در بیشتر شرکت‌ها هر کسی می‌تواند فلش یا هارد اکسترنال را به رایانه‌اش وصل کند و هر فایلی را کپی کند. همین سادگی دو خطر جدی دارد: خروج بی‌صدای اطلاعات مهم مثل فهرست مشتریان، قیمت‌ها و اسناد مالی، و ورود بدافزار از رایانه خانگی یا یک سیستم آلوده بیرونی. خبر خوب این است که برای کنترل USB لازم نیست ابزار گران بخرید؛ بخش بزرگی از کار با امکانات خود ویندوز و Group Policy انجام می‌شود.
اول سیاست، بعد ابزار
پیش از هر تنظیم فنی، با مدیران واحدها تصمیم بگیرید چه کسانی واقعاً به حافظه جانبی نیاز دارند. معمولاً سه گروه شکل می‌گیرد:
- بیشتر کارکنان: نیازی به حافظه USB ندارند و دسترسی‌شان بسته است.
- برخی واحدها مثل طراحی یا بازرگانی: فقط خواندن مجاز است، یا نوشتن فقط روی حافظه‌های رمزگذاری‌شده.
- افراد محدود و تأییدشده: دسترسی کامل، آن هم فقط با حافظه‌هایی که شرکت تحویل داده است.
این تصمیم را مکتوب کنید و به اطلاع کارکنان برسانید. کنترل فنی بدون سیاست روشن، فقط به درخواست‌های مکرر و استثناهای بی‌حساب می‌رسد.
مسدود کردن با Group Policy
در شبکه‌ای که Active Directory دارد، تنظیمات اصلی در این مسیر است:
Computer Configuration > Administrative Templates > System > Removable Storage Access
چند تنظیم پرکاربرد این بخش:
- All Removable Storage classes: Deny all access برای بستن کامل همه حافظه‌های جانبی.
- Removable Disks: Deny write access برای حالتی که فقط خواندن مجاز است.
- WPD Devices: Deny read access و Deny write access برای گوشی‌ها و دستگاه‌هایی که به‌صورت دستگاه قابل‌حمل (مثلاً با MTP) وصل می‌شوند و مثل فلش شناخته نمی‌شوند.
- تنظیمات جداگانه برای CD و DVD، اگر هنوز درایو نوری دارید.
بیشتر این تنظیمات در بخش User Configuration هم وجود دارند. سیاست را روی OU مربوط اعمال کنید و برای گروه‌های مجاز، GPO جداگانه بسازید.
فقط کلاس «حافظه» را ببندید، نه کل USB. اگر همه دستگاه‌های USB را مسدود کنید، ممکن است کیبورد، ماوس، اسکنر یا قفل سخت‌افزاری نرم‌افزار مالی هم از کار بیفتد.
استثنا برای حافظه‌های تأییدشده
برای افرادی که باید با حافظه جانبی کار کنند، بهتر است شرکت چند حافظه مشخص تهیه و ثبت کند. با تنظیمات بخش Device Installation Restrictions می‌توان نصب دستگاه را بر اساس شناسه سخت‌افزاری محدود کرد و فقط همان حافظه‌ها را مجاز گذاشت. جزئیات و ترتیب ارزیابی این قواعد در نسخه‌های مختلف ویندوز کمی متفاوت است، پس پیش از اعمال گسترده آن را روی چند رایانه آزمایش کنید. در برخی محصولات EDR، کنترل دستگاه با کنسول مرکزی و گزارش‌گیری راحت‌تر انجام می‌شود؛ امکانات دقیق به محصول و لایسنس بستگی دارد.
رمزگذاری؛ اگر فلش گم شد
حافظه مجاز هم ممکن است در تاکسی جا بماند. با BitLocker To Go حافظه جانبی رمزگذاری می‌شود و بدون رمز قابل‌خواندن نیست. در Group Policy با تنظیم Deny write access to removable drives not protected by BitLocker می‌توانید نوشتن روی هر حافظه‌ای را که رمزگذاری نشده ممنوع کنید. به این ترتیب حتی کاربران مجاز هم اطلاعات را فقط روی حافظه رمزگذاری‌شده بیرون می‌برند.
جلوی بدافزار را هم بگیرید
- اجرای خودکار (AutoPlay و AutoRun) را برای همه درایوها با GPO خاموش کنید.
- آنتی‌ویروس یا EDR را طوری تنظیم کنید که حافظه‌های جانبی را هنگام اتصال اسکن کند.
- در BIOS یا UEFI رایانه‌ها بوت از USB را غیرفعال کنید و برای تنظیمات آن رمز بگذارید.
- برای بررسی فایل‌هایی که مهمان یا پیمانکار می‌آورد، یک رایانه جداگانه و خارج از دامین در نظر بگیرید.
اشتباهات رایج
- بستن USB و باز گذاشتن مسیرهای دیگر مثل ایمیل شخصی، فضای ابری و پیام‌رسان‌ها؛ نشت اطلاعات فقط از یک در انجام نمی‌شود.
- دادن دسترسی مدیر محلی (Local Admin) به کاربران، که امکان دور زدن تنظیمات را فراهم می‌کند.
- استثناهای موقتی که بعد از تمام شدن نیاز، هرگز حذف نمی‌شوند.
- اعمال سیاست روی همه رایانه‌ها بدون آزمایش و اطلاع‌رسانی.
چک‌لیست
- سیاست استفاده از حافظه جانبی مکتوب و اعلام شده است.
- حافظه‌های جانبی برای کاربران عادی با GPO مسدود است.
- گوشی‌ها (WPD) و درایوهای نوری هم در نظر گرفته شده‌اند.
- نوشتن فقط روی حافظه‌های رمزگذاری‌شده با BitLocker مجاز است.
- AutoPlay خاموش و بوت از USB غیرفعال است.
- فهرست استثناها هر چند ماه یک‌بار بازبینی می‌شود.
کنترل USB یکی از ساده‌ترین قدم‌ها برای حفاظت از اطلاعات شرکت است. کارشناسان ITPlus724 می‌توانند سیاست مناسب را با شما تعریف کنند و آن را بدون اختلال در کار روزمره روی شبکه‌تان اعمال کنند.