Pessoal.
Estou publicando um script de bloqueio de USB que foi testado e aprovado em ambiente de produção.
1 - Crie um script CSV com as informações abaixo:
'Script for Block Removibles drivers
'----------------------------------------------
'Option Explicit
Dim WSHShell, objNetwork, objUser, CurrentComputer, strUserName
Dim strGroup
' Initialise Groups with Const
Const libera_usb = "cn=Dispositivo Removivel Liberado"
' Create objects and extract strGroup values
Set WSHShell = WScript.CreateObject("WScript.Shell")
Set objNetwork = CreateObject("WScript.Network")
Set objUser = CreateObject("ADSystemInfo")
Set CurrentComputer = GetObject("LDAP://" & objUser.ComputerName)
strGroup = LCase(CurrentComputer.MemberOf)
strUserName = objNetwork.UserName
' Block Removibles drivers
WshShell.RegWrite "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR\Start", 4,"REG_DWORD"
' If logic testing strGroup for the values in Const groups
If InStr(strGroup, lcase(libera_usb)) Then
WshShell.RegWrite "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR\Start", 3,"REG_DWORD"
End If
WScript.Quit
2 - Crie uma police no seu AD com o nome desejado, exemplo "bloqueio de USB".
Adicione o script no caminho: "
configurações do computador/ configurações do Windows/ Scripts inicialização/encerramento"
* Veja que essa pólice é aplicada por conta de máquina. Também pode ser criado um script por conta de usuários, isso vai depender da sua necessidade. Nesse ambiente de exemplo usaremos por conta de máquina.
** Essa police pode ser criada na raiz do domínio, assim ela será replicada para todas as estações.
3 - Crie um novo grupo de segurança chamado "Dispositivo Removivel Liberado". Adicione a esse grupo as contas de máquinas que não deverão ser bloqueada a USB.
4 - Reinicie as estações.
Maicon C. K. Santos
Microsoft Certified Professional