Frage Microsoft Windows Userverwaltung

gelöst USB-Port Administration

Hi,

DeviceLock, http://www.devicelock.com
ist für Business Einsätze gut geeignet. Es gibt ebenfalls eine 30 Tage demo.

Die c't hatte auch mal einen netten Artikel mit einem Tool veröffentlicht, aber dieses Tool läßt sich durch geschickte Anwender austricksen.

mfg
DrOktagon

hmm, manche Mainboards bieten die Option an, USB Ports zu deaktivieren.
Je nachdem wie fit die User sind würde das schon reichen.

@12217:
Echt? In wie fern lässt sich das Überwachen der Registry-Keys überlisten? Wenn das Script als Dienst läuft und der User keine Admin-Rechte hat und am Script und der Konfiguration nichts ändern kann, sehe ich da keine Möglichekeit.

Ausserdem kann man verhindern dass User USB-Massenspeicher wie Festplatten und USB-Sticks anschliessen, indem man dem User SYSTEM die Rechte auf die Datei usbstor.inf entzieht (cacls %windir%\inf\usbstor.inf /D System /E). Dann kann das Betriebssystem den benötigten Treiber nicht mehr installieren wenn ein Gerät angestevkt wird.
Das geht aber nur, so lange der Treiber noch nicht installiert war. War schon mal ein Massenspeicher angesteckt, ist der Treiber schon installiert und das Ganze funktioniert nicht mehr.

Und noch was:
Um das speichern von der Festplatte auf einen USB Wechseldatenträger unter Windows XP mit SP2 zu unterbinden, muß man einen Registry Eingriff machen. Öffne den Schlüssel Hkey_Local_Machine/System/CurrentControlSet/Control/StorageDevicePolicies und erstelle einen DWORD Eintrag mit der Bezeichnung WriteProtect, als Wert wird eine 1 gesetzt. Sollte der Schlüssel StorageDevicePolicies nicht vorhanden sein, muß man ihn nur erstellen. Nach diesem Hack kann von dem Wechseldatenträger zwar noch gelesen werden, aber nicht mehr darauf geschrieben werden.

Und noch was hier aus dem Forum selbst:
https://www.administrator.de/USB_Port_sperren.html
https://www.administrator.de/Usb_Stick_sperren.html

Gruss,
Thomas

Hallo Sauerland85,

ein sehr professionelles Tool ist Device Control von Securewave...

Gruß C.K.

@superboh: Du hast recht. Anwender mit normalen Berechtigungen können den USB-Wächter nicht deaktivieren.

Anmerkung von Gruppenrichtlinien.de zum c't USB-Wächter:
"Der USB Wächter ist eine "Fummel und Bastellösung" von der c´t http://www.heise.de/ct/ftp/03/08/190/
Die Leute von der c´t haben ein VB Script geschrieben, daß die Geräte der USB Schnittstelle überwacht. Das Script läuft im Hintergrund und entscheidet anhand einer .cfg Datei über die zugelassenen Geräte. Zum Thema Sicherheit sei nur soviel gesagt: Einen Prozess zu killen ist wohl eine der leichtesten Übungen ..."

mfg
DrOktagon

Also, ich bevorzuge auch das, was superboh schon beschrieben hat. Der Weg über usbstor.inf ist der einfachste und ohne zusätzliche Software zu bewerkstelligen.

Als Ergänzung möchte ich noch anmerken, dass es auch geht, wenn schon ein USB-Stick installiert wurde. In diesem Fall als Admin anmelden, USB-Stick einstecken und deinstallieren. Danach die USBSTOR.SYS im %systemroot%\System32\drivers-Verzeichnis löschen und wie von superboh beschrieben, die Rechte auf die Datei USBSTOR.INF im %systemroot%\inf-Verzeichnis beschränken.

Nur eines musst Du dabei beachten. Wenn Du als Admin, aus welchen Gründen auch immer, auf diesem Rechner wieder einen USB-Stick nutzt, ist dieser auch für den User wieder nutzbar, da Du den USBSTOR-Treiber wieder installiert hast.

Du hast da noch ein sehr gutes Tool vergessen.
Den "USB Blocker" der Fa. iSM, sperrt interene und exteren Geräte auf Basis der Gruppenrichtlinien vom ADS und NDS. http://www.secu-sys.de

Gruß,
Jörg