[Win2k3 GPO] Disable mass storage devices

[Workaholic]

Er zijn hier voldoende mensen aanwezig die in het bedrijfsleven dit probleem wellicht tegen zijn gekomen.

Wij hebben zo'n 100-200 gebruikers en we hebben de laatste tijd problemen met het feit dat mensen met USB sticks en externe hardeschijven werken.

Dit is echter streng verboden.

Om dit te voorkomen ben ik op zoek gegaan naar een methode om via een group policy de mass storage devices uit te kunnen schakelen.

Ik heb wat informatie gevonden, helaas werkt deze maar in 50 % van de tijd.

Wat ik gedaan heb is usbstor.inf en usbstor.pnf geen rechten geven voor de gebruikers (wel voor admins). Dit op computer niveau in de gpo --> filesettings.

adm file geimporteerd die een regkey aanpast : HOWTO: Use Group Policy to disable USB, CD-ROM, Floppy Disk and LS-120 drivers

Het lijkt soms te werken, maar soms ook weer niet. Niet echt betrouwbaar dus. Ik test overigens voor de zekerheid met dezelfde usb stick. Gpudate /force natuurlijk al lang gedaan.

Heeft iemand hier toevallig een oplossing voor?

[ Voor 9% gewijzigd door Workaholic op 08-12-2007 16:32 ]

[_eXistenZ_]

Kan je niet extra schijfletters uitschakelen? Zodat extra schijven gewoon niet geaccessed kunnen worden?

[alt-92]

Audi-Addict schreef op zaterdag 08 december 2007 @ 16:30:
Wat ik gedaan heb is usbstor.inf en usbstor.pnf geen rechten geven voor de gebruikers (wel voor admins). Dit op computer niveau in de gpo --> filesettings.

Dat kan soms ook vertragend werken bij het opstarten van de PC (zijnde dat je werkstations dan langer blijven ratelen op 'applying security settings' bijvoorbeeld).

adm file geimporteerd die een regkey aanpast : HOWTO: Use Group Policy to disable USB, CD-ROM, Floppy Disk and LS-120 drivers

Het lijkt soms te werken, maar soms ook weer niet. Niet echt betrouwbaar dus. Ik test overigens voor de zekerheid met dezelfde usb stick. Gpudate /force natuurlijk al lang gedaan.

Heeft iemand hier toevallig een oplossing voor?

Een andere optie is dat je gaat kijken hoe men dat onder Vista doet en dat backporten.
http://www.microsoft.com/...ssues/2007/06/GroupPolicy

In het kort: je kijkt dan ook naar de tree
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB\Vid_0000&Pid_0000

Elke VendorID die je kan vinden kan je dan achterhalen en blokkeren.

[ Voor 7% gewijzigd door alt-92 op 08-12-2007 22:14 ]