

Этот способ не всегда работает. В примере, приведенном на рисунке выше отключение контроллеров (2 первых пункта) не привело к желаемому результату. Отключение 3-го пункта (Запоминающее устройство для USB) сработало, но это дает возможность отключить лишь отдельный экземпляр USB-накопителя.

4. Удаление драйверов контроллера USB

Как вариант для отключения портов можно просто деинсталлировать драйвер USB контроллера. Но недостатком этого способа является то, что при подключении пользователем USB-накопителя, Windows будет проверять наличие драйверов и при их отсутствии предложит установить драйвер. Это в свою очередь откроет доступ к USB-устройству.

5. Запрет пользователям подключение USB-устройств хранения данных с помощью приложения от Microsoft

Еще один способ запрета доступа к USB-накопителям – это использование Microsoft Fix It 50061 (http://support.microsoft.com/kb/823732/ru — ссылка может открываться около митуты). Суть это способа заключается в том, что рассматриваются 2 условия решения задачи:

USB-накопитель еще не был установлен на компьютер
USB-устройство уже подключено к компьютеру

В рамках данной статьи не будем детально рассматривать этот метод, тем более, что вы можете подробно его изучить на сайте Microsoft, используя ссылку приведенную выше.

Еще следует учесть, что данный способ подходит не для всех версий ОС Windows.

6. Использование программ для отключения/включения доступа к USB-устройствам хранения данных

Существует много программ для установки запрета доступа к USB портам. Рассмотрим одну из них — программу USB Drive Disabler.

Программа обладает простым набором настроек, которые позволяют запрещать/разрешать доступ к определенным накопителям. Также USB Drive Disabler позволяет настраивать оповещения и уровни доступа.

7. Отключение USB от материнской платы

Хотя физическое отключение USB портов на материнской плате является практически невыполнимой задачей, можно отключить порты, находящиеся на передней или верхней части корпуса компьютера, отсоединив кабель, идущий к материнской плате. Этот способ полностью не закроет доступ к USB портам, но уменьшит вероятность использования накопителей неопытными пользователями и теми, кто просто поленится подключать устройства к задней части системного блока.

!Дополнение

Запрет доступа к съемным носителям через редактор групповой политики

В современных версиях Windows существует возможность ограничить доступ к съемным запоминающим устройствам (USB-накопителям в том числе) с помощью редактора локальной групповой политики.

Запустите gpedit.msc через окно «Выполнить»(Win + R).
Перейдите к следующей ветви «Конфигурация компьютера -> Административные шаблоны -> Система -> Доступ к съемным запоминающим устройствам»
В правой части экрана найдите пункт «Съемные диски: Запретить чтение».
Активируйте этот параметр (положение «Включить»).

Данный раздел локальной групповой политики позволяет настраивать доступ на чтение, запись и выполнение для разных классов съемных носителей.

Источник

Хотите защитить данные на своем компьютере под управлением Windows 10, заблокировав или отключив USB-накопители на вашем ПК? В этом руководстве мы рассмотрим пять простых способов включения или отключения USB-накопителей в Windows 10.

Блокировка USB-накопителей в Windows 10 может быть выполнена разными способами. Вы можете использовать Реестр, BIOS или сторонние утилиты для включения или отключения USB-накопителей в системе Windows 10.

Ниже приведено пять способов включения или отключения USB-накопителей в Windows 10.

Способ 1 из 5

Включение и отключение USB-накопителей в Windows 10 с помощью реестра

Если вам удобно вносить изменения в реестр Windows, вы можете включить или отключить USB-накопители в Windows 10, вручную отредактировав реестр. Вот как это сделать.

Шаг 1: Откройте редактор реестра

Шаг 2: Перейдите к следующему разделу:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesUSBSTOR

USBSTOR

Шаг 3: Теперь с правой стороны дважды кликните параметр «Start» и измените его значение на 4, чтобы отключить USB-накопители на вашем ПК с Windows 10. Измените значение Start на 3, чтобы включить USB-накопители и устройства хранения данных на вашем ПК.

Способ 2 из 5

Включение и отключение USB-портов через диспетчер устройств

Знаете ли вы, что вы можете отключить все порты USB с помощью диспетчера устройств? Отключив USB-порты, вы запрещаете пользователям использовать USB-порты для подключения USB-накопителей к вашему компьютеру.

Когда вы отключите USB-порты, USB на вашем ПК не будут работать, и, следовательно, никто не сможет подключать USB-накопители. Вам нужно будет снова включить USB-порты для подключения устройств через USB. Вот как включить или отключить порты USB с помощью диспетчера устройств.

ВАЖНО: Мы рекомендуем создать точку восстановления системы перед отключением USB-портов, чтобы вы могли легко включить их снова, когда захотите.

Шаг 1: Кликните правой кнопкой мыши на кнопке «Пуск» на панели задач и выберите «Диспетчер устройств».

Шаг 2: Разверните Контроллеры USB. Кликните правой кнопкой мыши на все записи оду за другой, и нажмите «Отключить устройство». Нажмите кнопку «Да», когда вы увидите диалоговое окно подтверждения.

Способ 3 из 5

Используйте USB Drive Disabler для включения или отключения USB-накопителей

Если вы не хотите редактировать реестр вручную, вы можете использовать бесплатный инструмент под названием USB Drive Disabler для быстрого включения или отключения USB-накопителей на вашем ПК. Просто загрузите USB Disabler, запустите его, а затем выберите «Включить USB-диски» или «Отключить USB-диски», чтобы включить или отключить USB-накопители на вашем ПК.

Загрузить USB Drive Disabler

Способ 4 из 5

Отключить или включить USB-порты в BIOS

Некоторые производители предлагают опцию в BIOS / UEFI для отключения или включения USB-портов. Загрузите BIOS / UEFI и проверьте, есть ли опция для отключения или включения USB-портов. Проверьте руководство пользователя вашего ПК, чтобы узнать, присутствует ли опция включения или отключения USB-портов в BIOS / UEFI.

Способ 5 из 5

Включение и отключение USB-накопителей с USB Guard

Nomesoft USB Guard — еще одна бесплатная утилита для блокировки USB-накопителей на компьютерах под управлением Windows 10 и более ранних версий Windows. Вы должны использовать эту программу как администратор для включения или отключения USB-накопителей.

Скачать Nomesoft USB Guard

Если вы хотите защитить накопители USB, обратитесь к следующей статье для получения подробной информации:
Как включить защиту от записи для USB накопителей в Windows 10

Защита от записи USB дисков- может быть полезной в качестве дополнительной опции безопасности.

Источник

Содержание

1 Как в Windows 10 отключить usb порты
- 1.1 Отключаем USB через реестр
- 1.2 Отключаем порты в диспетчере устройств
- 1.3 Использование сторонних программ
  - 1.3.1 USB Ports Disabler
  - 1.3.2 USB Manager

Современные ПК, очень производительны, они способны обрабатывать сотни задач в секунду. Если подключит к нему стороннее устройство, то производительность увеличиться в разы. Это может быть сканер или принтер, смартфон или веб-камера. Все это делает компьютер уникальным инструментом.

Неработающие USB порты нужны пользователю для того, чтобы посторонние люди не смогли утянуть с ПК важную информацию. Это своеобразная политика конфиденциальности. Человек не сможет подключить флешку или винчестер с USB разъёмом, дабы скопировать важные данные. Но важно сделать так, чтобы рабочими остались разъемы под клавиатуру и мышь. Одним из самых простых решений является отключение USB портов через реестр на Windows 10. Основной плюс этого метода в том, что не нужно скачивать разное ПО тем самым, захламляя свой ПК

Отключаем USB через реестр

Итак, приступим. Нажимаем сочетание клавиш Win + R. В командной строке пишем regedit и жмем Enter.

Перед нами появился реестр. В его левой части находим раздел *HKEY_LOCAL_MACHINE* и кликаем по нему дважды. Там есть папка *SYSTEM*, в которой спрятан подраздел *CurrentControlSe*. Далее, находим *Services* и в нем ищем *USBSTOR*. В правой части реестра находим значение *Start* и кликаем по нему. Перед вами откроется окно *Изменение параметра DWORD*. Чтобы отключить порты, выбираем в поле *Значения* 4 вместо 3.

3 — включить порты USB, 4 — выключить. Теперь перезагружаем пк и обнаруживаем, что порты USB отключены.

Отключаем порты в диспетчере устройств

Здесь все очень просто. Кликаем ПКМ по *Мой компьютер* выбираем пункт свойства.

В открывшимся окне выбираем раздел *Диспетчер устройств*.

Перед нами древо всех устройств нашего пк. Находим и выбираем пункт *Контроллеры USB*. Выбирали этот раздел и через ПКМ отключаем все необходимые порты.

Стоит заметить, что данный способ не всегда работоспособен. Бывали случаи, когда отключись 2 порта из 4 или один.

Использование сторонних программ

USB Ports Disabler

Установить запрет к USB портам можно и самым простым способом — через программы. Одна из таких — USB Ports Disabler. Это бесплатная программа, которая деактивирует все порты на вашем пк. Утилита имеет очень простой и минималистичный интерфейс. Программа бесплатна. USB Ports Disabler обнаруживает и отключает USBSTOR, которым мы видели в реестр. Так, чтение данных с USB накопителя будет невозможным.

Скачать USB Ports Disabler — http://www.softportal.com/software-42029-usb-ports-disabler.html

USB Manager

Еще одна утилита достойная внимания. Прежде всего, USB Manager совместим со всеми версия Виндовс. Сама программа маловесна, а установка не вызовет вопросов. Утилита полностью мультиязычна, трудностей с языком не возникнет. USB Manager в один клик отключаетвключает все USB порты на вашем пк.

Скачать USB Manager — http://www.softportal.com/get-39722-usb-manager.html

Стоит помнить, что основные вредоносные файлы попадают в систему именно через USB накопители, поэтому отключив порты для чтения, вы тем самым образом обезопасите себя от головной боли. Вы можете выбрать определенный разъем, который хотели бы отключить, это может быть разъем под принтер или сканер. Сама программа работает быстро, четко и корректно. ПО очень часто обновляется, к слову, в последней версии обновлена система отключения для пользователя.

Источник

В Windows 10, если у компьютера есть необходимые порты, пользователи могут подключать съемные устройства для хранения данных — например, флешки или внешние жесткие диски — для доступа к информации или для ее экспорта.

Хотя это обычная практика использования съемных дисков, бывают случаи, когда нужно ограничить доступ к таким устройствам. Например, можно отключить доступ, чтобы другие пользователи не могли подключать внешние устройства с вирусами. Также если на устройстве хранятся конфиденциальные данные, блокировка чтения и записи на съемные носители поможет предотвратить копирование определенной информации и повысить безопасность.

По какой причине вы бы ни хотели это сделать, Windows 10 позволяет отключить доступ ко всем съемным устройствам с помощью Редактора локальной групповой политики или Редактора реестра.

В этом руководстве мы расскажем, как отключить доступ к чтению и записи для всех классов съемных носителей.

Как отключить доступ ко всем съемным носителям с помощью Групповой политики

В Windows 10 Pro (для предприятий или образовательных учреждений) самый простой способ запретить пользователям доступ к съемным носителям — это использовать Редактор локальной групповой политики.

Чтобы отключить доступ для съемных носителей в Windows 10, проделайте следующее:

Откройте Пуск.
Найдите файл gpedit.msc и нажмите ОК, чтобы открыть Редактор локальной групповой политики.
Откройте следующее расположение:
Конфигурация компьютера > Административные шаблоны > Система > Доступ к съемным носителям данных
С правой стороны дважды кликните опцию Все классы съемных носителей: запретить доступ полностью.
Выберите Включено.
Нажмите Применить.
Нажмите ОК.
Перезагрузите компьютер.

После выполнения этих шагов Windows 10 запретит доступ ко всем классам съемных носителей, включая флешки, внешние жесткие диски, физические диски (например, CD и DVD) и так далее.

Если вы передумаете, действие можно легко отменить — проделайте все то же самое, но на шаге № 5 выберите параметр Не настроено.

Как отключить доступ ко всем съемным носителям с помощью Реестра

В версии Windows 10 Home нет Редактора локальной групповой политики, но заблокировать доступ можно с помощью Редактора реестра.

Предупреждение: напомним, что редактирование Реестра довольно рискованно и может привести к непоправимым повреждениям системы, если вы что-то сделаете неправильно. Советуем сделать резервную копию, прежде чем продолжать.

Чтобы отключить доступ ко всем съемным носителям, проделайте следующее:

Откройте Пуск.
Найдите файл regedit и откройте Редактор реестра.
Откройте следующее расположение:
HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindows
На заметку: в Windows 10 можно скопировать и вставить путь в адресную строку реестра.
Щелкните правой кнопкой мыши папку Windows, нажмите на Создать, затем на Раздел.
Назовите раздел RemovableStorageDevices и нажмите клавишу Enter.
Щелкните правой кнопкой мыши созданный раздел, нажмите Создать и выберите Параметр DWORD (32 бита).
Назовите раздел Deny_All и нажмите Enter.
Дважды кликните вновь созданный DWORD и поменяйте значение с 0 на 1.
Нажмите ОК.
Перезагрузите компьютер.

После выполнения этих шагов пользователи больше не будут иметь доступ к уже подключенным съемным носителям, а также не смогут подключать новые носители.

Отменить настройки всегда можно, используя инструкцию выше, но на шаге № 4 щелкните правой кнопкой мыши RemovableStorageDevices и выберите Удалить. Если у вас есть другие настройки внутри раздела, не удаляйте их. Вместо этого дважды щелкните DWORD Deny_All и поменяйте значение с 1 на 0.

После отмены изменений с помощью любого из перечисленных методов доступ к съемным носителям будет восстановлен. Если не сработало — перезагрузите компьютер.

Новости о программах, устройствах и технологиях Microsoft

Источник

На чтение 2 мин Просмотров 3.6к. Опубликовано 04.09.2021

Если ваш компьютер используется множеством разных людей — например, общий компьютер на вашем рабочем месте — то это может представлять угрозу безопасности, так как люди могут легко подключать к нему разные USB накопители. И независимо от того, знает об этом владелец флешки или внешнего жесткого диска, его устройство может содержать небезопасные файлы и даже вирусы. И чем больше людей пользуются USB портом, тем в меньшей степени защищен ваш компьютер.

Отключение USB-накопителей на компьютере может помочь сохранить ваши файлы в безопасности, а отключить их проще, чем вы думаете. Сегодня я расскажу как отключить флешки с помощью редактора реестра и групповых политик компьютера.

Отключение usb с помощью реестра

Что бы открыть редактор реестра, необходимо нажать комбинацию клавиш win+r, откроется диалоговое окно в котором необходимо набрать команду regedit и нажать кнопку «ок».

regedit

После чего откроется редактор реестра, в котором необходимо найти каталог «USBSTOR»

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesUSBSTOR

regedit

После того как вы выберите каталог «USBSTOR», в правой части окна появятся параметры со значениями, нам необходимо изменить ключ «Start». По умолчанию там стоит значение 3, которое разрешает использование USB накопителей. А параметр 4 запрещает использование. Кликаем два раза мышкой по ключу «Start» и вписываем туда число 4 в шестнадцатеричной системе исчисления.

regedit

Нажимаем кнопку «ок» и перезагружаем компьютер, после чего можно убедиться, что флешки больше не работают.

Чтобы повторно включить USB-накопители, измените значение данных обратно на «3», и порты заработают как раньше.

Отключаем USB с помощью групповой политики

Чтобы отключить USB с помощью редактора групповой политики, нажмите сочетание клавиш win+r и в открывшемся окне, наберите команду gpedit.msc. На левой панели выберите «Конфигурация компьютера -> Административные шаблоны -> Система -> Доступ к съемным запоминающим устройствам».

После чего в правой части окна, найдите «Съемные диски: запретить чтение» и «Съемные диски: запретить запись».

gpedit

Кликнув два раза мышкой, переведите оба этих параметра в режим «Включено» и нажмите кнопку «ок».

gpedit

Перезагрузите компьютер и ваши USB накопители работать больше не будут.

Вот так быстро и просто можно обезопасить свой компьютер, что бы на него не занесли вирусы или не скопировали какую-нибудь важную информацию без вашего ведома.

Администратор

«Админы делятся на тех, кто не делает бэкапы, и тех, кто уже делает». Народная мудрость.

Источник

Опубликовано: 31.08.2018 Обновлено: 14.11.2019 Категория: Безопасность Автор: myWEBpc

Пользователь ПК никогда не может быть всегда осторожен, когда дело доходит для хранения данных в безопасности. Представьте себе, что дома или в офисе, когда вы не ждете опасности в Интернете, опасность может исходить от ваших близких и коллег. Ведь можно просто вставить флшеку с вирусом в USB-порт и похитить ваши данные или испортить систему. Отключение USB-накопителей вашего компьютера может помочь сохранить ваши файлы в безопасности. Есть несколько методов, которые вы можете выбрать для себя, если решили деактивировать USB порты.

Как отключить или включить USB-порты в Windows 10

1. С помощью редактора реестра

Внимание: С работай реестра, рекомендую создать точку восстановления системы.

Нажмите сочетание кнопок Win + R и введите regedit. В реестре перейдите по пути HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesUSBSTOR и найдите справа параметр Start. Нажмите на нем два щелчка мышкой и задайте значение 4, чтобы отключить USB порты. Если Вам понадобится повторно включить USB порты, то измените на значение по умолчанию 3.

2. С помощью групповой политики

Примечание: редактор групповой политики есть в версиях Pro и выше. В версии HOME его нет, воспользуйтесь способом через реестр, если у вас версия home. Вы также можете сделать редактор групповой политики в версии home по ссылке.

Нажмите сочетание кнопок Win + R и введите gpedit.msc, чтобы открыть редактор групповых политик. Далее перейдите по параметрам «Конфигурация компьютера» > «Административные шаблоны«> «Система» > «Доступ к съемным запоминающим устройствам» и справа найдите два параметра Съемные диски: Запретить чтение и Съемные диски: Запретить запись. Щелкните по ним два раза мышкой, чтобы открыть параметры и выберите Включено. Таким образом USB порты будут отключены, чтобы включить их обратно просто проделайте в точности наоборот.

Смотрите еще:

Включить повышенный уровень Защитника Windows 10
Включить и использовать Exploit Protection в Windows 10
Заставь проверять защитник windows 10 внешние диски
Как включить Strict Site Isolation в браузере Chrome и Yandex
Изоляция ядра и Целостность памяти в Защитнике Windows 10

[ Telegram | Поддержать ]

Источник

Шаги по блокировке использования USB накопителей будут следующими:

Нажмите клавиши Win+R на клавиатуре, введите gpedit.msc и нажмите Enter, откроется редактор локальной групповой политики.
Если требуется запретить использование USB накопителей для всех пользователей компьютера, перейдите к разделу Конфигурация компьютера — Административные шаблоны — Система — Доступ к съемным запоминающим устройствам. Если требуется заблокировать доступ только для текущего пользователя, откройте аналогичный раздел в «Конфигурация пользователя».
Обратите внимание на пункты «Съемные диски: Запретить выполнение», «Съемные диски: Запретить запись», «Съемные диски: Запретить чтение». Все они отвечают за блокировку доступа к USB-накопителям. При этом запрет чтения запрещает не только просмотр содержимого флешки или копирование с неё, но и остальные операции (на накопитель нельзя будет что-либо записать, запуск программ с него также не будет выполняться).
Для того, чтобы, например, запретить чтение с USB накопителя, дважды нажмите по параметру «Съемные диски: Запретить чтение», установите значение «Включено» и примените настройки. Выполните то же самое для других требующихся вам пунктов.

Как заблокировать использование USB флешки и других съемных накопителей с помощью редактора реестра

Нажмите клавиши Win+R на клавиатуре, введите regedit и нажмите Enter.
В редакторе реестра перейдите к одному из разделов: первый — для запрета использования USB накопителей для всех пользователей. Второй — только для текущего пользователя
```
HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindows
HKEY_CURRENT_USERSOFTWAREPoliciesMicrosoftWindows
```
Создайте подраздел RemovableStorageDevices, а в нем — подраздел с именем {53f5630d-b6bf-11d0-94f2-00a0c91efb8b}
В этом подразделе создайте нужные параметры DWORD32 (даже для Windows x64) — с именем Deny_Read для запрета чтения и других операций, Deny_Execute — для запрета выполнения, Deny_Write — для запрета записи на USB накопитель.
Установите значение 1 для созданных параметров.

Дополнительная информация

Некоторые дополнительные нюансы блокировки доступа к USB накопителям, которые могут оказаться полезными:

Описанные выше способы работают для съемных USB флешек и дисков, однако не работают для устройств, подключенных по протоколу MTP и PTP (например, хранилище Android телефона продолжит быть доступным). Для отключения доступа по этим протоколам, в редакторе локальной групповой политики в том же разделе используйте параметры «WPD-устройства» для запрета чтения и записи. В редакторе реестра это будет выглядеть как подразделы {53f5630d-b6bf-11d0-94f2-00a0c91efb8b}, {6AC27878-A6FA-4155-BA85-F98F491D4F33} и {F33FDC04-D1AC-4E8E-9A30-19BBD4B108AE} в политиках RemovableStorageDevices (как описывалось выше) с параметрами Deny_Read и/или Deny_Write.
Для того, чтобы в дальнейшем вновь включить возможность использования USB накопителей, просто удалите созданные параметры из реестра или установите «Выключено» в измененных ранее политиках доступа к съемным запоминающим устройствам.
Еще один способ блокировки USB накопителей — отключение соответствующей службы: в разделе реестра
```
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesUSBSTOR
```
измените значение Start на 4 и перезагрузите компьютер. При использовании этого способа подключенные флешки даже не будут появляться в проводнике.

Ниже приведено пять способов включения или отключения USB-накопителей в Windows 10.

Способ 1 из 5

Включение и отключение USB-накопителей в Windows 10 с помощью реестра

Шаг 1: Откройте редактор реестра

Шаг 2: Перейдите к следующему разделу:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesUSBSTOR

USBSTOR

Способ 2 из 5

Включение и отключение USB-портов через диспетчер устройств

Шаг 1: Кликните правой кнопкой мыши на кнопке «Пуск» на панели задач и выберите «Диспетчер устройств».

Способ 3 из 5

Используйте USB Drive Disabler для включения или отключения USB-накопителей

Загрузить USB Drive Disabler

Способ 4 из 5

Отключить или включить USB-порты в BIOS

Способ 5 из 5

Включение и отключение USB-накопителей с USB Guard

Скачать Nomesoft USB Guard

Защита от записи USB дисков- может быть полезной в качестве дополнительной опции безопасности.

В этом руководстве мы расскажем, как отключить доступ к чтению и записи для всех классов съемных носителей.

Как отключить доступ ко всем съемным носителям с помощью Групповой политики

Чтобы отключить доступ для съемных носителей в Windows 10, проделайте следующее:

Откройте Пуск.
Найдите файл gpedit.msc и нажмите ОК, чтобы открыть Редактор локальной групповой политики.
Откройте следующее расположение:
Конфигурация компьютера > Административные шаблоны > Система > Доступ к съемным носителям данных
С правой стороны дважды кликните опцию Все классы съемных носителей: запретить доступ полностью.
Выберите Включено.
Нажмите Применить.
Нажмите ОК.
Перезагрузите компьютер.

Как отключить доступ ко всем съемным носителям с помощью Реестра

Чтобы отключить доступ ко всем съемным носителям, проделайте следующее:

Откройте Пуск.
Найдите файл regedit и откройте Редактор реестра.
Откройте следующее расположение:
HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindows
На заметку: в Windows 10 можно скопировать и вставить путь в адресную строку реестра.
Щелкните правой кнопкой мыши папку Windows, нажмите на Создать, затем на Раздел.
Назовите раздел RemovableStorageDevices и нажмите клавишу Enter.
Щелкните правой кнопкой мыши созданный раздел, нажмите Создать и выберите Параметр DWORD (32 бита).
Назовите раздел Deny_All и нажмите Enter.
Дважды кликните вновь созданный DWORD и поменяйте значение с 0 на 1.
Нажмите ОК.
Перезагрузите компьютер.

Новости о программах, устройствах и технологиях Microsoft

Главная » Уроки и статьи » Железо

В некоторых случаях запрет на подключение флешки и телефона – вопрос безопасности. Не всем известно, что ограничить использование накопителей можно даже без помощи сторонних утилит. Более того, такой вариант имеет свои преимущества. Здесь будет рассмотрено, как запретить использование съемных накопителей в Windows 10 различными способами.

Основные методы

Следует сразу отметить, что все перечисленное обратимо. Т. е. вы можете в любой момент вернуть параметры и политики в исходное состояние, тем самым сняв ограничение запрета флешек и других съемных носителей. При этом для неопытных пользователей убрать установленный запрет будет тяжело.

Локальная групповая политика

Данный вариант считается предпочтительным, т. к. он куда более безопасен, чем работа с реестром, и не требует серьезных временных затрат. Вдобавок, этот способ проще в освоении, что полезно для новичков. Однако у него есть существенный недостаток: редактор недоступен при наличии редакции Home.

Если вы не знаете, какая у вас редакция, то просто зайдите в параметры ОС (можно открыть, одновременно зажав клавиши Win и I) в самый первый раздел. Во вкладке «О системе» можно увидеть основную информацию. Редакция указана в строке «Выпуск»:

Итак, перейдем к самому способу. Для начала нужно открыть утилиту, отвечающую за политики. Делается это в несколько простых шагов:

Следует зажать клавиши Win и R.
В единственную строку необходимо написать «gpedit.msc».
Далее остается лишь кликнуть по кнопке «OK» или нажать на Enter.

Дальнейшие действия зависят от того, хотите ли вы заблокировать доступ всем пользователям или только текущему. В первом случае перейдите в раздел, именуемый «Конфигурация компьютера». Во втором нужно напротив выбрать пользователя. Последующий путь одинаковый:

В правой части окна потребуется найти следующие политики:

Их можно активировать. Для этого дважды нажмите на пункт ЛКМ. Откроется большое окно, в верхнем левом углу которого нужно поставить «Включено».

После этого обязательно нажмите на «OK», чтобы сохранить изменения.

Важно также отметить, что достаточно будет включить одну из политик по своему усмотрению. Например, та, что отвечает за чтение, ответственна и за другие действия: она не позволяет открывать приложения с накопителей.

Увидеть изменения можно без перезагрузки ПК. Несмотря на это, если съемный накопитель уже подключен, то ограничения на него действовать не будут: нужно подключить его повторно, чтобы проверить результат.

Реестр

Такой вариант подходит для любых редакций, но он сложнее. Категорически не рекомендуется изменять и удалять какие-либо параметры/разделы, если этого не указано в инструкции! В противном случае операционная система может работать некорректно. Заключается процедура в следующем:

Следует открыть редактор. Для экономии времени рекомендуется просто ввести название утилиты в поиск на панели задач.

Как и в предыдущем случае, нужно определиться, хотите вы ограничить использование для одного конкретного аккаунта (тот, что активен на данный момент) или всех. Первый подчеркнутый раздел – для этой учетной записи, а второй – для всех пользователей.

Далее путь будет идентичным:

Нужно создать папку. Для этого кликните по свободному пространству ПКМ и в контекстном меню выберите «Раздел». Назвать его нужно следующим образом:

Потом понадобится еще одна папка. В этот раз она будет называться «{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}» (без кавычек).
В указанном подразделе остается лишь создать и включить параметры. Фактически, это будут все те же политики, о которых упоминалось ранее. Нажмите ПКМ и в меню выберите DWORD (независимо от битности вашей системы). Назовите все параметры, как указано на изображении ниже, и в строке «Значение» поставьте 1.

Аналогично предыдущему методу, перезагрузка не потребуется: изменения вступят в силу сразу же.

Как запретить использование телефона, плеера и камеры

Перечисленные варианты работают только в том случае, если речь идет о флешках или дисках. Для андроид, например, они не подходят. Вся проблема в том, что съемные накопители имеют разные протоколы. Указанные политики никак не воздействуют на PTP и MTP. Запрет в данном случае устанавливается также. Если вы предпочитаете первый способ, то в той же директории найдите и активируйте следующие пункты:

В реестре все заметно сложнее, т. к. для установки ограничения потребуется создать целых три подраздела с параметрами (названия и значения последних не меняются; используются только Read и Write):

Дополнительный способ решения проблемы

Вы также можете сделать так, чтобы любые USB-накопители попросту не отображались. Сделать это можно при помощи реестра. Перейдите по следующему адресу:

Откройте настройки указанного параметры, дважды кликнув по нему ЛКМ. Измените значение на 4.

В отличие от предыдущих способов, после окончания процедуры рекомендуется перезагрузить ПК.

Подводя итоги, запретить использование флешки в Windows 10 можно довольно просто: при желании с этим справиться каждый. Разумеется, вы также можете прибегнуть и к использованию специальных сторонних программ, однако такой способ имеет определенные «но». Например, подобные утилиты нередко содержат вредоносное ПО. Поэтому большинство все же отдает предпочтение встроенным средствам.

Понравилось? Поделись с друзьями!

Дата: 28.02.2022
Автор/Переводчик: Wolf

РЕКОМЕНДУЕМЫЕ: Загрузите этот инструмент, который поможет вам безопасно исправить распространенные ошибки Windows и автоматически оптимизировать производительность системы.

Легко переносить файлы с одного компьютера на другой с помощью USB-накопителей. Однако вы можете не знать, содержит ли он вредоносное ПО или другие вирусные угрозы. После того, как вы подключите съемный диск, он автоматически перенесет вредоносное ПО и нанесет вред вашему компьютеру.

Еще один риск использования съемных USB-накопителей на компьютере с Windows 10 — это копирование файлов и информации. Чтобы избежать подобных ситуаций, вы можете запретить или отключить использование USB-накопителей на вашем ПК с Windows 10.

Предоставлено: Майкл Шварценбергер / Pixabay.

Предотвращая использование или доступ к съемным накопителям, USB-устройствам и портам на вашем ПК, вы можете защитить его от угроз и вирусов. Есть несколько способов отключить использование USB-накопителей в Windows 10. Вы можете использовать каждый из приведенных ниже способов.

Метод №1 — запретить использование USB-накопителя в Windows 10 с помощью редактора реестра.

Запустите редактор реестра на вашем компьютере с Windows 10. Вы можете использовать диалоговое окно «Выполнить», введя команду regedit, или открыть поле поиска и найти редактор реестра.
Перейдите к Компьютер HKEY_LOCAL_MACHINE SYSTEM CurrentControlSet Services USBSTOR.
В разделе «Имя» найдите «Пуск» и дважды щелкните его, чтобы открыть меню.
Установите для параметра Value значение 4.
Нажмите Enter.
Перезагрузите компьютер с Windows 10.

Метод № 2 — Запретить разрешение на использование USB-накопителя

Запустите диалоговое окно «Выполнить».
Входить % SystemRoot% Inf.
Ищите Usbtor.pnf файл. Щелкните его правой кнопкой мыши.
Перейдите на вкладку Безопасность.
В разделе «Группа или пользователи» найдите пользователя или группу, которым вы хотите запретить доступ. Вы также можете добавить их.
Перейдите в список разрешений для имени пользователя или группы.
Рядом с полем «Полный доступ» установите флажок «Запретить».
Вернитесь к именам групп или пользователей.
Щелкните Система.
Перейдите в раздел «Разрешения для имени пользователя» или «Имя группы» и установите флажок «Запретить».

Метод №3 — Отключить доступ к USB-накопителю в Windows 10 через редактор локальной групповой политики.

Найдите gpedit.msc, чтобы открыть редактор локальной групповой политики.
Перейдите к Конфигурация компьютера> Административные шаблоны> Система> Доступ к съемному хранилищу.
Искать все классы съемных носителей: запретить любой доступ. Дважды щелкните, чтобы открыть его.
Выберите Включено.
Нажмите кнопку Применить.
Щелкните ОК.
Перезагрузите компьютер.

Вы когда-нибудь сталкивались с угрозой на вашем компьютере со стороны USB-накопителя? Мы хотим услышать твою историю! Вы можете сообщить нам об этом в комментариях ниже.

ЕЩЕ ЕСТЬ ВОПРОСЫ? Попробуйте этот инструмент для устранения ошибок Windows и автоматической оптимизации производительности системы.

На чтение 2 мин Просмотров 3.6к. Опубликовано 04.09.2021

Отключение usb с помощью реестра

regedit

После чего откроется редактор реестра, в котором необходимо найти каталог «USBSTOR»

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesUSBSTOR

regedit

Нажимаем кнопку «ок» и перезагружаем компьютер, после чего можно убедиться, что флешки больше не работают.

Чтобы повторно включить USB-накопители, измените значение данных обратно на «3», и порты заработают как раньше.

Отключаем USB с помощью групповой политики

gpedit

Кликнув два раза мышкой, переведите оба этих параметра в режим «Включено» и нажмите кнопку «ок».

gpedit

Перезагрузите компьютер и ваши USB накопители работать больше не будут.

Администратор

«Админы делятся на тех, кто не делает бэкапы, и тех, кто уже делает». Народная мудрость.

Контроль устройств подключенных к компьютеру — Как заблокировать флешки Windows 10

Смартфоны, флешки, SD-карты и даже фотоаппараты. Эти устройства объединяет то, что их можно легко подключить к компьютеру и скопировать на них конфиденциальную информацию. Они компактны, подключаются обычным USB шнурком. Если фотоаппараты и флешки надо специально с собой брать, то смартфон обычно всегда с собой.

В данной статье мы будем говорить о способах заблокировать несанкционированное подключение таких съемных носителей информации, а значит и о том, как защитить вашу конфиденциальную информацию.

Рассмотрим следующие способы контроля устройств:

Ограничение доступа к USB портам
Отключение USB портов через настройки BIOS
Включение и отключение USB-накопителей с помощью редактора реестра
Отключение USB портов в диспетчере устройств
Запрет доступа к накопителям через групповую политику
Ограничение доступа к USB средствами антивирусов
Использование специальных программ контроля устройств

Если брать полный список способов, через которые может быть похищена коммерческая тайна предприятия, то это:

облачные хранилища, электронная почта, соц сети и мессенджеры
подключаемые носители информации (в том числе USB накопители, телефоны, DVD-ROM)
печать документов на принтер
физическая кража оборудования (стационарных дисков компьютера или его целиком)

Каждому из данных каналов утечки конфиденциальной информации мы посвятим отдельную статью.

Итак, подключаемые носители информации.

Традиционно, есть два подхода к решению вопроса:

можно блокировать использование сотрудниками не нужных для работы устройств и носителей информации. Это сокращает количество вариантов как унести с рабочего компьютера информацию, а в большинстве случаев, заставляет работника и вовсе отказаться от этой идеи.
если использование внешних накопителей необходимо для работы сотрудника, то нужно контролировать все, что он копирует и своевременно обнаруживать потенциальные утечки информации.

Вариант с блокировкой менее трудозатратный, однако, применяемые средства не должны причинять вред производственному процессу, то есть, не тормозить работу компьютера и сети, не нарушать движение информации в компании, сохранять работоспособность мышки, клавиатуры, сканеров и принтеров, веб-камеры.

Дополнительные задачи, которые при этом появляются:

как разрешать подключать определенные накопители, а остальные блокировать (например, чтобы обычные сотрудники не могли использовать флешки на компьютере, а сотрудника IT отдела мог подключить свою флешку к любому компьютеру)
или определённые устройства не блокировать, а ограничивать доступ к файлам на них. Например: сделать флешку доступной в режиме “только для чтения”.

В таблице приведены основные способы решения задачи с оценкой положительных и отрицательных сторон.

Решение	Плюсы	Минусы
Отключить устройства (в том числе USB-порты) физически на компьютерах	Решает вопрос	Неудобно. Многие нужные устройства не будут работать
Отключить ненужные устройства в Диспетчере Устройств, через реестр или в BIOS	Решает вопрос адресно	Имеются ограничения. Пользователь с правами администратора может включить их обратно. Хлопотно, неудобно
Ограничить через политики Active Directory	Можно достаточно гибко настраивать и делать это централизованно	Надо иметь Active Directory (его может не быть в компаниях с небольшим компьютерным парком) и потребуется привлечение ИТ специалиста для настройки (неудобно в крупных компаниях, где есть отдельно отдел информационной безопасности — постановщик задачи на ограничение устройств и отдельно ИТ отдел). Нет возможности задать список разрешенных устройств по серийным номерам.
Ограничение средствами антивирусов	Корпоративные версии ряда антивирусов имеют такую возможность	Такие версии редко используются в небольших компаниях. Потребуется привлечение ИТ специалиста. Не у всех антивирусов можно задать права «только чтение» для накопителей. Нет возможности задать список разрешенных устройств по серийным номерам.
Использование специальных программ	В зависимости от выбранной программы, гибкость в настройках блокировок устройств + решение смежных вопросов по ограничению доступа к файлам	Потребуется приобретение лицензии на такие программы

Теперь разберем способы подробнее:

Ограничение доступа к USB портам

Отключить устройства (в том числе USB-порты) физически на компьютерах.

Плюсы:

решает проблему блокирования портов;

Минусы:

произойдет полное отключение портов, что не даст использовать нужные для работы USB устройства (веб камеру, например или USB принтер).
если отключать порты физически, то придется разбирать системный блок.

Отключить через настройки BIOS или системы. В том числе:

Отключение USB портов через настройки BIOS
Включение и отключение USB-накопителей с помощью редактора реестра
Отключение USB портов в диспетчере устройств

Отключение USB портов через настройки BIOS

Сработает надежно, но это самый неудобный из программных способов. Кроме того, он отключит в том числе и нужные для работы USB устройства. Подойдет если компьютеров всего пара штук, менять настройки не потребуется и USB устройства никогда не потребуются.

Технически делается так: зайти в BIOS, отключить все пункты, связанные с контроллером USB (например, USB Controller или Legacy USB Support), сохранить изменения.

Отключение USB накопителей через редактор реестра.

Удобнее предыдущего способа тем, что можно отключить USB накопители, но при этом оставить включенными принтеры, сканеры, мышки и т.д.

Минусы:

срабатывает не всегда (при подключении новой флешки для нее будет переустановлен драйвер и блокировка не сработает).
Пользователь с правами администратора легко включит устройство обратно
Нельзя адресно разрешить подключение определенных носителей.

Техническая реализация способа:

Зайти в редактор реестра (regedit.exe)
В нем перейти на ветку HKEY_LOCAL_MACHINE SYSTEM CurrentControlSet Services USBSTOR
Для ключа реестра «Start» задайте значение «4», чтобы заблокировать доступ к USB накопителям. Чтобы разрешить обратно, измените значение снова на «3».

Отключение USB портов в диспетчере устройств

Также, срабатывает не всегда. Может не примениться для новых подключенных устройств. Пользователь с правами администратора легко включит обратно.

Минусы:

блокировка порта не сработает на новое подключенное устройство, т.е придется постоянно за этим следить, заходить с правами администратора в систему и отключать устройство в Диспетчере;
пользователь с правами администратора может обратно включить устройства;
нет возможности задания прав на устройство, только отключение.
подойдет только для администрирования пары компьютеров, т.к. нет автоматизации;

Запрет доступа к съемным носителям через групповую политику (Active Directory)

Это решение поможет ограничить пользователю возможность использования флешек, при этом не задев полезных USB-устройств.

Плюсы:

можно запретить разом подключение всех флешек;
гибкая настройка подключенных устройств к портам: оставить только чтение флешек, возможность редактировать и т.д.
обеспечивает возможность централизованного администрирования и управления ресурсами системы;
централизованное управление правами доступа к информации на основе функциональных групп и уровней доступа.

Минусы:

потребуется помощь специалиста или администратора для настройки, который не всегда есть в штате компании;
не во всех компаниях применяется Active Directory;
не получится блокировать-разрешать конкретные usb накопители по серийным номерам.

Ограничение доступа к USB накопителям средствами антивирусов

Этот метод подходит не для всех антивирусных программ (не все имеют такие функции).

Плюсы:

В корпоративных версиях антивирусов такая возможность может уже быть в комплекте;
Как правило есть дистанционное централизованное управление

Минусы:

в маленьких компаниях редко используют дорогие корпоративные версии антивирусов;
не во всех антивирусах есть возможность ограничения устройств (смотрите в настройках используемого у вас решения);
требуется привлечение ИТ-специалиста;
вы будете привязаны к определенной антивирусной программе и будет не так просто ее сменить, если в этом возникнет необходимость. А лицензию на антивирус надо продлять каждый год.

Кроме того, не во всех антивирусах можно реализовать метод, когда надо не просто отключить устройство, а заблокировать определенные устройства по серийным номерам. Либо, когда не надо отключать, например, флешку, а оставить ее в режиме “только для чтения”.

Также, ни один из перечисленных способов не решает задачу, когда нельзя отключать устройства (нужны для работы), но необходимо знать, что на них копируется, чтобы не допустить утечки важной корпоративной информации.

Использование специальных программ для блокировки флешек

Применение этих программ разнообразно: от контроля устройств, до контроля за всеми манипуляциями с компьютером.

Плюсы:

Гибкая настройка блокировки устройств (как всех накопителей, так и адресная блокировка),
Разграничение доступа к файлам на устройстве (режим «только чтение»).
Контроль файлов, копируемых на устройства.

Минусы:

Требуется приобретение лицензии для работы программы

Пример специализированной программы — LanAgent.

LanAgent – это программа для контроля и блокировки внешних накопителей (в том числе, флешек, телефонов, карт-ридеров и т.д.). В ней настройка правил работы с устройствами происходит дистанционно и централизованно.

Для контроля подключаемых устройств она:

Мониторит подключения и отключения носителей информации;li>
Производит теневое копирование файлов, копируемых на USB-носители или редактируемых в них;
Блокирует подключения USB-носителей, CD/DVD ROM;
Можно настроить список разрешенных USB накопителей. С ними на компьютере можно будет работать, а остальные будут блокироваться
Позволяет применять различные режимы работы с usb флешками: заблокировать, разрешить только чтение, полный доступ.

Из дополнительных возможностей LanAgent:

Перехватывает отправленные на печать документы;
Запоминание нажатия клавиш на клавиатуре;
Снятие скриншотов экрана;
Мониторинг запуска и завершения программ;
Перехват сообщений мессенджеров (Skype, Viber, Telegram, …), переписки в соц. сетях, отправленных на печать документов, поисковых запросов, Web-почты;
Мониторинг посещенных сайтов, файловой системы;
Контроль включения и выключения компьютера;
Перехват содержимого буфера обмена;
Установка и удаление программ;
Логирование работы с общими ресурсами компьютера;
Контроль изменения комплектующих компьютера;
Запись видео, звука и выполнение снимков с веб-камер;
Онлайн просмотр изображения с веб-камер;
Активное оповещение о нарушениях заданных политик безопасности;
Планировщик отчетов и отправка отчетов на e-mail;

Ниже приведены два реальных случая использования программы LanAgent для контроля подключаемых устройств.

В юридической организации использовался ряд флешек, которые надо было занести в реестр, чтобы они получили полный доступ к функциям, а остальным флешкам запретить возможность подключаться к компьютеру, т.е. чтобы пользователь не мог “видеть” и иметь возможности переносить данные. Вопрос был решён функционалом программы LanAgent.

В проектно — строительной компании нельзя было без нарушения бизнес-процесса блокировать внешние устройства, но, с целью предотвращения утечки проектной информации, нужно было сообщать о копировании большого количества файлов. Системный администратор получил уведомление от программы LanAgent о нетипичном поведении одного из сотрудников и проверив, что именно копируется с его компьютера обнаружил попытку унести чертежи, сметы и другую ДСП документацию за последние 3 года. Как выяснилось, сотрудник готовился к увольнению и решил прихватить с собой наработки компании.

Таким образом была предотвращена утечка важной для компании информации.

Для подобной ситуации у LanAgent есть ряд возможностей:

Оповещение администратора системы при подключении устройства к компьютеру;
Контроль размера файла и общего размера скопированного файла;
Кроме того программа может уведомлять, когда копирование происходит в нерабочее время.

Выводы:

В зависимости от задачи, стоящей перед Вами, можно найти бесплатные способы для блокировки носителей информации. Они имеют свои ограничения и не всегда удобны в использовании.
Больший набор возможностей и удобное дистанционное и централизованное управление дают платные решения.
В пользу применения для этой задачи программы LanAgent говорит то, что лицензия на LanAgent бессрочная. Т.е. это однократная оплата и дальше программу можно использовать без ограничений по времени.

Программа блокировки флешек

попробовать бесплатно 15-дневную ознакомительную версию

При подключении нового USB устройства к компьютеру, Windows автоматически определяет устройство и устанавливает подходящий драйвер. В результате пользователь практически сразу может использовать подключенное USB устройство или накопитель. Если политика безопасности вашей организации предполагает запрет использования переносных USB накопителей (флешки, USB HDD, SD-карты и т.п), вы можете заблокировать такое поведение. В этой статье мы покажем, как заблокировать использование внешних USB накопителей в Windows, запретить запись данных на подключенные флешки и запуск исполняемых файлов с помощью групповых политик (GPO).

Содержание:

Настройка групповой политики блокировки USB носителей в Windows
Как заблокировать USB накопители только определенным пользователям?
Запрет доступа к USB накопителям через реестр и GPO
Полное отключение драйвера USB накопителей в Windows
История подключения USB накопителей в Windows
Разрешить подключение только определенной USB флешки

Настройка групповой политики блокировки USB носителей в Windows

В Windows вы можете гибко управлять доступом к внешним накопителям (USB, CD / DVD и др.) с помощью групповых политик Active Directory (мы не рассматриваем радикальный способ отключения USB портов через настройки BIOS). Вы можете заблокировать только USB накопителей, при этом другие типы USB устройств (мышь, клавиатура, принтер, USB адаптеры на COM порты), будут доступны пользователю.

В этом примере мы создадим попробуем заблокировать USB накопителей на всех компьютерах в OU домена с именем Workstations (можно применить политику запрета использования USB ко всему домену, но это затронет в том числе сервера и другие технологические устройства).

Откройте е консоль управления доменными GPO (msc), найдите в структуре структуре Organizational Unit контейнер Workstations, щелкните по нему правой клавишей и создайте новую политику (Create a GPO in this domain and Link it here);
Совет. Вы можете настроить политика ограничения использования USB портов на отдельностоящем компьютере (домашний компьютер или компьютер в рабочей группе) с помощью локального редактора групповых политик (gpedit.msc).
Задайте имя политики — Disable USB Access.
Перейдите в режим редактирования GPO (Edit).

Настройки блокировки внешних запоминающих устройств есть как в пользовательском, так и в компьютерных разделах GPO:

User Configuration-> Policies-> Administrative Templates-> System->Removable Storage Access (Конфигурация пользователя -> Административные шаблоны -> Система ->Доступ к съемным запоминающим устройствам);
Computer Configuration-> Policies-> Administrative Templates-> System-> Removable Storage Access (Конфигурация компьютера-> Административные шаблоны -> Система ->Доступ к съемным запоминающим устройствам).

Если нужно заблокировать USB накопители для всех пользователей компьютера, нужно настроить параметры в разделе “Конфигурация компьютера”.

В разделе “Доступ к съемным запоминающим устройствам” (Removable Storage Access) есть несколько политик, позволяющих отключить возможность использования различных классов устройств хранения: CD/DVD дисков, флоппи дисков (FDD), USB устройств, ленты и т.д.

Компакт-диски и DVD-диски: Запретить выполнение (CD and DVD: Deny execute access).
Компакт-диски и DVD-диски: Запретить чтение (CD and DVD: Deny read access).
Компакт-диски и DVD-диски: Запретить запись (CD and DVD: Deny write access).
Специальные классы: Запретить чтение (Custom Classes: Deny read access).
Специальные классы: Запретить запись (Custom Classes: Deny write access).
Накопители на гибких дисках: Запретить выполнение (Floppy Drives: Deny execute access).
Накопители на гибких дисках: Запретить чтение (Floppy Drives: Deny read access).
Накопители на гибких дисках: Запретить запись (Floppy Drives: Deny write access).
Съемные диски: Запретить выполнение (Removable Disks: Deny execute access).
Съемные диски: Запретить чтение (Removable Disks: Deny read access).
Съемные диски: Запретить запись (Removable Disks: Deny write access).
Съемные запоминающие устройства всех классов: Запретить любой доступ (All Removable Storage classes: Deny all access).
Все съемные запоминающие устройства: разрешение прямого доступа в удаленных сеансах (All Removable Storage: Allow direct access in remote sessions).
Ленточные накопители: Запретить выполнение (Tape Drives: Deny execute access).
Ленточные накопители: Запретить чтение (Tape Drives: Deny read access).
Ленточные накопители: Запретить запись (Tape Drives: Deny write access).
WPD-устройства: Запретить чтение (WPD Devices: Deny read access) – это класс портативных устройств (Windows Portable Device). Включает в себя смартфоны (например, доступ хранилищу Android телефона) , планшеты, плееры и т.д.
WPD-устройства: Запретить запись (WPD Devices: Deny write access).

Как вы видите, для каждого класса устройств вы можете запретить запуск исполняемых файлов (защита от вирусов), запретить чтение данных и запись/редактирование информации на внешнем носителе.

Максимальная ограничительная политика — All Removable Storage Classes: Deny All Access (Съемные запоминающие устройства всех классов: Запретить любой доступ) – позволяет полностью запретить доступ к любым типам внешних устройств хранения. Чтобы включить эту политику, откройте ее и переведите в состояние Enable.

После настройки политики и обновления параметров GPO на клиентах (gpupdate /force) внешние подключаемые устройства (не только USB устройства, но и любые внешние накопители) будут определять ОС, но при попытке их открыть появится ошибка доступа:

Location is not available
Drive is not accessible. Access is denied

Совет. Аналогичное ограничение можно задать, через реестр, создав в ветке HKEY_CURRENT_USER (или ветке HKEY_LOCAL_MACHINE) SoftwarePoliciesMicrosoftWindowsRemovableStorageDevices ключ Deny_All типа Dword со значением 00000001.

В этом же разделе политик можно настроить более гибкие ограничения на использование внешних USB накопителей.

К примеру, вы можете запретить запись данных на USB флешки, и другие типы USB накопителей. Для этого включите политику Removable Disk: Deny write access (Съемные диски: Запретить запись).

После этого пользователи смогут читать данные с USB флешки, но при попытке записать на нее информацию, получат ошибку доступа:

Destination Folder Access Denied
You need permission to perform this action

С помощью политики Removable Disks: Deny execute access (Съемные диски: Запретить выполнение) можно запретить запуск исполняемых файлов и скриптов с USB дисков.

Как заблокировать USB накопители только определенным пользователям?

Довольно часто необходимо запретить использовать USB диски всем пользователям компьютера, кроме администраторов.
Проще всего сделать исключение в политике с помощью Security Filtering GPO. Например, вы хотите запретить применять политику блокировки USB к группе администраторов домена.

Найдите вашу политику Disable USB Access в консоли Group Policy Management;
В разделе Security Filtering добавьте группу Domain Admins;
Перейдите на вкладку Delegation, нажмите на кнопкуAdvanced. В редакторе настроек безопасности, укажите что, группе Domain Admins запрещено применять настройки этой GPO (Apply group policy – Deny).

Может быть другая задача — нужно разрешить использование внешних USB накопителей всем, кроме определённой группы пользователей. Создайте группу безопасности “Deny USB” и добавьте эту группу в настройках безопасности политики. Для этой группы выставите разрешения на чтение и применение GPO, а у группы Authenticated Users или Domain Computers оставить только разрешение на чтение (сняв галку у пункта Apply group policy).

Добавьте пользователей, которым нужно заблокировать доступ к USB флешкам и дискам в эту группу AD.

Запрет доступа к USB накопителям через реестр и GPO

Вы можете более гибко управлять доступом к внешним устройствам с помощью настройки параметров реестра через механизм Group Policy Preferences (GPP). Всем указанным выше политикам соответствуют определенные ключи реестра в ветке HKLM (или HKCU) SOFTWAREPoliciesMicrosoftWindowsRemovableStorageDevices (по умолчанию этого раздела в реестре нет).

Чтобы включить ту или иную политику нужно создать в указанном ключе новую ветку с именем класса устройств, доступ к которым нужно заблокировать (столбец
В новой ветке реестра нужно создать REG_DWORD параметром с именем ограничения, которое вы хотите внедрить:
Deny_Read — запретить чтения данных с носителя;
Deny_Write – запретить запись данных;
Deny_Execute — запрет запуска исполняемых файлов.
Задайте значение параметра:
1 — заблокировать указанный тип доступа к устройствам этого класса;
0 – разрешить использования данного класса устройств.

Название параметра GPO	Подветка с именем Device Class GUID	Имя параметра реестра
Floppy Drives: Deny read access	{53f56311-b6bf-11d0-94f2-00a0c91efb8b}	Deny_Read
Floppy Drives: Deny write access	{53f56311-b6bf-11d0-94f2-00a0c91efb8b}	Deny_Write
CD and DVD: Deny read access	{53f56308-b6bf-11d0-94f2-00a0c91efb8b}	Deny_Read
CD and DVD: Deny write access	{53f56308-b6bf-11d0-94f2-00a0c91efb8b}	Deny_Write
Removable Disks: Deny read access	{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}	Deny_Read
Removable Disks: Deny write access	{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}	Deny_Write
Tape Drives: Deny read access	{53f5630b-b6bf-11d0-94f2-00a0c91efb8b}	Deny_Read
Tape Drives: Deny write access	{53f5630b-b6bf-11d0-94f2-00a0c91efb8b}	Deny_Write
WPD Devices: Deny read access	{6AC27878-A6FA-4155-BA85-F98F491D4F33} {F33FDC04-D1AC-4E8E-9A30-19BBD4B108AE}	Deny_Read
WPD Devices: Deny write access	{6AC27878-A6FA-4155-BA85-F98F491D4F33} {F33FDC04-D1AC-4E8E-9A30-19BBD4B108AE}	Deny_Write

Вы можете создать эти ключи реестра и параметры вручную. На скриншоте ниже я создал ключ RemovableStorageDevices, а в нем подраздел с именем {53f5630d-b6bf-11d0-94f2-00a0c91efb8b}. С помощью REG_DWORD параметров я запретил запись и запуск исполняемых файлов с USB накопителей.

Запрет использования USB накопителей вступит в силу немедленно после внесения изменения (не нужно перезагружать компьютер). Если USB флешка подключена к компьютеру, она будет доступна до тех пор, пока ее не переподключат.

Чтобы быстро заблокировать чтение и запись данных на USBнакопители в Windows, можно выполнить такой PowerShell скрипт:

$regkey='HKLM:SoftwarePoliciesMicrosoftWindowsRemovableStorageDevices{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}' $exists = Test-Path $regkey if (!$exists) { New-Item -Path 'HKLM:SoftwarePoliciesMicrosoftWindowsRemovableStorageDevices' -Name '{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}' -Force | Out-Null } New-ItemProperty -Path $regkey -Name 'Deny_Read -Value 1 -PropertyType 'DWord' -Force | Out-Null New-ItemProperty -Path $regkey -Name 'Deny_Write' -Value 1 -PropertyType 'DWord' -Force | Out-Null

В доменной среде эти параметры реестра можно централизованно распространить на компьютеры пользователей с помощью GPP. Подробнее настройка параметров реестра через GPO описана в статье Настройка параметров реестра на компьютерах с помощью групповых политик.

Данные ключи реестра и возможности нацеливания политик GPP с помощью Item-level targeting позволят вам гибко применять политики, ограничивающие использование внешних устройств хранения. Вы можете применять политики к определённым группам безопасности AD, сайтам, версиям ОС, OU и другим характеристикам компьютеров (в том числе можно выбирать компьютеры через WMI фильтры).

Примечание. Аналогичным образом вы можете создать собственные политики для классов устройств, которые в данном списке не перечислены. Узнать идентификатор класса устройства можно в свойствах драйвера в значении атрибута Device Class GUID.

Полное отключение драйвера USB накопителей в Windows

Вы можете полностью отключить драйвер USBSTOR (USB Mass Storage Driver), который необходим для корректного определения и монтирования USB устройств хранения.

На отдельно стоящем компьютере вы можете отключить этот драйвер, изменив значение параметра Start (тип запуска) с 3 на 4. Можно это сделать через PowerShell командой:

Set-ItemProperty "HKLM:SYSTEMCurrentControlSetservicesUSBSTOR" -name Start -Value 4

Перезагрузите компьютер и попробуйте подключить USB накопитель. Теперь он не должен появиться в проводнике или консоли управления дисками, а в диспетчере устройств вы увидите ошибку установки драйвера устройства.

С помощью Group Policy Preferences вы можете отключить запуск драйвера USBSTOR на компьютерах домена. Для этого нужно внести изменения в реестр через GPO.

Эти настройки можно распространить на все компьютеры. Создайте новую групповую политику, назначьте ее на OU с компьютерами и в разделе Computer Configuration -> Preferences -> Windows Settings -> Registry создайте новый параметр со значениями:

Action: Update
Hive: HKEY_LOCAK_MACHINE
Key path: SYSTEMCurrentControlSetServicesUSBSTOR
Value name: Start
Value type: REG_DWORD
Value data: 00000004

История подключения USB накопителей в Windows

В некоторых случая при анализе работы блокирующих политик вам нужно получить информацию об истории подключения USB накопителей к компьютеру.

Чтобы вывести список USB накопителей, подключенных к компьютеру прямо сейчас, выполните такую команду PowerShell:

Get-PnpDevice -PresentOnly | Where-Object { $_.deviceId -match '^USBSTOR' }

Status OK указывает, что данное устройство подключено и работает нормально.

Журнал событий Windows позволяет отслеживать события подключения/отключения USB накопителей.

Эти события находятся в журнале Event Viewer -> Application and Services Logs -> Windows -> Microsoft-Windows-DriverFrameworks-UserMode -> Operational;
По умолчанию Windows не сохраняет историю об подключениях. Поэтому вам придется включить вручную (Enable Log) или через GPO;
После этого вы можете использовать событие с EventID 2003 (Pnp or Power Management operation to a particular device) для получения информации о времени подключения USB накопителя и Event ID 2102 (Pnp or Power Management operation to a particular device) о времени отключения флешки:
```
Forwarded a finished Pnp or Power operation (27, 2) to the lower driver for device SWDWPDBUSENUM_??_USBSTOR#DISK&VEN_UFD_2.0&PROD_SILICON-POWER16G&REV_PMAP#12010208030E6C10D00CE7200A6&0#{53F56307-B6BF-11D0-94F2-00A0C91EFB8B} with status 0x0.
```

Также вы можете использовать бесплатную утилиту USBDriveLog от Nirsoft которая позволяет вывести в удобном виде всю историю подключения USB флешек и дисков к компьютеру пользователю (выводится информацию об устройстве, серийный номер, производитель, время подключения/отключения, и device id).

Разрешить подключение только определенной USB флешки

В Windows вы можете разрешить подключение только определенных (одобренных) USB флешки к компьютеру.

При подключении любого USB накопителя к компьютеру, драйвер USBSTOR устанавливает устройство и создает в ветке реестра HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumUSBSTOR отдельную ветку. в которой содержится информация о накопителе (например,
Disk&Ven_Kingstom&Prod_DT_1010_G2&Rev_1.00
).

Вы можете вывести список USB накопителей, которые когда-либо подключались к вашему компьютеру следующей PowerShell командой:

Get-ItemProperty –Path HKLM:SYSTEMCurrentControlSetEnumUSBSTOR**| select FriendlyName

Удалите все записи для подключенных ранее USB флешек, кроме тех, которые вам нужны. Затем нужно изменить разрешения на ветку реестра USBSTOR так, чтобы у всех пользователей, в том числе SYSTEM и администраторов, были только права на чтение. В результате при подключении любой USB накопителя, кроме разрешенного, Windows не сможет установить устройство.

Также можно создать и привязать задания планировщика к EventID подключения USB диска к компьютеру и выполнить определенное действие/скрипт (пример запуска процесса при появлении события в Event Viewer).

Например, вы можете сделать простой PowerShell скрипт, который автоматически отключает любые USB накопителя, если серийный номер не совпадает с заданной в скрипте:

$usbdev = get-wmiobject win32_volume | where{$_.DriveType -eq '2'} If ($usbdev.SerialNumber –notlike “32SM32846AD”) { $usbdev.DriveLetter = $null $usbdev.Put() $usbdev.Dismount($false,$false) | Out-Null }

Таким образом можно организовать простейшую проверку подключаемых ко компьютеру USB флешек.

Для предотвращения утечки данных с компьютера мы рекомендуем запретить (частично или полностью) доступ к USB-накопителям. Мы предлагаем продукты, способные решить эту задачу: Rohos Logon Key и StaffCounter DLP.
Наше программное обеспечение — это надёжный инструмент в обеспечении вашей информационной безопасности. Они содержат общий модуль — DLP (Data Leak Prevention) manager.

StaffCounter DLP для Windows

Эта утилита является частью сервиса Staffcounter.net, системы мониторинга и аналитики работы ваших сотрудников в офисе. Но кроме функций слежения программа способна защитить компьютер от нежелательных (предумышленных или халатных) действий пользователя. Основные функции программы:

Запрет на подключение Bluetooth устройств;
Конфигурируемый запрет на использование съемных USB-накопителей;
Запрет подключения накопителей по MTP-протоколу: телефонов, камер, съемных дисков;
Запрет записи на CD/DVD накопители;
Запрет изменения конфигурации или удаления данной программы другими пользователями;
Контролируемый запрет отправки файлов на внешние ресурсы;
Запрет доступа ко внешним папкам и ресурсам в локальном сети;
Запрет загрузки и запуска приложений из Интернета и внешних устройств.

Как включить функции защиты

После регистрации в сервисе и установки агента StaffСounter зайдите в Основные настройки и прокрутите страницу вниз до раздела DLP.

Настройка конфигурации:

Отключение доступа к Bluetooth-устройствам

Нужно включить пункт Запретить отправку файлов по Bluetooth.

Теперь передача данных на устройства Bluetooth и обратно будет невозможна.

Настраиваемое ограничение доступа к Flash-накопителям

Включите пункт Контроль доступа к съёмным устройствам по правилу. Далее переходим к полю Правила.

Здесь мы создаем правила доступа к USB накопителям, исходя из их серийного номера, VID и PID. Для того чтобы узнать серийный номер, VID и PID накопителя, установите программу ChipGenius.

Получив информацию о серийном номере, VID и PID, мы можем запретить запись информации на нашу флешку или съемный диск.

Для этого необходимо написать следующее правило:

0xVID:0xPID:SN=

или

*:*:SN=

знак «*» в данном случае означает любой VID и PID; это можно сделать для экономии времени, так как серийный номер достаточно уникален, а VID и PID часто одинаковы. Пустота после = означает, что для данного накопителя на этом компьютере неприменимы никакие действия со стороны пользователя — ни чтение, ни запись, ни форматирование.

Если нужно наоборот, разрешить чтение и запись только на один накопитель, то следует установить такое правило:

*:*:SN=rw

Если следует запретить только запись на накопитель, то пишем

*:*:SN=r

Внимание: с параметром «r» невозможна только запись новых данных, а удаление старых и форматирование возможны, так что будьте осторожны!

Команда, касающаяся всех остальных накопителей, должна идти последней в списке.

*:*:*= // означает для всех остальных все запрещено.

*:*:*=r // означает для всех остальных разрешено только чтение.

*:*:*=rw // означает для всех остальных — без ограничений.

Пример работы программы: Попытка записать данные на USB носитель

Запрет на подключение накопителей по MTP-протоколу

Включите галочку Запретить доступ к смартфонам и камерам по USB.

Функция не позволяет пользователям переписывать данные на телефоны, камеры, плееры, и другие устройства, подключаемые через USB порт. Устройства недоступны для чтения и записи.

Запрет записи на CD/DVD накопители

Включите пункт Запретить запись на CD / DVD.

Программа запрещает запись на CD и DVD непосредственно из проводника, а также через различные программы прожига.

Пример работы программы: Попытка перенести на DVD диск данные методом drug-and-drop

Пример работы программы: Попытка скопировать данные на DVD диск

Контролируемый запрет отправки файлов на внешние ресурсы

Включите пункт Контроль отправки файлов на внешние ресурсы по правилу.
В поле Правила вы можете ввести один из трёх (либо несколько сразу через точку с запятой без пробелов) поддерживаемых нашей системой браузеров: Google Chrome (chrome), Internet Explorer/Edge (iexplore), Mozilla Firefox (firefox). Отправка на внешние ресурсы через выбранные браузеры будет запрещена.

Запрет доступа к папкам в локальной сети

Включите пункт Запретить доступ к общим папкам.

Теперь запись файлов и папок на ресурсы локальной сети (в том числе и по FTP) будет запрещена. Чтение файлов по-прежнему остаётся доступным.

Запрет загрузки и запуска приложений из Интернета и внешних устройств

Включите пункт Запретить загрузку приложений из Интернета. Этот модуль запретит скачивание приложений из Интернет, разархивирование исполняемых файлов, а также установку новых программ. Кроме этого будет запрещено несанкционированное удаление агента StaffCounter DLP из операционной системы. В случае необходимости деинсталляции нашего продукта вам нужно будет сначала отключить этот параметр.

Стоит отметить, что отключить функции защиты и внести изменения по умолчанию может только тот пользователь, который имеет доступ к Панели Управления на StaffCounter. Другие юзеры (даже с правами администратора) не имеют полномочий менять конфигурацию модуля.

Rohos Logon Key 3.3

Второй наш продукт, который использует модуль DLP, правда в качестве вспомогательного элемента, хотя его функциональность никак не урезана. Программа изначально предназначена для создания и использования аппаратных ключей, для доступа к учетной записи Windows, в дополнение или вместо обычных логина и пароля. Функция блокировки внешних USB-накопителей добавлена для предотвращения случайной порчи настроенных ключей, сделанных из Flash-накопителей.

Для блокировки доступа к всем внешним накопителям следует открыть опции программы и установить галочку Block Access to USB removable drives and HDDs.

Для применения следует нажать OK. Но если вы хотите создать особые правила для различных накопителей, в рабочей папке программы Rohos найдите файл конфигурации dlpcfg.ini и отредактируйте его. После этого включите опцию Block access to USB removable drives and HDDs в свойствах программы Rohos Logon Key. Если она уже была включена, для перезапуска драйвера выключите ее, нажмите OK, затем снова откройте опции, включите и снова нажмите OK.

Стоит обратить внимание на некоторые особенности модуля:

Перед деинсталляцией программы Rohos Logon Key и StaffCounter следует отключить защиту, в противном случае в удалении программы будет отказано.
Перед установкой на Windows 7 и Windows 2008 следует установить последние обновления безопасности от Microsoft, а именно патч безопасности Microsoft Security Advisory.

Надеемся, новые возможности наших программ будут вам полезны!

Содержание

Ограничение доступа к USB портам
1. Отключение USB портов через настройки BIOS
2. Включение и отключение USB-накопителей с помощью редактора реестра
3. Отключение USB портов в диспетчере устройств
4. Удаление драйверов контроллера USB
5. Запрет пользователям подключение USB-устройств хранения данных с помощью приложения от Microsoft
6. Использование программ для отключения/включения доступа к USB-устройствам хранения данных
7. Отключение USB от материнской платы
Запрет доступа к съемным носителям через редактор групповой политики

Ограничение доступа к USB портам

Рассмотрим 7 способов, с помощью которых можно заблокировать USB порты:

Отключение USB через настройки БИОС
Изменение параметров реестра для USB-устройств
Отключение USB портов в диспетчере устройств
Деинсталляция драйверов контроллера USB
Использование Microsoft Fix It 50061
Использование дополнительных программ
Физическое отключение USB портов

1. Отключение USB портов через настройки BIOS

Войдите в настройки BIOS.
Отключите все пункты, связанные с контроллером USB (например, USB Controller или Legacy USB Support).
После того как вы сделали эти изменения, нужно сохранить настройки и выйти из БИОС. Обычно это делается с помощью клавиши F10.
Перезагрузите компьютер и убедитесь, что USB порты отключены.

2. Включение и отключение USB-накопителей с помощью редактора реестра

Приведенная ниже инструкция позволяет закрыть доступ для различных USB-накопителей (например флешек), но при этом другие устройства, такие как клавиатуры, мыши, принтеры, сканеры все равно будут работать.

Откройте меню Пуск -> Выполнить, введите команду «regedit» и нажмите ОК, чтобы открыть редактор реестра.
Перейдите к следующему разделу

HKEY_LOCAL_MACHINE SYSTEM CurrentControlSet Services USBSTOR
В правой части окна найдите пункт «Start» и два раза щелкните по нему, чтобы отредактировать. Введите значение «4» для блокировки доступа к USB-накопителям. Соответственно если вы введете опять значение «3», доступ будет вновь открыт.

Нажмите кнопку «ОК», закройте редактор реестра и перезагрузите компьютер.

3. Отключение USB портов в диспетчере устройств

Нажмите правой кнопкой мыши на значке «Компьютер» и выберете в контекстном меню пункт «Свойства». Откроется окно в левой части которого нужно нажать на ссылку «Диспетчер устройств».
В дереве диспетчера устройств найдите пункт «Контроллеры USB» и откройте его.
Отключите контроллеры путем нажатия правой кнопки мыши и выбора пункта меню «Отключить».

Этот способ не всегда работает. В примере, приведенном на рисунке выше отключение контроллеров (2 первых пункта) не привело к желаемому результату. Отключение 3-го пункта (Запоминающее устройство для USB) сработало, но это дает возможность отключить лишь отдельный экземпляр USB-накопителя.

4. Удаление драйверов контроллера USB

5. Запрет пользователям подключение USB-устройств хранения данных с помощью приложения от Microsoft

USB-накопитель еще не был установлен на компьютер
USB-устройство уже подключено к компьютеру

Еще следует учесть, что данный способ подходит не для всех версий ОС Windows.

6. Использование программ для отключения/включения доступа к USB-устройствам хранения данных

7. Отключение USB от материнской платы

!Дополнение

Запрет доступа к съемным носителям через редактор групповой политики

Запустите gpedit.msc через окно «Выполнить»(Win + R).
Перейдите к следующей ветви «Конфигурация компьютера -> Административные шаблоны -> Система -> Доступ к съемным запоминающим устройствам»
В правой части экрана найдите пункт «Съемные диски: Запретить чтение».
Активируйте этот параметр (положение «Включить»).

Источник

По соображениям безопасности администраторы иногда отключают порты USB на корпоративных компьютерах, только вот подобные ограничения далеко не всегда оказываются оправданными. В таких случаях можно либо попросить администратора временно разблокировать функцию, объяснив, для чего это вам нужно, либо попробовать решить проблему самостоятельно, взяв на себя ответственность за возможные негативные последствия.

Давайте посмотрим, что можно сделать в этом втором случае.

Начать следует с того, что способы отключения USB могут быть разные, поэтому и методы решения проблемы могут отличаться.

Порты отключены в BIOS

То, что порты окажутся отключенными в BIOS или UEFI, маловероятно, обычно админы предпочитают использовать программные фичи, но и исключать такой вариант тоже нельзя. Решается проблема элементарно: нужно войти в BIOS, отыскать отвечающую за работу контроллеров USB опцию и включить ее.

Использование USB запрещено в GPO

Наиболее распространенным способом установки ограничений на использование съемных накопителей является активация политики «Съемные запоминающие устройства всех классов: запретить доступ» в редакторе локальных групповых политик. Работая под учетной записью пользователя, вы не сможете запустить GPO, поэтому придется действовать в обход.

Вариант 1: Сброс пароля

Сброс пароля администратора средствами сторонних утилит вроде Reset Windows Password — действенный, но грубый способ, который вряд ли останется незамеченным вашим сисадмином. Прибегать к нему есть смысл только в тех случаях, если только вы уверены, что настройка компьютера админом носила разовый характер. Получив доступ к учетной записи локального администратора, открываем командой gpedit.msc редактор GPO, переходим в подраздел Конфигурация компьютера -> Административные шаблоны -> Система -> Доступ к съёмным запоминающим устройствам и отключаем указанную в предыдущем абзаце политику.

Решение 2: Редактирование реестра

Если сброс пароля администратора неприемлем, воспользуйтесь диском WinPE 10-8 Sergei Strelec.

Загрузите с него компьютер (загрузка с флешек должна работать), запустите с рабочего стола утилиту Register Editor PE и выполните в HKLM поиск по подразделу RemovableStorageDevices.

В этом подразделе должен быть параметр с именем Deny_All, измените его значение на 0, продолжите поиск и точно так же измените значение других параметров Deny_All в подразделах RemovableStorageDevices, если таковые будут найдены.

Заблокировано использование только флешек

Если предыдущий способ был направлен на разблокирование всех устройств USB, то описанный ниже позволяет разрешить использование именно флешек или съемных жестких дисков.

Для отключения ограничений используем ту же утилиту Register Editor PE из диска Стрельца, только на этот раз ищем в разделе HKLM подраздел USBSTOR (см. путь на скриншоте).

USBSTOR

В нём находим параметр Start и меняем его значение на 3.

Отсутствуют права на чтение файлов usbstor

Вы не сможете использовать в системе флешки или съемные жесткие диски, если администратор запретит чтение файлов usbstor.inf и usbstor.pnf в каталоге %windir%inf.

Чтобы сбросить права, загрузите компьютер с WinPE 10-8 Sergei Strelec, создайте с помощью имеющихся на борту LiveCD на диске маленький том FAT32, переместите на него файлы usbstor.inf и usbstor.pnf, а затем верните их обратно в папку %windir%inf.

Inf

Раздел FAT32 затем можно удалить.

Блокирование флешек по номеру тома

С целью блокирования подключения съемных USB-накопителей админами также используются специальные утилиты. Большинство таких инструментов ограничиваются тем, что меняют значение параметра Start в реестре, но существуют и более хитрые решения, использующие базу данных с разрешенными Volume Serial Number — номерами дисков. Если номер тома отсутствует в базе утилиты, флешка блокируется.

Обойти ограничение можно двумя способами.

Попробуйте принудительно завершить процесс блокирующей утилиты из Диспетчера задач или отключить ее автозагрузку, в том числе путем редактирования реестра из-под LiveCD.

Это был первый вариант.

А вот и второй.

Если у вас имеется разрешенная флешка, вы можете скопировать ее номер и присвоить его накопителю, который хотите сделать доверенным.

Для получения Volume Serial Number доверенной флешки используем команду vol, предварительно перейдя в командной строке в ее корень.

Vol

Серийный же номер подменяем с помощью бесплатной тулзы Hard Disk Serial Number Changer.

Правда, для смены номера запускать утилиту необходимо с правами администратора, если таковыми вы не обладаете, юзать тулзу придется из-под LiveCD.

Загрузка…

Источник