Deshabilitar el uso de memorias USB a travs de una GPO

Hola nuevamente! En esta oportunidad podremos aprender a como deshabilitar o bloquear el uso de dispositivos de almacenamiento como memorias USB, floppy discs, lectoras y unidades LS-120. Son muchas las formas para deshabilitar el uso de estos dispositivos, hoy veremos la restriccin a travs de una GPO a una OU, que contiene objetos computadoras. Pasos a seguir:

1. Ingresar a: http://support.microsoft.com/kb/555324 y copiar el cdigo a un

archivo de texto plano y guardarlo con la extensin .adm. (Esta es la plantilla obtenida de Microsoft). Se debe copiar todo el texto sin modificacin alguna.

2. Debemos ingresar al Domain Controller, que contiene el Active Directory, y

acceder a la consola Group Policy Management Console. Podemos descargarla de:http://www.microsoft.com/downloads/details.aspx?FamilyID=0A6D4C248CBD-4B35-9272-DD3CBFC81887&displaylang=en. Les recomiendo que utilicen el GPMC porque les facilitar el modelado de GPOs o Directivas de grupos.

3. Luego de descargarlo debemos instalarla.

4. Accedemos a Inicio, Ejecutar y escribimos gpmc.msc.

5. Expandemos los contenedores y creamos una GPO y la linkeamos o asociamos a una OU. Esta OU (Unidad Organizativa) debe contener las cuentas de computadoras donde se bloquear el acceso a dispositivos de almacenamiento.

6. Escribimos un nombre para la GPO.

7. Seleccionamos la GPO creada y le damos clic derecho, Editar.

8. Expandemos Computer Configuration, Administrative Templates, damos clic derecho y seleccionar Agregar/Eliminar Templates.

9. Importamos el template, el cual es obtenido

de:http://support.microsoft.com/kb/555324. Este cdigo lo guardamos en un archivo de texto plano con extensin .adm.
CLASS MACHINE CATEGORY !!category CATEGORY !!categoryname POLICY !!policynameusb KEYNAME "SYSTEM\CurrentControlSet\Services\USBSTOR" EXPLAIN !!explaintextusb PART !!labeltextusb DROPDOWNLIST REQUIRED VALUENAME "Start" ITEMLIST NAME !!Disabled VALUE NUMERIC 3 DEFAULT NAME !!Enabled VALUE NUMERIC 4 END ITEMLIST END PART END POLICY POLICY !!policynamecd KEYNAME "SYSTEM\CurrentControlSet\Services\Cdrom" EXPLAIN !!explaintextcd PART !!labeltextcd DROPDOWNLIST REQUIRED

VALUENAME "Start" ITEMLIST NAME !!Disabled VALUE NUMERIC 1 DEFAULT NAME !!Enabled VALUE NUMERIC 4 END ITEMLIST END PART END POLICY POLICY !!policynameflpy KEYNAME "SYSTEM\CurrentControlSet\Services\Flpydisk" EXPLAIN !!explaintextflpy PART !!labeltextflpy DROPDOWNLIST REQUIRED VALUENAME "Start" ITEMLIST NAME !!Disabled VALUE NUMERIC 3 DEFAULT NAME !!Enabled VALUE NUMERIC 4 END ITEMLIST END PART END POLICY POLICY !!policynamels120 KEYNAME "SYSTEM\CurrentControlSet\Services\Sfloppy" EXPLAIN !!explaintextls120 PART !!labeltextls120 DROPDOWNLIST REQUIRED VALUENAME "Start" ITEMLIST NAME !!Disabled VALUE NUMERIC 3 DEFAULT NAME !!Enabled VALUE NUMERIC 4 END ITEMLIST END PART END POLICY END CATEGORY END CATEGORY [strings] category="Custom Policy Settings" categoryname="Restrict Drives" policynameusb="Disable USB" policynamecd="Disable CD-ROM" policynameflpy="Disable Floppy"

policynamels120="Disable High Capacity Floppy" explaintextusb="Disables the computers USB ports by disabling the usbstor.sys driver" explaintextcd="Disables the computers CD-ROM Drive by disabling the cdrom.sys driver" explaintextflpy="Disables the computers Floppy Drive by disabling the flpydisk.sys driver" explaintextls120="Disables the computers High Capacity Floppy Drive by disabling the sfloppy.sys driver" labeltextusb="Disable USB Ports" labeltextcd="Disable CD-ROM Drive" labeltextflpy="Disable Floppy Drive" labeltextls120="Disable High Capacity Floppy Drive" Enabled="Enabled" Disabled="Disabled"

10. Luego aparecer una carpeta llamada Restrict Drives. Sobre esta carpeta le
damos clic derecho, y hacemos clic en View, luego en Filtering. Debemos deshabilitar los tres checks:Filter By requirement information, Only show configured policy settings y Only show policy settings that can be fully managed. Como lo muestra la imagen.

11. Hacemos clic sobre Restricted Drives y hacemos click sobre Disable USB, ahora
nos cargar una pantalla para asignar la poltica. Debemos habilitar la poltica, para ello ser necesario seleccionar Enable o Habilitado a la poltica, y luego seleccionar la opcin correcta para el siguiente texto: Disable USB Ports, Enable si queremos que esten deshabilitados y Disable si queremos que estn habilitados.

Nota: Cabe sealar que esta poltica no debe ser eliminada debido a que toma posecin de los archivos usbstor.inf y usbstor.sys. Slo podemos seleccionar Enable o Disable para la poltica. Si la GPO es eliminada la configuracin definida permanecer. Ustedes pueden obtener ms informacin de:http://support.microsoft.com/kb/555324.