Как заблокировать USB-устройства хранения данных (флешку) на серверах Linux

Хотите знать, как ограничить доступ к устройству для хранения данных? Для защиты извлечения конфиденциальных данных с серверов пользователями, имеющими физический доступ к машинам, лучше всего отключить всю поддержку USB-хранилищ в ядре Linux.

Чтобы отключить поддержку USB-накопителей, сначала необходимо определить, загружен ли драйвер хранилища в ядро ​​Linux, и имя драйвера (модуля), ответственного за драйвер хранилища.

Запустите команду lsmod, чтобы отобразить все загруженные драйверы ядра и отфильтровать полученный результат через команду grep с помощью строки поиска «usb_storage».

# lsmod | grep usb_storage

Из команды lsmod видно, что модуль sub_storage используется модулем UAS. Затем выгрузите оба USB-модуля из памяти ядра и проверьте, успешно ли выполнено удаление, выполнив приведенные ниже команды.

# modprobe -r usb_storage
# modprobe -r uas
# lsmod | grep usb

Затем просмотрите содержимое текущего хранилища модулей хранения usb ядра, выполнив приведенную ниже команду и определите имя драйвера USB-хранилища. Обычно этот модуль следует называть usb-storage.ko.xz или usb-storage.ko.

# ls /lib/modules/`uname -r`/kernel/drivers/usb/storage/

Чтобы заблокировать загрузку модуля USB-накопителя в ядро, смените каталог на путь модулей хранения usb ядра и переименуйте модуль usb-storage.ko.xz в usb-storage.ko.xz.blacklist, выполнив приведенные ниже команды.

# cd /lib/modules/`uname -r`/kernel/drivers/usb/storage/
# ls
# mv usb-storage.ko.xz usb-storage.ko.xz.blacklist

В дистрибутивах Linux на базе Debian выполните приведенные ниже команды, чтобы заблокировать модуль хранения usb от загрузки в ядро ​​Linux.

# cd /lib/modules/`uname -r`/kernel/drivers/usb/storage/
# ls
# mv usb-storage.ko usb-storage.ko.blacklist

Теперь, всякий раз, когда вы подключаете USB-накопитель, ядро ​​будет не в состоянии загружать ядро ​​встроенного драйвера устройства хранения. Чтобы вернуть изменения, просто переименуйте модуль usb обратно, к его исходному имени.

# cd /lib/modules/`uname -r`/kernel/drivers/usb/storage/
# mv usb-storage.ko.xz.blacklist usb-storage.ko.xz

Однако этот метод применяется только к текущему ядру. Если вы хотите, чтобы USB-накопитель попал в черный список для всех доступных ядер в системе, введите каждый путь версии каталога ядра и переименуйте usb-storage.ko.xz в usb-storage.ko.xz.blacklist.

Теперь вы знаете, как заблокировать USB-устройства хранения данных!

Спасибо за уделенное время на прочтение статьи!

Если возникли вопросы, задавайте их в комментариях.

Подписывайтесь на обновления нашего блога и оставайтесь в курсе новостей мира инфокоммуникаций!

Чтобы знать больше и выделяться знаниями среди толпы IT-шников, записывайтесь на курсы Cisco от Академии Cisco, курсы Linux от Linux Professional Institute на платформе SEDICOMM University.