นโยบายการเชื่อมต่อ USB

การควบคุมอุปกรณ์จัดการการเชื่อมต่ออุปกรณ์กับเครื่องปลายทางตามนโยบาย การตั้งค่าแบ่งเป็น USB Admission และ Hardware Control แยกกัน ส่วน USB รองรับกฎตามประเภท รุ่น หรืออุปกรณ์เฉพาะ ส่วนควบคุมฮาร์ดแวร์มีสวิตช์ตามหมวดอุปกรณ์ ต้องเปิดและตรวจสอบแต่ละส่วนแยกกัน การตั้งค่าส่วนหนึ่งไม่ได้ยืนยันว่าอีกส่วนทำงานในลักษณะเดียวกัน

หน้านี้ใช้เครื่องปลายทาง Windows สำหรับทดลองเพื่ออธิบายนโยบาย USB การทดสอบและการตรวจสอบบันทึก การควบคุมอาจกระทบแป้นพิมพ์ เมาส์ เครือข่ายและอุปกรณ์ต่อพ่วงในการทำงาน จึงต้องเตรียมวิธีกู้คืนที่ใช้งานได้ก่อนเปลี่ยนแปลง อย่าปรับใช้กฎบล็อกกับทุกเครื่องโดยยังไม่ได้ทดสอบ

ชื่อรายการควบคุมต่อไปนี้อ้างอิงอินเทอร์เฟซภาษาอังกฤษ ชื่อที่แสดงอาจต่างกันเมื่อใช้อินเทอร์เฟซภาษาอื่น

เตรียมก่อนตั้งค่า

• ใช้บัญชีผู้ดูแลที่มีสิทธิ์จัดการนโยบายการจัดการเครื่องปลายทางและดูการควบคุมอุปกรณ์ ตรวจสอบว่าเครื่องทดลองติดตั้งและเชื่อมต่อไคลเอนต์ที่มีการจัดการ มีสิทธิ์ที่จำเป็น และอยู่ในขอบเขตนโยบายที่วางแผนไว้
• บันทึกเครื่องทดลอง นโยบายเดิม อุปกรณ์ป้อนข้อมูล อุปกรณ์เครือข่ายและอุปกรณ์ต่อพ่วงทางธุรกิจ จัดเตรียมเจ้าหน้าที่หน้างานและวิธีกู้คืนที่ทดสอบแล้ว อย่าพึ่งพาเฉพาะการเชื่อมต่อระยะไกลที่นโยบายนี้อาจทำให้ขัดข้อง
• เตรียมอุปกรณ์ทดสอบที่อนุมัติและเนื้อหาที่ไม่อ่อนไหว แยกอุปกรณ์ที่ควรอนุญาตและควรจำกัดให้ชัดเจน การระบุอุปกรณ์ USB อาจขึ้นกับตัวอุปกรณ์และวิธีเชื่อมต่อ ต้องตรวจสอบในสภาพแวดล้อมทดลอง
• หากใช้ฟังก์ชันที่เก็บข้อมูลแบบถอดได้ด้วย ให้ตรวจสอบนโยบายและผลจริงแยกกัน การควบคุม USB การจัดการสินทรัพย์ที่เก็บข้อมูลแบบถอดได้ และการเข้ารหัสเป็นคนละการตั้งค่า การเห็นอุปกรณ์ไม่ได้ยืนยันว่าเงื่อนไขอ่านเขียน เข้ารหัสหรือส่งออกครบถ้วน

ตั้งค่า USB สำหรับเครื่องทดลอง

1. ในการจัดการเครื่องปลายทาง เปิด Policy แล้วสร้างหรือแก้ไขนโยบายที่อนุมัติ ตรวจสอบชื่อ ขอบเขตเครื่องเป้าหมายและเวลามีผล ก่อนแก้ไขนโยบายเดิมให้ประเมินผลต่อเครื่องเป้าหมายอื่น การเลือก Create Policy โดยตรงจะสร้างนโยบายเครื่องปลายทาง ให้แก้ไข Targets เลือกเครื่องทดลองที่มีสิทธิ์และใช้งานได้ แล้ว ยืนยัน เมนูข้างเคียงมีนโยบายกลุ่มและแท็กด้วย โดยนโยบายแท็กต้องใช้บทบาทผู้ดูแลที่เหมาะสม ตรวจสอบขอบเขตจริงของกลุ่มหรือแท็กก่อนเลือกเพื่อไม่ให้ขยายการทดลองโดยไม่ตั้งใจ หากกำหนดเวลามีผลเอง ให้เลือกอย่างน้อยหนึ่งช่วงเวลา หลังยืนยันการตั้งค่าทั่วไปยังต้องบันทึกนโยบายทั้งหมด
2. ในการตั้งค่านโยบาย เปิด Device Control แล้วเลือก Settings เข้า USB Admission และตรวจสอบสวิตช์ Enable USB Admission สวิตช์หลักและตัวเลือกย่อยมีผลต่อกัน ก่อนบันทึกให้ตรวจสอบสถานะ USB และการควบคุมฮาร์ดแวร์แยกกัน
3. ตั้ง Policy Mode เป็น Observe Mode ก่อน และตรวจสอบ Default Action กับ Offline Action ตามข้อกำหนดองค์กร ในโหมดสังเกต กฎ USB จะไม่บังคับบล็อกเช่นเดียวกับโหมดบังคับ การดำเนินการหรือเหตุการณ์ที่แสดงไม่แทนการทดสอบอุปกรณ์จริง ตัวเลือกออฟไลน์รวมถึง Keep Authorized Devices Available และ Block Unknown Devices ให้ทดสอบโดยคำนึงถึงโหมด อุปกรณ์และสถานะสิทธิ์จริง อย่าสมมติว่าทุกอุปกรณ์จะได้รับอนุญาตหรือถูกบล็อกทั้งหมด
4. ตรวจสอบข้อยกเว้นในตัวสำหรับแป้นพิมพ์ เมาส์ ทัชแพด บัสภายในระบบ และอินเทอร์เฟซย่อย HID ที่เชื่อถือ การยกเลิกข้อยกเว้นอาจกระทบอุปกรณ์ป้อนข้อมูลหรืออุปกรณ์ธุรกิจ ให้ประเมินและทดสอบในสภาพแวดล้อมทดลองที่กู้คืนได้ก่อน อย่ายกเลิกข้อยกเว้นทั้งหมดเพียงเพื่อให้ตั้งค่าง่ายขึ้น
5. ใน Device rules เลือก Add rule ใส่ชื่อกฎ แล้วเลือก Device type, Device model หรือ Exact device ตามต้องการ ตั้งเงื่อนไขจับคู่ที่หน้าจอกำหนดและการอนุญาตหรือบล็อก อุปกรณ์เฉพาะเลือกจากอุปกรณ์ที่ค้นพบแล้ว ตรวจสอบรุ่นและเงื่อนไขอื่นกับข้อมูลระบุจริง อย่าสมมติว่าอุปกรณ์ชื่อเดียวกันมีตัวระบุเหมือนกันทั้งหมด
6. ตรวจสอบลำดับกฎและเลื่อนขึ้นหรือลงตามจำเป็น ระบบจับคู่ตามลำดับในรายการ หากไม่ตรงกฎจะใช้การดำเนินการเริ่มต้น ข้อยกเว้นในตัวและอุปกรณ์ที่ได้รับสิทธิ์อาจมีผลต่อผลลัพธ์ด้วย อย่าคาดการณ์ทุกกรณีจากกฎเดียว
7. ยืนยันและบันทึกกฎ หน้าตั้งค่าการควบคุมอุปกรณ์ และนโยบายทั้งหมดแยกกัน เปิดใหม่เพื่อตรวจสอบ รอเครื่องทดลองรับนโยบายแล้วทดสอบตามหัวข้อถัดไป การบันทึกสำเร็จในคอนโซลไม่ได้หมายความว่าเครื่องปลายทางบังคับใช้นโยบายแล้ว

โหมดนโยบายและการดำเนินการเริ่มต้น: Policy Mode กำหนดว่าจะบังคับบล็อกการเข้าถึง USB หรือไม่ ส่วน Default Action ใช้เมื่ออุปกรณ์ไม่ได้รับการจัดการก่อนด้วยข้อยกเว้นในตัวหรือการอนุญาต และไม่ตรงกับกฎอุปกรณ์ โดยเลือกได้ระหว่าง Allow, Block และ Alert Only ใน Observe Mode จะไม่บังคับบล็อกตามนโยบาย USB แม้กฎหรือค่าเริ่มต้นเป็น Block ส่วน Alert Only เป็นเพียงค่าเริ่มต้น ไม่ทดแทนการตรวจโหมดทั้งหมดและไม่รับประกันว่าจะมีการแจ้งเตือนที่มองเห็น ค่าเริ่มต้นของหน้าสำหรับการตั้งค่าใหม่คือ Observe Mode, ค่าเริ่มต้น Block และออฟไลน์ Block Unknown Devices ไม่ใช่คำแนะนำด้านความปลอดภัยหรือค่าของนโยบายเดิม ก่อนเปลี่ยนเป็น Enforce Mode ให้ตรวจค่าเริ่มต้น กฎ ข้อยกเว้นและการทำงานออฟไลน์ พร้อมทดสอบอุปกรณ์ที่ไม่ตรงกฎและการกู้คืน ขณะออฟไลน์ Block Unknown Devices อาจบล็อกอุปกรณ์ที่ไม่ได้รับอนุญาตแม้ค่าเริ่มต้นเป็น Allow หรือ Alert Only ผลยังขึ้นอยู่กับการระบุอุปกรณ์และโหมด Keep Authorized Devices Available ไม่ได้อนุญาตอุปกรณ์อื่นทั้งหมดโดยอัตโนมัติ ต้องตรวจสอบกฎและค่าเริ่มต้นด้วย

เปลี่ยนชนิดการจับคู่: ในหน้าต่างแก้ไขกฎอุปกรณ์ การคลิกชนิดการจับคู่ใดก็ตามจะล้างเงื่อนไขอุปกรณ์ในฉบับร่างปัจจุบัน แม้คลิกชนิดที่เลือกอยู่ซ้ำก็ล้างเช่นกัน ก่อนเปลี่ยนให้จดเงื่อนไขเดิม กรอกหรือเลือกใหม่และตรวจสอบ แล้วบันทึกกฎและนโยบายทั้งหมด อย่าสันนิษฐานว่าเงื่อนไขเดิมจะกลับมาโดยอัตโนมัติ

การจับคู่รุ่นอุปกรณ์: ในการควบคุมการเชื่อมต่อ USB บน Windows เงื่อนไขหลายรายการที่ป้อนโดยไม่ใช้ไวลด์การ์ดในกฎรุ่นอุปกรณ์ต้องตรงกับข้อมูลที่ระบบระบุของอุปกรณ์ทั้งหมด ตัวอย่างเช่น หากป้อนผู้ผลิต ชื่อผลิตภัณฑ์ และหมายเลขซีเรียล ให้ตรวจสอบแต่ละรายการ หน้าต่างแก้ไขกฎสามารถบันทึกกฎที่ไม่มีเงื่อนไขจับคู่ได้ แต่กฎว่างจะไม่ตรงกับอุปกรณ์ใด ให้ระบุเงื่อนไขเป้าหมายก่อนบันทึกนโยบายทั้งหมด และทดสอบกับอุปกรณ์นำร่อง

ขอบเขตการเลือกอุปกรณ์ในตัวแก้ไขกฎ: เมื่อเปิดการตั้งค่าควบคุมอุปกรณ์ ตัวเลือกจะขอหน้ารายการแรกของอุปกรณ์ที่พบสูงสุด 100 รายการ และโหลดอุปกรณ์ที่เกี่ยวข้องกับกฎระบุอุปกรณ์เดิมเพิ่มสูงสุด 200 รายการ การค้นหากรองเฉพาะรายการที่โหลดแล้ว ไม่ได้ค้นหาอุปกรณ์ย้อนหลังทั้งหมด การไม่พบตัวเลือกไม่ได้พิสูจน์ว่าไม่เคยพบอุปกรณ์ ให้ตรวจการรายงานของอุปกรณ์ปลายทาง สิทธิ์ผู้ดูแลและการโหลด แล้วติดต่อฝ่ายสนับสนุนหากจำเป็น อย่าผ่อนปรนกฎเพียงเพื่อเลือกอุปกรณ์โดยไม่ประเมินผลกระทบ ขอบเขตนี้ต่างจากรายการทะเบียน เหตุการณ์และการแจ้งเตือนที่โหลดแยกรายการละ 20 รายการ โปรดดูตรวจสอบการเชื่อมต่อและผลลัพธ์ หากคำขอข้อมูลตัวเลือกใดล้มเหลว ตัวเลือกอาจว่างเปล่าได้เช่นกัน

ทดสอบการสังเกตและการบล็อก

1. ในช่วงบำรุงรักษา เชื่อมต่ออุปกรณ์ทดสอบกับเครื่องทดลอง ในโหมดสังเกตให้ตรวจสอบการใช้งานจริง และตรวจสอบอุปกรณ์ เครื่อง เวลาและข้อมูลจับคู่ใน Device Ledger และ Events ของการควบคุมอุปกรณ์ การมองเห็นบันทึกอาจขึ้นกับการรายงานของเครื่องและขอบเขตผู้ดูแล
2. ปรับกฎ ข้อยกเว้นและการดำเนินการเริ่มต้นตามจำเป็น แล้วทดสอบอุปกรณ์ที่ควรอนุญาตและควรจำกัดแยกกัน หากจะบังคับจำกัดจริง ให้ยืนยันวิธีกู้คืน เปลี่ยน Policy Mode ของนโยบายทดลองเป็น Enforce Mode บันทึก ยืนยันว่าเครื่องรับแล้วจึงทดสอบใหม่
3. ตรวจสอบทั้งการใช้งานอุปกรณ์จริงบนเครื่องและเหตุการณ์ในคอนโซล อุปกรณ์บางชนิดที่ระบุหมวดไม่ได้อาจถูกข้ามแทนการบล็อก อย่าสมมติว่าโหมดบังคับครอบคลุมทุกอุปกรณ์ การดำเนินการที่คาดหมายหรือเหตุการณ์บล็อกเพียงอย่างเดียวไม่ยืนยันว่าระบบปฏิบัติการจำกัดอุปกรณ์สำเร็จ หากบังคับใช้ล้มเหลวหรือผลไม่ตรงกัน ให้หยุดขยายการใช้งานและตรวจสอบ
4. สำหรับกรณีออฟไลน์ที่จำเป็น ให้ทดสอบอุปกรณ์ที่ได้รับและไม่ได้รับสิทธิ์ภายใต้เงื่อนไขบำรุงรักษาที่ปลอดภัย แล้วคืนเครือข่ายและตรวจสอบสถานะ อย่านำผลจากอุปกรณ์ วิธีเชื่อมต่อหรือเครื่องเดียวไปใช้กับทุกสภาพแวดล้อม
5. หลังทดลองผ่าน ให้ขยายขอบเขตทีละขั้นตามกระบวนการเปลี่ยนแปลงขององค์กร และเตรียมวิธีปรับหรือปิดนโยบายได้ทันท่วงที