Implementando Política de Controle de Dispositivos USB

Quando Usar

Use esta funcionalidade quando:

• Restringir dispositivos de armazenamento USB para prevenir exfiltração de dados ou introdução de malware
• Implementar políticas de controle de dispositivos via GPO, Intune ou módulos de controle de dispositivos EDR
• Criar listas de permissão (whitelists) de USB para dispositivos autorizados, bloqueando todos os outros
• Atender aos requisitos de conformidade para controle de mídia removível (PCI DSS, HIPAA)

Não use para DLP baseado em rede ou restrições de armazenamento em nuvem.

Pré-requisitos

• GPO do Active Directory ou Microsoft Intune para implantação de políticas
• IDs de Instância de Dispositivo de dispositivos USB autorizados
• EDR com módulo de controle de dispositivos (CrowdStrike, Microsoft Defender for Endpoint)
• Compreensão das classes de dispositivos USB (armazenamento em massa, HID, impressora, etc.)

Fluxo de Trabalho

Etapa 1: Inventariar o Uso Atual de USB

# Enumerate currently connected USB devices
Get-PnpDevice -Class USB | Select-Object InstanceId, FriendlyName, Status

# Query USB storage history from registry
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Enum\USBSTOR\*\*" |
  Select-Object FriendlyName, ContainerID, HardwareID

# Collect USB usage across fleet (via EDR or scripts)
# CrowdStrike: Investigate → USB Device Activity
# MDE: DeviceEvents | where ActionType == "UsbDriveMounted"

Etapa 2: Configurar Controle de Dispositivos GPO

Computer Configuration → Administrative Templates → System → Removable Storage Access

- All Removable Storage classes: Deny all access → Enabled
  (Block read AND write for all removable storage)

OR for granular control:
- CD and DVD: Deny read access → Enabled
- Removable Disks: Deny write access → Enabled (read-only USB)
- Tape Drives: Deny all access → Enabled
- WPD Devices: Deny all access → Enabled

To allow specific approved USB devices:
Computer Configuration → Administrative Templates → System → Device Installation
  → Device Installation Restrictions

- Prevent installation of devices not described by other policy settings → Enabled
- Allow installation of devices that match any of these device IDs → Enabled
  Add approved Device IDs: USB\VID_0781&PID_5583 (example: SanDisk Cruzer)

Etapa 3: Implantar via Microsoft Defender for Endpoint

<!-- MDE Device Control policy (XML format) -->
<PolicyGroups>
  <Group Id="{d9a81dc0-1234-5678-9abc-def012345678}"
    Type="Device" Name="Approved USB Devices">
    <MatchClause>
      <MatchType>VID_PID</MatchType>
      <MatchData>0781_5583</MatchData> <!-- SanDisk -->
    </MatchClause>
  </Group>
</PolicyGroups>

<PolicyRules>
  <Rule Id="{rule-guid}" Name="Block unapproved USB storage">
    <IncludedIdList>
      <PrimaryId>RemovableMediaDevices</PrimaryId>
    </IncludedIdList>
    <ExcludedIdList>
      <GroupId>{d9a81dc0-1234-5678-9abc-def012345678}</GroupId>
    </ExcludedIdList>
    <Entry>
      <Type>Deny</Type>
      <AccessMask>63</AccessMask> <!-- All access -->
      <Options>4</Options> <!-- Show notification -->
    </Entry>
  </Rule>
</PolicyRules>

Etapa 4: Auditar e Monitorar

# Monitor USB events in SIEM:
# Windows Event ID 6416 - New external device recognized
# Windows Event ID 4663 - File access on removable media
# MDE: DeviceEvents where ActionType contains "Usb"

# Generate USB activity reports monthly
# Track: blocked attempts, approved device usage, exception requests

Conceitos Chave

Ferramentas e Sistemas

• Microsoft Defender Device Control: Módulo MDE para políticas de restrição de USB
• CrowdStrike Falcon Device Control: Aplicação de políticas de USB baseada em EDR
• Group Policy (Removable Storage Access): Restrição de USB nativa do Windows via GPO
• Endpoint Protector: Solução de controle de dispositivos e DLP de terceiros

Armadilhas Comuns

• Bloquear todo o USB sem exceção: Teclados e mouses são dispositivos USB HID. Bloqueie apenas a classe de armazenamento em massa, não todo o USB.
• Não comunicar a política aos usuários: Bloqueios de USB sem notificação ao usuário geram chamados para o helpdesk. Exiba uma notificação explicando a política.

…