Контроль устройств

Контроль устройств управляет доступом пользователей к устройствам, установленным или подключенным к клиентскому устройству (например, к жестким дискам, камерам или модулям Wi-Fi). Это позволяет защитить клиентское устройство от заражения при подключении внешних устройств и предотвратить потерю или утечку данных.

Как работает Контроль устройств

По умолчанию компонент Контроль устройств включен с предзаданными настройками.

1. Пользователь пытается получить доступ к устройству
2. Контроль устройств управляет доступом на следующих уровнях:
   • Тип устройства по классификации компонента Контроль устройств (например, принтеры, съемные диски, CD/DVD-приводы). Для каждого типа устройств может применяться один из следующих режимов доступа:
     • Разрешать – предоставлять доступ к устройствам этого типа.
     • Запрещать – запрещать доступ к устройствам этого типа.
     • Зависит от шины – разрешать или запрещать доступ к устройствам в зависимости от режима доступа для шины, по которой подключено устройство.
     • Пользовательское – разрешать или запрещать доступ к устройствам в зависимости от правил доступа к устройствам.
     • Только чтение – разрешать доступ к устройствам выбранного типа только на чтение, при этом запись будет запрещена.
   • Шина подключения. Шина подключения – это интерфейс, с помощью которого устройства подключаются к клиентскому устройству (например, USB, FireWire). Для шин подключения может применяться один из следующих режимов доступа:
     • Разрешать – предоставлять доступ к устройствам, подключенным по этой шине подключения.
     • Запрещать – запрещать доступ к устройствам, подключенным по этой шине подключения.

   Например, может быть запрещен доступ ко всем устройствам, подключенным по шине USB.

3. Завершение проверки

   Если устройство, к которому пытается получить доступ пользователь, не является доверенным для этого пользователя, или у пользователя нет разрешения на доступ к устройству в соответствии с режимом доступа, приложение заблокирует доступ к устройству этому пользователю.

   Пользователь может отправить запрос администратору организации об ошибочной блокировке, если доступ, по мнению пользователя, заблокирован ошибочно, или может запросить временный доступ к устройству.

При выключении компонента Контроль устройств приложение разблокирует доступ к заблокированным устройствам.

Настройка Контроля устройств

1. Настройте доверенные устройства

   Доверенные устройства – это устройства, полный доступ к которым разрешен в любое время для пользователей, указанных в параметрах доверенного устройства. Вы можете предоставить доступ к доверенными устройствам отдельному пользователю, группе пользователей или всем пользователям организации. Например, вы можете разрешить доступ к конкретным USB-устройствам или только к USB-накопителям, при этом доступ к остальным USB-устройства будет запрещен.

2. Настройте режим доступа

   Вы можете настроить режим доступа для типов устройств и для шин подключения. По умолчанию для всех типов устройств выбран режим доступа Зависит от шины, для шин подключения выбран режим доступа Разрешать. В соответствии с этими параметрами Контроль устройств предоставляет пользователям полный доступ ко всем устройствам.

3. Настройте правила доступа

   Для устройств хранения данных (жесткие диски, съемные диски, дискеты и CD/DVD-приводы) вы можете настроить правила доступа к устройству.

4. Настройте шаблон сообщения

   При необходимости вы можете настроить текст шаблона сообщений пользователю о запрете доступа к устройству или о запрете операции с устройством.

5. Настройте получение временного доступа к устройству

   Если требуется, настройте возможность получения пользователем временного доступа к заблокированному устройству.

Особенности и ограничения

• При первом включении компонента Контроль устройств для всех обнаруженных устройств с известным типом устройства или шины формируется событие Доступ к устройству разрешен, при следующих запусках повторные события для этих устройств не формируются, если не было изменений в параметрах контроля для этих устройств.
• Контроль устройств не блокирует системные диски. Если приложению не удалось автоматически определить системный диск, работа компонента Контроль устройств завершается с ошибкой.
• Блокировка устройств по типу устройства и по шине подключения через системный драйвер устройства не поддерживается на ядрах ОС Linux: 3.10, 5.14, 5.15, 5.17, 6.1, 6.8. На этих ядрах, а также при режиме доступа По правилам блокируются только открытие файлов и чтение директорий (то есть получение имен файлов и директорий). На системах, не поддерживающих технологию fanotify, не поддерживается блокировка чтения директорий.
• Контроль устройств игнорирует исключение точек монтирования. Доступ к устройству, смонтированному в исключенной точке монтирования, может быть ограничен в соответствии с настроенными параметрами Контроля устройств.
• Если в общих параметрах приложения выключена блокировка доступа к файлам во время проверки, то заблокировать доступ к устройствам с помощью расписания доступа для устройств невозможно.