Съёмные носители: запрет по умолчанию, исключения и проверка
Запретите запись и чтение со съёмных носителей по умолчанию, а нужные исключения оформите именем, датой и классом данных. Найденную флешку в слот не вставляют — это инцидент: плейбук съёмного носителя. Класс того, что вообще можно выносить: классификация данных. Политику раздавайте централизованно, не кликом на каждой машине: GPO и Ansible.
Статья опирается на логику направления «Безопасность данных» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 3 требует процессы обращения с данными: cisecurity.org/controls. Политика Windows «All Removable Storage classes: Deny all access» описана Microsoft: Policy CSP RemovableStorage. Это не российский закон. Обход запрета и «как всё равно записать» не разбираем.
Запрет по умолчанию
В домене включите Computer Configuration → Administrative Templates → System → Removable Storage Access → «All Removable Storage classes: Deny all access». Для учёток администраторов отдельно решите, действует ли запрет и на них. Автозапуск со съёмных носителей выключите в hardening: hardening Windows.
На станции после применения политики:
Get-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices' -Name Deny_AllОжидаемо: Deny_All равно 1. Если свойства нет — политика не доехала; смотрите gpresult, не «разрешим, пока разберёмся». Риск: слишком широкий запрет отключит сканер или ключ токена — это исключение, не повод снять политику со всего парка.
На Linux-станции, если политика — не монтировать usb-storage:
lsmod | grep usb_storageОжидаемо: пусто, если модуль в чёрном списке. Команду гоняйте на своей машине.
Исключения с датой
| Поле | Зачем |
|---|---|
| Кто и какая станция | Не «отдел продаж целиком» |
| Зачем (класс данных) | ПДн на флешку — отдельное решение, не «так удобнее» |
| Дата конца | Бессрочное исключение = дыра |
| Шифрование носителя | Если вынос разрешили, носитель не в открытом виде |
Корпоративный телефон — MDM, не дырка «флешка с телефона»: MDM.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Deny_All нет, флешка открывается | GPO не на эту OU. Верните связь и gpupdate |
| Админ обходит, остальные нет | Запрет не применён к администраторам. Решите явно |
| Исключений больше, чем станций | Нет даты конца. Пересмотрите список |
| Нашли флешку в офисе | Это уже плейбук, не настройка политики |
Где это в модели зрелости
Материал относится к направлению «Безопасность данных» (хаб: данные, карта: карта зрелости). Классификация говорит, что можно выносить. Эта страница — чтобы флешка по умолчанию не выносила. Инцидент — когда носитель уже в слоте или данные уже ушли.
Как проверить
- На выборке станций Deny_All равен 1 либо Linux-модуль usb_storage не загружен.
- Есть список исключений с датой конца, не бессрочный «отдел».
- Автозапуск со съёмных носителей выключен.
- Сотрудник знает, куда нести найденную флешку, не в свой ПК.
Источники
- CIS Control 3: cisecurity.org/controls.
- Microsoft, All Removable Storage classes: Deny all access: learn.microsoft.com.
