Контроль USB

Видите каждый накопитель, подключённый к машине Windows, одобряйте нужные по серийному номеру и отключайте USB-накопители на машине, когда это необходимо.

Контроль USB работает на машинах Windows с агентом. Ему нужна подкатегория аудита PNP Activity, которую включает установщик агента, — после этого Windows записывает событие 6416 при каждом подключении устройства.

Какие устройства поднимают алерт

Для каждого появившегося устройства платформа по очереди задаёт три вопроса:

Это накопитель? Клавиатура, мышь или гарнитура записываются, но никогда не поднимают алерт.
Можно ли его опознать? Одобрение выдаётся серийному номеру. Накопитель, который не сообщает серийный номер, сопоставить нельзя, поэтому он считается неодобренным — «не смогли определить» никогда не означает «всё в порядке».
Одобрен ли он и действует ли ещё одобрение? Истёкшее одобрение — не одобрение.

Неодобренный накопитель поднимает алерт. Одобренный записывается и не шумит — без настройки правил и без подавления, которое потом забудут снять.

Запрос и одобрение

Любой в тенанте может запросить использование устройства и видеть, что подключалось к машинам.
Решает ADMIN: одобряет, отклоняет или позже отзывает. У одобрения может быть срок действия. Каждое решение записывается в журнал аудита: кто запросил, кто решил и почему.

Отключение USB-накопителей

ADMIN может отключить USB-накопители на одной машине. Агент переводит службу USBSTOR в реестре в отключённое состояние (Start = 4): накопители перестают монтироваться, а клавиатуры, мыши и другие устройства продолжают работать. Драйвер ядра не используется.

Блокировка, как и любое действие реагирования, ждёт одобрения второго ADMIN: блокировку на неверно опознанном устройстве первым обнаружит человек, который не сможет работать. Обратное включение второй подписи не требует.