USB & CD-RW Engelleme (GPO)

peki bu prg uninstall edilip devre dısı falan kalmıyor dimi?

video incele biraz sonra görüslerini yazarsin..

merhaba bu adm yi uyguladım flopy cd-r engellendi fakat usb ler engellenmedi sayısız gpupdate /force ve restart yaptım server ve clinet tarafında neden olabilr sizce ?

Policy basıldıktan sonra USB diskler hala çalışıyorsa şunu kontrol edelim. Client üzerinde:

HKEY_LOCAL_MACHINE/ System/ CurrentControlSet/ Services/ USBSTOR altında Start değeri kaç gösteriyor?

4 olması lazım.

Computer Configuration > Administrative Templates uzerine sağ tıklayıp, http://www.petri.co.il/software/usb_removable_drives_adm.zip  linkinden indirdiğim *.adm dosyasını ekledim ve Administrative Templates içine "Custom Policy Settings > Restrict Drives"  Ağacı eklendi (adm Dosyasını Notepad de açıp isimleri değiştirebiliriz) . Restrict Drives içindeki ilgili satırları etkin hale getirip combobox dan ilgili secenegi sectim

Client larda 3 - 4 kere "gpupdate /force" yapınca cekti gp leri.

Yukarıdaki kısımda sorun çözülmesi gerekir olmaz ise;

Set WshShell = CreateObject("Wscript.Shell")
WshShell.RegWrite "HKLM\SYSTEM\CurrentControlSet\Services\USBSTOR\\\\Start", 4, "REG_DWORD"
Set WshShell = Nothing

bu texti VBS olarak kaydedip clientlara dağıtabilirsiniz.

verdiginiz test i .vbs uzantılı olarak deploy ettigimde

clientlar oturum actıgında script hatası variyor

ve hala usb ler calısıyor. 

yardımlarınızı beklioyrum

Kontrol ettik mi?

Policy basıldıktan sonra USB diskler hala çalışıyorsa şunu kontrol edelim. Client üzerinde:

HKEY_LOCAL_MACHINE/ System/ CurrentControlSet/ Services/ USBSTOR altında Start değeri kaç gösteriyor?

4 olması lazım.

Serhat beyin söylediği gpo users a uygulanırsa kural registery de oluşuyor ama çalışmıyor, computers a da uygulanırsa devreye giriyor ve çalışıyor.

başlat>çalıştır>gpedit.msc burdan kapatılması lazım biraz kurcalayın.

usb mouse kullanmak istiyorum ama usb flashlarıda kapatmak istiyorum bunu nasıl yapabilirim?

Merhaba

Bahsettiğimiz konu USB üzerinden kullanılabilecek depolama alanlarının yasaklanmasını içeriyor. Yani USB mouse kullanabilirsiniz.

Serhat Beyin yöntemi USB çubuk bellekleri durduruyor ama USB fotoğraf makinelerini engellemiyor. Bu cihazları durdurmanın bir yolu var mıdır?

USB Çubuk bellek yanında USB fotoğraf makinelerini engellemek için başlangıç komut dosyası olarak şu .vbs komutlarını deneyeceğim :

Set WshShell = CreateObject("Wscript.Shell")

' USB cubuk bellek kapat

   WshShell.RegWrite "HKLM\SYSTEM\CurrentControlSet\Services\USBSTOR\Start", 4, "REG_DWORD"

' USB fotograf makinesi kapat

   WshShell.RegWrite "HKLM\SYSTEM\CurrentControlSet\Services\usbscan\Start", 4, "REG_DWORD"

Set WshShell = Nothing

Sorun şu : SanDisk Cruzer modeli gibi bazı USB diskler, normal sabit diskin kullandığı disk.sys ve PartMgr.sys sürücülerini kullanıyor. Bu durumda engelleme nasıl olmalıdır?

SubInAcl aracı ile kayıt defterindeki USBSTOR ( ve fotoğraf makineleri için usbscan ) girişinde kullanıcı izinlerini düzenlemek çözüm olabilir :

Örn. : LOCAL SYSTEM kullanıcısının yetkilerini alma : 

subinacl.exe /keyreg "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR" /deny="NT AUTHORITY\SYSTEM"=F

http://www.microsoft.com/downloads/details.aspx?FamilyID=E8BA3E56-D8FE-4A91-93CF-ED6985E3927B&displaylang=en

Merhaba

Bunun iin GFI , SEP veya Trend Micro gibi 3 party yazılımlar kullanmanız gerekli.

Bunu  en iyi  symantec  yapıyor çalıstıgım firmada  uygulanmıştı yaklaşık 5000 kadar  client etkilenmişti bilgi işleme telefon açan açana :)) çıldırmıstı resmen çalısanlar .

Bu konuda GFI bence çok başarılı , hem sep hemde gfi kullandım bence gfi ama toplamda tabiki sep daha çok desteği olan bir ürün ( temelde zaten bir av )

http://www.cozumpark.com/blogs/3party/archive/2009/07/12/gf_3101_-endpointsecurity-domain-ortaminda-port-ve-aygit-kisitlamasi.aspx

http://cozumpark.com/forums/post/5340.aspx  linkini incelemeni tavsiye ederim. Burada anlatılan .adm dosyası forumda olmalıydı ama onu bulamadım. Araştırırsan kolaylıkla bulabilirsin.

İncelediniz mi?

lınkte cozum acaba wındows server 2008 r2 olan bır sıstemte ve clinetlarunda xp pro oldugunu dusunursek acaba çalısırmı

Evet Rahmi hocam, sebebi şu:

USB için örnek verirsek;

Bu ADM file'ın yaptığı iş, ilgili registry anahtarı yani USBStore anahtarı altındaki Start değerini düzenlemek.

Eğer bir XP yeni kurulmuş yada kurulum yapıldığı andan itibaren herhangi bir USB Disk takılmamamış ise, USBStore anahtarı registry altında bulunmuyor. Bu anahtar ve altındaki ilgili değerler, PC ye ilk USB Diski taktığımız zamanda yaratılır.

Şimdi biz daha önce USB Disk takılmamış (yani USBStore anahtarı henüz yaratılmamış) bir PC'ye bu ADM'i uygularsak, USBStore anahtarı olmadığı için işini yapamayacak ve ayar etkili olmayacaktır.

 

Çözüm için:

Ayar uygulanmadan önce USBStore anahtarı ve start değeri yaratılmalı (GPO, ADM yada Script kullanarak..)

Serhat Hocam O Senin Sitedeki Adm Dosyasıylada Yaptım Olmadı 3 Kere Serverı Açıp Kapatıp gpupdate Yaptım Clientlarıda 3 Kere Kapattım Tekrar Açtım gpupdate /force yaptım yine olmadı uzun lafın kısası kapatalım bu konuyu drivelock kullanalım 🙂