Newsgroup: it.comp.os.win.windows10
Titolo: Disattivare la memory stick usb e non webcam, mouse e tastiere.

Salve,
 
stavo cercando di capire come poter disattivare su macchine windows solo 
la lettura delle memory stick usb e non ad esempio le webcam o le cuffie.
 
Cercando in rete ho trovato questo link: 
https://www.techrepublic.com/forums/discussions/disable-usb-devices-but-leave-cameras-enabled/
 
in pratica non c'è modo di discriminare la tipologia di USB ma 
bisognerebbe lavorare sulle GPO identificando gli ID dei dispositivi da 
mettere in white list, un po' troppo vista la molteplicità di brand che 
si utilizzano.
 
Ad onor del vero ho trovato anche quest'altro utile link: 
https://www.reddit.com/r/sysadmin/comments/i4datx/restrict_usb_storage_devices_but_not_usb_headsets/
 
dove si parla di un comodo tool chiamato Ivanti device control 
https://www.ivanti.com/
 che ti permette di monitorare ciò che viene 
passato tramite USB, un modo per mettere alla prova i dipendenti 
piuttosto che bloccarli preventivamente.
 
Probabilmente tutto questo dovrei riuscire a gestirlo anche con 
Crowdstrike senza dover installare altro, devo indagare... qualcuno di 
voi si è mai "spinto" a tanto?
 
Saluti.
^Bart

 brand che si utilizzano.
 
Beh... dipende; in una rete protetta si usano delle GPO di
whitelisting, in pratica sia le applicazioni sia le varie periferiche
sono tutte bloccate, tranne quelle permesse tramite GPO, in questo
modo, solo il software autorizzato e le periferiche autorizzate sono in
grado di funzionare, tutto il resto viene bloccato; se ci pensi per un
momento, la cosa è tutt'altro che stupida e, sebbene richieda di
investire un certo tempo all'inizio, una volta messa in piedi ti blinda
praticamente i sistemi contro qualsiasi cosa arrivi dall'esterno e non
sia esplicitamente autorizzato
 

 sia esplicitamente autorizzato
 
Ti ringrazio per la celere risposta, cercando in rete ho trovato anche 
come eseguire il tutto tramite Crowdstrike: 
https://www.crowdstrike.com/blog/tech-center/falcon-device-control/
 
quindi prima di tutto mi giocherò questa carta che di fatto agisce sulle 
GPO.
 
Il mio dubbio, che probabilmente fugherò appena avrò modo di metterci 
mano, è legato al discorso di come identificare le periferiche da 
inserire in whitelist, da quel che ho capito dovrei farmi una lista di 
tutti gli ID, lavoro non da poco visti i diversi produttori di tastiere, 
mouse, webcam, etc.
 
Mi sembra e sottolineo mi sembra che non ci sia un modo per identificare 
la tipologia dell'hardware ovvero stampanti, mouse, tastiere, etc.
 
Saluti.
^Bart
 

 tastiere, etc.
 
beh...
 
https://www.nirsoft.net/utils/usb_devices_view.html
 
 
questo è uno, ma non l'unico, si possono usare anche degli script che
vadano ad utilizzare WMI per rilevare le varie ID, a quel punto basta
uno script che rilevi le ID USB e le vada a scrivere in un file (es. in
formato CSV), si piazza lo script al logon, si lascia passare un certo
tempo e poi si vanno a caricare le info :D
 
 



già che ci sono
 
https://github.com/nsacyber/AppLocker-Guidance
 
 
 

 
https://github.com/nsacyber/AppLocker-Guidance
 
 
Entrambi i link sono interessanti, appena avrò un minuto libero dovrò 
dedicargli attenzione, intanto ti ringrazio per le segnalazioni! :)
 
Saluti.
^Bart
 

 lettura delle memory stick usb e non ad esempio le webcam o le cuffie.
 
se ben ricordo i PowerToys di mammasoft avevano una apposita funzione 
per bloccare le lettere delle unità in modo che non venissero 
ri-assegnate, p.e. per connessioni di rete non sempre attive
 
tu dovresti quindi bloccarle tutte tranne quelle in uso autorizzato (e 
ovviamente impedire al personaggio di turno di pasticciare con gestione 
dischi per liberarne una all'uopo)
 
-- 
/-\ /\/\ /\/\ /-\ /\/\ /\/\ /-\ T /-\
-=- -=- -=- -=- -=- -=- -=- -=- - -=-
........... [ al lavoro ] ...........

 
 
 
sta per essere messa in atto anche da noi, ed a me sembra una porcheria 
immonda. consegni all'utonto un'autmobile che percorre solo il tragitto 
casa - lavoro - casa
se quel dipendente ha necessita' di un percorso aggiuntivo ... e' fregato.
opinione personale ovviamente

 casa - lavoro - casa
 
 
Per uso privato sarei d'accordo con te, ma in una rete aziendale è
necessario fare di tutto per impedire a chi la usa di infettarla con
virus, trojani e altre porcherie, per non parlare del caso di uno che
voglia sabotare quell'azienda. Secondo me è il compito numero uno di chi
amministra una rete aziendale.

 amministra una rete aziendale.
 
il tuo discorso regge, ma sminuisce al massimo gli utenti.
io da utente se non potessi leggermi la mia chiavetta, semplicemente 
incrocerei le braccia.
 
 

CBM64 hat am 05.03.2023 um 11:51 geschrieben:

Spero per te che tu abbia fatto molti anni fa una scelta analoga alla
mia e lavori in proprio. Se lavori in un'azienda, però, sul posto di
lavoro i suoi interessi sono più importanti dei tuoi come singolo
utente, anche se la cosa ci sminuisce.

 utente, anche se la cosa ci sminuisce.
 
 
si, concordo.
e' tristissimo ma e' cosi'.
 
buona serata

 fregato. opinione personale ovviamente
 
Se il computer è di proprietà dell'azienda, è corretto che l'azienda
faccia in modo che lo stesso possa essere usato esclusivamente per gli
scopi aziendali e che garantisca alla struttura aziendale un livello di
sicurezza appropriato, senza se e senza ma
 
 
 
 
 

incrocerei le braccia.
 
Non č che sminuisca gli utenti, semplicemente si cerca di correre solo
i rischi necessari.
 
Se la chiavetta non č necessaria, leggerla č un rischio inutile.
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 sicurezza appropriato, senza se e senza ma
 
 
concordo, ma fare ambedue le cose e' possibile.
avere un buon grado di sicurezza e lasciare agli utenti un poco di 
margine di manovra.
tutto qui
 

 margine di manovra.
 
No, purtroppo no :P e non parlo per "sentito dire"; non puoi pretendere
che un utilizzatore sia al contempo un esperto di sicurezza, inoltre se
un computer è di proprietà dell'azienda, è corretto che sia l'azienda a
decidere quali software possono essere eseguiti e prenda misure in modo
da permettere che solo quelli possano essere eseguiti e che non vi sia
possibilità di installare altro che non sia esplicitamente approvato
 
So perfettamente che implementare una policy del genere non è semplice
e che richiede tempo, ma sul lungo termine l'approccio risulta essere
vincente e la cosa è statisticamente dimostrabile
 
In breve
 
si inizia creando un ambiente di test con alcune macchine (fisiche o
virtuali che siano) configurate in modo da rispecchiare i vari ambiti
di lavoro all'interno dell'azienda
 
si creano delle policies che permettano all'OS ed ai software di poter
essere utilizzati, correggendo le policies in modo da risolvere
eventuali problemi, tali policies non permetteranno l'installazione o
l'esecuzione di software non approvato
 
si applicano le policies ad un numero limitato di macchine nei vari
ambiti aziendali in modo da effettuare un primo test reale, nel caso di
problemi, questi si riproducono sulle macchine di test e si risolvono
aggiustando le policies
 
una volta risolti i problemi, si procede ad applicare le policies alle
macchine aziendali, ovviamente parlo di policies, dato che queste
saranno diverse in base all'ambito ed alla tipologia di sistema
 
il risultato è che il dipendente avrà un computer perfettamente in
grado di svolgere i compiti necessari all'azienda e che, al contempo
sarà "blindato" nei confronti di software esterno che possa andare a
causare problemi
 
la apparente perdita di "flessibilità d'uso" è compensata da una minor
necessità di manutenzione e da una maggiore sicurezza complessiva, il
che si traduce in una riduzione dei costi per l'azienda
 
se poi uno vuole fare quello che gli pare con il computer, lo può fare
a casa sua, con il proprio computer :D
 

 risultato: il pc da scrivania  viene acceso solo per stampare.
 
il che significa che l'azienda non ha implementato correttamente il
tutto; l'utente che si porta il proprio portatile ... non esiste, in
tal caso il portatile NON potrà connettersi alla rete aziendale se il
tutto è configurato come si deve e non potrà accedere alle risorse
della stessa, incluso ovviamente storage e accesso internet, al massimo
potrà connettersi ad una rete "ospiti" con accesso limitato e
controllato ad internet e nessuna visibilità della rete aziendale; in
breve, se un dipendente deve/vuole lavorare, deve usare il computer
aziendale, il proprio lo potrà usare a casa o per farsi gli affari
propri, dato che tale portatile non avrà alcun accesso alla rete
aziendale o alle varie applicazioni
 
 

 tal caso il portatile NON potrà connettersi alla rete aziendale
 
esatto.
 
NON si connette alla rete aziendale ! usa il cell come hot spot e naviga 
nel web come vuole. il pc sulla scrivania lo usa per la share aziendale, 
stampante , scanner e poco altro


stampante , scanner e poco altro
 
Mi sembra un po' contorta come modalità di lavoro.


 Mi sembra un po' contorta come modalità di lavoro.
 
 
Hai ragione, ma non vedo come fare altrimenti, se uno non è disposto ad
accettare le limitazioni della rete interna aziendale, ma
l'amministratore le ritiene indispensabili per evitare di trovarsi con
una rete piena di virus, trojani e porcherie varie.
 
Può darsi che CBM64 abbia ragione, quando sostiene che "fare ambedue le
cose e' possibile.
avere un buon grado di sicurezza e lasciare agli utenti un poco di
margine di manovra."
Sarebbe interessante leggere le esperienze di un amministratore di una
rete aziendale.

 aziendale, stampante , scanner e poco altro
 
ossia, in pratica, invece di lavorare si fa gli affari suoi sul web,
chissà cosa ne pensa la direzione aziendale di tale approccio che,
direi sia molto produttivo :P
 
 

 
 
 
ma no.
intendo questo:
 
impiegato a deve andare sul sito ministeriale XXX.it ed avedere alcune 
pratiche .
il firewall aziendale blocca il sito.
:-)
il ced e' un'entita' astratta , dove c'e' un solo sfigato che deve 
gestire tutta la baracca, dal voip alla parte linux a dare supporto ai 
tecnici esterni e quant'altro.
detto sfigato riceve la lamentela di impiegato a , e risponde
 
"spiacente, il firewall e' a noleggio, paghiamo un canone ed abbiamo 
assistenza, giro la chiamata a fortinet"
 
dall'altra parte , lo sfigato di fortinet deve gestire da solo una 
dozzina ed oltre di clienti, quindi mette in fondo alla coda impiegato 
a. inoltre essendo fortinet un buon prodotto (dicono) reputa poco reale 
la lamentela di impiegato a
 
se impiegato a non evade la pratica entro oggi, riceve un cazziatone.
dopo un'altra ora impiegato a sollecita il problema, facendo notare che 
anche il suo collega nell'altro corridoio ha il medesimo problema.
Lo sfigato del ced fa copia/incolla della risposta di prima.
:-)
il tecnico di fortinet fa copia/incolla della risposta di prima .
 
un'ora prima di andare a casa , impiegato a (stufo marcio) prende il suo 
portatile personale, usa cell aziendale come hot spot e .... guarda caso 
il sito ministeriale si vede alla perfezione !!!
 
questa e' la realta' che intendo esporre.
 
 

cose e' possibile.
 
Sta all'utente segnalare le necessità per il lavoro, sta a chi
amministra i sistemi trovare soluzioni.
 
CBM64 ha fatto l'esempio del sito non raggiungibile: l'utente deve
segnalare, se il reparto informatico non risponde la mancanza è del
reparto e non dell'utente.
Viene cazziato? Si può ribellare senza problemi: "Capo,il sito non è
raggiungibile, cazzia il ced e non me".
 
C'è anche da dire che normalmente si lavora cogli strumenti
dell'azienda, l'utente non è tenuto a portarsi un portatile da casa.


 questa e' la realta' che intendo esporre.
 
Nelle mie precedenti esperienze lavorative prima di andarmene ho alzato 
il ditino e poi l'ho abbassato per digitare una mail indicando la 
necessità di affiancarmi altro personale.
 
Da parte dell'azienda ho avuto risposte di ampie vedute del tipo 
sicuramente ti affiancheremo qualcuno!
 
Ho aspettato qualche mese poi non vedendo nulla ho iniziato ad inviare 
C.V. qua e là ed alla fine ho rimesso il ditino sulla tastiera per 
collegarmi al sito dell'INPS ed inviare le dimissioni.
 
Morale della favola mi hanno fatto proposte economiche per rimanere, 
cosa che non avevano fatto in precedenza, ma io sono comunque andato 
via, ora al posto mio hanno assunto tre persone, sottolineo tre.
 
Tra gli skills di queste tre persone manca la parte Unix like, in 
sostanza io facevo il lavoro di ben tre persone ed inoltre avevo uno 
skill che loro non hanno e costavo meno di tre persone.
 
Saluti.
^Bart
 

 se impiegato a non evade la pratica entro oggi, riceve un cazziatone.
 
Non esiste proprio, l'impiegato invia una email al proprio "capo"
segnalando in dettaglio il problema, facendo presente di aver già
segnalato la cosa al responsabile IT e, nonostante questo, di non
essere in grado di accedere al sito non essendo quindi in grado di
evadere la pratica, a quel punto ci penserà il "capo" a scalare la
questione e fare in modo che venga risolta
 

 questione e fare in modo che venga risolta
 
e comunque, il filtraggio del traffico, con il discorso delle policies
di whitelist dei programmi, da cui è iniziata questa discussione, non
c'entra niente.
 
 

 
 
 
vabbe',
il discorso si e' un poco ampliato, ma in un gruppo di discussione 
-appunto- si discute. tutto qui.
 
per tornare all'impiegato a , costui ha certamente detto il tuo al suo 
capoufficio, il quale ha ri_sollecitato il ced.
il ced , ove c'e' un unico sfigato, ha ancora una volta fatto 
copia/incolla della prima risposta
:-)
il capoufficio e' andato da impiegato a dicendo
 
"dal ced mi dicono che non abbiamo problemi. direi che sei tu che NON 
vuoi fare la pratica !! Visto il tuo comportamento, l'ora di 
straordinario non ti viene riconosciuta."
 
vi prego credetemi, capita proprio cosi'.
 
 
 
cbm64

CBM64 hat am 10.03.2023 um 18:32 geschrieben:

Ti credo, però, se fossi l'impiegato a:
1) Chiederei al capoufficio di provare lui a richiamare quel sito col
mio computer aziendale (al limite col suo, che però potrebbe avere
limitazioni minori delle mie) e di spiegarmi in dettaglio come ha fatto,
se ci è riuscito.
2) Mi metterei a leggere offerte di lavoro.
 
Forse questo tipo di capi è uno dei motivi per cui lavoro in proprio da
quasi 40 anni. :-)