[Секрети реєстру]Обмеження можливостей роботи USB-накопичувачів

Сьогодні я розкажу про маловідому, але досить цікаву і корисну фішку – про зовнішні носії інформації і вплив реєстру на них. Цією статтею власне і розпочну цикл „Секрети реєстру Win2k систем”. Я думаю, що будь-який адмін знає, що основним джерелом „зарази” на фірмі є офісний планктон(хоча це й дивно, так як планктон ні відвідує ризикові сайти). Я думаю, що адмін-комюніті задумувалось, а чого б не обмежити доступ до підключення зовнішніх носіїв для тих користувачів, яким це не потрібно, щоб зменшити кількість головного геморою, який росте прямо пропорційно до користувачів, котрі приносять свіжу „заразу” з домашніх комп’ютерів. На деяких підприємствах про це задумувалось навіть начальство(наприклад, на одній фірмі працівники підписують документ, про те, що не приноситимуть зовнішніх носіїв. Є правда багато тих, хто не розуміє, в результаті сисадміни мають великий склад флешок і навіть декілька фотоапаратів.). Колись одна охоронна фірма поставила мені завдання цікавіше, заборонити запис на зовнішні носії інформації, але залишити можливість читати з них. Завдання я вирішив, а як саме – розповідаю нижче.

Завдання перше: заблокувати можливість використання зовнішніх носіїв на комп’ютері під керівництвом Win2k.

Тут все дуже просто, є стаття майкрософта, яка детально пояснює як запобігти підключенню зовнішніх носіїв - http://support.microsoft.com/kb/823732. В статті вказано 2 методи: спосіб з реєстром мені більш по душі і функціонує він як для нових носіїв, так і для тих що вже були встановлені. Метод працює зі всіма типами USB-носіїв(flash-диск, фотоапарат, зовнішній диск тощо). Даний ключ працює з Windows 7, тому заборонити підключення флешки для Win7 теж не складе проблем. На USB-девайси, які не є носіями інформації(принтер, веркам тощо) ключ ніяк не впливає.

Завдання друге: запобігти запису інформації на зовнішній носій з комп’ютера під керівництвом Win2k

Іншими словами, потрібно встановити режим read-only для flash-диску, зовнішнього харда, та інших USB-носіїв, на які може бути „злита” службова інформація. Тут також просто, протее, по моєму, дана можливість появилась з виходом SP2 під WinXP. Потрібно створити ключ(по замовчуванню його не має в реєстрі) StorageDevicePolicies в гілці HKLM\SYSTEM\CurrentControlSet\Control\. Даний ключ, будучи активним, виставляє флешки та інші зовнішні носії в режим read only. В ключі створити параметр WriteProtect з типом DWORD. Параметр може приймати значення 1 і 0, які відповідно активують і деактивують роботу ключа. Ця фішка коректно працює з Win7.

Щоб вам не прийшлося самим читати статті і додавати ключі я виклав архів з ключами тут. В архіві 4 файли:

• usbblock.reg – заборонити підключення
• usbunblock.reg –дозволити підключення
• usbwriteprotect.reg – заборонити запис
• usbwritenoprotect.reg – дозволити запис