Ограничение доступа к USB дискам и флешекам
Содержание лекции: Ограничение доступа к USB дискам и флешекам
Расшифровка лекции: Ограничение доступа к USB дискам и флешекам
Полный текст первых минут лекции «Ограничение доступа к USB дискам и флешекам» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.
Добро пожаловать на лекцию про ограничение доступа в USB устройство. То есть мы хотим ограничить пользователя так, чтобы он не мог копировать информацию на USB носители, на USB диски, на свой мобильный телефон, чтобы он не мог скопировать информацию, чтобы не украсть наши рабочие секреты.
Вот у меня есть USB диск и по умолчанию я могу в него что-то скопировать, стереть и так украсть информацию с моего рабочего места и вынести ее, предположим, домой или еще куда-либо.
Давайте сейчас подключим еще мобильный телефон Galaxy S7, старенький, и он тоже может быть использован как носитель информации. Например, мы зайдем внутрь телефона в папку «Видеокамеры» и сделаем в ней папку «ААА» или скопируем что-то с моего рабочего стола.
То есть я вам показываю, что телефон может быть носителем информации такой же, как USB. Он умеет функционировать, как обычный USB диск, как флешка.
И чтобы это все предотвратить, я не хочу мешать установке драйверов. Я хочу, чтобы драйвера, да, установились, но групповая политика, политика моей фирмы, политика управления этим компьютером не позволила доступ к этим устройствам.
То есть, чтобы это было ограничение не на уровне драйверов, драйвер, да, будет работать, а на следующем слою, на слою групповой политики. И у меня есть инструмент Local Group Policy Editor, GP Edit.
Этот инструмент из старой RGuardia, из MMC, начиная с Windows 8, у нас новая контроль панель, но этот инструмент не существует в новом контроль панели, поэтому нам надо его открывать с помощью файла MSC.
MSC это Microsoft Console, это файлы старых инструментов управления, называется Microsoft Console MMC. И этот файл с настройками GoPolicy.
Давайте я вам сейчас быстренько покажу, что такое старые инструменты MMC, чтобы вы вообще знали про эти инструменты. Потому что там находится вся сила Windows, потому что до Windows 8, начиная с 2000-х годов, до Windows 8 развивался только вот этот вот инструмент управления MMC, вот этот вот стандарт.
А начиная с Windows 8, Microsoft решили перейти на новый контроль-панель с помощью тачскрина, с помощью вот этого вот всего нового интерфейса, который есть в десятке.
Но этот новый интерфейс, в нем еще до сих пор нет всех этих возможностей, в том числе Group Policy. Поэтому мне очень важно, чтобы вы знали, что такое MMC.
MMC – это старые инструменты управления, и к этому MMC можно подключить любые плагины, любые добавки. Это как бы основа, это фреймворк.
И одна из таких добавок это gpedit. Она уже настроена внутри файла gpedit.msc. Вот файл msc, Microsoft Console, может открыть только инструмент mmc.exe. То есть mmc.exe, все exe файлы открывает операционка, а все, что не экзешник, уже операционка открывать не умеет.
Операционка умеет запускать только экзешники. Windows умеет запускать только экзешники в память и запускать их коды. А этот экзешник уже в свою очередь запускает другой файл с настройками для себя.
Ему уже дали файл с настройками, называется gpedit.msc. Короче, вот это вот самый правильный синтакс написать mmc.exe и имя файла.
Но Windows умеет по окончанию файла сама определять, какой экзешник должен его открыть. Из-за того, что Windows такая умная, можно написать gpedit и нажать Enter, и все заработает.
Сейчас я включил MMC пустой и добавляю к нему Snap-in плагины. Я могу добавить вот наш любимый Group Policy Object. Я также могу добавить еще разные плагины, кроме нашей групповой политики, про которого мы сейчас будем говорить, вы не беспокойтесь.
Это я решил вам показать, как работает MMC. Например, я могу добавить еще журнал событий, Event Viewer, управление пользователями.
Кстати, он у меня спрашивает, к какому компьютеру подсоединиться. Я могу удаленный журнал событий с удаленного компьютера.
То же самое управление пользователями я могу делать локально, могу удаленно. То есть на удаленном компьютере запускать команды и графический инструмент мой будет подключаться к тому компьютеру.
То есть так работает MMC, у него собираются много инструментов. Самый легкий способ это нажать Start, Group Policy и открыть GP Edit.
В конце концов открывается тот же самый MMC. Так, давайте вернемся к нашей теме. Нам надо сейчас выбрать, либо мы делаем ограничение на уровне пользователя, либо на уровне компьютера.
Давайте начнем ограничение на уровне одного пользователя, то есть текущего пользователя, а потом сделаем ограничение на уровне компьютера для всех пользователей.
И я говорю про всех пользователей этого конкретного компьютера. Подумайте, что на моем компьютере есть там мой пользователь и там моя сестра, моя жена, моя мама, мой ребенок.
Все мы пользуемся одним семейным компьютером, и у каждого свой пользователь, свой юзернейм в этом общем компьютере.
И у каждого свои папки и свои права. Мы сейчас на уровне конкретного пользователя. Здесь есть 3000 настроек, поэтому в групповой политике не надо ничего помнить наизусть, надо уметь искать в Google.
Мы сейчас ищем Removable Storage Access. Я заранее поискал в Google, где это находится, и написал себе сбоку. нас здесь могут быть устройства типа WPD. Что такое WPD? Это и есть телефон. Если мы сделаем ограничение на уровне телефона, у нас есть возможность ограничить право читать и право записывать внутрь телефона. Так, вот наш
телефон. Я вам хочу показать, что будет меняться, когда я буду менять групповую политику. Сначала я ограничу право записи внутрь телефона, чтобы можно было все читать, но своровать информацию с рабочего места внутрь телефона было запрещено. Яду внутрь телефона и давайте проверим, что на данный
момент до наших всех ограничений мы можем делать папки AAA, BBB и видим, что у нас есть право записи внутрь телефона. Теперь я выбираю политику Deny Write Access, включаю ее, то есть включаю ограничение записи и здесь есть объяснение, что если я включу эту политику, сделаю ее enable, то у меня
будет deny отказ в write access, то есть в доступе на запись. Операционка не даст права записи на это устройство. Вообще все команды, которые делают любое приложение, всегда в конце они просят