Cómo bloquear los dispositivos de almacenamiento USB en servidores Linux

Para proteger la extracción de datos confidenciales de los servidores por parte de usuarios que tienen acceso físico a las máquinas, es una mejor práctica para deshabilitar todo el soporte de almacenamiento USB en el kernel Linux.

Para deshabilitar el soporte de almacenamiento USB, primero debemos identificar si el controlador de almacenamiento se carga en el kernel Linux y el nombre del controlador (módulo) Responsable con el controlador de almacenamiento.

Ejecutar el comando lsmod Para enumerar todos los controladores de núcleo cargados y filtrar la salida a través del comando GREP con la cadena de búsqueda "almacenamiento USB".

# lsmod | Grep USB_Storage 

De lsmod comando, podemos ver que el sub_storaios El módulo está en uso por Uas módulo. A continuación, descargue ambos módulos de almacenamiento USB desde el kernel y verifique si la eliminación se ha completado con éxito, emitiendo los comandos a continuación.

# modprobe -r usb_storage # modprobe -r uas # lsmod | Grep USB 

A continuación, enumere el contenido del directorio de módulos de almacenamiento USB de kernel de ejecución actual emitiendo el siguiente comando e identifique el almacenamiento USB nombre del conductor. Por lo general, este módulo debe ser nombrado almacenamiento USB.KO.xz o almacenamiento USB.KO.

# ls/lib/modules/'uname -r'/kernel/controladores/usb/almacenamiento/ 

Para bloquear la carga del formulario del módulo de almacenamiento USB en el núcleo, cambie el directorio a la ruta de los módulos de almacenamiento USB del núcleo y cambie el nombre de la almacenamiento USB.KO.xz módulo a almacenamiento USB.KO.xz.lista negra, emitiendo los siguientes comandos.

# CD/Lib/Modules/'Uname -r'/Kernel/Drivers/USB/Storage/ # LS # MV USB -Storage.KO.almacenamiento USB XZ.KO.xz.lista negra 

En Debian Distribuciones de Linux basadas en Linux, emita los comandos a continuación para bloquear almacenamiento USB módulo desde la carga en el núcleo de Linux.

# CD/Lib/Modules/'Uname -r'/Kernel/Drivers/USB/Storage/ # LS # MV USB -Storage.KO USB-Storage.KO.lista negra 

Ahora, cada vez que enchufe un dispositivo de almacenamiento USB, el kernel no se puede cargar el kernel de introducción del controlador del dispositivo de almacenamiento. Para revertir los cambios, simplemente cambie el nombre del módulo USB en la lista negra a su antiguo nombre.

# CD/Lib/Modules/'Uname -r'/Kernel/Drivers/USB/Storage/ # MV USB -Storage.KO.xz.almacenamiento USB de la lista negra.KO.xz 

Sin embargo, este método se aplica solo a los módulos de kernel de tiempo de ejecución. En caso de que desee los módulos de almacenamiento USB de la lista negra forman todos los núcleos disponibles en el sistema, ingrese cada ruta de versión del directorio del módulo de kernel y cambie el nombre de la almacenamiento USB.KO.xz a almacenamiento USB.KO.xz.lista negra.