วิธีปิดหรือเปิดใช้งานไดรฟ์ USB ใน Windows โดยใช้ Group Policy

เมื่อคุณเชื่อมต่ออุปกรณ์ USB ใหม่เข้ากับคอมพิวเตอร์ Windows จะตรวจหาอุปกรณ์โดยอัตโนมัติและติดตั้งไดรเวอร์ที่เหมาะสม เป็นผลให้ผู้ใช้สามารถใช้ไดรฟ์ USB หรืออุปกรณ์ที่เชื่อมต่อได้เกือบจะในทันที หากนโยบายความปลอดภัยขององค์กรห้ามไม่ให้ใช้อุปกรณ์เก็บข้อมูล USB แบบพกพา (แฟลชไดรฟ์ ฮาร์ดไดรฟ์ USB การ์ด SD ฯลฯ) คุณสามารถบล็อกพฤติกรรมนี้ได้ ในบทความนี้ เราจะแสดงวิธีบล็อกการใช้ไดรฟ์ USB ภายนอกใน Windows ป้องกันการเขียนข้อมูลไปยังแฟลชไดรฟ์แบบถอดได้ หรือป้องกันไม่ให้ไฟล์เรียกทำงานทำงานโดยใช้ Group Policy (GPO)

ปิดใช้งานไดรฟ์แบบถอดได้ USB ใน Windows ด้วย Group Policy

ใน Windows คุณสามารถจัดการการเข้าถึงไดร์ฟภายนอก (USB, CD/DVD ฯลฯ) ได้อย่างยืดหยุ่นโดยใช้นโยบายกลุ่ม Active Directory (เราไม่พิจารณาวิธีที่รุนแรงในการปิดใช้งานพอร์ต USB ผ่านการตั้งค่า BIOS) คุณสามารถบล็อกเฉพาะไดรฟ์ USB ในขณะที่อุปกรณ์ USB ประเภทอื่นๆ (เมาส์ แป้นพิมพ์ เครื่องพิมพ์ อะแดปเตอร์พอร์ต USB กับ COM) ที่ไม่รู้จักว่าเป็นดิสก์แบบถอดได้จะพร้อมใช้งานสำหรับผู้ใช้

เราจะบล็อกไดรฟ์ USB บนคอมพิวเตอร์ทุกเครื่องในโดเมน OU ชื่อ เวิร์กสเตชัน คุณสามารถใช้นโยบายการจำกัด USB กับทั้งโดเมนได้ แต่จะส่งผลต่อเซิร์ฟเวอร์และอุปกรณ์เทคโนโลยีอื่นๆ

1. เปิดคอนโซลการจัดการ GPO (

   gpmc.msc

   ) ค้นหาคอนเทนเนอร์เวิร์กสเตชันในโครงสร้างหน่วยขององค์กร คลิกขวาบนคอนเทนเนอร์ และสร้างนโยบายใหม่ (สร้าง GPO ในโดเมนนี้และลิงก์ที่นี่)

   

   เคล็ดลับ คุณสามารถกำหนดค่านโยบายเพื่อจำกัดการใช้พอร์ต USB บนคอมพิวเตอร์แบบสแตนด์อโลน (คอมพิวเตอร์ที่บ้านหรือคอมพิวเตอร์ในเวิร์กกรุ๊ป) โดยใช้ Local Group Policy Editor (gpedit.msc)

2. ตั้งชื่อ GPO “ปิดใช้งานการเข้าถึง USB ” ;

   

3. เปลี่ยนเป็นโหมดแก้ไข GPO (แก้ไข)

   

มีการตั้งค่าสำหรับการบล็อกอุปกรณ์จัดเก็บข้อมูลภายนอกทั้งในส่วนผู้ใช้และการกำหนดค่าคอมพิวเตอร์ของตัวแก้ไข GPO:

• การกำหนดค่าผู้ใช้ -> นโยบาย -> เทมเพลตการดูแล -> ระบบ -> การเข้าถึงที่เก็บข้อมูลแบบถอดได้

• การกำหนดค่าคอมพิวเตอร์ -> นโยบาย -> เทมเพลตการดูแล -> ระบบ -> การเข้าถึงที่เก็บข้อมูลแบบถอดได้

ในส่วน การเข้าถึงพื้นที่เก็บข้อมูลแบบถอดได้ มีนโยบายหลายอย่างที่อนุญาตให้คุณปิดการใช้งานประเภทต่างๆ ของคลาสพื้นที่เก็บข้อมูล: ซีดี/ดีวีดี, FDD, อุปกรณ์ USB, เทป ฯลฯ

• ซีดีและดีวีดี: ปฏิเสธการดำเนินการเข้าถึง

• ซีดีและดีวีดี: ปฏิเสธการเข้าถึงการอ่าน

• ซีดีและดีวีดี: ปฏิเสธการเข้าถึงการเขียน

• คลาสที่กำหนดเอง: ปฏิเสธการเข้าถึงการอ่าน

• คลาสที่กำหนดเอง: ปฏิเสธการเข้าถึงการเขียน

• ฟลอปปีไดรฟ์: ปฏิเสธการดำเนินการเข้าถึง

• ฟลอปปีไดรฟ์: ปฏิเสธการเข้าถึงการอ่าน

• ฟลอปปีไดรฟ์: ปฏิเสธการเข้าถึงการเขียน

• ดิสก์แบบถอดได้: ปฏิเสธการเข้าถึงการดำเนินการ

• ดิสก์แบบถอดได้: ปฏิเสธการเข้าถึงการอ่าน

• ดิสก์แบบถอดได้: ปฏิเสธการเข้าถึงการเขียน

• คลาสที่เก็บข้อมูลแบบถอดได้ทั้งหมด: ปฏิเสธการเข้าถึงทั้งหมด

• ที่เก็บข้อมูลแบบถอดได้ทั้งหมด: อนุญาตการเข้าถึงโดยตรงในเซสชันระยะไกล

• เทปไดรฟ์: ปฏิเสธการดำเนินการเข้าถึง

• เทปไดรฟ์: ปฏิเสธการเข้าถึงการอ่าน

• เทปไดรฟ์: ปฏิเสธการเข้าถึงการเขียน

• Windows Portable Device - คลาสนี้ประกอบด้วยสมาร์ทโฟน แท็บเล็ต เครื่องเล่น ฯลฯ

• อุปกรณ์ WPD: ปฏิเสธการเข้าถึงการเขียน

อย่างที่คุณเห็น สำหรับอุปกรณ์แต่ละประเภท คุณสามารถปฏิเสธการเปิดใช้ไฟล์สั่งการได้ (ป้องกันคอมพิวเตอร์จากไวรัส) ห้ามการอ่านข้อมูล และเขียน/แก้ไขไฟล์ในที่จัดเก็บข้อมูลภายนอก

คุณสามารถใช้นโยบายจำกัด "ที่แข็งแกร่งที่สุด" คลาสพื้นที่เก็บข้อมูลแบบถอดได้ทั้งหมด: ปฏิเสธการเข้าถึงทั้งหมด เพื่อปิดการเข้าถึงอุปกรณ์จัดเก็บข้อมูลภายนอกทุกประเภทโดยสมบูรณ์ หากต้องการเปิดใช้งานนโยบายนี้ ให้เปิดคุณสมบัติและเปลี่ยนจากไม่ได้กำหนดค่าเป็น เปิดใช้งาน

หลังจากเปิดใช้งานและอัปเดตการตั้งค่า GPO บนคอมพิวเตอร์ไคลเอนต์ (gpupdate /force) แล้ว Windows จะตรวจพบอุปกรณ์ภายนอกที่เชื่อมต่ออยู่ (ไม่ใช่เฉพาะอุปกรณ์ USB แต่รวมถึงไดรฟ์ภายนอกด้วย) แต่เมื่อพยายามเปิดอุปกรณ์เหล่านั้น ข้อผิดพลาดจะปรากฏขึ้น:

Location is not available
Drive is not accessible. Access is denied.

ในส่วนนโยบายเดียวกัน คุณสามารถกำหนดค่าข้อจำกัดที่ยืดหยุ่นมากขึ้นเกี่ยวกับการใช้ไดรฟ์ USB ภายนอก

ตัวอย่างเช่น เพื่อป้องกันการเขียนข้อมูลไปยังแฟลชไดรฟ์ USB และที่เก็บข้อมูลแบบถอดได้ USB ประเภทอื่นๆ คุณควรเปิดใช้นโยบาย ดิสก์แบบถอดได้: ปฏิเสธการเข้าถึงการเขียน

ในกรณีนี้ ผู้ใช้จะสามารถอ่านข้อมูลจากแฟลชไดรฟ์ USB ได้ แต่เมื่อพวกเขาพยายามเขียนข้อมูล พวกเขาจะได้รับข้อผิดพลาดการเข้าถึงถูกปฏิเสธ:

Destination Folder Access Denied
You need permission to perform this action

คุณสามารถป้องกันไม่ให้ไฟล์สั่งการและไฟล์สคริปต์ทำงานจากไดรฟ์ USB ได้โดยใช้นโยบาย Removable Disks: Deny execute access

บล็อกไดรฟ์ USB สำหรับผู้ใช้บางรายผ่าน GPO

บ่อยครั้งที่จำเป็นต้องบล็อกไดรฟ์ USB สำหรับผู้ใช้ทั้งหมดในโดเมน ยกเว้นผู้ดูแลระบบ

คุณสามารถใช้ GPO การกรองความปลอดภัย เพื่อสร้างข้อยกเว้นในนโยบาย ตัวอย่างเช่น คุณต้องการป้องกันไม่ให้ใช้นโยบายการบล็อก USB กับกลุ่มผู้ดูแลโดเมน

1. เลือกนโยบาย ปิดใช้งานการเข้าถึง USB ของคุณในคอนโซลการจัดการนโยบายกลุ่ม

2. เพิ่มกลุ่ม ผู้ดูแลโดเมน ในส่วน การกรองความปลอดภัย

   

3. ไปที่แท็บ การมอบสิทธิ์ แล้วคลิก ขั้นสูง ในตัวแก้ไขการตั้งค่าความปลอดภัย ระบุว่ากลุ่ม Domain Admins ไม่ได้รับอนุญาตให้ใช้ GPO นี้ (ใช้นโยบายกลุ่ม - ปฏิเสธ)

อาจมีภารกิจอื่น - คุณต้องอนุญาตให้ทุกคนใช้ไดรฟ์ USB ภายนอก ยกเว้นผู้ใช้บางกลุ่ม สร้างกลุ่มความปลอดภัย “ปฏิเสธ USB” และเพิ่มกลุ่มนี้ในการตั้งค่าความปลอดภัยของ GPO สำหรับกลุ่มนี้ ให้ตั้งค่าสิทธิ์ในการอ่านและใช้ GPO และปล่อยเฉพาะสิทธิ์การอ่านสำหรับกลุ่ม ผู้ใช้ที่ได้รับการรับรองความถูกต้อง หรือคอมพิวเตอร์โดเมน (โดยยกเลิกการเลือก ใช้นโยบายกลุ่ม ช่องทำเครื่องหมาย).

เพิ่มผู้ใช้ลงในกลุ่มโฆษณานี้ซึ่งจำเป็นต้องบล็อกการเข้าถึงแฟลชไดรฟ์และดิสก์ USB แบบถอดได้

ปิดการเข้าถึงไดรฟ์ USB ผ่านการตั้งค่า Registry และ Group Policy

คุณสามารถควบคุมการเข้าถึงอุปกรณ์ภายนอกได้อย่างยืดหยุ่นมากขึ้นโดยการกำหนดค่าการตั้งค่ารีจิสทรีที่กำหนดโดยนโยบายที่กล่าวถึงข้างต้นผ่าน Group Policy Preferences (GPP) นโยบายข้างต้นทั้งหมดสอดคล้องกับคีย์รีจิสทรีบางรายการในคีย์ HKLM (หรือ HKCU) \SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices (โดย เริ่มต้นคีย์รีจิสทรีนี้หายไป)

1. ในการเปิดใช้งานหนึ่งในนโยบายเหล่านี้ คุณต้องสร้างคีย์ย่อยใหม่ในคีย์ที่ระบุด้วย GUID ของคลาสอุปกรณ์ที่คุณต้องการบล็อกการเข้าถึง (คอลัมน์ 2)

2. ในคีย์รีจิสทรีใหม่ คุณต้องสร้างพารามิเตอร์ REG_DWORD ด้วยชื่อข้อจำกัดที่คุณต้องการใช้:
   Deny_Read — ปิดใช้งานการอ่านข้อมูลจากคลาสสื่อ
   Deny_Write - ปิดใช้งานการเขียนข้อมูล
   Deny_Execute — ปฏิเสธการเรียกใช้ไฟล์ปฏิบัติการจากคลาสสื่อภายนอก

3. ตั้งค่าพารามิเตอร์:
   1 — บล็อกประเภทการเข้าถึงอุปกรณ์ของคลาสนี้ที่ระบุ
   0 - อนุญาตให้ใช้อุปกรณ์คลาสนี้ .

คุณสามารถสร้างคีย์รีจิสทรีและพารามิเตอร์ที่ระบุได้ด้วยตนเอง ในภาพหน้าจอด้านล่าง ฉันได้สร้างคีย์ RemovableStorageDevices และคีย์ย่อยชื่อ {53f5630d-b6bf-11d0-94f2-00a0c91efb8b} โดยใช้พารามิเตอร์ REG_DWORD ฉันป้องกัน การเขียนและเรียกใช้ไฟล์ปฏิบัติการจากไดรฟ์ USB

หากต้องการบล็อกการอ่านและเขียนข้อมูลไปยังไดรฟ์ USB ใน Windows อย่างรวดเร็ว คุณสามารถเรียกใช้สคริปต์ PowerShell ต่อไปนี้:

$regkey='HKLM:\Software\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}'
$exists = Test-Path $regkey
if (!$exists) {
New-Item -Path 'HKLM:\Software\Policies\Microsoft\Windows\RemovableStorageDevices' -Name '{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}' -Force | Out-Null
}
New-ItemProperty -Path $regkey -Name 'Deny_Read -Value 1 -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path $regkey -Name 'Deny_Write' -Value 1 -PropertyType 'DWord' -Force | Out-Null

ในสภาพแวดล้อมของโดเมน คุณสามารถปรับใช้พารามิเตอร์รีจิสทรีเหล่านี้กับคอมพิวเตอร์ของผู้ใช้โดยใช้การตั้งค่านโยบายกลุ่ม

คุณสามารถใช้รีจิสตรีคีย์เหล่านี้และการกำหนดเป้าหมายระดับรายการของ GPP เพื่อใช้การตั้งค่าที่จำกัดการใช้อุปกรณ์จัดเก็บข้อมูล USB ภายนอกได้อย่างยืดหยุ่น คุณสามารถใช้นโยบายกับกลุ่มความปลอดภัย AD, ไซต์, เวอร์ชันของระบบปฏิบัติการ, OUs (คุณสามารถใช้ตัวกรอง WMI ได้)

ตัวอย่างเช่น คุณสามารถสร้างกลุ่มโดเมนพื้นที่เก็บข้อมูล-จำกัดอุปกรณ์และเพิ่มบัญชีคอมพิวเตอร์ที่คุณต้องการจำกัดการใช้ไดรฟ์ USB ต้องระบุกลุ่มนี้ในนโยบาย GPP ของคุณในส่วน การกำหนดเป้าหมายระดับรายการ -> กลุ่มความปลอดภัย โดยมีตัวเลือก คอมพิวเตอร์ ในกลุ่ม การดำเนินการนี้จะใช้นโยบายการบล็อก USB กับคอมพิวเตอร์ที่เพิ่มลงในกลุ่ม AD นี้

วิธีปิดการใช้งานอุปกรณ์เก็บข้อมูล USB ใน Windows โดยสมบูรณ์

คุณสามารถปิดใช้งานไดรเวอร์ USBSTOR (USB Mass Storage) ได้อย่างสมบูรณ์ ซึ่งจำเป็นสำหรับการตรวจจับและติดตั้งอุปกรณ์เก็บข้อมูล USB อย่างถูกต้อง

ในคอมพิวเตอร์แบบสแตนด์อโลน คุณสามารถปิดใช้งานไดรเวอร์นี้ได้โดยเปลี่ยนค่าของพารามิเตอร์รีจิสทรี Start จาก 3 เป็น 4 คุณสามารถทำได้ผ่าน PowerShell:

Set-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\services\USBSTOR" -name Start -Value 4

รีสตาร์ทเครื่องคอมพิวเตอร์และลองเชื่อมต่ออุปกรณ์เก็บข้อมูล USB ของคุณ ตอนนี้ไม่ควรปรากฏใน File Explorer หรือคอนโซลการจัดการดิสก์ และคุณจะเห็นข้อผิดพลาดในการติดตั้งไดรเวอร์อุปกรณ์ในตัวจัดการอุปกรณ์

คุณสามารถปิดใช้งานไดรเวอร์ USBSTOR ไม่ให้ทำงานบนคอมพิวเตอร์โดเมนได้โดยใช้ Group Policy Preferences ในการดำเนินการนี้ คุณต้องทำการเปลี่ยนแปลงรีจิสทรีผ่าน GPO

การตั้งค่าเหล่านี้สามารถนำไปใช้กับคอมพิวเตอร์ทุกโดเมนได้ สร้าง Group Policy ใหม่ เชื่อมโยงกับ OU กับคอมพิวเตอร์ และในส่วน Computer Configuration -> Preferences -> Windows Settings -> Registry ให้สร้างพารามิเตอร์ใหม่ด้วยค่า:

Action: Update
Hive: HKEY_LOCAK_MACHINE
Key path: SYSTEM\CurrentControlSet\Services\USBSTOR
Value name: Start
Value type: REG_DWORD
Value data: 00000004

ประวัติของไดรฟ์ USB ที่เชื่อมต่อใน Windows

เมื่อแก้ไขปัญหานโยบายการบล็อกสื่อ USB คุณต้องได้รับข้อมูลเกี่ยวกับประวัติการเชื่อมต่อไดรฟ์ USB กับคอมพิวเตอร์

หากต้องการแสดงรายการไดรฟ์ USB ที่เชื่อมต่อกับคอมพิวเตอร์ในปัจจุบัน ให้ใช้คำสั่ง PowerShell ต่อไปนี้:

Get-PnpDevice -PresentOnly | Where-Object { $_.deviceId -match '^USBSTOR' }

สถานะตกลง แสดงว่าไดรฟ์ USB นี้เชื่อมต่ออยู่และทำงานอย่างถูกต้อง

บันทึกเหตุการณ์ของ Windows ช่วยให้คุณสามารถติดตามเหตุการณ์ของการเชื่อมต่อ/การนำไดรฟ์ USB ออก

1. คุณสามารถค้นหาเหตุการณ์เหล่านี้ได้ใน Event Viewer -> Application and Services Logs -> Windows -> Microsoft-Windows-DriverFrameworks-UserMode -> Operational;

2. ตามค่าเริ่มต้น Windows จะไม่บันทึกประวัติการเชื่อมต่อที่เก็บข้อมูล USB ดังนั้นคุณจะต้องเปิดใช้งานด้วยตนเอง (เปิดใช้งานบันทึก) หรือผ่าน GPO

   

3. ตอนนี้คุณสามารถใช้ EventID 2003 (

   Pnp or Power Management operation to a particular device

   ) เพื่อดูข้อมูลเกี่ยวกับเวลาที่เชื่อมต่อไดรฟ์ USB และรหัสเหตุการณ์ 2102 (

   Pnp or Power Management operation to a particular device

   ) เกี่ยวกับการดีดแฟลชไดรฟ์:

   

   Forwarded a finished Pnp or Power operation (27, 2) to the lower driver for device SWD\WPDBUSENUM\_??_USBSTOR#DISK&VEN_UFD_2.0&PROD_SILICON-POWER16G&REV_PMAP#89283229E6C10D23CE7200A2&2#{12234567-B6BF-11D0-2233-00A0AFBB3321F} with status 0x0.

คุณยังสามารถใช้เครื่องมือ USBDriveLog ฟรีจาก Nirsoft ซึ่งช่วยให้คุณแสดงประวัติทั้งหมดของการเชื่อมต่อไดรฟ์ USB กับคอมพิวเตอร์ของผู้ใช้ (แสดงข้อมูลเกี่ยวกับอุปกรณ์ หมายเลขซีเรียล ผู้ผลิต เวลาเชื่อมต่อ/ตัดการเชื่อมต่อ และรหัสอุปกรณ์)

อนุญาตเฉพาะอุปกรณ์เก็บข้อมูล USB เฉพาะใน Windows

ใน Windows คุณสามารถอนุญาตให้ไดรฟ์ USB บางตัว (อนุมัติ) เชื่อมต่อกับคอมพิวเตอร์ของคุณได้

เมื่อคุณเชื่อมต่ออุปกรณ์เก็บข้อมูล USB เข้ากับคอมพิวเตอร์ ไดรเวอร์ USBSTOR จะติดตั้งอุปกรณ์และสร้างรีจิสตรีคีย์แยกต่างหากภายใต้ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR คีย์รีจิสทรีนี้มีข้อมูลเกี่ยวกับไดรฟ์ USB (เช่น Disk & Ven_Kingstom & Prod_DT_1010_G2 & Rev_12.00)

Get-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Enum\USBSTOR\*\*| select FriendlyName

ลบรายการทั้งหมดสำหรับแฟลชไดรฟ์ USB ที่เชื่อมต่อก่อนหน้านี้ ยกเว้นรายการที่คุณต้องการ จากนั้นคุณต้องเปลี่ยนสิทธิ์ในคีย์รีจิสทรี USBSTOR เพื่อให้ผู้ใช้ทั้งหมด รวมถึง SYSTEM และผู้ดูแลระบบมีสิทธิ์อ่านเท่านั้น ดังนั้น หากคุณเชื่อมต่อไดรฟ์ USB อื่นนอกเหนือจากที่อนุญาต Windows จะไม่สามารถติดตั้งอุปกรณ์ได้

คุณยังสามารถเรียกใช้คำสั่ง/สคริปต์เฉพาะเมื่อ EventID ที่เชื่อมต่อกับ USB ปรากฏใน Event Viewer (นี่คือตัวอย่างโดยละเอียดของวิธีเรียกใช้กระบวนการเมื่อมีเหตุการณ์เฉพาะเกิดขึ้น) ตัวอย่างเช่น คุณสามารถสร้างสคริปต์ PowerShell อย่างง่ายที่จะดีดไดรฟ์ USB ใดๆ ออกโดยอัตโนมัติหากหมายเลขซีเรียลไม่ตรงกับที่ระบุในสคริปต์:

$usbdev = get-wmiobject win32_volume | where{$_.DriveType -eq '2'}
If ($usbdev.SerialNumber -notlike “31DF1233BKAD”)
{
$usbdev.DriveLetter = $null
$usbdev.Put()
$usbdev.Dismount($false,$false) | Out-Null

ดังนั้น คุณสามารถทำการตรวจสอบแฟลชไดรฟ์ USB ที่เชื่อมต่อกับคอมพิวเตอร์อย่างง่ายที่สุด