Installation von USB-Geräten blockieren mit Microsoft Intune


    Tags: , ,

    USB-Geräte blockierenRestriktive Sicherheits­einstellungen für End­geräte sind eine wesent­liche Maß­nahme im Schutz gegen Angriffe. Die unkon­trollierte Instal­lation von USB-Geräten öffnet Einfalls­tore für Malware und erhöht das Risiko für Daten­diebstahl. Mit Microsoft Intune können Admins End­benutzer daran hindern, USB-Peri­pherie auf ihren PCs zu installieren.

    Intune sieht Profile für verschiedene Gerätetypen vor. Zu den unter­stützten Plattformen gehören IOS/iPadOS, Android, Android Enterprise und Windows.

    Microsoft hat zudem mehrere Vorlagen für ver­schiedene Anwendungs­fälle integriert, um bestimmte Einstellungen schnell auf die Zielgeräte anzuwenden. Die folgende Abbildung zeigt die Templates, welche standard­mäßig für Konfigurationsprofile verfügbar sind.

    Vorlagen für die Gerätekonfiguration mittels Profilen in Intune

    Verwalten von Sicherheitseinstellungen

    Zu den Szenarien für die Verwaltung von Sicherheitseinstellungen mit Intune gehören:

    • Sperren von USB- und Wechseldatenträgern
    • Implementieren einer Security Baseline
    • Erstellen einer Compliance-Richtlinie

    Alle drei haben sehr ähnliche Workflows für die Erstellung und Anpassung, das betrifft auch das Anlegen von Profilen und deren Zuweisung an bestimmte Geräte.

    Sperren von USB- und Wechselspeichern

    Eine häufige sicherheits­bezogene Aufgabe für Administratoren ist die Kontrolle bzw. Sperrung von USB- und anderen Wechselmedien. Navigieren Sie dazu nach Devices => Configuration profiles. Klicken Sie auf das +-Symbol, um ein Profil zu erstellen.

    Konfigurationsprofil in Intune erzeugen

    Wählen Sie anschließend das gewünschte Betriebs­system, einen Profiltyp und den Namen der Vorlage, auf der das Profil beruhen soll. Klicken Sie auf Create.

    Plattform für das Profil und den Namen des Templates auswählen

    Nun startet der Wizard zum Erstellen eines Profils. Im ersten Schritt gibt man diesem einen Namen.

    Im nächsten Schritt suchen wir im Abschnitt Configuration settings nach dem Begriff "prevent installation of devices", um die Einstellung Prevent installation of devise not described by other policy settings zu finden.

    Einstellung zum Blockieren von USB- und anderen Geräten finden

    Wählen Sie diese aus und aktivieren Sie diese im Einstellungsbereich.

    Richtlinie aktivieren, um die Installation von Geräten zu verhindern

    Mithilfe von Scope tags können Sie im nächsten Schritt die Anwendung der Geräte­richtlinie anpassen.

    Anschließend können Sie auf dem Bildschirm Assignments das Profil einer Gruppe zuweisen, in meinem Beispiel nehme ich dafür "Windows10Computers".

    Profil mit den Einstellungen zum Blockieren von USB-Geräten an Gruppen zuweisen

    Zum Abschluss klickt man auf dem Bildschirm Review + Create auf die Schaltfläche Create.

    Überprüfung und Erstellung der Konfigurationsrichtlinie

    Die Übersicht für die Konfigurationsprofile zeigt nun das frisch erstellte Profil zum Blockieren von USB-Geräten.

    Die Konfigurationsrichtlinie zum Blockieren von USB-Geräten wurde erfolgreich erstellt.

    Wenn Unternehmen bestimmte Geräte zulassen müssen, können Administratoren dafür die GUIDs der Geräteklassen hinzufügen, die erlaubt sein sollen. Zuständig ist in diesem Fall die Einstellung Allow installation of devices using drivers that match these device setup classes.

    Fazit

    Microsoft Intune kann die Installation nicht zugelassener USB-Geräte auf Windows-PCs blockieren, wenn diese mit Azure AD verbunden sind. Dies kann entweder durch einen direkten Join oder über eine hybride AD-Umgebung erfolgen.

    Profile machen diese Aufgabe sehr einfach und bieten ähnliche Optionen wie die entsprechenden Einstellungen in den Gruppen­richtlinien.

    Täglich Know-how für IT-Pros mit unserem Newsletter

    Wir ver­wenden Ihre Mail-Adresse nur für den Ver­sand der News­letter.
    Es erfolgt keine per­sonen­be­zogene Auswertung.

    Bild von Brandon Lee

    Brandon Lee ist seit mehr als 18 Jahren in der IT-Branche tätig und konzen­triert sich auf Networking und Virtua­lisierung. Er trägt veröffentlicht auf verschiedenen Blogs und verfasst tech­nische Dokumen­tationen, haupt­sächlich auf Virtualizationhowto.com.

    // Kontakt: Web, E-Mail, LinkedIn //

    Ähnliche Beiträge

    Weitere Links