Как закрыть доступ к устройствам ?

[Shtirlitz]

Задача : на ПК програмно закрыть доступ пользователю к CD-ROM, FDD, USB-портам (за исключением того, куда подключается принтер).

В случае необходимости сисадмин должен имет возможность разблокирования. Машины новые, гарантийные, опечатаные.
OC - WinXP sp2 rus. Создание профиля юзера с граниченными правами не подходит, т.к. установленный софт для работы для работы с БД требует прав администратора.

Что посоветуете ?

[lexxjr]

в BIOS , и пароль на bios...

[nipand]

вот информация по USB:


// Чтобы отключить использование USB-устройств хранения данных, воспользуйтесь одним или несколькими из приведенных способов, в зависимости от конкретной ситуации.
Если USB-устройство хранения данных еще не установлено в компьютер

// Если USB-устройство хранения данных еще не установлено в компьютер, назначьте пользователю или группе запрещающие разрешения на следующие файлы:
• %SystemRoot%InfUsbstor.pnf
• %SystemRoot%InfUsbstor.inf


После этого пользователи не смогут установить USB-устройство хранения данных в компьютер. Чтобы назначить пользователю или группе запрещающие разрешения на файлы Usbstor.pnf и Usbstor.inf, выполните следующие действия. 1. Запустите проводник Windows и найдите папку %SystemRoot%Inf.
2. Щелкните правой кнопкой мыши по файлу Usbstor.pnf и выберите пункт Свойства.
3. Перейдите на вкладку Безопасность.
4. В списке Группы или пользователи выберите пользователя или группу, для которых необходимо установить запрещающие разрешения.
5. В списке Разрешения для имя_пользователя или имя_группы установите флажок Запретить напротив элемента Полный доступ и нажмите кнопку OK.
Примечание. Кроме того, добавьте в список Запретить учетную запись System.
6. Щелкните правой кнопкой мыши по файлу Usbstor.inf и выберите пункт Свойства.
7. Перейдите на вкладку Безопасность.
8. В списке Группы или пользователи выберите пользователя или группу, для которых необходимо установить запрещающие разрешения.
9. В списке Разрешения для имя_пользователя или имя_группы установите флажок Запретить напротив элемента Полный доступ и нажмите кнопку OK.

Если USB-устройство хранения данных уже установлено в компьютер

// Предупреждение. Неправильное изменение параметров системного реестра с помощью редактора реестра или любым иным путем может привести к серьезным неполадкам, требующим переустановки операционной системы. Корпорация Майкрософт не гарантирует устранения этих неполадок. Ответственность за изменение реестра лежит на пользователе. Если USB-устройство хранения данных уже установлено в компьютер, присвойте параметру Start значение 4 в следующем разделе реестра:
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesU sbStor

После этого USB-устройства хранения данных не будут работать при подключении к компьютеру. Чтобы изменить значение параметра Start, выполните следующие действия: 1. Нажмите кнопку Пуск и выберите пункт Выполнить.
2. В поле Открыть введите команду regedit и нажмите кнопку OK.
3. Откройте следующий раздел реестра:
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesU sbStor
4. Дважды щелкните на правой панели параметр Start.
5. В поле Значение введите 4, выберите Шестнадцатеричная (если этот вариант не выбран) и нажмите OK.
6. Закройте редактор реестра.


Но если все же есть необходимость в просмотре Флэш носителей, то можно просто запретить запись на "эти самые" Флэш носители:
Откройте редактор реестра (regedit)

Найдите ветку

HKEY_LOCAL_MACHINESystemCurrentControlSetControlSt orageDevicePolicies

Если ее нет, создайте ее.

В этой ветке создайте запись типа DWORD, назовите ее WriteProtect и присвойте ей значение 1.

Закрываете regedit.exe

Теперь доступ к flash дискам будет только для чтения (readonly).

по материалам: http://support.microsoft.com/kb/823732

оригинал: http://forums.microsoft.com/TechNet-...2561&SiteID=40

[Zhlobny Hmur]

Shtirlitz, Софтина есть такая, причем дружит с доменом. Там на локале все позапрещать можно... Вот только, хоть убейте, не вспомню как зоветься.

Помню, что денег дюже много просили... Хотя и не буржуи...

[DinAmiT]

Есть такая софтина GFI LANguard Portable Storage Control (P.S.C) 2.0
программа поможет вам защитить конфиденциальную информацию в сети предприятия от неавторизованного доступа и предотвратит попадание вредоносного ПО через USB-носители, а также другие сменные носители (включая дискеты и компакт-диски).
С ее помощью администраторы сети смогут разрешать или запрещать подключение сменных носителей, а также контролировать доступ пользователей к устройствам для чтения дискет и CD-дисков. Для этого на клиентском компьютере устанавливается агентское приложение, размер которого составляет всего 1.2 Мб. Если пользователь не является членом группы, которой предоставлено
это право, он автоматически лишается доступа к устройству (флоппи-дисководу или устройству для чтения CD-дисков). Для того чтобы предоставить пользователю возможность чтения и записи информации на сменный носитель, администратору достаточно включить его в состав соответствующей группы Active Directory.

[trn1]

А с помощью самого AD?

[Hunter_Tj]

Цитата: Сообщение от Zhlobny Hmur Shtirlitz, Софтина есть такая, причем дружит с доменом. Там на локале все позапрещать можно... Вот только, хоть убейте, не вспомню как зоветься. Помню, что денег дюже много просили... Хотя и не буржуи...

Эта - DeviceLock?
_http://www.devicelock.com/ru/dl/
Юзаем у себя, и действительно, на все можно давать различные разрешения + обычному юзеру отключить ее практически невозможно...

[PLAstic]

Кроме основной задачи автор, имхо, сильно заблуждается насчёт ограниченной УЗ. Настроить работу БД и софта всегда можно. Надо только понять, к каким файлам и веткам реестра нужен полный доступ. Смотрится кучей мониторов: regmon, filemon и т.п.
Т.ч. если создание ограниченной УЗ поможет - можно рассмотреть и этот вопрос.

[ЧИХ_ПЫХ]

Сам долго продолбался с такой проблемой и скрипты писал и АД ковырял пока не нашел http://www.devicemanager.narod.ru/ есть свои не удобства в списке, а в остальном вполне устраивает

[Shtirlitz]

2 moderator: Вопрос решен - http://www.nowa.cc/showpost.php?p=2737422&postcount=38.
Не возражаю против закрытия темы (если ее развитие никому более не интересно)

[Dimonsh]

Что-то никто Zlock не упомянул - я ей давно уже пользуюсь. Правда больше пригодились Zserver и Zbackup, а Zlock брался для кучи) http://www.securit.ru/products/info/zlock/