คู่มือนี้มีคำแนะนำทีละขั้นตอนเกี่ยวกับวิธีบล็อกอุปกรณ์จัดเก็บ USB บนโดเมนทั้งหมด หรือบนผู้ใช้โดเมนเฉพาะ โดยใช้ Group Policy ใน AD Domain 2016 หรือ 2012 เพิ่มเติมคือ หลังจากอ่านคำแนะนำในคู่มือนี้ คุณจะได้เรียนรู้วิธีป้องกันการเข้าถึงอุปกรณ์จัดเก็บ USB ใดๆ (flash drives, external hard drives, smartphones, tablets ฯลฯ) ที่สามารถเชื่อมต่อกับคอมพิวเตอร์ใดๆ ในโดเมน หรือปฏิเสธการเข้าถึง USB storage เฉพาะผู้ใช้โดเมนบางคนเท่านั้น
วันนี้ หลายคนใช้อุปกรณ์จัดเก็บ USB เพื่อถ่ายโอนข้อมูล อย่างไรก็ตาม สำหรับองค์กร ความสามารถของพนักงานในการใช้อุปกรณ์จัดเก็บภายนอกอาจมีความเสี่ยงด้านความปลอดภัย เช่น การแพร่ระบาดของมัลแวร์ หรือการสกัดข้อมูลละเอียดอ่อน เพื่อหลีกเลี่ยงความเสี่ยงเหล่านี้ คุณสามารถอ่านคำแนะนำด้านล่างเพื่อบล็อกการเข้าถึงอุปกรณ์จัดเก็บ USB ให้กับผู้ใช้และคอมพิวเตอร์ทั้งหมดในโดเมนของคุณ หรือเฉพาะผู้ใช้โดเมนบางคนเท่านั้น โดยใช้ Group Policy *
* หมายเหตุ:
1. ในโพสต์นี้ ในการบล็อก USB drives ผ่าน group policy เราใช้ Active Directory 2016 domain controller เพื่อสร้าง group policy ใหม่ และ Windows 10 Pro & Windows 7 Pro workstations เพื่อนำไปใช้
2. นโยบาย "Block USB Access" จะไม่ส่งผลต่อ Domain Administrators หรืออุปกรณ์ USB อื่นที่เชื่อมต่ออยู่ เช่น USB Keyboards, Mouse, Printer ฯลฯ
3. หลังจากใช้ Group Policy ผู้ใช้จะไม่มีการเข้าถึงอุปกรณ์จัดเก็บ USB ทุกประเภท และจะได้รับข้อความข้อผิดพลาดอย่างใดอย่างหนึ่งต่อไปนี้เมื่อพยายามเข้าถึงอุปกรณ์จัดเก็บ USB บน PC ของพวกเขา
วิธีใช้ Group Policy เพื่อป้องกันการเข้าถึงอุปกรณ์จัดเก็บ USB (Server 2012/2012R2/2016)
- ส่วนที่ 1. บล็อกการเข้าถึง USB Read/Write บนผู้ใช้โดเมนทั้งหมด
- ส่วนที่ 2. บล็อกการเข้าถึง USB Read/Write สำหรับผู้ใช้โดเมนบางคน
ส่วนที่ 1. วิธีบล็อกการเข้าถึงอุปกรณ์จัดเก็บ USB บนโดเมนทั้งหมด 2016
เพื่อปิดใช้งานการเข้าถึงอุปกรณ์จัดเก็บ USB ที่เชื่อมต่อใดๆ ไปยังคอมพิวเตอร์ (ผู้ใช้) ใดๆ บนโดเมน:
1. ใน Server 2016 AD Domain Controller ให้เปิด Server Manager และจากเมนู Tools เปิด Group Policy Management *
* นอกจากนี้ ยังสามารถเข้าได้ผ่าน Control Panel → Administrative Tools → Group Policy Management
2. ภายใต้ Domains เลือกโดเมนของคุณ และ คลิกขวา ที่ Default Domain Policy เลือก Edit
3. ใน 'Group Policy Management Editor' ให้นำทางไปที่:
- User Configuration > Policies > Administrative Templates > System > Removable Storage Access
4. ด้านขวา ให้ดับเบิลคลิกที่: Removable Disks: Deny read access *
* หมายเหตุ:
1. หลายบทช่วยสอนที่จุดนี้ แนะนำให้ Enable นโยบาย 'All Removable Storage classes: Deny all access' แต่ในการทดสอบของเราพบว่า นโยบายนี้ไม่ได้ใช้ (ทำงาน) กับสมาร์ทโฟนหรือแท็บเล็ต
2. หากต้องการบล็อกการเข้าถึง USB Write ให้เลือก Removable Disks: Deny write access
5. ติ๊ก Enabled และคลิก OK
6. ปิด Group Policy Editor
7. รีสตาร์ท เซิร์ฟเวอร์และเครื่องไคลเอ็นต์ หรือรันคำสั่ง gpupdate /force เพื่อนำการตั้งค่า group policy ใหม่ไปใช้ (โดยไม่ต้องรีสตาร์ท) กับเซิร์ฟเวอร์และไคลเอ็นต์ทั้งสอง
ส่วนที่ 2. วิธีป้องกันการเข้าถึงอุปกรณ์จัดเก็บ USB บนผู้ใช้โดเมนเฉพาะ
เพื่อปิดใช้งานการเข้าถึงอุปกรณ์จัดเก็บ USB ให้กับผู้ใช้เฉพาะ โดยใช้ group policy คุณต้องสร้างกลุ่มที่มีผู้ใช้ที่ไม่ต้องการให้เข้าถึงอุปกรณ์จัดเก็บ USB จากนั้นนำนโยบายใหม่ไปใช้กับกลุ่มนี้ วิธีทำ:
ขั้นตอนที่ 1. สร้างกลุ่มพร้อมผู้ใช้ที่ปิดใช้งาน USB *
* หมายเหตุ: หากคุณได้สร้างกลุ่มพร้อมผู้ใช้ที่ปิดใช้งาน USB ไว้แล้ว ให้ข้ามไปขั้นตอนที่ 2
1. เปิด Active Directory Users and Computers
2. คลิกขวาที่ออบเจ็กต์ "Users" ด้านซ้าย และเลือก New > Group
3. พิมพ์ชื่อสำหรับกลุ่มใหม่ (เช่น "USB Disabled Users") และคลิก OK *
* หมายเหตุ: คงการติ๊ก 'Global' และ 'Security' ไว้
4. เปิดกลุ่มที่สร้างใหม่ เลือกแท็บ Members และคลิก Add
5. ตอนนี้เลือกผู้ใช้โดเมนที่ต้องการบล็อกอุปกรณ์จัดเก็บ USB แล้วคลิก OK
6. คลิก OK เพื่อปิดคุณสมบัติกลุ่ม
ขั้นตอนที่ 2. สร้าง Group Policy Object ใหม่เพื่อปิดใช้งานอุปกรณ์จัดเก็บ USB
1. เปิด Group Policy Management
2. ภายใต้ออบเจ็กต์ 'Domains' คลิกขวาที่โดเมนของคุณ และเลือก Create a GPO in this domain and Link it here
3. พิมพ์ชื่อสำหรับ GPO ใหม่ (เช่น "USB Disabled") และคลิก OK
4. คลิกขวาที่ GPO ใหม่ และคลิก Edit
5. ใน 'Group Policy Management Editor' ให้นำทางไปที่:
- User Configuration > Policies > Administrative Templates > System > Removable Storage Access
4. ด้านขวา ให้ดับเบิลคลิกที่: Removable Disks: Deny read access *
* หมายเหตุ:
1. หลายบทช่วยสอนที่จุดนี้ แนะนำให้ Enable นโยบาย 'All Removable Storage classes: Deny all access' แต่ในการทดสอบของเราพบว่า นโยบายนี้ไม่ได้ใช้ (ทำงาน) กับสมาร์ทโฟนหรือแท็บเล็ต
2. หากต้องการบล็อกการเข้าถึง USB Write ให้เลือก Removable Disks: Deny write access
5. ติ๊ก Enabled และคลิก OK
6. ปิด หน้าต่าง Group Policy Management Editor
7. กลับไปที่ 'Group Policy Management' เลือก GPO "USB Disabled" และที่แท็บ 'Scope' คลิกปุ่ม Add (ภายใต้การตั้งค่า 'Security filtering')
8. พิมพ์ชื่อกลุ่ม "USB disabled users" (เช่น "USB Disabled Users" ในโพสต์นี้) และคลิก OK
9. เมื่อเสร็จแล้ว เลือกแท็บ Delegation
10. ที่แท็บ 'Delegation' เลือก Authenticated Users และคลิก Advanced
11. ที่ตัวเลือกความปลอดภัย เลือก Authenticated Users และ ยกเลิกติ๊ก ช่องถูก Apply group policy เมื่อเสร็จ คลิก OK
6. ปิด Group Policy Editor
7. รีสตาร์ท เซิร์ฟเวอร์และเครื่องไคลเอ็นต์ หรือรันคำสั่ง "gpupdate /force" (ในฐานะ Administrator) เพื่อนำการตั้งค่า group policy ใหม่ไปใช้ (โดยไม่ต้องรีสตาร์ท) กับเซิร์ฟเวอร์และไคลเอ็นต์ทั้งสอง
เสร็จสิ้น! โปรดแจ้งให้我知道ว่าคู่มือนี้ช่วยคุณได้หรือไม่ โดยทิ้งความคิดเห็น โปรดไลก์และแชร์เพื่อช่วยผู้อื่น
