Kenny's Blog

因應新版個資法，企業有必要重新檢視所有可能的資料外洩管道，特別是USB儲存設備，這個取得及使用門檻極低的小東西，往往是危害企業資安的致命殺手

不少企業透過停用主機USB插槽的功能來控管USB，這個方法的好處是設定簡單，但也很容易被破解

從設備外部的USB連接埠，直接貼上易碎貼紙，來達到短期、臨時封鎖USB的方式，僅適用於在短期封鎖，不適合用在固定放置或經常攜帶的電腦設備

移除主機板上的USB相關跳接器（Jumper）的方法，雖然能讓USB功能完全失效，但需要同時將機箱上鎖，才不會被有心人士擅自開啟機殼把拔除的跳接器插回

熱熔膠灌入USB埠之後，USB埠會因熱熔膠凝固而完全被堵死，雖能達到永久封鎖USB埠的效果，但日後也就無法再開啟被堵住的USB插槽

在個人電腦的主機板，插上專門針對封鎖連接埠的介面卡，可讓周邊連接埠失效，但缺點是只能安裝於具PCI槽的桌上型電腦

用硬體鎖堵住USB埠的方式不需破壞USB埠，也可解除封鎖後重新啟用，但不適用於大量部署環境，加上持有的硬體鎖若種類不同，會增加管理困難度

對於已插入過隨身碟的Windows電腦，可以使用登錄編輯程式來修改機碼，讓電腦在插入USB時出現限制存取的視窗，但這種方法的破解方式已在網路上廣為流傳

刪除USB驅動程式的方法，可以設定權限的方式，對不同USB裝置進行控管，但只適用於未插入過USB儲存裝置的電腦

我們可以在建置Windows伺服器的環境中，利用目錄服務來部署群組原則物件（GPO），統一管控企業電腦設備不得使用USB埠，適用於大量部署環境

與Windows AD相比，導入控管周邊裝置軟體對於USB埠及其他連接埠的管理較具彈性，並且可整合GPO、AD。但需要同時實行封鎖政策，否則效果有限

數位版權管理系統（DRM）是專門針對檔案文件加密的軟體，使用者建立檔案或文件後，系統即會執行加密，以杜絕任何資料外洩的管道如：USB埠、網路、藍牙、電子郵件、社群軟體

資料可放在後端伺服器做集中控管，以防止有心人士從終端設備擅自將資料複製出去。但虛擬桌面技術對於客戶端電腦的作業環境需求嚴苛，大到作業系統，小到使用Java版本，都會有所影響

DLP會依企業設定的政策，對於使用者存取或傳輸的檔案做資料過濾，讓在DLP保護傘下的檔案不會被任何形式途徑洩漏出去，而且不用封鎖USB埠