WithSecure Elements EPP – Best Practice: zabezpieczenie urządzeń USB i kontrola nośników zewnętrznych

Nośniki USB, mimo rosnącej popularności rozwiązań chmurowych, nadal są powszechnie wykorzystywane w środowiskach firmowych. Jednocześnie stanowią realne zagrożenie, zarówno w kontekście wprowadzania złośliwego oprogramowania do sieci, jak i niekontrolowanego wynoszenia danych.

WithSecure Elements EPP oferuje w tym obszarze dwa kluczowe mechanizmy ochrony: automatyczne skanowanie urządzeń USB po podłączeniu oraz kontrolę uruchamiania plików wykonywalnych z nośników zewnętrznych. Odpowiednia konfiguracja tych funkcji znacząco podnosi poziom bezpieczeństwa organizacji.

Automatyczne skanowanie USB po podłączeniu (USB Auto-Scan)

Jednym z podstawowych zabezpieczeń jest automatyczne skanowanie urządzeń USB w momencie ich podłączenia do komputera. Funkcja ta pozwala sprawdzić każde podłączone urządzenie USB pod kątem zagrożeń, zanim użytkownik zacznie z niego korzystać.

Aby ją skonfigurować:

1. Zaloguj się do konsoli WithSecure Elements Security Center (elements.withsecure.com).
2. W menu po lewej stronie przejdź do Security Configurations → Profiles.
3. Wybierz profil dla komputerów Windows (lub serwerów), który chcesz edytować.
4. W menu profilu przejdź do sekcji Scanning settings.
5. Odszukaj sekcję Common scanning.
6. Znajdź ustawienie Action when USB storage device is plugged in.
7. Wybierz odpowiednią opcję działania.
8. Kliknij Save and Publish, aby zastosować zmiany.

Z punktu widzenia bezpieczeństwa rekomendowane jest ustawienie automatycznego skanowania w tle lub trybu wymuszonego. Pozwala to wyeliminować czynnik ludzki i zapewnić, że każde urządzenie zostanie sprawdzone.

Blokowanie uruchamiania plików z USB (Device Control)

Drugim kluczowym zabezpieczeniem jest uniemożliwienie uruchamiania plików wykonywalnych z nośników USB. Dzięki tej funkcji można skutecznie zablokować uruchamianie plików takich jak .exe, .bat czy .cmd bezpośrednio z pendrive’ów, co znacząco redukuje ryzyko infekcji.

Aby włączyć tę funkcję:

1. Otwórz ten sam profil Windows w konsoli WithSecure.
2. Przejdź do sekcji Device control.
3. Włącz opcję Device control (ON). 
4. W sekcji Removable mass storage devices znajdź ustawienie Allow executables to run. 
5. Ustaw je na OFF.
6. (Opcjonalnie) wyłącz również Allow write access, aby ograniczyć zapis danych na USB.
7. Kliknij Save and Publish.

Wyjątki dla zaufanych urządzeń USB

W niektórych przypadkach (np. narzędzia administratorów) konieczne może być dopuszczenie wybranych urządzeń USB.

WithSecure umożliwia tworzenie wyjątków na podstawie:

• Device ID
• Hardware ID
• Compatible ID
• Device Class GUID

Dzięki temu można precyzyjnie wskazać urządzenia, które mają mieć pełny dostęp, bez obniżania poziomu bezpieczeństwa całej organizacji.

Na co uważać przy konfiguracji USB w WithSecure

Wdrożenie kontroli USB znacząco zwiększa bezpieczeństwo, ale warto pamiętać o kilku praktycznych aspektach:

• blokada plików wykonywalnych obejmuje wszystkie urządzenia USB,
• może to wpłynąć na pracę działu IT lub administratorów,
• brak wyjątków może utrudnić korzystanie z legalnych narzędzi,
• warto testować ustawienia na ograniczonej grupie przed wdrożeniem globalnym.

Zabezpieczenie USB w WithSecure Elements EPP – dobre praktyki konfiguracji

Skuteczna ochrona przed zagrożeniami związanymi z USB nie wymaga skomplikowanych działań, ale wymaga konsekwencji w konfiguracji. Najlepsze efekty osiągniesz, łącząc automatyczne skanowanie wszystkich nośników z blokadą uruchamiania plików wykonywalnych, kontrolą zapisu danych oraz stosowaniem wyjątków wyłącznie dla zaufanych urządzeń. Tak skonfigurowane środowisko znacząco ogranicza ryzyko infekcji oraz wycieku danych, nie wpływając przy tym istotnie na komfort pracy użytkowników.

Artykuł powstał na podstawie oryginalnych materiałów oraz dokumentacji technicznej producenta WithSecure i stanowi opracowanie własne Arkanet.