Cách chặn thiết bị lưu trữ USB trên miền 2016/2012 bằng Chính sách nhóm

Hướng dẫn này chứa hướng dẫn từng bước về cách chặn thiết bị lưu trữ USB trên toàn bộ Miền hoặc trên người dùng miền cụ thể bằng cách sử dụng Chính sách nhóm trong Miền AD 2016 hoặc 2012. Cụ thể hơn, sau khi đọc hướng dẫn trong hướng dẫn này, bạn sẽ tìm hiểu cách để ngăn chặn quyền truy cập vào bất kỳ thiết bị lưu trữ USB nào (ổ flash, ổ cứng ngoài, điện thoại thông minh, máy tính bảng, v.v.), có thể kết nối với bất kỳ máy tính nào trong miền hoặc từ chối quyền truy cập bộ lưu trữ USB chỉ dành cho người dùng tên miền cụ thể.

Ngày nay, nhiều người trong chúng ta sử dụng thiết bị lưu trữ USB để truyền dữ liệu. Tuy nhiên, đối với một tổ chức, khả năng nhân viên sử dụng thiết bị lưu trữ bên ngoài có thể tiềm ẩn những rủi ro về bảo mật, chẳng hạn như phát tán phần mềm độc hại hoặc chặn dữ liệu nhạy cảm. Để tránh những rủi ro này, bạn có thể đọc các hướng dẫn sau để chặn quyền truy cập vào thiết bị lưu trữ USB đối với tất cả người dùng và máy tính trong miền của bạn hoặc chỉ đối với một số người dùng trong miền nhất định, bằng cách sử dụng Chính sách nhóm< span style="color: #333333;">. *

* Ghi chú:
1. Trong bài đăng này, để chặn ổ USB thông qua chính sách nhóm, chúng tôi đã sử dụng bộ điều khiển miền Active Directory 2016 để tạo chính sách nhóm mới và các máy trạm Windows 10 Pro & Windows 7 Pro để áp dụng chính sách đó.

2. Chính sách "Chặn truy cập USB" sẽ không ảnh hưởng đến Quản trị viên miền hoặc bất kỳ thiết bị USB được kết nối nào khác, chẳng hạn như Bàn phím USB, Chuột, Máy in, v.v.
3. Sau khi áp dụng Chính sách nhóm, người dùng sẽ không có quyền truy cập vào bất kỳ loại thiết bị lưu trữ USB nào, và sẽ nhận được một trong các thông báo lỗi sau khi cố gắng truy cập thiết bị lưu trữ USB trên PC của họ.

Cách sử dụng Chính sách nhóm để ngăn chặn quyền truy cập vào thiết bị lưu trữ USB (Server 2012/2012R2/2016)

Part 1. Block USB Read/Write Access on All Domain Users.
Part 2. Block USB Read/Write Access for Certain Domain Users.

Phần 1. Cách chặn quyền truy cập vào thiết bị lưu trữ USB trên toàn bộ miền 2016.

Để vô hiệu hóa quyền truy cập vào bất kỳ thiết bị lưu trữ USB nào được kết nối với bất kỳ máy tính (người dùng) nào trên miền:

1. Trong Bộ điều khiển miền Server 2016 AD, hãy mở Trình quản lý máy chủ , sau đó từ menu Công cụ, hãy mở Quản lý chính sách nhóm. *

* Ngoài ra, hãy điều hướng đến Bảng điều khiển -> Công cụ quản trị -> Quản lý chính sách nhóm.

2. Trong Miền, chọn miền của bạn rồi nhấp chuột phải vào Chính sách miền mặc định và chọn Chỉnh sửa .

3. Trong 'Trình chỉnh sửa quản lý chính sách nhóm', điều hướng đến:

User Configuration > Policies > Administrative Templates > System > Removable Storage Access

4. Ở khung bên phải, nhấp đúp chuột vào: Đĩa di động: Từ chối quyền truy cập đọc. *

* Ghi chú:
1. Tại thời điểm này, nhiều hướng dẫn đề xuất Bật 'Tất cả các lớp Bộ lưu trữ di động: Từ chối tất cả quyền truy cập ' chính sách, nhưng trong quá trình thử nghiệm, chúng tôi phát hiện ra rằng chính sách này không áp dụng (hoạt động) cho điện thoại thông minh hoặc máy tính bảng.

2. Nếu bạn muốn chặn quyền truy cập Ghi vào USB, hãy chọn Đĩa di động: Từ chối quyền truy cập ghi.

5. Chọn Đã bật và nhấp vào OK.

6. Đóng Trình chỉnh sửa chính sách nhóm.

7. Khởi động lại máy chủ và máy khách hoặc chạy lệnh gpupdate /force để áp dụng cài đặt chính sách nhóm mới (không cần khởi động lại) cho cả máy chủ và máy khách.

Phần 2. Cách ngăn chặn quyền truy cập vào thiết bị lưu trữ USB của người dùng trong miền cụ thể.

Để vô hiệu hóa quyền truy cập vào thiết bị lưu trữ USB chỉ cho những người dùng cụ thể bằng cách sử dụng chính sách nhóm, bạn phải tạo một nhóm với những người dùng không muốn truy cập thiết bị lưu trữ USB, sau đó áp dụng chính sách mới cho nhóm này. Để làm việc đó:

Bước 1. Tạo một nhóm với người dùng USB bị vô hiệu hóa. *

* Lưu ý: Nếu bạn đã tạo một nhóm với những người dùng USB bị vô hiệu hóa, hãy tiếp tục đến bước 2.

1. Mở Người dùng và máy tính Active Directory.

2. Nhấp chuột phải vào đối tượng "Người dùng" ở khung bên trái và chọn Mới > Nhóm

3. Nhập tên cho nhóm mới (ví dụ: "Người dùng bị vô hiệu hóa USB") và nhấp vào OK. *

* Lưu ý: Chọn tùy chọn 'Chung' và 'Bảo mật'.

4. Mở nhóm vừa tạo, chọn tab Thành viên và nhấp vào Thêm

5. Bây giờ, hãy chọn (những) người dùng miền mà bạn muốn chặn thiết bị lưu trữ USB rồi nhấp vào OK.

6. Nhấp vào OK để đóng thuộc tính nhóm.

Bước 2. Tạo đối tượng chính sách nhóm mới để tắt thiết bị lưu trữ USB.

1. Mở Quản lý chính sách nhóm.

2. Trong đối tượng 'Miền', nhấp chuột phải vào miền của bạn và chọn Tạo GPO trong miền này và Liên kết nó tại đây.

3. Nhập tên cho GPO mới (ví dụ: "Đã tắt USB") và nhấp vào OK.

4. Nhấp chuột phải vào GPO mới và nhấp vào Chỉnh sửa.

5. Trong 'Trình chỉnh sửa quản lý chính sách nhóm', điều hướng đến:

User Configuration > Policies > Administrative Templates > System > Removable Storage Access

4. Ở khung bên phải, nhấp đúp chuột vào: Đĩa di động: Từ chối quyền truy cập đọc. *

* Lưu ý:
1. Tại thời điểm này, nhiều hướng dẫn đề xuất Bật 'Tất cả các lớp Bộ lưu trữ di động: Từ chối tất cả quyền truy cập ' chính sách, nhưng trong quá trình thử nghiệm, chúng tôi phát hiện ra rằng chính sách này không áp dụng (hoạt động) cho điện thoại thông minh hoặc máy tính bảng.

2. Nếu bạn muốn chặn quyền truy cập Ghi vào USB, hãy chọn Đĩa di động: Từ chối quyền truy cập ghi.

5. Chọn Đã bật và nhấp vào OK.

6. Đóng cửa sổ Trình chỉnh sửa quản lý chính sách nhóm.

7. Quay lại 'Quản lý chính sách nhóm', chọn GPO "Đã tắt USB" và tại tab 'Phạm vi', nhấp vào nút Thêm (trong cài đặt 'Lọc bảo mật' ).

8. Nhập tên của nhóm "Người dùng bị vô hiệu hóa USB" (ví dụ: "Người dùng bị vô hiệu hóa USB" trong bài đăng này) và nhấp vào OK.

9. Khi hoàn tất, hãy chọn tab Ủy quyền .

10. Tại tab 'Ủy quyền', chọn Người dùng được xác thực và nhấp vào Nâng cao.

11. Tại Tùy chọn bảo mật, chọn Người dùng được xác thực và bỏ chọn hộp kiểm Áp dụng chính sách nhóm. Khi hoàn tất, hãy nhấp vào OK.