USB-Laufwerke mit SCCM sperren?

[n0reaga]

Hallo,

ist es mit SCCM (wie mit z. B. Centertools Drivelock) möglich USB-Geräte, CD-Laufwerk, etc. zu sperren?


EDIT: Alternative Möglichkeiten bitte auch auflisten, falls es nicht geht.

Ich habe heute einen Webcast gesehen, in dem man sehr bequem derartige Sachen mit Drivelock machen kann.
Ich habe mir gedacht, dass ich SCCM sowieso nehmen würde. Die Frage ist, was wie ich dann USB-Sticks, CD-Laufwerk etc. sperren könnte.


Gruß Alex

 

[hayden]

Meines Wissens nicht.

 

[n0reaga]

Falls es nicht geht, dann bitte alternative vernünftige Möglichkeiten auflisten. Hab mal oben editiert.

 

[HisN]

Laufwerksbuchstaben entfernen und in den Gruppenrichtlinien das Hinzufügen verbieten?

 

[hayden]

Also die Methoden die ich kenne:
Laufwerke ausbauen oder so ein Laufwerksschloss besorgen.
USB Ports mit Heissklebepistole zukleistern und nur PS2 Anschlüsse (gibt ja noch genug PS2 Tastaturen und Mäuse + USB Adapter) nutzen.
Mit den Business Intelchipsätzen wie dem Q57 kann man einzelne USB Ports deaktivieren.

Aber zu jeder Methode gibt es verschiedene Angriffsmöglichkeiten. Letztens wurde von einem Sicherheitsunternehmen eine USB Maus präpariert, in der über einen USB-Hub die Mauselektronik, einen Massenspeicher und ein FPGA-Chip an den Rechner angebunden hat, wobei letzterer dann Tastatureingaben simuliert hat, die dann den Schadcode vom Massenspeicher ausgeführt hat. So eine Maus müsste man nur als Werbegeschenk zu einem Arbeiter in ein Unternehmen schicken und hat ne gute Chance das er sie dort benutzt.
Wenn man alle USB Ports übers Bios deaktiviert, muss man nur den Strom abstellen und die Biosbatterie 5min rausnehmen oder reseten. Nur teure Business-Geräte verfügen überhaupt über annehmbare versenkte Schlösser, so ein Gehäuse ist schnell geöffnet.
Verklebt man die äußeren USB Ports, vergisst man meistens das intern noch die Pfostenstecker für die USB-Ports am Gehäuse sind, da gibt es inzwischen kleine Adapter direkt auf USB-Buchsen.
Beliebt sind auch gerne manipulierte PDF Dateien, auf die man in Emails an Mitarbeiter der Firma wo man rein will linkt. Adobe Reader ist der übelste Dreck und wegen den nervigen Updates oft veraltet auf Bürorechnern.

Gott bin ich froh nicht in der IT Branche arbeiten zu müssen