Перейти к содержанию
Gronn

Symantec Endpoint Protection

Recommended Posts

Gronn

В Symantec Endpoint Protection Manager в политике "Управление приложениями и устройствами" - "Управление приложениями" включены следующие опции:

- Блокировать запуск программ со съемных носителей

- Блокировать запись на устройства USB

В обоих правилах в настройках установлено "Запретить доступ".

Если к компьютеру с такими правилами подключить USB flash, она определяется системой, появляется в списке всех дисков. Но естественно на нее войти нельзя - отказоно в доступе, как и предполагалось политикой.

Проблема заключается в следующем. Пользователь этого компьютера кликает по флешке правой кнопкой, входит в свойства и открывает ее на общий доступ, идет за соседний компьютер, входит по сети на свой компьютер и копирует нужные ему данные из шары, т.е. со своей флешки. Как закрыть такую дыру?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

Gronn два варианта:

1. Заблокировать флеш на уровне устройства, также с помощью SEP

2. Запретить с помощью политики фарвола SEP делать локальные диски и принтеры открытыми для других пользователей по сети

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Gronn

Второй пункт делать нельзя, потому что очень много пользователей пользуются принтерами друг друга. Да и шары нужны - пользователи пользуются общими рабочими ресурсами.

В управлениях устройствами если в список блокируемых устройств добавить USB, то symantec сразу же блокирует USB мыши. Или может нужно добавить какие то другие устройства (Disk Drives, Storage Volumes)?

В общем надо отключить USB Flash полностью так же, как например отключаются DVD-ROM (в диспетчере устройств они отображаются как отключенные и в эксплорере их совсем не видно).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

Gronn точно не помню, воспользуйтесь утилитой DevViewer.exe (входит в дистрибутив) со вставленным USB накопителем, скопируйте ту часть GUID которая вам нужна, если не ошибаюсь это и будет Storage Volumes, но лучше проверьте

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
angel-keeper

В Symantec Endpoint Protection Manager в политике "Управление приложениями и устройствами" - "Управление устройствами"

Есть два поля.

В верхнее добавляем устройства, которые будем блокировать

В нижнее поле добавляем исключаемые устройства

Нам помогут стандартные правила, которые есть у Symantec Endpoint Protection Manager.

Для работы через USB клавиатур, мышей, принтеров, сканеров достаточно в исключения добавить следующее:

1. Human Interface Devices (Mice, Joysticks, Gamepads, and System controls)

2. Printing Devices

3. Imaging Devices (Scanners, Digital Cameras, etc)

Вот пример как настроена у меня политика блокировки USB устройств.

USB_Device.jpg

post-4497-1234240098_thumb.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Gronn

Огромное спасибо всем за помощь!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Gronn

Вопросик в догонку. Сделал так, как говорил angel-keeper, все ок. Но клиент SEP почему то закрывает доступ к плоттеру (HP Design Jet 500) хотя казалось бы он Printing Device должен был быть. Такая же картина с GPS навигатором. По DevViewer плоттер вглядит как показано на картинке.

USB.JPG

post-5088-1234427692_thumb.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

Gronn добавьте их в исключения по Device ID

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Gronn

Странно, но я в списке исключений вижу только сам список и дополнительно по ID по кнопке "Добавить" возможности нет...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

Gronn это добавляется не здесь, а в разделе Политики -> Компоненты политик -> Устройства -> Добавить устройство:

Click Policies.

Click Policy Components.

Click Hardware Devices.

Click Add a Hardware Device...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Gronn

А еще интересная вещь наблюдается. Например, установлен клиент 11.0.4000.2***, неделю клиенты работали нормально при политике отключения USB с исключением printing devices. Тут бамц и не стого ни с сего принтер оказывается в диспетчере устройств заблоченым. Добавляешь его в исключения в консоли. Все хорошо. Через пару дней другая модель принтера блочится и ее приходится добавлять. Ладно я понимаю если бы включил политику и пусть даже и на утро следующего дня (т.е. после перезагрузки) они блокировались. а то как им вздумается...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavel Polyanskiy

Gronn, видимо придется добавить ВСЕ принтеры

вашей сети в раздел исключений. Надеюсь, их немного.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Gronn

Павел, их примерно 250 ))))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavel Polyanskiy

Понимаю, тогда придется немного помучиться и разобраться

вот с этим

Описанные в этом документе действия можно производить и с любым другим типом данных,

например, Device ID. Для этого нужно экспортировать политику Application and Device Control

и следовать указанным шагам.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
OzzY

Тоже хочу вопросик задать по поводу флеш-накопителей.

Есть задумка сотворить политику сканирования флешек при подключении к пользовательскому ПК. Может кто уже данны вопрос рассатривал?

В данный момент у меня sav 10.1.6000, но идет испытание SEP 11.0.4014.26, так что готов проводить эксперименты на кроликах :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Есть задумка сотворить политику сканирования флешек при подключении к пользовательскому ПК. Может кто уже данны вопрос рассатривал?

На данный момент ситуация следующая - при подключении USB устройства оно автоматически начинает сканироваться Сканером Реального времени при попытке записи или чтения. Функции автоматического полного сканирования присоединенного устройства пока нет - планируется в 12 версии в конце этого года

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
OzzY

Очень жаль :( А может есть кулибины, кто придумал все же скан флешек. Вот мне интересно, если я допустим, на все служебные флехи выложу скрытый файл метку и скажу политике не подключать устройство без данного файла. А файлик этот смогут писать техники, только после проверки на вирусы. :blink:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Очень жаль А может есть кулибины, кто придумал все же скан флешек. Вот мне интересно, если я допустим, на все служебные флехи выложу скрытый файл метку и скажу политике не подключать устройство без данного файла. А файлик этот смогут писать техники, только после проверки на вирусы.

Это можно сделать если еще использовать Symantec NAC дополнительно: он может проверить существование файла, а с помощью дополнительной политики Контроля Устройств можно отключить флешку если эту метку не нашли

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Dmitrius
      Сервис подбора и сравнение кредитов Случается так, что деньги нужны срочно. Поэтому если у вас нет накоплений, рациональней всего обратиться за помощью на этот сайт, где собраны надежные, проверенные банки, которым точно можно доверять. Учреждения подготовили лучшие предложения, которые только возможны. На этом сайте есть возможность подобрать кредит, а также оформить займ либо взять деньги на приобретение автомобиля. И самое главное, что все это на наиболее выгодных для вас условиях. Автокредит Казахстан проценты - это шанс купить все, что нужно, не отказывая себе в покупке. Все банковские продукты различаются требованиями, условиями выдачи, а потому рекомендуется детально изучить условия договора и особенности выдачи денежных средств. Потребительский кредит оформить (рассчитать) в Алматы получится в данный момент. На этом сайте вы сможете не только подобрать подходящий вариант, но и сравнить имеющиеся. Затем следует определиться с тем, в какой банк обратиться за материальной поддержкой. Составить заявку на выдачу средств можно в режиме реального времени. Кредит наличными заявка онлайн выдается в течение часа наиболее комфортным для вас способом. На портале опубликован список всех доступных предложений, имеется необходимая информация о каждом банке и кредитах. Выберете самую низкую процентную ставку, а также сумму и сроки, на которые планируете занять сумму. Все максимально просто, быстро и понятно. Ипотека проценты Казахстан (ипотека Казахстан) - это отличная возможность решить свои жилищные проблемы. Важно помнить о том, что лишь надежные компании с огромным опытом готовы предложить приемлемые условия. Выберете подходящий для себя банковский продукт, чтобы поправить материальное положение.
    • Dmitrius
      Интернет магазин автозапчастей  Интернет-магазин «AUTOSHOP» реализует внушительный выбор деталей на автомобили - их можно подобрать не только по наименованию, но и артикулу и другим параметрам. Имеются разные запчасти на любые автомобили самых разных марок и моделей - вы сможете их найти в один клик. Запчасти находятся на складе - это дает возможность осуществить быструю транспортировку. Сотрудничество исключительно с надежными, проверенными поставщиками, которые работают на совесть и предлагают продукцию безупречного качества и с длительными эксплуатационными сроками. Автозапчасти интернет магазин для иномарок рекомендует ознакомиться с полным ассортиментом – он даст возможность подобрать вариант с учетом обозначенных требований. Перед тем, как осуществить приобретение, необходимо детально изучить технические аспекты, ведь именно они влияют на сроки эксплуатации и внешний вид авто. Но если вам требуется помощь специалиста, то вы всегда можете воспользоваться профессиональной консультацией. Автозапчасти для иномарок Курск вы обязательно подберете для любой машины, несмотря на год производства. Изучите справочник автотоваров, каталог, а также новости, представленные на данную тематику - информация поможет принять правильное решение. Сотрудники интернет-магазина быстро реагируют на появление новых деталей в европейских магазинах для того, чтобы в ближайшее время пополнить ими свой ассортимент. Это даст возможность быстро среагировать за изменяющуюся ситуацию. Каталог автозапчастей Курск содержит огромный перечень деталей. Они созданы в соответствии с самыми высокими стандартами, нормами, требованиями. Администрация проверяет запчасти на соответствие заданным характеристикам, поэтому в продажу попадает только та продукция, которая имеет сопроводительную документацию, сертификаты. На продукцию есть гарантии, подтверждающие безупречное качество, оригинальность.
    • JamesBisee
      Купить газовый котел с закрытой камерой сгорания в Москве
      https://www.fire-flower.ru/
      https://www.google.tg/url?q=https://fire-flower.ru
    • PR55.RP55
      По всей видимости uVS не всегда может получить доступ к: Hosts Нужно чтобы в Лог писалась информация: "Нет доступа  к Hosts " Вроде сейчас uVS  соответствующих записей не создаёт?
    • Dmitrius
      Канализация из септиков под ключ На предприятии каждый сможет заказать установку септиков, созданных из ЖБ конец - они не только практичны, но и отличаются безукоризненным качеством. Ищите где заказать монтаж септика астра - получите всю необходимую информацию на сайте. Важным моментом является то, что услуги оказываются на должном, профессиональном уровне. Это достигается за счет того, что в бригаде трудятся специалисты, которые знают все особенности своей работы. При этом стоимость работ остается на доступном уровне. Огромный стаж работы позволил приобрести большое количество клиентов – они советуют предприятие знакомым. Бетонные септики пользуются популярностью не только за счет своей небольшой стоимости, но и благодаря прочности, а также невосприимчивы к негативным условиях среды, они не нуждаются в сервисном обслуживании. И самое важное, что установка проводится на грунте любого типа. Такой вид септика считается самым быстрым способом организовать очистное сооружение на дачном участке. Сотрудники предприятия специально для вас подготовят предложение, произведут расчеты, грамотно расположат септик, а заодно и закупят все необходимые материалы по доступным ценам, выполнят доставку и монтажные работы. На все, включая материалы, предоставляются гарантии. Услуги оказываются не только по столице, но и области, на любом грунте: песке, глине и др. Монтаж септиков различной сложности, а также с подключением бани или дачи, переливом, любых соединений. Есть возможность вызвать целую бригаду специалистов на малый участок либо дачу, на которой вы проживаете время от времени или постоянно. Монтажные работы в ограниченные сроки. Во время монтажных работ учитывается то, сколько человек проживает в доме, особенности – о них поведает консультант. Теперь и вы сможете заказать высококлассные работы.
×