GPOの「リムーバブル記憶域へのアクセス」で、USBメモリ等の読み取り・書き込み・実行を制限できます。対象はWindowsが該当の記憶域クラスとして扱う機器で、USBポート自体やUSBキーボード・マウスを一律に無効化する設定ではありません。本記事ではリムーバブルディスクへの操作制限を説明します。
グループポリシー（GPO）の作成と適用手順
USBメモリ接続のリスク
USBメモリを組織内のネットワークに接続するリスクをおさらいしておきましょう。以下２点
１．組織内ネットワー上の情報の流出
USBメモリが利用可能な場合
USBメモリにデータを保存して外部に持ち出しが可能となってしまいます。
２．外部からのウイルス感染
自宅で利用しているUSBメモリを会社で利用した場合
感染したファイルやプログラムを持ち込むリスクがあります。USBを接続すれば必ず感染するという意味ではありません。
グループポリシーでUSBの利用制限を行う
それでは、実際にグループポリシーだけでUSBの利用制限を行う方法です。
ポリシーの場所
グループポリシー管理エディターの
コンピュータの構成 ⇒ ポリシー ⇒ 管理テンプレート ⇒ システム ⇒ リムーバブル記憶域へのアクセス
を開きます。深い場所にありますが、、、
ポリシーの設定
禁止したい操作に応じて、下記の読み取り・書き込み・実行の拒否を選びます。読み出しを残して持ち出しを制限したい場合と、読み書きを禁止する場合を分け、理由なく全項目を有効にしません。外付け機器でも必ず同じ分類とは限らず、WPD機器やCD/DVDには別の設定があります。対象機器の認識と実際の動作を検証してください。
リムーバブル ディスク：実行アクセス権の拒否
⇒該当記憶域クラスからの実行アクセスを拒否します。実行を禁止したい要件に合わせて選びます。
リムーバブル ディスク：読み取りアクセス権の拒否
⇒有効にすれば読み取りができなくなります。
リムーバブル ディスク：書き込みアクセス権の拒否
⇒有効にすれば書き込みができなくなります。
適用後は、対象のUSBメモリで禁止した読み取り・書き込み・実行が拒否されることを個別に確認します。他の記憶域クラス、別のDLP設定やアクセス権も影響するため、この3項目だけであらゆる情報持ち出しを防げるわけではありません。
実行アクセス権の拒否
「リムーバブル ディスク：実行アクセス権の拒否」を、実行を禁止する要件に合わせて有効にします。
このポリシー設定を行うと、リムーバブル ディスクへの実行アクセス権が拒否されます。
このポリシー設定を有効にした場合、このリムーバブル記憶域クラスへの実行アクセス権が拒否されます。
このポリシー設定を無効にした場合、または構成しなかった場合は、このリムーバブル記憶域クラスへの実行アクセス権が許可されます。
ポリシーの説明
リムーバブル ディスク：読み取りアクセス権の拒否
読み取りを禁止する場合は「リムーバブル ディスク：読み取りアクセス権の拒否」を有効にします。
このポリシー設定を行うと、リムーバブル ディスクへの読み取りアクセス権が拒否されます。
このポリシー設定を有効にした場合、このリムーバブル記憶域クラスへの読み取りアクセス権が拒否されます。
このポリシー設定を無効にした場合、または構成しなかった場合は、このリムーバブル記憶域クラスへの読み取りアクセス権が許可されます。
ポリシーの説明
リムーバブル ディスク：書き込みアクセス権の拒否
書き込みを禁止する場合は「リムーバブル ディスク：書き込みアクセス権の拒否」を有効にします。
このポリシー設定を行うと、リムーバブル ディスクへの書き込みアクセス権が拒否されます。
このポリシー設定を有効にした場合、このリムーバブル記憶域クラスへの書き込みアクセス権が拒否されます。
このポリシー設定を無効にした場合、または構成しなかった場合は、このリムーバブル記憶域クラスへの書き込みアクセス権が許可されます。
注: ユーザーが、BitLocker で保護されている記憶域にデータを書き込む必要がある場合は、”コンピューターの構成\管理用テンプレート\Windows コンポーネント\BitLocker ドライブ暗号化\リムーバブル データ ドライブ” の [BitLocker で保護されていないドライブへの書き込みアクセスを拒否する] ポリシー設定を有効にします。
ポリシーの説明
適用前後の確認
既存GPOをバックアップし、検証端末のOUへ限定して試します。gpresultで適用元を確認し、未保存データを保存して必要な再起動を計画します。読み取り・書き込み・実行の結果、業務用媒体への影響、設定を戻した場合の動作を確認してから展開してください。
上記の「無効／未構成なら許可」は各ポリシー単体の説明です。他の拒否ポリシーやセキュリティ製品の制限を解除する意味ではありません。Microsoft：リムーバブル記憶域のポリシーと対象クラス
まとめ
資産管理システムであれば分かり易いUIで操作できたりするので利用していましたが、グループポリシーでもやり方を理解してしまえば実運用できそうです。逆に場合によってはグループポリシーの方がシンプルで良いかもしれませんね。
コメント