ウェブサイト検索

LinuxサーバーでUSBストレージデバイスをブロックする方法

ユーザーが物理的に機器にアクセスできる場合にサーバーからのセンシティブなデータ抽出を防ぐため、LinuxカーネルではすべてのUSBストレージサポートを無効にすることが最善の策です。

USBストレージサポートを無効にするためには、まずストレージドライバがLinuxカーネルにロードされているかどうかを確認し、ストレージドライバを担当するドライバ（モジュール）の名前を特定する必要があります。

ManageEngine Endpoint Centralを使用してUSBストレージデバイスをブロックする

ManageEngine Endpoint Centralは、管理者がLinuxシステム全体のUSBデバイスの使用を制御できる統合エンドポイント管理ソリューションです。これにより、外部ストレージデバイスのブロックまたはアンブロックを可能にするカスタムスクリプトを展開することができ、データセキュリティが強化され、不正なデータ転送やマルウェア感染に関連するリスクが軽減されます。

LinuxマシンでUSBストレージデバイスをブロックするために、Endpoint Centralを使用して、管理者はLinux設定セクション内でカスタムスクリプト構成を作成できます。これには、コマンドラインの指示を指定し、必要な依存ファイルを追加することが含まれます。一度展開されると、この構成はターゲットとなるLinuxエンドポイント全体でUSBストレージデバイスの使用を効果的に制限します。

USBデバイス管理に包括的なアプローチを求める組織のために、Endpoint CentralのセキュアUSB機能は、個々のユーザーロールや部門に基づいてUSBデバイスの使用を制限、ブロック、または完全アクセスを許可する柔軟性を提供します。

これにより、セキュリティポリシーがネットワーク全体で一貫して適用され、コンプライアンス基準に沿った形で、データ侵害のリスクが軽減されます。

ManageEngine Endpoint Central をあなたのLinux環境に統合することで、USBストレージデバイスへのアクセスを効果的に管理・制御し、組織全体のセキュリティ体制を強化することができます。

コマンドラインを使用してLinuxでUSBストレージデバイスをブロックする

lsmodコマンドを実行してすべてのロードされたカーネルドライバーをリストし、grepコマンドを使用して出力をフィルタリングします。検索文字列はusb_storageです。

# lsmod | grep usb_storage

lsmod コマンドから、sub_storage モジュールが UAS モジュールによって使用されていることがわかります。次に、カーネルから両方の USB ストレージモジュールをアンロードし、以下のコマンドを発行して削除が正常に完了したかどうかを確認します。

# modprobe -r usb_storage
modprobe -r uas
lsmod | grep usb

次に、現在の実行中のカーネルUSBストレージモジュールディレクトリの内容を以下のコマンドでリストし、usb-storage ドライバ名を特定します。通常、このモジュールは usb-storage.ko.xz または usb-storage.ko と名付けられています。

# ls /lib/modules/`uname -r`/kernel/drivers/usb/storage/

USBストレージモジュールがカーネルにロードされないようにするためには、カーネルのUSBストレージモジュールのパスにディレクトリを変更し、usb-storage.ko.xz モジュールの名前を usb-storage.ko.xz.blacklist に変更します。以下のコマンドを実行してください。

# cd /lib/modules/`uname -r`/kernel/drivers/usb/storage/
ls
mv usb-storage.ko.xz usb-storage.ko.xz.blacklist

Debian ベースの Linux ディストリビューションでは、usb-storage モジュールが Linux カーネルにロードされるのをブロックするために、以下のコマンドを実行します。

# cd /lib/modules/`uname -r`/kernel/drivers/usb/storage/ 
ls
mv usb-storage.ko usb-storage.ko.blacklist

今、USBストレージデバイスを接続するたびに、カーネルはストレージデバイスドライバーをカーネルにロードできなくなります。変更を元に戻すには、usbモジュールのブラックリストを古い名前に戻すだけです。

# cd /lib/modules/`uname -r`/kernel/drivers/usb/storage/
mv usb-storage.ko.xz.blacklist usb-storage.ko.xz

ただし、この方法はランタイムカーネルモジュールのみに適用されます。システム内のすべての利用可能なカーネルからUSBストレージモジュールをブラックリストに追加したい場合は、各カーネルモジュールディレクトリのバージョンパスに移動し、usb-storage.ko.xz の名前を usb-storage.ko.xz.blacklist に変更してください。

関連記事: