Implements USB device control policies via GPO, Intune, or EDR to restrict unauthorized removable media access on endpoints, preventing data leaks and malware. For compliance like PCI DSS, HIPAA.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
在以下情况下使用本技能：
Implements USB device control policies via Group Policy, Intune, and EDR to restrict unauthorized removable media access on endpoints, preventing data exfiltration and malware introduction.
Implements USB device control policies via GPO, Intune, EDR, and PowerShell to restrict removable media access, preventing data exfiltration and malware on endpoints.
Deploys endpoint DLP controls with Microsoft Purview to detect and block sensitive data leaks via email, USB, cloud storage, and printing. Guides policy creation, auditing, and monitoring.
Share bugs, ideas, or general feedback.
在以下情况下使用本技能：
不适用于基于网络的 DLP 或云存储限制。
# 枚举当前连接的 USB 设备
Get-PnpDevice -Class USB | Select-Object InstanceId, FriendlyName, Status
# 从注册表查询 USB 存储历史
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Enum\USBSTOR\*\*" |
Select-Object FriendlyName, ContainerID, HardwareID
# 跨设备群收集 USB 使用情况（通过 EDR 或脚本）
# CrowdStrike：调查 → USB 设备活动
# MDE：DeviceEvents | where ActionType == "UsbDriveMounted"
计算机配置 → 管理模板 → 系统 → 可移动存储访问
- 所有可移动存储类：拒绝所有访问 → 已启用
（阻断所有可移动存储的读取和写入）
或者进行精细控制：
- CD 和 DVD：拒绝读取访问 → 已启用
- 可移动磁盘：拒绝写入访问 → 已启用（只读 USB）
- 磁带驱动器：拒绝所有访问 → 已启用
- WPD 设备：拒绝所有访问 → 已启用
允许特定已审批 USB 设备：
计算机配置 → 管理模板 → 系统 → 设备安装
→ 设备安装限制
- 防止安装其他策略设置未描述的设备 → 已启用
- 允许安装与这些设备 ID 匹配的设备 → 已启用
添加已审批的设备 ID：USB\VID_0781&PID_5583（示例：SanDisk Cruzer）
<!-- MDE 设备控制策略（XML 格式） -->
<PolicyGroups>
<Group Id="{d9a81dc0-1234-5678-9abc-def012345678}"
Type="Device" Name="已批准的 USB 设备">
<MatchClause>
<MatchType>VID_PID</MatchType>
<MatchData>0781_5583</MatchData> <!-- SanDisk -->
</MatchClause>
</Group>
</PolicyGroups>
<PolicyRules>
<Rule Id="{rule-guid}" Name="阻断未批准的 USB 存储">
<IncludedIdList>
<PrimaryId>RemovableMediaDevices</PrimaryId>
</IncludedIdList>
<ExcludedIdList>
<GroupId>{d9a81dc0-1234-5678-9abc-def012345678}</GroupId>
</ExcludedIdList>
<Entry>
<Type>Deny</Type>
<AccessMask>63</AccessMask> <!-- 所有访问 -->
<Options>4</Options> <!-- 显示通知 -->
</Entry>
</Rule>
</PolicyRules>
# 在 SIEM 中监控 USB 事件：
# Windows 事件 ID 6416 - 识别到新的外部设备
# Windows 事件 ID 4663 - 访问可移动媒体上的文件
# MDE：DeviceEvents where ActionType contains "Usb"
# 每月生成 USB 活动报告
# 跟踪：被阻断的尝试、已批准设备使用情况、例外请求
| 术语 | 定义 |
|---|---|
| VID/PID | 供应商 ID 和产品 ID，唯一标识 USB 设备型号 |
| 设备实例 ID | 特定物理 USB 设备的唯一标识符 |
| 设备控制 | 基于类型、供应商或序列号限制设备访问的 EDR/端点功能 |
| USB 类 | USB 设备类别（大容量存储 08h、HID 03h、打印机 07h） |