USB Soll Usern nicht zugänglich sein

Hi there,

noch eine Frage an XP-Spezialisten:

Wir haben FDD und CD ausgebaut, damit kein 'Sweinkram' in unser Netz rein (oder raus) kommt, aber jetzt soll XP eingeführt werden.

Dass mit USB problemlos Geräte angeschlossen werden können, ist schon eine feine Sache. :D

Aber dann kann man auf Digi-Cams und USB-Sticks viel größere Daten einschleusen, als es auf Disketten jemals denkbar war. :mad:

Natürlich kann man USB im Bios deaktivieren;

aber dann gehen keine Palms, Scanner und Etikettendrucker.

Gibt es eine Möglichkeit, gezielt USB Geräte zuzulassen oder auszuschließen?

Danke mal im Voraus,

grutschmööhh

Meines Wissens nach nicht.

Wäre aber interessant wie du dir das technisch vorstellst.

wie ich mir das vorstelle--- genau deshalb poste ich hier die Frage.

Einen großen Teil unserer Einschränkungen machen wir über Policies oder Eingriffe in der Registry. Oder Dienste (Floppylock).

Aber ich denke mal, wenn XP schon ein USB-Device erkennt, muss doch die Art und zugehörige Aktionen irgendwo hinterlegt sein.

Vielleicht in OEM$.Inf-Dateien oder in HKCR oder HKLM....

Danke für das Interesse,

ich würde mich freuen, wenn mich dieses Forum auf eine brauchbare Fährte bringt.

PS. Mich wundert allerdings schon dass ich noch nirgendwo von einem Sysadmin eine solche Frage gefunden habe.

grutschmööhh

Hi grutsch !

Die Frage wurde schon öfter gestellt im Forum, aber es gab leider bisher keine zufriedenstellende Lösung, Betonung auf "bisher".

Hast Du da was, ansatzweise ?

zuschauer

Wer Lange forscht wird endlich Klug.

Es gibt mehrere Lösungen:

1: http://www.devicelock.com bietet einen Dienst, der gezielt Geräte Locken kann, ist mit 1500$ pro Site relativ günstig.

2: über Policies werden alle Laufwerke unter K: ausgeblendet.

3: USB Geräte erzeugen einen Eintrag HKLM\System\MountedDevices, den man mit Regedt32 nur für Admins berechtigt.

grutschmööhh

Danke für die Rückmeldung.

Muss man unter HKLM\SYSTEM\MountedDevices die einzelnen Werte einfach nur löschen, dann ist das Gerät nicht mehr sichtbar unter Arbeitsplatz oder Explorer?

thx

@grutsch: thx, das kommt bei Gelegenheit ins Tipps & Links forum :)

@ shibi,

nein, löschen nicht.

mit regedt32 kannst du Berechtigungen setzen, vor allem entziehen!

über das Menü 'Sicherheit' des regedt32 kannst du dem 'benutzer' alle Rechte entziehen.

@lian

das ehrt mich.

-- aber ich gebe auch gerne zu, dass mir das forum gut gefällt!

grutschmööööhh

Hallo zusmamen,

hab mir jetzt mal DeviceLock angesehen, damit kann ich aber nur "normale" Devices sperren, keine USB-Geräte.

Auch ich bin auf der Suche nach einer benutzerabhängigen Freigaben / Sperrung von USB-Geräten unter Windows 2000. Wobei mir das komplette Sperren / Freigeben auf Benutzerebene schon genügen würde.

Ein gerätespezifisches Sperren wäre zwar super, für uns aber nice to have.

Die einzige Möglichkeit die ich bisher gefunden habe, ohne USB komplett im Bios zu dekativieren ist die Benutzung von "Devcon.exe" von Microsoft. Das funktioniert ähnlich wie SC.exe für Dienste. Damit lassen sich auf der Kommandozeile Geräte aus dem Gerätemanager aktivieren/deaktivieren.

Das nutzen wir im Augenblick um beim Logonprozess für nicht autorisierte User USB zu deaktivieren.

Hat vielleicht jemand noch eine schönere Lösung?

Vielen Dank und viele Grüße

Andreas

es gibt da noch die möglichkeit, den Plug&Play-Dienst zu deaktivieren, da kann man nachher nix mehr machen, leider deaktiviert es dabei auch andere dienste, darunter auch den für die soundkarte...

aber ansatzweise ist das eine lösung :/

gruss jek :)

da gibt es tatsächlich "was" ..... ne software namens "secure nt" .... klinkt sich unter w2k in die mmc ein und ich kann eigentlich alles bestimmen, was ich will ......

wer darf das cd-rom nutzen, wer nicht ..... wer auf den usb-stick zugreifen, wer nicht .......

kostet allerdings höllenkohle. alleine für ein netz unserer bescheidenen groesse 17k€ .....

suche morgen mal den link raus, wenn jemand die demo laden möchte.

gruss

tribun

Hier sind schon einige Lösungs-Ansätze genannt worden, die Verwendung von Hardware-Profilen ist noch nicht aufgetaucht.

Macht es generell keinen Sinn, oder wäre es zu aufwändig, weil jeder Client lokal entsprechend eingestellt werden müsste?

Das Problem ist, dass immer mehr Hardware, insbes. Drucker, Scanner, DigiCams... über USB angebunden sind. Wenn man USB per Hardwareprofil deaktiviert, funktionieren diese dann auch nicht mehr. Es geht hier ja lediglich um die USB-Memorysticks. Daher greifen dann nur oben schon erwähnte Lösungsansätze.

Das USB nicht komplett abgeschaltet werden kann, ist einleuchtend.

Frage:

Kann man den Zugang zur Hardware-Installtion (das Einstöpseln eines USB-Gerätes ist ja nichts anderes) beschränken oder sperren? Dann wäre ein einmal erstelltes Hardware-Profil für den "Normalo-User" verbindlich. Somit könnte das über die Hardware-Profle eventuell doch gehen, oder liege ich falsch?