Как заблокировать все USB кроме одного порта?

Question

[SterhXXX]

Возможно ли осуществить блокировку всех usb, кроме одного порта? Также рассматривается вариант употребления определенных флешек.

Answer 1

[pfg21]

выпилить физически. военка так и делает.
выдирают порты, напрямую подключают мышу с клавой и заливают эпоксидкой. и опечатывают корпус.
вар2: полностью прячут комп в железный ящик под замок.
дешево и серъезно, вскрытие замечается наглядно.

Comments

[SterhXXX]

офигеть! прикольно как!!!

Answer 2

[Армянское Радио]

Главная причина, почему ваша идея смысла не имеет: пользователь принесет хаб, и получит столько портов, сколько он хочет. А если пользователь хитрый, он спрячет хаб и флешку внутри мыши/клавиатуры.

1) Нет, порты USB внутри подключены к микросхеме-хабу, которая в 99% случаев является глупой и никак не управляется.
2) Если в машине установлены разные хабы (например, на старых материнках есть отдельный хаб usb 3.0), то да, вы его можете выключить в диспетчере устройств, и отключить порты, с ним связанные.

Так что остаются физические методы отключения - только не надо в разъемы ничего запихивать. Порты на передней панели можно отключить, отсоединив их от материнской платы. На задней панели - можно заказать на лазерной резке планки под разъемы без соответствующих отверстий.

3) Всякие разные программы, фильтрующие флешки по разным критериям, есть как для форточки, так и для линукса. На линуксе достаточно поколдовать с правилами udev.

Comments

[Армянское Радио]

Sha644, ваше предположение неверно. Я насмотрелся и на уродливые стальные ящики 3мм (криво покрашенные в зеленый), и на ляпы эпоксидки вокруг портов - решения, достойные "крепкого хозяйственника"

Все это дорого и бессмысленно. Партия новых разъемных планок стоит примерно в сто раз дешевле металлического ящика, не нарушает внешнего вида системника, а лишнее отверстие в планке видно также хорошо.

Answer 3

[AntHTML]

Политика AD + политика KES + запрет в BIOS грузиться с чего либо кроме HDD + пароль на BIOS + стикер-пломба на крышку системника
Ну и пара приказов под роспись что нельзя пользоваться флешками и что за это будет при квартальном мониторинге логов.

Comments

[SterhXXX]

политика AD запрещает все порты - не пойдет.
политика KES - интересный варик, осталось руководство развести на Каспера :)
политика по BIOS - эээ... дело хорошее и нужное, только не решает конкретной задачи.
стикер-пломба на крышку системника - классная мысль - спасибо!

[AntHTML]

SterhXXX, Не помню уже как точно называется политика AD которая тупо запрещает чтение/запись на съемные устройста - раскидывается на все компы и чики-пуки
в политиках KES можно лочить устройства по спискам, в том числе, на всякий, закинуть в доверенные пару своих
политика BIOS дает то что кроме винды ни в какой RescueUSB не загрузишься чтобы без бубна слить инфу. Стикер туда-же