Q127 Борьба со съёмными носителями.

Mitrich

Дата: Суббота да да да тоже рабочий день..., 2009-11-14, 11.00.14 | Сообщение # 1

Счастливый

Группа: Администраторы

Сообщений: 11156

Статус: ушел ф сад

Очень часто проскакивает вопрос, как сделать так, чтобы человек не мог использовать flash-диски, вот пара способов…

Способ 1 — если USB-девайс еще не ставился на комп.
К примеру, вы только что поставили систему, или это эталонный образ для клона. В общем, идем в папку %Windows% там есть папочка inf, в ней есть два файла — Usbstor.pnf и Usbstor.inf. Даём на эти файлы deny всем, кроме админов — теперь флешками могут пользоваться только админы.

Способ 2 — если USB-девайсы уже устанавливались в систему.
Открываем regedit.
Идем в
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UsbStor,
и изменяем параметр «start» на 4. Вуаля, теперь флешки не работают.

Способ 3 — элегантный.
Зачем запрещать USB совсем, когда можно запретить только чтение?
Regedit, идём в ветку
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\control\StorageDevicePolicies.
Если её там нет, создаем (у меня не было). Далее, делаем в ней ключ writeprotect типа dword и присвоим ей значение 1. Всё, теперь прочитать вы можете, а при попытке записи вам скажут, что диск защищен от записи.

Способ 4 — через групповые политики.
Если у вас есть домен и вы хотите запретить доступ к
CDrom, USB-портам, floppy — то берём этот текст:

"зачем же для тебя Легко... все то, что для меня Святое"(с)
"Когда истина начинает казаться тебе понятной, знай — ты ничего не понял... "Анхель де Куатьэ.Я принимаю людей такими, какие они есть... или не принимаю вовсе!

Mitrich

Дата: Суббота да да да тоже рабочий день..., 2009-11-14, 11.00.39 | Сообщение # 2

Счастливый

Группа: Администраторы

Сообщений: 11156

Статус: ушел ф сад

сам текст ниже

Quote

CLASS MACHINE
CATEGORY !!category
CATEGORY !!categoryname
POLICY !!policynameusb
KEYNAME "SYSTEM\CurrentControlSet\Services\USBSTOR"
EXPLAIN !!explaintextusb
PART !!labeltextusb DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynamecd
KEYNAME "SYSTEM\CurrentControlSet\Services\Cdrom"
EXPLAIN !!explaintextcd
PART !!labeltextcd DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 1 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynameflpy
KEYNAME "SYSTEM\CurrentControlSet\Services\Flpydisk"
EXPLAIN !!explaintextflpy
PART !!labeltextflpy DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynamels120
KEYNAME "SYSTEM\CurrentControlSet\Services\Sfloppy"
EXPLAIN !!explaintextls120
PART !!labeltextls120 DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
END CATEGORY
END CATEGORY

[strings]
category="Custom Policy Settings"
categoryname="Restrict Drives"
policynameusb="Disable USB"
policynamecd="Disable CD-ROM"
policynameflpy="Disable Floppy"
policynamels120="Disable High Capacity Floppy"
explaintextusb="Disables the computers USB ports by
disabling the usbstor.sys driver"
explaintextcd="Disables the computers CD-ROM Drive by
disabling the cdrom.sys driver"
explaintextflpy="Disables the computers Floppy Drive by
disabling the flpydisk.sys driver"
explaintextls120="Disables the computers High Capacity
Floppy Drive by disabling the sfloppy.sys driver"
labeltextusb="Disable USB Ports"
labeltextcd="Disable CD-ROM Drive"
labeltextflpy="Disable Floppy Drive"
labeltextls120="Disable High Capacity Floppy Drive"
Enabled="Enabled"
Disabled="Disabled"

Mitrich

Дата: Суббота да да да тоже рабочий день..., 2009-11-14, 11.00.53 | Сообщение # 3

Счастливый

Группа: Администраторы

Сообщений: 11156

Статус: ушел ф сад

Копируем в текстовый редактор и сохраняем файл с расширением .adm, например, disabledisk.adm. Идём в редактор групповой политики — правый клик на «административные шаблоны», в разделе «компьютер» выбираем «добавить-удалить
шаблон», выбираем наш disabledisk.adm. У нас появляется новый раздел «Custom Policy Settings», если в нем ничего нет, нужно щелкнуть «Вид» > «Фильтрация», и снять галочку с "Показывать только управляемые параметры политики”. Дальше, я думаю, сами разберётесь.

Способ 5 - установка специального софта (Crazy user)
SysUtils Device Manager - http://devicemanager.narod.ru/ - бесплатный
Zlock - http://www.securit.ru/products/info/zlock/ - платный
DeviceLock - http://www.devicelock.ru/ - платный