Problema: Bloquear dispositivos USB
É possivel sim bloquear dispositivos USB. Para isso componho esse artigo idealizando que o leitor possui um domínio de Rede Active Directory que permitirá a propagação da solução via GPO.
A solução é simples, são dois Scripts.
- - O primeiro é .bat. Ele bloqueia a permissão do usuário no arquivo. USBTOR.inf e USBTOR.pnf que são drivers USB que precisam ser acessados pelo usuário da maquina no momento em que este pluga um dispositivo USB.
- - O Segundo Script é .vbs. Ele altera o valor de uma chave de registro que é responsável por marcar o dispositivo USB como ativo ou inativo.
É preciso executar os dois Scrips e estes podem ser inseridos em GPO de Computador no seu controlador de domínio. (não explico nesse artigo como faz essa insersão)
Scripts:
.BAT
@echo off
cacls "c:\windows\inf\usbstor.inf" /T /E /D Todos
cacls "c:\windows\inf\usbstor.pnf" /T /E /D Todos
(Edite no bloco de notas e salve como BlockUSB.bat)
O D é o parámetro que define a permissão NEGAR e Todos é o grupo a qual a permissão NEGAR foi atribuído. Nesse caso, qualquer usuário que logar na maquina sofrerá o efeito.
-----
.VBS
Dim WSHShell
Set WSHShell = WScript.CreateObject("WScript.Shell")
WSHShell.RegWrite "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR\Start",4 ,"REG_DWORD"
Set WSHShell = nothing
(Edite no bloco de notas e salve como BlockUSBReg.vbs)
Esse script é VBS e define o valor 4 para a chave Start onde como resultado inativa o dispositivo USB.
EXECUTE OS DOIS ARQUIVOS, REINICIE A MAQUINA E TESTE.
Se esses dois Scripts forem executados via Script de Logon para todas as maquinas da rede você obterá o resultado esperado. Bloqueio de USB.
Porém na hora em que desejar revogar a solução para uma ou todas as maquinas é preciso reverter o script. Não funciona apenas remover a GPO. É preciso mudar os parametros do Script para que estes possam fazer a operação inversa.
Ou seja, no script .bat é preciso alterar o parametro para que a permissão NEGAR se torne CONCEDER e no Script .vbs é preciso mudar o valor da chave de 4 para 3. Isso torna o Driver USB ativo novamente.
Espero ter ajudado. Em caso de dúvidas postem comentários.
----------
Marco Biazon
