Hướng dẫn này chứa các hướng dẫn từng bước về cách chặn thiết bị lưu trữ USB trên toàn bộ Domain hoặc trên người dùng miền cụ thể bằng cách sử dụng Group Policy trong AD Domain 2016 hoặc 2012. Cụ thể hơn, sau khi đọc hướng dẫn này, bạn sẽ học cách ngăn chặn quyền truy cập vào bất kỳ thiết bị lưu trữ USB nào (flash drive, ổ cứng ngoài, điện thoại thông minh, máy tính bảng, v.v.) có thể kết nối với bất kỳ máy tính nào trong domain, hoặc từ chối truy cập USB storage chỉ cho người dùng miền cụ thể.
Ngày nay, nhiều người sử dụng thiết bị lưu trữ USB để truyền dữ liệu. Tuy nhiên, đối với một tổ chức, khả năng nhân viên sử dụng thiết bị lưu trữ bên ngoài có thể chứa rủi ro bảo mật, như lan truyền mã độc hoặc đánh cắp dữ liệu nhạy cảm. Để tránh các rủi ro này, bạn có thể làm theo các hướng dẫn dưới đây để chặn quyền truy cập thiết bị lưu trữ USB cho tất cả người dùng và máy tính trong domain của bạn hoặc chỉ cho một số người dùng miền nhất định, bằng cách sử dụng Group Policy.
* Lưu ý:
1. Trong bài viết này, để chặn ổ USB qua group policy, chúng tôi sử dụng Active Directory 2016 domain controller để tạo group policy mới và Windows 10 Pro & Windows 7 Pro workstations để áp dụng nó.
2. Chính sách "Chặn truy cập USB" sẽ không ảnh hưởng đến Domain Administrators hoặc bất kỳ thiết bị USB đã kết nối nào khác, như bàn phím USB, chuột, máy in, v.v.
3. Sau khi áp dụng Group Policy, người dùng sẽ không có quyền truy cập vào bất kỳ loại thiết bị lưu trữ USB nào, và sẽ nhận được một trong các thông báo lỗi sau khi cố gắng truy cập thiết bị lưu trữ USB trên máy tính của họ.
Cách sử dụng Group Policy để Ngăn chặn Truy cập Thiết bị Lưu trữ USB (Server 2012/2012R2/2016)
- Phần 1. Chặn truy cập Đọc/Ghi USB trên Tất cả Người dùng Miền.
- Phần 2. Chặn truy cập Đọc/Ghi USB cho Người dùng Miền Cụ thể.
Phần 1. Cách chặn truy cập thiết bị lưu trữ USB trên Toàn bộ Domain 2016
Để vô hiệu hóa quyền truy cập vào bất kỳ thiết bị lưu trữ USB được kết nối nào đối với bất kỳ máy tính (người dùng) nào trên domain:
1. Trên Server 2016 AD Domain Controller, mở Server Manager và từ menu Tools mở Group Policy Management.
* Ngoài ra, truy cập qua Control Panel → Administrative Tools → Group Policy Management.
2. Dưới Domains, chọn domain của bạn và nhấp chuột phải vào Default Domain Policy chọn Edit.
3. Trong 'Group Policy Management Editor', điều hướng đến:
- User Configuration > Policies > Administrative Templates > System > Removable Storage Access
4. Ở khung bên phải, nhấp đúp vào: Removable Disks: Deny read access.
* Lưu ý:
1. Nhiều hướng dẫn tại thời điểm này建议 enable chính sách 'All Removable Storage classes: Deny all access', nhưng trong quá trình kiểm tra chúng tôi phát hiện chính sách này không áp dụng (hoạt động) cho điện thoại thông minh hoặc máy tính bảng.
2. Nếu bạn muốn chặn truy cập ghi USB, hãy chọn Removable Disks: Deny write access.
5. Chọn Enabled và nhấp OK.
6. Đóng Group Policy Editor.
7. Khởi động lại máy chủ và máy khách, hoặc chạy lệnh gpupdate /force để áp dụng cài đặt group policy mới (không cần khởi động lại) cho cả máy chủ và máy khách.
Phần 2. Cách ngăn chặn truy cập thiết bị lưu trữ USB trên Người dùng miền cụ thể
Để vô hiệu hóa quyền truy cập thiết bị lưu trữ USB cho người dùng cụ thể bằng group policy, bạn phải tạo một nhóm với những người dùng không muốn truy cập thiết bị lưu trữ USB và sau đó áp dụng chính sách mới cho nhóm này. Cách làm:
Bước 1. Tạo nhóm với Người dùng bị vô hiệu hóa USB *
* Lưu ý: Nếu bạn đã tạo nhóm người dùng bị vô hiệu hóa USB, hãy tiếp tục đến bước 2.
1. Mở Active Directory Users and Computers.
2. Nhấp chuột phải vào đối tượng "Users" ở khung bên trái, chọn New > Group.
3. Đặt tên cho nhóm mới (ví dụ: "USB Disabled Users") và nhấp OK.
* Lưu ý: Giữ选项 'Global' và 'Security' được chọn.
4. Mở nhóm vừa tạo, chọn tab Members và nhấp Add.
5. Chọn người dùng miền mà bạn muốn chặn thiết bị lưu trữ USB và nhấp OK.
6. Nhấp OK để đóng thuộc tính nhóm.
Bước 2. Tạo Group Policy Object mới để Vô hiệu hóa thiết bị lưu trữ USB
1. Mở Group Policy Management.
2. Dưới đối tượng 'Domains', nhấp chuột phải vào domain của bạn và chọn Create a GPO in this domain and Link it here.
3. Đặt tên cho GPO mới (ví dụ: "USB Disabled") và nhấp OK.
4. Nhấp chuột phải vào GPO mới và nhấp Edit.
5. Trong 'Group Policy Management Editor', điều hướng đến:
- User Configuration > Policies > Administrative Templates > System > Removable Storage Access
6. Ở khung bên phải, nhấp đúp vào: Removable Disks: Deny read access.
* Lưu ý:
1. Nhiều hướng dẫn建议 enable chính sách 'All Removable Storage classes: Deny all access', nhưng trong kiểm tra chúng tôi phát hiện chính sách này không hoạt động cho điện thoại thông minh hoặc máy tính bảng.
2. Nếu muốn chặn ghi USB, chọn Removable Disks: Deny write access.
7. Chọn Enabled và nhấp OK.
8. Đóng cửa sổ Group Policy Management Editor.
9. Quay lại 'Group Policy Management', chọn GPO "USB Disabled" và ở tab 'Scope' nhấp nút Add (dưới cài đặt 'Security filtering').
10. Nhập tên nhóm "USB disabled users" (ví dụ: "USB Disabled Users" trong bài này) và nhấp OK.
11. Khi xong, chọn tab Delegation.
12. Ở tab 'Delegation', chọn Authenticated Users và nhấp Advanced.
13. Tại tùy chọn bảo mật, chọn Authenticated Users và bỏ chọn hộp kiểm Apply group policy. Khi xong, nhấp OK.
14. Đóng Group Policy Editor.
15. Khởi động lại máy chủ và máy khách, hoặc chạy lệnh "gpupdate /force" (with quyền administrator), để áp dụng cài đặt group policy mới (không cần khởi động lại) cho cả máy chủ và máy khách.
Đã xong! Hãy cho tôi biết hướng dẫn này có giúp ích cho bạn không bằng cách để lại bình luận. Vui lòng like và chia sẻ để giúp đỡ người khác.