Cómo deshabilitar o habilitar las unidades USB en Windows mediante la directiva de grupo

Cuando conecta un nuevo dispositivo USB a su computadora, Windows detecta automáticamente el dispositivo e instala el controlador adecuado. Como resultado, el usuario puede usar la unidad o el dispositivo USB conectado casi de inmediato. Si la política de seguridad de su organización prohíbe el uso de dispositivos de almacenamiento USB portátiles (unidades flash, discos duros USB, tarjetas SD, etc.), puede bloquear este comportamiento. En este artículo, le mostraremos cómo bloquear el uso de unidades USB externas en Windows, evitar la escritura de datos en unidades flash extraíbles o evitar que los archivos ejecutables se ejecuten mediante la Política de grupo (GPO).

Desactivación de unidades extraíbles USB en Windows con directiva de grupo

En Windows, puede administrar de manera flexible el acceso a unidades externas (USB, CD/DVD, etc.) utilizando las Políticas de grupo de Active Directory (no consideramos una forma radical de deshabilitar los puertos USB a través de la configuración del BIOS). Puede bloquear solo unidades USB, mientras que otros tipos de dispositivos USB (mouse, teclado, impresora, adaptadores de puerto USB a COM) que no se reconocen como un disco extraíble estarán disponibles para el usuario.

Vamos a bloquear las unidades USB en todas las computadoras en una unidad organizativa de dominio denominada Estaciones de trabajo. Puede aplicar la política de restricción de USB a todo el dominio, pero esto afectará a los servidores y otros dispositivos tecnológicos.

1. Abra la consola de administración de GPO (

   gpmc.msc

   ), busque el contenedor Estaciones de trabajo en la estructura de la Unidad organizativa, haga clic derecho sobre él y cree una nueva política (Crear un GPO en este dominio y vincularlo aquí);

   

   Consejo. Puede configurar una política para restringir el uso de puertos USB en una computadora independiente (computadora doméstica o computadora de grupo de trabajo) mediante el Editor de políticas de grupo local (gpedit.msc).

2. Establezca el nombre de GPO "Desactivar acceso USB";

   

3. Cambie al modo de edición de GPO (Editar).

   

Hay configuraciones para bloquear dispositivos de almacenamiento externo en las secciones Configuración del usuario y de la computadora del editor de GPO:

• Configuración de usuario -> Políticas -> Plantillas administrativas -> Sistema -> Acceso a almacenamiento extraíble.

• Configuración de la computadora -> Políticas -> Plantillas administrativas -> Sistema -> Acceso a almacenamiento extraíble.

En la sección Acceso a almacenamiento extraíble, hay varias políticas que le permiten deshabilitar el uso de diferentes tipos de clases de almacenamiento: CD/DVD, FDD, dispositivos USB, cintas, etc.

• CD y DVD: denegar el acceso de ejecución.

• CD y DVD: denegar el acceso de lectura.

• CD y DVD: Denegar acceso de escritura.

• Clases personalizadas: denegar el acceso de lectura.

• Clases personalizadas: denegar el acceso de escritura.

• Unidades de disquete: denegar el acceso de ejecución.

• Unidades de disquete: Denegar el acceso de lectura.

• Unidades de disquete: Denegar el acceso de escritura.

• Discos extraíbles: Denegar el acceso de ejecución.

• Discos extraíbles: Denegar el acceso de lectura.

• Discos extraíbles: Denegar el acceso de escritura.

• Todas las clases de almacenamiento extraíble: denegar todo acceso.

• Todo el almacenamiento extraíble: permite el acceso directo en sesiones remotas.

• Unidades de cinta: denegar el acceso de ejecución.

• Unidades de cinta: Denegar el acceso de lectura.

• Unidades de cinta: Denegar el acceso de escritura.

• Dispositivo portátil de Windows: esta clase incluye teléfonos inteligentes, tabletas, reproductores, etc.

• Dispositivos WPD: Denegar acceso de escritura.

Como puede ver, para cada clase de dispositivo puede denegar el lanzamiento de archivos ejecutables (proteger las computadoras contra virus), prohibir la lectura de datos y la escritura/edición de archivos en el almacenamiento externo.

Puede implementar la política de restricción "más fuerte" Todas las clases de almacenamiento extraíble: denegar todo acceso para deshabilitar completamente el acceso a todos los tipos de dispositivos de almacenamiento externo. Para habilitar esta política, abra sus propiedades y cambie de No configurada a Habilitada.

Después de habilitar y actualizar la configuración de GPO en las computadoras cliente (gpupdate /force), Windows detectará los dispositivos externos conectados (no solo dispositivos USB, sino también cualquier unidad externa), pero al intentar abrirlos, aparecerá un error:

Location is not available
Drive is not accessible. Access is denied.

En la misma sección de políticas, puede configurar restricciones más flexibles en el uso de unidades USB externas.

Por ejemplo, para evitar la escritura de datos en unidades flash USB y otros tipos de almacenamiento extraíble USB, debe habilitar la política Disco extraíble: Denegar acceso de escritura.

En este caso, los usuarios podrán leer los datos de la unidad flash USB, pero cuando intenten escribir información en ella, recibirán un error de acceso denegado:

Destination Folder Access Denied
You need permission to perform this action

Puede evitar que los archivos ejecutables y de secuencias de comandos se ejecuten desde unidades USB mediante la directiva Discos extraíbles: Denegar acceso de ejecución.

Bloquear unidades USB para ciertos usuarios a través de GPO

Muy a menudo, es necesario bloquear las unidades USB para todos los usuarios del dominio, excepto para los administradores.

Puede usar el Filtrado de seguridad de GPO para hacer una excepción en una política. Por ejemplo, desea evitar que la política de bloqueo de USB se aplique al grupo de administradores de dominio.

1. Seleccione su política Desactivar acceso USB en la consola de administración de políticas de grupo;

2. Agregue el grupo Administradores de dominio en la sección Filtrado de seguridad;

   

3. Vaya a la pestaña Delegación y haga clic en Avanzado. En el editor de configuración de seguridad, especifique que el grupo de administradores de dominio no puede aplicar este GPO (Aplicar política de grupo: denegar).

Puede haber otra tarea: debe permitir el uso de unidades USB externas a todos, excepto a un determinado grupo de usuarios. Cree un grupo de seguridad "Denegar USB" y agregue este grupo a la configuración de seguridad del GPO. Para este grupo, establezca permisos para leer y aplicar el GPO, y deje solo el permiso de lectura para el grupo Usuarios autenticados o Equipos del dominio (desmarcando la casilla de verificación Aplicar política de grupo).

Agregue usuarios a este grupo de AD que necesiten bloquear el acceso a unidades flash y discos USB extraíbles.

Deshabilite el acceso a las unidades USB a través del registro y las preferencias de la política de grupo

Puede controlar de forma más flexible el acceso a dispositivos externos configurando los ajustes de registro establecidos por las políticas discutidas anteriormente a través de las Preferencias de política de grupo (GPP). Todas las políticas anteriores corresponden a ciertas claves de registro en la clave HKLM (o HKCU) \SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices (de manera predeterminada, falta esta clave de registro).

1. Para habilitar una de estas políticas, debe crear una nueva subclave en la clave especificada con el GUID de la clase de dispositivo al que desea bloquear el acceso (columna 2);

2. En la nueva clave de registro, debe crear un parámetro REG_DWORD con el nombre de la restricción que desea implementar:
   Deny_Read: deshabilite la lectura de datos de la clase multimedia;
   Deny_Write: deshabilite la escritura de datos;
   Deny_Execute: deniegue la ejecución de archivos ejecutables desde una clase multimedia externa.

3. Establezca el valor del parámetro:
   1: bloquea el tipo de acceso especificado a los dispositivos de esta clase;
   0: permite usar esta clase de dispositivos.

Puede crear las claves de registro y los parámetros especificados manualmente. En la siguiente captura de pantalla, creé una clave RemovableStorageDevices y una subclave denominada {53f5630d-b6bf-11d0-94f2-00a0c91efb8b}. Usando los parámetros REG_DWORD, evité escribir y ejecutar archivos ejecutables desde unidades USB.

Para bloquear rápidamente la lectura y escritura de datos en unidades USB en Windows, puede ejecutar el siguiente script de PowerShell:

$regkey='HKLM:\Software\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}'
$exists = Test-Path $regkey
if (!$exists) {
New-Item -Path 'HKLM:\Software\Policies\Microsoft\Windows\RemovableStorageDevices' -Name '{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}' -Force | Out-Null
}
New-ItemProperty -Path $regkey -Name 'Deny_Read -Value 1 -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path $regkey -Name 'Deny_Write' -Value 1 -PropertyType 'DWord' -Force | Out-Null

En un entorno de dominio, puede implementar estos parámetros de registro en los equipos de los usuarios mediante las Preferencias de directiva de grupo.

Puede usar estas claves de registro y la orientación a nivel de elemento de GPP para aplicar de manera flexible la configuración que restringe el uso de dispositivos de almacenamiento USB externos. Puede aplicar políticas a grupos de seguridad de AD específicos, sitios, versiones del sistema operativo, unidades organizativas (puede usar incluso filtros WMI).

Por ejemplo, puede crear el grupo de dominio Storage-Devices-Restrict y agregar las cuentas de computadora para las que desea restringir el uso de unidades USB. Este grupo debe especificarse en su política de GPP en la sección Orientación a nivel de artículo -> Grupo de seguridad con la opción Equipo en grupo. Esto aplicará la política de bloqueo de USB a las computadoras que se agregan a este grupo AD.

¿Cómo deshabilitar completamente los dispositivos de almacenamiento USB en Windows?

Puede desactivar por completo el controlador USBSTOR (almacenamiento masivo USB), que es necesario para detectar y montar correctamente los dispositivos de almacenamiento USB.

En una computadora independiente, puede deshabilitar este controlador cambiando el valor del parámetro de registro Inicio de 3 a 4. Puede hacerlo a través de PowerShell:

Set-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\services\USBSTOR" -name Start -Value 4

Reinicie su computadora e intente conectar su dispositivo de almacenamiento USB. Ahora no debería aparecer en el Explorador de archivos o en la consola de administración de discos, y verá un error de instalación del controlador de dispositivo en el Administrador de dispositivos.

Puede deshabilitar la ejecución del controlador USBSTOR en las computadoras del dominio mediante las Preferencias de directiva de grupo. Para hacer esto, debe realizar cambios en el registro a través del GPO.

Esta configuración se puede implementar en todos los equipos del dominio. Cree una nueva Política de grupo, vincúlela a la unidad organizativa con computadoras y en la sección Configuración de la computadora -> Preferencias -> Configuración de Windows -> Registro, cree un nuevo parámetro con los valores:

Action: Update
Hive: HKEY_LOCAK_MACHINE
Key path: SYSTEM\CurrentControlSet\Services\USBSTOR
Value name: Start
Value type: REG_DWORD
Value data: 00000004

Historial de unidades USB conectadas en Windows

Al solucionar problemas de políticas de bloqueo de medios USB, debe obtener información sobre el historial de conexión de unidades USB a una computadora.

Para enumerar las unidades USB actualmente conectadas a la computadora, use el siguiente comando de PowerShell:

Get-PnpDevice -PresentOnly | Where-Object { $_.deviceId -match '^USBSTOR' }

Estado OK indica que esta unidad USB está conectada y funciona correctamente.

El registro de eventos de Windows le permite realizar un seguimiento de los eventos de conexión/expulsión de unidades USB.

1. Puede encontrar estos eventos en Visor de eventos -> Registros de aplicaciones y servicios -> Windows -> Microsoft-Windows-DriverFrameworks-UserMode -> Operacional;

2. De forma predeterminada, Windows no guarda un historial de conexiones de almacenamiento USB. Por lo tanto, deberá habilitarlo manualmente (Habilitar registro) o mediante GPO;

   

3. Ahora puede usar el EventID 2003 (

   Pnp or Power Management operation to a particular device

   ) para obtener información sobre cuándo se conectó la unidad USB y el ID de evento 2102 (

   Pnp or Power Management operation to a particular device

   ) sobre la expulsión de la unidad flash:

   

   Forwarded a finished Pnp or Power operation (27, 2) to the lower driver for device SWD\WPDBUSENUM\_??_USBSTOR#DISK&VEN_UFD_2.0&PROD_SILICON-POWER16G&REV_PMAP#89283229E6C10D23CE7200A2&2#{12234567-B6BF-11D0-2233-00A0AFBB3321F} with status 0x0.

También puede usar la herramienta gratuita USBDriveLog de Nirsoft, que le permite mostrar el historial completo de conexión de unidades USB a la computadora del usuario (muestra información sobre el dispositivo, número de serie, fabricante, hora de conexión/desconexión e identificación del dispositivo).

Permitir solo dispositivos de almacenamiento USB específicos en Windows

En Windows, solo puede permitir que ciertas unidades USB (aprobadas) se conecten a su computadora.

Cuando conecta cualquier dispositivo de almacenamiento USB a la computadora, el controlador USBSTOR instala el dispositivo y crea una clave de registro separada en HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR. Esta clave de registro contiene información sobre la unidad USB (por ejemplo, Disk & Ven_Kingstom & Prod_DT_1010_G2 & Rev_12.00).

Get-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Enum\USBSTOR\*\*| select FriendlyName

Elimine todas las entradas de las unidades flash USB conectadas anteriormente, excepto las que necesite. Luego, debe cambiar los permisos en la clave de registro USBSTOR para que todos los usuarios, incluidos el SISTEMA y los administradores, solo tengan permisos de lectura. Como resultado, si conecta cualquier unidad USB que no sea la permitida, Windows no podrá instalar el dispositivo.

También puede ejecutar un comando/script específico cuando aparece un EventID de conexión USB en el Visor de eventos (aquí hay un ejemplo detallado de cómo ejecutar un proceso cuando ocurre un evento específico). Por ejemplo, puede crear una secuencia de comandos de PowerShell simple que expulse automáticamente cualquier unidad USB si el número de serie no coincide con el que figura en la secuencia de comandos:

$usbdev = get-wmiobject win32_volume | where{$_.DriveType -eq '2'}
If ($usbdev.SerialNumber -notlike “31DF1233BKAD”)
{
$usbdev.DriveLetter = $null
$usbdev.Put()
$usbdev.Dismount($false,$false) | Out-Null

Por lo tanto, puede realizar la verificación más simple de las unidades flash USB conectadas a la computadora.