Cómo bloquear y desactivar dispositivos USB mediante la política de grupo
En esta publicación, aprenderá cómo deshabilitar dispositivos USB mediante la política de grupo. Puede bloquear dispositivos USB en computadoras con Windows mediante la Política de grupo.
En el lugar de trabajo moderno actual, cada miembro del personal posee y utiliza al menos un dispositivo de almacenamiento USB. El USB significa bus serie universal. Los USB se utilizan normalmente para conectar dispositivos como ratones, teclados, impresoras y discos duros externos a su computadora.
Una de las razones de la popularidad de los dispositivos USB es que son fáciles de conectar a su computadora. Puede conectar cualquier dispositivo de almacenamiento USB y Windows tiene la capacidad de detectar este dispositivo y hacerlo funcional para su uso.
Riesgos asociados con permitir unidades USB
Una de las formas más comunes de prevenir el robo de datos es desactivar los dispositivos de almacenamiento USB. Dado que los dispositivos USB son portátiles y se pueden conectar fácilmente a las computadoras, estos dispositivos plantean amenazas de seguridad muy reales. El uso incorrecto de dispositivos de almacenamiento USB representa una importante amenaza a la seguridad de una organización.
Los dispositivos USB se utilizan a menudo para transferir datos de un dispositivo a otro. Sin embargo, esto puede generar riesgos de seguridad. Una forma de prevenir el riesgo es bloquear los dispositivos USB a través de objetos de política de grupo.
Un empleado podría conectar una unidad USB a su computadora portátil y filtrar información confidencial o instalar aplicaciones no autorizadas, lo que podría generar mayores problemas de seguridad.
Además, el dispositivo USB del empleado podría contener malware o código malicioso que podría provocar que el malware se propague a la red de la empresa.
Por lo tanto, muchas organizaciones no permiten que se conecten dispositivos USB a las computadoras, los desactivan mediante la política de grupo o los bloquean mediante la política de grupo.
Afortunadamente, Microsoft ha hecho que sea relativamente sencillo bloquear USB y el uso de dispositivos de almacenamiento USB no autorizados. En este artículo, mostraremos cómo utilizar un objeto de política de grupo para bloquear el acceso a dispositivos de almacenamiento USB.
Cómo deshabilitar dispositivos USB usando la política de grupo
Los objetos de política de grupo (GPO) son una forma de administrar de forma centralizada la configuración en un dominio de Windows. Los GPO se pueden utilizar para desactivar dispositivos USB en la computadora.
Para bloquear dispositivos USB, debe crear un objeto de política de grupo y configurarlo con los ajustes deseados. Luego puede vincular el objeto de política de grupo a un contenedor o sitio de Active Directory, o aplicarlo a sistemas individuales.
Por ejemplo, puede crear una unidad organizativa en Active Directory y agregar algunas computadoras de prueba en esa unidad organizativa. La Política de grupo que creamos para bloquear dispositivos USB estará vinculada a esta unidad organizativa.
Veamos cómo deshabilitar el dispositivo USB usando la Política de grupo. Para crear un objeto de política de grupo, puede iniciar sesión en un controlador de dominio o en un servidor Windows instalado con herramientas de administración de políticas de grupo.
Inicie la herramienta Administración de políticas de grupo en el controlador de dominio, haga clic derecho en Objetos de política de grupo y haga clic en Nuevo. Proporcione un nombre al GPO, como Bloquear dispositivos USB y haga clic en Aceptar.
Haga clic derecho en el GPO y haga clic en Editar. Esto iniciará el Editor de administración de políticas de grupo donde puede definir la configuración para bloquear dispositivos USB para computadoras con Windows.
En el Editor de administración de políticas de grupo, navegue hasta Configuración del equipo\Políticas\Plantillas administrativas\Sistema\Acceso al almacenamiento extraíble.
Opciones de GPO de acceso al almacenamiento extraíble
El acceso al almacenamiento extraíble contiene políticas para una variedad de dispositivos de almacenamiento y las políticas incluyen:
- Establecer el tiempo (en segundos) para forzar el reinicio
- CD y DVD: denegar el acceso de ejecución
- CD y DVD: denegar acceso de lectura
- CD y DVD: denegar acceso de escritura
- Clases personalizadas: denegar acceso de lectura
- Clases personalizadas: denegar acceso de escritura
- Unidades de disquete: denegar el acceso de ejecución
- Unidades de disquete: denegar el acceso de lectura
- Unidades de disquete: denegar el acceso de escritura
- Discos extraíbles: denegar el acceso de ejecución
- Discos extraíbles: denegar el acceso de lectura
- Discos extraíbles: denegar el acceso de escritura
- Todas las clases de almacenamiento extraíble: denegar todo acceso
- Todo el almacenamiento extraíble: permite el acceso directo en sesiones remotas
- Unidades de cinta: denegar el acceso de ejecución
- Unidades de cinta: denegar el acceso de lectura
- Unidades de cinta: denegar el acceso de escritura
- Dispositivos WPD: denegar acceso de lectura
- Dispositivos WPD: denegar acceso de escritura
De todas las políticas de acceso al almacenamiento extraíble, configuraremos una opción "Todas las clases de almacenamiento extraíble: denegar todo acceso".
Todas las clases de almacenamiento extraíble: denegar todo acceso: esta configuración de política le permite configurar el acceso a todas las clases de almacenamiento extraíble. Esta configuración de política tiene prioridad sobre cualquier configuración de política de almacenamiento extraíble individual. Si habilita esta configuración de política, no se permitirá el acceso a ninguna clase de almacenamiento extraíble. Si deshabilita o no configura esta configuración de política, se permiten accesos de escritura y lectura a todas las clases de almacenamiento extraíbles.
Haga clic derecho en la configuración de política Todas las clases de almacenamiento extraíble: denegar todo acceso y haga clic en Editar. Si habilita esta política, bloqueará el acceso a cualquier clase de almacenamiento extraíble que conecte a la computadora. Haga clic en Activado y haga clic en Aplicar y luego en Aceptar.
El GPO para bloquear dispositivos USB está listo. Aplicaremos este GPO a una unidad organizativa que creamos en el paso inicial. Haga clic derecho en la unidad organizativa y haga clic en Vincular un GPO existente.
De la lista de GPO, seleccione la política Bloquear dispositivos USB y haga clic en Aceptar.
Bloquear dispositivos USB usando la política de grupo
En esta sección, probaremos el GPO que bloquea las unidades USB en dispositivos Windows. En la computadora cliente, realice una actualización de la política de grupo usando el comando gpupdate /force.
Conecte cualquier dispositivo USB a la computadora y debería ver el mensaje "Acceso denegado". El error Unidad no accesible, acceso denegado indica que una política de grupo ha bloqueado el dispositivo USB correctamente. La política que aplicamos impedirá que los usuarios monten cualquier tipo de medio extraíble.
