Во многих фирмах и организациях запрет на использования USB накопителей одна из первоочередных задач которые ставятся перед системным администратором предприятия, причина тому две беды – вынос информации (секретных документов и т.д.) и внос ее: вирусы, игры и тому подобное. На первый взгляд задача решается просто – через BIOS отключить USB порты, но это затронет и другие USB устройства – мышь, клавиатура, принтер или зарядку для телефона.

Итак, необходимо программно запретить использование флешек, при этом не задев полезных USB устройств. Вариантов решения несколько, давайте рассмотрим их по подробнее:

Отключить USB Windows 7, 8, Vista

Начиная с Windows Vista в локальных групповых политиках (gpedit.msc ) появился очень полезный куст, находится в Политика “Локальный компьютер” > Конфигурация компьютера > Административные шаблоны > Система > Доступ к съемным запоминающим устройствам . В нем можно гибко настроить запреты чтения, записи и выполнения на различные классы съемных устройств.

Отключить USB Windows XP

Чтобы запретить съемные запоминающие устройства USB в Windows XP, нужно немного подправить реестр и настроить права доступа к файлам драйвера:

1. Отключить службу USBSTOR (regedit.exe)

“Start”=dword:00000004

1. Учетной записи SYSTEM выставить разрешение “Запретить” для следующих файлов:
   • %SystemRoot%\Inf\Usbstor.pnf
   • %SystemRoot%\Inf\Usbstor.inf

Тут описано более подробно, первоисточник – http://support.microsoft.com/kb/823732

Создайте фаил с расширением – .bat и с копируйте один из вариантов кода
Батники, для автоматизации отключения:

on-USB.bat

Rem 1) ACL cacls %SystemRoot%\inf\usbstor.inf /e /p "NT AUTHORITY\SYSTEM":F cacls %SystemRoot%\inf\usbstor.PNF /e /p "NT AUTHORITY\SYSTEM":F rem 2) Registry reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR /v Start /t REG_DWORD /d 00000003 /f

off-USB.bat

Rem ACL cacls %SystemRoot%\inf\usbstor.inf /e /p "NT AUTHORITY\SYSTEM":N cacls %SystemRoot%\inf\usbstor.PNF /e /p "NT AUTHORITY\SYSTEM":N rem registry reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR /v Start /t REG_DWORD /d 00000004 /f

Запрет USB через групповые политики Windows server 2003

По умолчанию Групповые Политики в Windows server 2003 не предоставляют возможности простого способа отключения устройств использования сменных носителей, таких как порты USB, дисководы CD-ROM, Floppy дисководы. Не смотря на это, Групповые Политики могут быть расширены для использования соответствующих настроек посредством ADM шаблона.

ADM шаблон представленный ниже позволит администратору отключить соответствующее устройство. Импортируйте этот административный шаблон в Групповые Политики как.adm файл.
В C:\WINDOWS\inf создаем файл nodev.adm с содержимым:

CLASS MACHINE CATEGORY !!category CATEGORY !!categoryname POLICY !!policynameusb KEYNAME "SYSTEM\CurrentControlSet\Services\USBSTOR" EXPLAIN !!explaintextusb PART !!labeltextusb DROPDOWNLIST REQUIRED VALUENAME "Start" ITEMLIST NAME !!Disabled VALUE NUMERIC 3 DEFAULT NAME !!Enabled VALUE NUMERIC 4 END ITEMLIST END PART END POLICY POLICY !!policynamecd KEYNAME "SYSTEM\CurrentControlSet\Services\Cdrom" EXPLAIN !!explaintextcd PART !!labeltextcd DROPDOWNLIST REQUIRED VALUENAME "Start" ITEMLIST NAME !!Disabled VALUE NUMERIC 1 DEFAULT NAME !!Enabled VALUE NUMERIC 4 END ITEMLIST END PART END POLICY POLICY !!policynameflpy KEYNAME "SYSTEM\CurrentControlSet\Services\Flpydisk" EXPLAIN !!explaintextflpy PART !!labeltextflpy DROPDOWNLIST REQUIRED VALUENAME "Start" ITEMLIST NAME !!Disabled VALUE NUMERIC 3 DEFAULT NAME !!Enabled VALUE NUMERIC 4 END ITEMLIST END PART END POLICY POLICY !!policynamels120 KEYNAME "SYSTEM\CurrentControlSet\Services\Sfloppy" EXPLAIN !!explaintextls120 PART !!labeltextls120 DROPDOWNLIST REQUIRED VALUENAME "Start" ITEMLIST NAME !!Disabled VALUE NUMERIC 3 DEFAULT NAME !!Enabled VALUE NUMERIC 4 END ITEMLIST END PART END POLICY END CATEGORY END CATEGORY category="Custom Policy Settings" categoryname="Restrict Drives" policynameusb="Disable USB" policynamecd="Disable CD-ROM" policynameflpy="Disable Floppy" policynamels120="Disable High Capacity Floppy" explaintextusb="Disables the computers USB ports by disabling the usbstor.sys driver" explaintextcd="Disables the computers CD-ROM Drive by disabling the cdrom.sys driver" explaintextflpy="Disables the computers Floppy Drive by disabling the flpydisk.sys driver" explaintextls120="Disables the computers High Capacity Floppy Drive by disabling the sfloppy.sys driver" labeltextusb="Disable USB Ports" labeltextcd="Disable CD-ROM Drive" labeltextflpy="Disable Floppy Drive" labeltextls120="Disable High Capacity Floppy Drive" Enabled="Enabled" Disabled="Disabled"

ВАЖНО! В случае если добавленные политики не отображаются в редакторе групповых политик проделайте следующее:
1. В правой части окна редактора политик нажмите правую клавишу мыши, перейдите в пункт меню Вид и нажмите Фильтрация…
2. Снимите отметку с пункта “Показывать только управляемые параметры политики”
3. Нажмите ОК
После этого добавленные политики будут отображены в правой части окна редактора групповых политик.

Запрет USB через групповые политики Windows server 2008

Готовая групповая политика запрета накопителей, появилась в серверных ОС, начиная с Windows server 2008, настроить их на контроллере можно через оснастку gpmc.msc, располагаются по тому же пути (Policy > Computer configuration > Policies > Administrative Templates > System > Removable storage access). Работает она безотказно, но применятся только на операционные системы Windows Vista, 7 и 8.

Несколько сложнее, обстоят дела с Windows XP, несмотря на заявления Microsoft о прекращении поддержки XP весной 2014 , она по-прежнему занимает не малую часть операционных систем, используемых в корпоративном секторе. Не беда, настроим как и локальную, но только через ГПО. Запускаем gpmc.msc, создаем объект групповой политики и начинаем его редактировать.

Иногда возникает необходимость отключить USB порты на компьютере или ноутбуке, чтобы ограничить доступ по подключению флешек, жестких дисков и других USB-устройств. Отключение портов USB поможет предотвратить подключение каких-либо накопителей, которые могут быть использованы для кражи важной информации или стать причиной заражения компьютера вирусом и распространения вредоносного программного обеспечения по локальной сети.

Ограничение доступа к USB портам

Рассмотрим 7 способов , с помощью которых можно заблокировать USB порты:

1. Отключение USB через настройки БИОС
2. Изменение параметров реестра для USB-устройств
3. Отключение USB портов в диспетчере устройств
4. Деинсталляция драйверов контроллера USB
5. Использование Microsoft Fix It 50061
6. Использование дополнительных программ
7. Физическое отключение USB портов

1. Отключение USB портов через настройки BIOS

1. Войдите в настройки BIOS.
2. Отключите все пункты, связанные с контроллером USB (например, USB Controller или Legacy USB Support).
3. После того как вы сделали эти изменения, нужно сохранить настройки и выйти из БИОС. Обычно это делается с помощью клавиши F10 .
4. Перезагрузите компьютер и убедитесь, что USB порты отключены.

2. Включение и отключение USB-накопителей с помощью редактора реестра

Если отключение через БИОС вам не подходит, можете закрыть доступ непосредственно в самой ОС Windows с помощью реестра.

Приведенная ниже инструкция позволяет закрыть доступ для различных USB-накопителей (например флешек), но при этом другие устройства, такие как клавиатуры, мыши, принтеры, сканеры все равно будут работать.

1. Откройте меню Пуск -> Выполнить, введите команду «regedit » и нажмите ОК, чтобы открыть редактор реестра.
2. Перейдите к следующему разделу
   

   HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ USBSTOR

3. В правой части окна найдите пункт «Start » и два раза щелкните по нему, чтобы отредактировать. Введите значение «4 » для блокировки доступа к USB-накопителям. Соответственно если вы введете опять значение «3 », доступ будет вновь открыт.

Нажмите кнопку «ОК», закройте редактор реестра и перезагрузите компьютер.

Вышеописанный способ работает только при установленном драйвере USB контроллера. Если по соображениям безопасности драйвер не был установлен, значение параметра «Start» может быть автоматически сброшено на значение «3», когда пользователь подключит накопитель USB и Windows установит драйвер.

3. Отключение USB портов в диспетчере устройств

1. Нажмите правой кнопкой мыши на значке «Компьютер » и выберете в контекстном меню пункт «Свойства». Откроется окно в левой части которого нужно нажать на ссылку «Диспетчер устройств ».
2. В дереве диспетчера устройств найдите пункт «Контроллеры USB » и откройте его.
3. Отключите контроллеры путем нажатия правой кнопки мыши и выбора пункта меню «Отключить».

Этот способ не всегда работает. В примере, приведенном на рисунке выше отключение контроллеров (2 первых пункта) не привело к желаемому результату. Отключение 3-го пункта (Запоминающее устройство для USB) сработало, но это дает возможность отключить лишь отдельный экземпляр USB-накопителя.

4. Удаление драйверов контроллера USB

Как вариант для отключения портов можно просто деинсталлировать драйвер USB контроллера. Но недостатком этого способа является то, что при подключении пользователем USB-накопителя, Windows будет проверять наличие драйверов и при их отсутствии предложит установить драйвер. Это в свою очередь откроет доступ к USB-устройству.

5. Запрет пользователям подключение USB-устройств хранения данных с помощью приложения от Microsoft

Еще один способ запрета доступа к USB-накопителям – это использование Microsoft Fix It 50061 (http://support.microsoft.com/kb/823732/ru — ссылка может открываться около митуты). Суть это способа заключается в том, что рассматриваются 2 условия решения задачи:

• USB-накопитель еще не был установлен на компьютер
• USB-устройство уже подключено к компьютеру

В рамках данной статьи не будем детально рассматривать этот метод, тем более, что вы можете подробно его изучить на сайте Microsoft, используя ссылку приведенную выше.

Еще следует учесть, что данный способ подходит не для всех версий ОС Windows.

6. Использование программ для отключения/включения доступа к USB-устройствам хранения данных

Существует много программ для установки запрета доступа к USB портам. Рассмотрим одну из них — программу USB Drive Disabler .

Программа обладает простым набором настроек, которые позволяют запрещать/разрешать доступ к определенным накопителям. Также USB Drive Disabler позволяет настраивать оповещения и уровни доступа.

7. Отключение USB от материнской платы

Хотя физическое отключение USB портов на материнской плате является практически невыполнимой задачей, можно отключить порты, находящиеся на передней или верхней части корпуса компьютера, отсоединив кабель, идущий к материнской плате. Этот способ полностью не закроет доступ к USB портам, но уменьшит вероятность использования накопителей неопытными пользователями и теми, кто просто поленится подключать устройства к задней части системного блока.

! Дополнение

Запрет доступа к съемным носителям через редактор групповой политики

В современных версиях Windows существует возможность ограничить доступ к съемным запоминающим устройствам (USB-накопителям в том числе) с помощью редактора локальной групповой политики.

1. Запустите gpedit.msc через окно «Выполнить»(Win + R).
2. Перейдите к следующей ветви «Конфигурация компьютера -> Административные шаблоны -> Система -> Доступ к съемным запоминающим устройствам »
3. В правой части экрана найдите пункт «Съемные диски: Запретить чтение».
4. Активируйте этот параметр (положение «Включить»).

Данный раздел локальной групповой политики позволяет настраивать доступ на чтение, запись и выполнение для разных классов съемных носителей.

Для удобства пользователей компания Microsoft создала такую встроенную функцию в операционной системе, как автозапуск флешки. Главная её задача заключается в упрощении работы пользователя. Но основным недостатком является занесение на компьютер вирусов , прописанных на сменном носителе при копировании, используемый до этого на другом ПК. И для того чтобы обезопасить свою «машину» от вредоносных программ, следует знать, как включить или отключить автозапуск флешки и других съёмных носителей.

Это функция, позволяющая быстро и без каких-либо действий со стороны человека запускать программу, находящуюся на съёмном устройстве. Изначально она была разработана только для DVD и CD. Тогда как сейчас она может запускаться автоматически, даже при подключении смартфонов. Например, для носителей с фильмами и музыкой загружается проигрыватель, для чистого диска - софт записи, для фотографий - программа просмотра и т.д. Если на съёмном накопителе содержатся разнотипные файлы, тогда выскакивает окно с предложением нескольких действий.

Суть функции заключается в том, что в корневой папке сменного носителя нужно создать для флешки autorun.inf. Это файл, в котором содержится команда на автоматический запуск определённой программы. Включённый накопитель система обязательно проверит на наличие этого файла и, если найдёт, то, не делая лишних запросов, запустит его. Этим же пользуются и многие вирусы. Но существует хороший способ обезопасить съёмное оборудование - это создать для флешки autorun- файл. В этом случае вредоносная программа не сможет сама прописать его, так как он уже существует и тем самым не запустится при подключении устройства к компьютеру.

ВАЖНО. Многие создатели вирусов знают этот трюк и могут легко удалить этот файл со сменного носителя. Поэтому к вопросу о заражении вирусами оборудования стоит подходить более серьёзно.

Включение и выключение функции «автозапуск»

Для Windows 7, 8

Перед тем как автозапуск флешки включить, нужно в меню «Пуск» открыть панель управления и выбрать «Автозапуск». Напротив записи «Использовать для всех носителей и устройств» поставить галочку.

Напротив записи «Использовать для всех носителей и устройств» нужно поставить галочку

Для Windows XP

Процесс подключения и отключения этой функции в ОС XP немного сложнее. Для этого нужно перейти в «Групповую политику». В меню «Пуск» найти вкладку «Выполнить», прописать команду gredit.msc и нажать «enter». В открывшемся окне выбрать «Конфигурация компьютера», «Административные шаблоны» и «Система». В правой части найти строку «Отключить автозагрузку».

Нажимаем на Отключить автозапуск

Для включения функции отметить пункт «Отключен» (не задан) и подтвердить «ОК». А для её отключения выбрать строчку «Включён» и «Для всех дисков с подтверждением выбора».

После того как сделали автозапуск флешки, следует вставить съёмный накопитель в ПК и проверить действие системы.

Основы использования функции «Автозапуск»

• Следует знать, что авторан для флешки сам по себе не содержит вредоносный код, а имеет лишь ссылку на уже имеющийся файл с вирусом из интернета.
• Также вредоносные утилиты прописываются в папку Autorun при копировании с расширением.inf, .bat, .exe, .pif, .ini, .cmd и др.
• Нельзя сразу запускать файл или группу файлов авторун. Необходимо открыть их с помощью софта для просмотра (например, блокнот) и проверить на вирусы.
• Если при копировании данных помимо нужной информации обнаружен autorun, то его следует удалить. А если он не удаляется или исчезает, а через минуту создаётся заново, значит, компьютер заражён.
• Также для отключения функции можно использовать различные оптимизационные программы (твикеры). Но лучше это делать вручную, для большей безопасности.

Зачем создавать Autorun.inf

Перед тем как сделать autorun для флешки, необходимо знать, что следует не просто создать папку, а сделать её такой, чтобы вредоносный софт не смог её удалить. А для того чтобы вирус не смог понять, как удалить с флешки autorun.inf, её надо скрыть. В этом случае она может играть роль индикатора. Например, если флешка содержит вирусы, то они наверняка уже пытались удалить эту папку, а при этой операции она перестаёт быть скрытой. Таким образом, становится понятно, что на носителе есть вредоносные программы. И так как удалить с флешки авторан простым способом не получится, её нужно или отформатировать , или очистить с помощью антивируса AVZ, или воспользоваться программой FlashGuard.

Очень часто на «флешках» и внешних жестких дисках могут содержаться вредоносное ПО. Особенно эта проблема актуальна в тех случаях, когда вам приходится иметь дело со множеством незнакомых людей (заказчиков, например). В сегодняшней статье мы расскажем о том, как управлять USB-портами, блокируя и разблокируя их при необходимости.

Часто люди спрашивают: «Есть ли какая-то программа, с помощью которой я смогу ограничить доступ к USB-портам моего ноутбука «лишним» людям?»

Отвечаем: «Да, такая программа есть и она называется Microsoft Windows!» На самом деле всё не так сложно, ведь управлять включением и отключением USB-портов можно с помощью редактирования реестра. И, само-собой, поскольку реестр может исправлять только администратор, то и «гости» не смогут активировать выключенные порты без вашего разрешения.

Перед тем, как расскажем конкретный рецепт, напомним, что манипулирование реестром Windows — важное изменение. В случае поломки компьютера или ноутбука рекомендуем обратиться за ремонтом на srochnyi-remont.ru . Специалисты компании проконсультируют и помогут оперативно устранить возникшую проблему.

Блокировка и разблокировка USB-портов

Если вы часто работаете в реестре, то необходимый ключ находится по адресу: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR. Найдите ключ под названием Start и измените значение на 4, если хотите отключить поддержку USB. Хотите включить обратно? Тогда установите вновь 3.

Хотите делать это проще? Тогда просто откройте пустой файл Блокнота и вставьте туда следующее содержимое:

Windows Registry Editor Version 5.00

”Start”=dword:00000004

”Count”=dword:00000000
”NextInstance”=dword:00000000

Получится примерно вот так:

Теперь сохраните этот файл выбрав тип «Все файлы » и указав понятное название, например, «USB-Off.reg». У вас готов «выключатель» и осталось сделать ему антагониста.

Для этого повторите всё сначала, но в строке

”Start”=dword:00000004

замените 4 на 3 . А затем сохраните файл, но уже под противоположным названием, например, «USB-On.reg».

Теперь, запуская первый файл, вы будете отключать работу USB-портов, а используя второй — возобновлять их функционирование.

На самом деле способов довольно много. Каждый из них имеет свои преимущества, а некоторые и вовсе не заменимы.

Кому это нужно?

В первую очередь администраторам. А также в случае если компьютер используется несколькими пользователями.

Зачем это нужно?

Для безопасности, для конфиденциальности, для ограничения возможностей других пользователей.

Мой материал, как обычно, делится на две части: системные средства и сторонние программы (плюс небольшие вкрапления моего личного мнения).

Как запретить использование флешек?

Непосредственно в ОС Windows эту задачу можно выполнить с помощью Редактора групповых политик (GPO) и реестра. Кроме этого, можно выключить сами порты в BIOS. К этому всему еще в плюс внешнее программное обеспечение, о котором я расскажу в конце.

Неэффективные способы запрета флешек

Дабы потом не останавливаться на этом, сразу укажу несколько способов, которые явно неэффективны, хотя информации в сети о них полно.

• Физическое отключение портов. Это, конечно, классно, но есть же и другие порты, и переходники к ним. К тому же, почему-то все забывают о мышке, клавиатуре, колонках и т.п.
• Удаление драйверов на USB – от этого эффекта ноль. Система сама предложит их установить, или из сети, или с самого накопителя.
• Запрет флешек в редакторе групповых политик (просто запрещать каждое новое устройство по ID). Лучше запретить все, а нужные разрешить, как именно я покажу ниже.

Я, пожалуй, начну с Редактора групповых политик, так как считаю этот способ наиболее удобным и эффективным среди остальных системных.

Запрет флешек в Редакторе групповых политик

Нам нужно перейти в GPO. Открываете командную строку (вводите в поиске «cmd», кликаете правой кнопкой мыши, запускаете от имени администратора).

В командной строке вводите gpedit.msc и нажимаете Enter.

Откроется окно GPO. Теперь перейдем в раздел, где настраиваются нужные нам политики – «Доступ к съемным запоминающим устройствам». Нажмите на него – справа появятся существующие политики.

В данном случае нас интересуют политики касающееся съемных носителей. Однако здесь можно настроить работу с дисками (компакт, DVD, гибкими), ленточными накопителями и другими устройствами.

Также, очень удобно, это возможность выбрать, что именно необходимо запретить. Например, в целях сохранения информации, можно запретить запись.

Для этого нажмите на соответствующую политику правой кнопкой мыши и выберите «Изменить».

Теперь выберите команду «Включить» и нажмите «Применить».

При попытке скопировать любой файл на съемный диск, пользователь не сможет этого сделать (если он не состоит в группе «Администраторы»). Он увидит это сообщение.

По такому же принципу применяются и другие функции (чтение, запуск).

Здесь же есть и политика отключающая все классы устройств. Она так и называется.

Доступ только определенных устройств

Способ выше – наиболее простой. Однако, если у Вас есть лишь несколько носителей, которые используются в работе с ПК, то можно создать и белый список.

Для этого нужно:

• знать GUID устройства
• применить две политики в GPO

Находим GUID USB-накопителя

Сначала установите устройство в USB-порт, затем по команде показанной ниже, перейдите в «Диспетчер устройств» (ну, или как обычно – через «Панель управления»).

Найдите Ваше устройство в пункте «Переносные устройства» и откройте его свойства.

Перейдите на вкладку «Свойства», выберите из списка свойство «GUID» класса и скопируйте его значение.

Настраиваем нужные политики. Теперь перейдем к GPO. Откройте тот же каталог, что и выше – «Система». Но теперь перейдите к пункту «Установка устройств – Ограничение на установку устройств».

В списке политик нам нужны две выделенные. Вторую просто включаете.

В первой, еще и задаете значения GUID устройств, которые разрешены.

Сюда скопируйте значение GUID (для появления курсора, кликните в поле 2 раза).

Теперь только эти устройства смогут запускаться. В случае, если Вы вставите другие устройства – их попросту не будет видно.

ПРИМЕЧАНИЕ. Еще можно кроме политики с глобальным идентификатором (GUID), использовать политику с обычным (ID). Однако у меня она почему-то не работала (предполагаю, что из-за версии ОС). На Windows 7 работает точно – сам использовал несколько лет назад.

Запрет флешек в Реестре Windows

Запрет использования флешек также можно осуществить с помощью Реестра Windows. Хотелось бы сразу отметить, что данный способ работает только при установленном драйвере на USB. В случае, если вы проделаете все, описанное ниже, когда он еще не установлен, то при подключении любого накопителя, Вам будет предложено установить этот драйвер. И значение, измененное ранее, изменится обратно, к стандартным настройкам.

Этот способ работает на всех ОС Windows. Однако наиболее актуальным он является для ОС Windows XP, так как там нет Редактора групповых политик. Поэтому пример будет показан в среде данной системы. Итак, продолжим.

Для начала откройте реестр. В командной строке введите «regedit» и нажмите «Enter».

Теперь перейдите в эту ветку реестра:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR

Как видите, там есть несколько параметров. Один из них «Start». Он определяет каким образом доступен USB-накопитель (для любых операций, для чтения, записи и т.д.). На данный момент установлено значение 3. Если изменить его на 4, то накопители станут вообще недоступными. Это нам и нужно.

Кликаете 2 раза и меняете значение на 4.

Теперь при подключении устройство просто не будет отображаться.

ПОЛЕЗНО! На админских форумах многие пишут, что метод не работает. Однако, это нет так. Просто зачастую его пытаются использовать в доменных группах компьютеров организации. А там, как Вы можете догадаться, ОС на всех ПК не обновляют: на одних XP, на других семерка, а на некоторых вообще 2000. Так вот, в этих системах еще просто нет некоторых протоколов и средств, в результате, значение на админкомпе, а за ним и на всех остальных, сбрасывается к стандарту.

Как отключить порты USB в BIOS

Еще один способ запретить использование флешек — это отключить порты USB в BIOS. Сделать это не сложно. Однако, с моей точки зрения, не достаточно эффективно. Хотя, если учесть, что большинство пользователей понятия не имеют не просто о том, что там можно порты отключить, а еще и о том, как туда зайти, то может быть это — удобный и быстрый способ.