事象:
ハードウェア ID でホワイトリストに登録されていない限り、すべての USB デバイスがブロックされるようにデバイス コントロールを構成する方法。
対処方法:
さまざまな USB クラスのルールを作成して、アクセス レベルをブロックに設定し、ハードウェア ID によってデバイスを許可するホワイト リスト ルールを作成できます。
様々なクラスについてはこのページをご覧ください。
https://en.wikipedia.org/wiki/USB (下にスクロールしてデバイスクラスを見つけてください)
ブロックしたら、ハードウェア ID によってデバイスをホワイトリストに登録する別のルールを作成します。
ルールに例外を追加するには:
1. 許可するデバイスのハードウェア ID を取得します。
ハードウェア ID は、デバイスをブロックするために使用される ID よりも具体的である必要があります。
2. [設定]タブに移動し、[Windows]> [デバイス コントロール]を選択します。
3. デバイス アクセス ルール テーブルで、[追加] をクリックします。
4. 新しいルールのハードウェア ID としてデバイスのハードウェア ID を入力します。
5. デバイスの使用を許可するには、「アクセス レベル」を「フル アクセス」に設定します。
6. 新しいルールのアクティブを「はい」に設定する
ハードウェア ID を見つけるには:
ポリシー マネージャーまたは Windows デバイス マネージャーを使用してハードウェア ID を見つけるには、次の手順に従います。
詳細表示の場合:
- ポリシーマネージャコンソールを開き、デバイスコントロール>統計に移動します。
- ハードウェア ID、互換性 ID、デバイス クラス列を使用して、ブロックされたデバイスの ID を見つけます。
- 統計を使用して ID を見つけることができない、またはデバイスがまだブロックされていない場合は、クライアント コンピューターで Windows デバイス マネージャーを開きます。
- デバイスのリストで、ID を知りたいデバイスを見つけます。
- デバイスを右クリックし、[プロパティ] を選択します。
- 詳細タブに移動します。
- ドロップダウン メニューから次のいずれかの ID を選択し、その値を書き留めます。
- ハードウェアID
- 互換性のあるID
- デバイスクラスガイド
Elements Endpoint Protection for Computers and Servers では、ユーザーが USB デバイス (Web カメラやハード ディスクなど) にアクセスする方法や、リムーバブル大容量ストレージ デバイスがインストーラーを実行できるかどうかについて制限を設定できます。
デバイス制御を設定するには:
- [プロファイル] でプロファイルを選択します。
- 左側のメニューから「デバイスコントロール」を選択します。
- デバイス制御をオンにします。
- 注: デバイス コントロールがオンの場合、コンピューターに接続されているすべてのデバイスが、デバイス ページの [接続されたデバイス] に表示されます。
- 4. 「リムーバブル大容量記憶装置デバイス」で、次のいずれかのオプションをオンにすることができます。
書き込みアクセスを許可 - このオプションをオフにすると、ユーザーはリムーバブル大容量ストレージデバイスにファイルをコピーできなくなります。リムーバブル大容量ストレージデバイスはデータの読み取りのみ可能です。
実行可能ファイルの実行を許可する - このオプションをオフにすると、リムーバブル大容量ストレージデバイスからのファイルの実行が防止されます。
注: USB デバイスの場合、デバイス マネージャーのデバイス ID は次のように表示する必要があります。
デバイスマネージャー > ディスクドライブ > USBパーティション
その理由は、USBデバイスをPCに挿入しても、パーティションが存在する可能性があるため、Windowsでは必ずしも単一のデバイスとして検出されないためです。そのため、フラッシュドライブに複数のパーティションがある場合、「USB大容量記憶装置デバイス」として検出され、各パーティションはディスクドライブの下に個別の「デバイス」として表示されます。これは、ポリシーマネージャーのアラートとElements Securityイベントに反映されます。