Cómo bloquear dispositivos de almacenamiento USB en un dominio 2016/2012 con política de grupo

Esta guía contiene instrucciones paso a paso sobre cómo bloquear dispositivos de almacenamiento USB en todo el dominio o en usuarios de dominio específicos mediante la Política de grupo en un dominio AD 2016 o 2012. Más específicamente, después de leer las instrucciones de esta guía, aprenderá cómo para impedir el acceso a cualquier dispositivo de almacenamiento USB (unidades flash, discos duros externos, teléfonos inteligentes, tabletas, etc.), que pueda conectarse a cualquier computadora del dominio, o denegar el acceso al almacenamiento USB solo para usuarios de dominio específicos.

Hoy en día, muchos de nosotros utilizamos un dispositivo de almacenamiento USB para transferir datos. Sin embargo, para una organización, la capacidad de sus empleados de utilizar dispositivos de almacenamiento externos puede contener riesgos de seguridad, como la propagación de malware o la interceptación de datos confidenciales. Para evitar estos riesgos, puede leer las siguientes instrucciones para bloquear el acceso a dispositivos de almacenamiento USB a todos los usuarios y computadoras de su dominio o solo a ciertos usuarios del dominio, mediante la Política de grupo< abarca estilo="color: #333333;">. *

* Notas:
1. En esta publicación, para bloquear unidades USB a través de la política de grupo, utilizamos un controlador de dominio Active Directory 2016 para crear la nueva política de grupo y estaciones de trabajo Windows 10 Pro y Windows 7 Pro para aplicarla.

2. La política "Bloquear acceso USB" no afectará a los administradores de dominio ni a ningún otro dispositivo USB conectado, como teclados USB, mouse, impresora, etc.
3. Después de aplicar la Política de grupo, los usuarios no tendrán acceso a ningún tipo de dispositivo de almacenamiento USB, y recibirá uno de los siguientes mensajes de error al intentar acceder a un dispositivo de almacenamiento USB en su PC.

Cómo utilizar la política de grupo para evitar el acceso a dispositivos de almacenamiento USB (Server 2012/2012R2/2016)

Part 1. Block USB Read/Write Access on All Domain Users.
Part 2. Block USB Read/Write Access for Certain Domain Users.

Parte 1. Cómo bloquear el acceso a dispositivos de almacenamiento USB en todo el dominio 2016.

Para deshabilitar el acceso a cualquier dispositivo de almacenamiento USB conectado a cualquier computadora (usuario) en el dominio:

1. En el controlador de dominio AD de Server 2016, abra el Administrador del servidor y luego, desde el menú Herramientas, abra la Administración de políticas de grupo. *

* Además, navegue hasta Panel de control -> Herramientas administrativas -> Administración de políticas de grupo.

2. En Dominios, seleccione su dominio y luego haga clic derecho en Política de dominio predeterminada y elija Editar. .

3. En 'Editor de administración de políticas de grupo', navegue hasta:

User Configuration > Policies > Administrative Templates > System > Removable Storage Access

4. En el panel derecho, haga doble clic en: Discos extraíbles: denegar acceso de lectura. *

* Notas:
1. En este punto, muchos tutoriales sugieren Habilitar la opción 'Todas las clases de almacenamiento extraíble: denegar todo acceso ' política, pero durante nuestras pruebas descubrimos que esta política no se aplica (funciona) para teléfonos inteligentes o tabletas.

2. Si desea bloquear el acceso de escritura USB, seleccione Discos extraíbles: Denegar acceso de escritura.

5. Marque Activado y haga clic en Aceptar.

6. Cierra el Editor de políticas de grupo.

7. Reinicie el servidor y las máquinas cliente, o ejecute el comando gpupdate /force para aplicar la nueva configuración de política de grupo (sin reiniciar) tanto al servidor como a los clientes.

Parte 2. Cómo impedir el acceso a dispositivos de almacenamiento USB en usuarios de dominio específicos.

Para deshabilitar el acceso a dispositivos de almacenamiento USB para usuarios específicos solo mediante una política de grupo, debe crear un grupo con usuarios que no desean acceder a dispositivos de almacenamiento USB y luego aplicar la nueva política a este grupo. Para hacer eso:

Paso 1. Cree un grupo con los usuarios de USB deshabilitados. *

* Nota: Si ya ha creado un grupo con los usuarios de USB deshabilitados, continúe con el paso 2.

1. Abra Usuarios y equipos de Active Directory.

2. Haga clic derecho en el objeto "Usuarios" en el panel izquierdo y elija Nuevo > Grupo.

3. Escriba un nombre para el nuevo grupo (por ejemplo, "Usuarios con USB deshabilitado") y haga clic en Aceptar. *

* Nota: Deje marcadas las opciones 'Global' y 'Seguridad'.

4. Abra el grupo recién creado, seleccione la pestaña Miembros y haga clic en Agregar.

5. Ahora seleccione en qué usuario(s) de dominio desea bloquear los dispositivos de almacenamiento USB y luego haga clic en Aceptar.

6. Haga clic en Aceptar para cerrar las propiedades del grupo.

Paso 2. Cree un nuevo objeto de política de grupo para deshabilitar los dispositivos de almacenamiento USB.

1. Abra Administración de políticas de grupo.

2. En el objeto 'Dominios', haga clic derecho en su dominio y seleccione Crear un GPO en este dominio y vincularlo aquí.

3. Escriba un nombre para el nuevo GPO (por ejemplo, "USB deshabilitado") y haga clic en Aceptar.

4. Haga clic derecho en el nuevo GPO y haga clic en Editar.

5. En 'Editor de administración de políticas de grupo', navegue hasta:

User Configuration > Policies > Administrative Templates > System > Removable Storage Access

4. En el panel derecho, haga doble clic en: Discos extraíbles: denegar acceso de lectura. *

* Nota:
1. En este punto, muchos tutoriales sugieren Habilitar la opción 'Todas las clases de almacenamiento extraíble: denegar todo acceso ' política, pero durante nuestras pruebas descubrimos que esta política no se aplica (funciona) para teléfonos inteligentes o tabletas.

2. Si desea bloquear el acceso de escritura USB, seleccione Discos extraíbles: Denegar acceso de escritura.

5. Marque Activado y haga clic en Aceptar.

6. Cierre la ventana del Editor de administración de políticas de grupo.

7. Vuelva a 'Administración de políticas de grupo', seleccione el GPO "USB deshabilitado" y en la pestaña 'Alcance' haga clic en el botón Agregar (en la configuración de 'Filtrado de seguridad' ).

8. Escriba el nombre del grupo "Usuarios con USB deshabilitado" (por ejemplo, "Usuarios con USB deshabilitado" en esta publicación) y haga clic en Aceptar.

9. Cuando haya terminado, seleccione la pestaña Delegación.

10. En la pestaña 'Delegación', seleccione los Usuarios autenticados y haga clic en Avanzado.

11. En las opciones de seguridad, seleccione Usuarios autenticados y desmarque la casilla de verificación Aplicar política de grupo. Cuando termine, haga clic en Aceptar.