USB 접속 정책

장치 제어는 정책을 통해 단말의 장치 접속을 관리합니다. 설정에는 별도의 USB Admission과 Hardware Control이 있습니다. USB 접속은 장치 유형, 모델 또는 특정 장치별 규칙을 지원하고 하드웨어 제어는 장치 범주별 스위치를 제공합니다. 두 부분을 각각 활성화하고 확인해야 하며, 한 부분을 설정했다고 다른 부분도 같은 방식으로 적용되는 것은 아닙니다.

이 문서는 Windows 시험 단말을 예로 USB 접속 정책, 테스트와 기록 확인을 설명합니다. 장치 제어가 키보드, 마우스, 네트워크 연결 및 기타 업무용 주변 장치에 영향을 줄 수 있으므로 변경 전에 사용 가능한 복구 방법을 준비합니다. 검증 없이 모든 단말에 차단 규칙을 배포하지 마십시오.

다음 조작 항목은 영어 인터페이스의 이름을 기준으로 합니다. 다른 인터페이스 언어에서는 표시 이름이 다를 수 있습니다.

설정 전 준비

• 통합 단말 관리 정책과 장치 제어 조회 권한을 가진 관리자 계정을 사용합니다. 시험 단말에 관리 클라이언트가 설치·연결되어 있고 필요한 권한이 있으며 계획된 정책 대상 범위에 속하는지 확인합니다.
• 시험 단말, 기존 정책, 입력·네트워크 장치와 업무용 주변 장치를 기록합니다. 현장 담당자와 검증된 복구 방법을 준비합니다. 이번 정책으로 중단될 수 있는 원격 연결에만 의존하지 않습니다.
• 승인된 테스트 장치와 민감하지 않은 테스트 내용을 준비합니다. 허용할 장치와 제한할 장치를 각각 준비하고 구분할 수 있는지 확인합니다. USB 장치 식별은 장치나 연결 방식에 따라 달라질 수 있으므로 시험 환경에서 검증합니다.
• 이동식 저장 장치 기능도 사용한다면 관련 정책과 실제 결과를 별도로 확인합니다. USB 접속 제어, 이동식 저장 자산 관리와 암호화는 서로 다른 설정입니다. 장치가 보인다는 것만으로 읽기·쓰기, 암호화 또는 외부 전송 조건을 충족한다고 판단하지 않습니다.

시험 단말에 USB 접속 설정

1. 통합 단말 관리에서 Policy를 열고 승인된 정책을 새로 만들거나 편집합니다. 정책 이름, 대상 단말 범위와 적용 시간을 확인합니다. 기존 정책을 수정하기 전 다른 대상 단말에 미치는 영향을 평가합니다. Create Policy를 직접 선택하면 단말 정책이 생성됩니다. Targets를 편집해 권한이 있고 사용 가능한 시험 단말을 선택하고 확인합니다. 옆 메뉴에서는 그룹 및 태그 정책도 선택할 수 있으며, 태그 정책에는 적절한 관리자 역할이 필요합니다. 시험 범위가 의도치 않게 확대되지 않도록 그룹이나 태그의 실제 적용 대상을 먼저 확인합니다. 사용자 지정 적용 시간에는 시간대를 하나 이상 선택합니다. 일반 설정을 확인한 후에도 전체 정책을 저장해야 합니다.
2. 정책 설정에서 Device Control을 활성화하고 Settings를 선택합니다. USB Admission을 열어 Enable USB Admission 스위치를 확인합니다. 전체 스위치와 하위 설정은 서로 영향을 주므로 저장 전에 USB 접속과 하드웨어 제어의 상태를 각각 확인합니다.
3. 먼저 Policy Mode를 Observe Mode로 설정하고 조직 기준에 따라 Default Action과 Offline Action을 확인합니다. 관찰 모드에서는 USB 접속 규칙이 차단 모드처럼 차단을 실행하지 않습니다. 표시된 규칙 동작이나 이벤트는 실제 장치 테스트를 대신하지 않습니다. 오프라인 선택에는 Keep Authorized Devices Available과 Block Unknown Devices가 있습니다. 현재 모드, 장치와 승인 상태를 함께 고려하여 테스트하며 모든 장치가 허용되거나 차단된다고 가정하지 않습니다.
4. 키보드, 마우스, 터치패드, 시스템 내부 버스 및 신뢰된 HID 하위 인터페이스의 기본 예외를 확인합니다. 예외 해제는 입력 장치나 업무 장치에 영향을 줄 수 있습니다. 변경 전 영향을 평가하고 복구 가능한 시험 환경에서 검증합니다. 설정을 단순화하려고 모든 예외를 해제하지 마십시오.
5. Device rules에서 Add rule을 선택하고 이름을 입력한 뒤 필요에 따라 Device type, Device model, Exact device를 선택합니다. 화면에서 요구하는 일치 조건과 허용 또는 차단 동작을 설정합니다. 특정 장치는 발견된 장치 중에서 선택합니다. 모델 등 조건을 실제 식별 정보와 대조하고 같은 이름의 장치가 모두 같은 식별자를 가진다고 가정하지 않습니다.
6. 규칙 순서를 확인하고 필요하면 위아래로 이동합니다. 규칙은 목록 순서대로 일치 여부를 확인하며 일치하지 않으면 기본 동작을 사용합니다. 기본 예외와 승인된 장치도 결과에 영향을 줄 수 있으므로 한 규칙만으로 모든 결과를 예측하지 않습니다.
7. 규칙, 장치 제어 설정 창, 전체 정책을 각각 확인하고 저장한 다음 다시 열어 점검합니다. 시험 단말이 정책을 받을 때까지 기다린 후 다음 절의 테스트를 수행합니다. 콘솔 저장 성공은 단말에서 실행되었다는 뜻이 아닙니다.

정책 모드와 기본 동작: Policy Mode는 USB 접근 차단을 실행할지 결정합니다. Default Action은 기본 예외나 승인으로 먼저 처리되지 않고 장치 규칙에도 일치하지 않는 경우에 적용되며 Allow, Block, Alert Only 중에서 선택합니다. Observe Mode에서는 규칙이나 기본 동작이 Block이어도 USB 접근 정책의 차단이 실행되지 않습니다. Alert Only는 기본 동작일 뿐 전체 정책 모드 확인을 대신하지 않으며 표시되는 알림이 반드시 생성된다고 보장하지도 않습니다. 새 설정의 화면 초기값은 Observe Mode, 기본 Block, 오프라인 Block Unknown Devices입니다. 이는 보안 권장값이나 기존 정책의 설정을 뜻하지 않습니다. Enforce Mode로 전환하기 전에 기본 동작, 규칙, 예외와 오프라인 동작을 확인하고 일치하지 않는 장치와 복구 방법을 시험합니다. 오프라인에서는 기본 동작이 Allow 또는 Alert Only여도 Block Unknown Devices가 승인되지 않은 장치를 차단할 수 있으며, 식별과 모드도 결과에 영향을 줍니다. Keep Authorized Devices Available이 다른 모든 장치를 자동 허용하는 것은 아니므로 규칙과 기본 동작을 확인합니다.

일치 유형 변경: 장치 규칙 편집기에서 일치 유형을 클릭하면 현재 규칙 초안의 장치 일치 조건이 지워집니다. 이미 선택한 유형을 다시 클릭해도 지워집니다. 변경 전에 기존 조건을 기록하고 다시 입력하거나 선택하여 확인한 뒤 규칙과 전체 정책을 저장합니다. 기존 조건이 자동으로 복원된다고 가정하지 마십시오.

장치 모델 일치: Windows USB 접속 제어에서는 장치 모델 규칙에 입력한 와일드카드가 아닌 여러 조건이 식별된 장치 정보와 모두 일치해야 합니다. 예를 들어 제조업체, 제품 이름과 일련번호를 모두 입력했다면 각각 확인하십시오. 규칙 편집기에서는 일치 조건이 없는 규칙도 저장할 수 있지만 빈 규칙은 장치와 일치하지 않습니다. 전체 정책을 저장하기 전에 대상 조건을 입력하고 시험 장치로 검증하십시오.

규칙 편집기의 장치 선택 범위: 장치 제어 설정을 열면 선택기가 발견된 장치의 첫 페이지를 최대 100개 요청하고, 기존 특정 장치 규칙에 연결된 장치를 최대 200개 추가로 로드합니다. 검색은 로드된 후보만 필터링하며 모든 과거 장치를 검색하지 않습니다. 후보가 없다고 발견된 적이 없다는 뜻은 아닙니다. 단말 보고, 관리자 권한 및 로드 상태를 확인하고 필요하면 지원팀에 문의하십시오. 장치를 선택하기 위해 영향을 평가하지 않고 규칙을 완화하지 마십시오. 이 범위는 장치 대장, 이벤트 및 경고 목록이 각각 로드하는 20개와 다릅니다. 자세한 내용은 장치 접속 검증 및 결과를 참조하십시오. 후보 데이터 요청 중 하나라도 실패하면 선택기가 비어 있을 수도 있습니다.

관찰과 차단 테스트

1. 유지보수 시간에 시험 단말에 테스트 장치를 연결합니다. 관찰 모드에서 실제 사용 가능 여부를 확인하고 장치 제어의 Device Ledger와 Events에서 장치, 단말, 시간과 일치 정보를 확인합니다. 기록 표시는 단말 보고와 관리자의 가시 범위에 영향을 받을 수 있습니다.
2. 필요에 따라 규칙, 예외와 기본 동작을 조정하고 허용할 장치와 제한할 장치를 각각 테스트합니다. 실제 제한을 적용하려면 복구 방법을 확인한 뒤 시험 정책의 Policy Mode를 Enforce Mode로 바꾸어 저장하고 단말의 수신을 확인한 후 다시 테스트합니다.
3. 단말에서 장치의 실제 사용 가능 여부와 콘솔 이벤트를 함께 확인합니다. 범주를 식별할 수 없는 일부 장치는 차단 대신 건너뛸 수 있으므로 차단 모드가 모든 장치를 다룬다고 가정하지 않습니다. 예정된 동작이나 차단 이벤트만으로 운영체제가 장치를 성공적으로 제한했다고 증명할 수 없습니다. 실행 실패나 결과 불일치가 있으면 배포 확대를 중단하고 조사합니다.
4. 필요한 오프라인 상황은 안전한 유지보수 조건에서 승인된 장치와 승인되지 않은 장치로 테스트한 뒤 네트워크를 복구하고 이후 상태를 확인합니다. 한 장치, 연결 방식 또는 단말의 결과를 모든 환경에 일반화하지 않습니다.
5. 시험이 통과되면 조직의 변경 절차에 따라 범위를 단계적으로 확대하고 정책을 신속하게 수정하거나 비활성화할 방법을 유지합니다.