← Назад к «Интерфейсы (UI)»

USB-устройства

Обновлено:

Инвентаризация USB

Зачем нужна эта вкладка

На рабочих станциях с конфиденциальной информацией USB-порты — это основной канал утечки. Сотрудник может принести личную флешку, скопировать данные, унести. Или, наоборот, подключить заражённую флешку и принести вирус в корпоративную сеть.

Вкладка «USB-устройства» решает обе проблемы:

  • Инвентаризация — LSUS знает обо всех USB-накопителях, которые когда-либо подключались к машинам.
  • Контроль доступа — устройство можно разрешить или запретить на конкретном хосте или вообще во всей организации.
  • Журнал — полное логирование подключений и отключений с указанием пользователя и времени.

Вкладка работает только если на клиентах установлен компонент lsus-usb-control (отдельный пакет от lsus-client). Без него USB-события не отслеживаются.

Три подвкладки:

Подвкладка Зачем
Инвентарь Все когда-либо замеченные устройства.
Заявки на регистрацию Кто и какие устройства хочет использовать.
Журнал событий Хронология всех подключений.

Подвкладка «Инвентарь»

Инвентаризация USB

Это реестр всех USB-устройств, которые когда-либо были обнаружены на управляемых машинах. Не только флешки — также внешние диски, CD/DVD, и иногда другие USB-периферийные устройства.

Колонки таблицы:

  • Серийный номер — уникальный идентификатор устройства.
  • Производитель (vendor) — Kingston, Samsung, SanDisk и т.д.
  • Модель — название модели.
  • VID:PID — стандартные USB-идентификаторы vendor/product.
  • Тип — USB-диск / CD-DVD.
  • Первое обнаружение — когда устройство впервые появилось в системе.
  • Последнее обнаружение — когда было последний раз подключено.

Фильтры

  • Тип устройства — только USB-диски, или только CD/DVD.
  • Производитель — текстовый фильтр.
  • Строка поиска — по серийному, производителю, модели.

lightbulbЗачем это нужно

Если в журнале событий вы видите «непонятную» флешку — здесь её можно идентифицировать, посмотреть, на каких машинах она появлялась, кто её подключал. Это инструмент расследования инцидентов ИБ.

Подвкладка «Заявки на регистрацию»

Регистрации USB

Чтобы пользователь мог использовать USB-устройство на рабочей станции, он подаёт заявку. Администратор рассматривает её и принимает решение.

Этот механизм реализует политику «белого списка» для USB — по умолчанию ничего нельзя, только если администратор явно разрешил.

Жизненный цикл заявки

Статус Что значит
Ожидает Заявка подана, ждёт рассмотрения.
Одобрена Устройство разрешено к использованию.
Отклонена Устройство запрещено (с комментарием администратора).
Отозвана Ранее выданное разрешение отменено.
Заблокировано Принудительная блокировка — самое строгое решение.

Что в строке заявки

ID, серийный номер, производитель, модель, VID:PID, тип, хост, пользователь (кто подавал), обоснование, статус, дата заявки, решение, действия.

Создание заявки администратором

Кнопка «+ Новая заявка» — для случаев, когда администратор сам оформляет разрешение (например, по запросу по телефону):

  • Устройство — выбор из инвентаря.
  • Хост — на каком хосте разрешаем (или «Все хосты»).
  • Пользователь — логин.
  • Обоснование — для чего нужно устройство.
  • Одобрить сразу — если администратор создаёт уже одобренную заявку.

Принятие решения

Кнопки в строке заявки открывают модалку с вариантами: Одобрить / Отклонить / Отозвать / Заблокировать. Каждый вариант может сопровождаться комментарием.

Подвкладка «Журнал событий»

События USB

Полная хронология всех USB-событий на управляемых машинах — кто и что подключал/отключал.

Колонки:

  • Время — когда произошло.
  • Серийный номер, Производитель, Модель — какого устройства касается событие.
  • Хост — на какой машине.
  • Пользователь — кто был залогинен.
  • Действие — Подключение или Отключение.
  • Размер (ГБ) — для USB-дисков.
  • Статус при подключении — было ли устройство разрешено или заблокировано.

Фильтры

  • Пользователь — события конкретного сотрудника.
  • Действие — только подключения или только отключения.
  • Строка поиска — по серийному или пользователю.

Для чего используется

  • Расследование инцидентов ИБ — «5 мая в 14:32 на компьютер Иванова была подключена неизвестная флешка — кто это был?».
  • Аудит — «за прошлый месяц было 200 подключений неразрешённых устройств, ни одна заявка не оформлена — почему?».
  • Отчёты руководству — «вот статистика, регламент соблюдается / не соблюдается».

Сопутствующий компонент

USB-контроль требует на клиенте отдельную службу — lsus-usb-control. Это отдельный пакет, не входящий в базовый lsus-client. Если он не установлен, вкладка будет пустой.

Установка и настройка lsus-usb-control описаны в разделе USB Control.

Права доступа

Действие Permission key
Просмотр инвентаря usb.inventory.view
Просмотр заявок usb.registrations.view
Управление заявками (одобрение, отклонение, блокировка) usb.registrations.operate
Просмотр журнала событий usb.events.view