Comment détecter si un utilisateur utilise le partage de connexion USB?

Récemment, un utilisateur a débranché son PC d’entreprise du réseau et utilisé le partage de connexion USB avec son téléphone Android pour contourner entièrement le réseau de l’entreprise et accéder à Internet. Je ne pense pas avoir besoin d'expliquer pourquoi c'est mauvais. Quelle serait la meilleure façon, d'un point de vue coût zéro (open source, utilisation de scripts et de stratégie de groupe, etc.) et technique (ie, les ressources humaines ont déjà été notifiées, je ne pense pas que ce soit un symptôme quelconque problème de culture d’entreprise sous-jacent, etc.), afin de détecter et / ou d’empêcher que de tels événements ne se reproduisent? Il serait bien d’avoir une solution à l’échelle du système (par exemple, en utilisant une stratégie de groupe), mais si cela n’est pas possible, faire quelque chose de spécifique pour le PC de cette personne pourrait également être une réponse.

Quelques détails: le PC est Windows 7 associé à un domaine Active Directory, l'utilisateur dispose de privilèges d'utilisateur ordinaires (pas d'administrateur), il n'y a pas de capacités sans fil sur le PC, la désactivation des ports USB n'est pas une option

NOTE: Merci pour les bons commentaires. J'ai ajouté quelques détails supplémentaires.

Je pense qu'il y a beaucoup de raisons pour lesquelles on voudrait interdire le partage de connexion, mais pour mon environnement particulier, je peux penser à ce qui suit: (1) Mises à jour antivirus. Nous avons un serveur anti-virus local qui fournit des mises à jour aux ordinateurs connectés au réseau. Si vous n'êtes pas connecté au réseau, vous ne pouvez pas recevoir les mises à jour. (2) Mises à jour du logiciel. Nous avons un serveur WSUS et examinons chaque mise à jour pour approuver / interdire. Nous fournissons également des mises à jour des logiciels utilisés couramment, tels que Adobe Reader et Flash via une stratégie de groupe. Les ordinateurs ne peuvent pas recevoir de mises à jour s'ils ne sont pas connectés au réseau local (la mise à jour à partir de serveurs de mises à jour externes n'est pas autorisée). (3) filtrage Internet. Nous filtrons les sites malveillants et, euh, vilains (?).

Plus d'informations de base: HR a déjà été notifié. La personne en question est une personne de haut niveau, donc c'est un peu délicat. "Faire un exemple" de cet employé bien que tentant ne serait pas une bonne idée. Notre filtrage n’est pas sévère, je suppose que la personne a peut-être consulté des sites coquins bien qu’il n’y ait pas de preuve directe (la mémoire cache a été effacée). Il dit qu'il était en train de charger son téléphone, mais que l'ordinateur était débranché du réseau local. Je ne cherche pas à mettre cette personne en difficulté, mais peut-être empêcher que quelque chose de similaire ne se reproduise.

Il y a plusieurs options:

• Sous Windows 7, vous pouvez contrôler quels périphériques USB peuvent être connectés. Voir cet article par exemple.

• Vous pouvez contrôler que le PC est connecté au réseau, par exemple en contrôlant l'état du port du commutateur auquel la machine est connectée. (Les ordinateurs modernes gardent la carte réseau connectée même lorsque la machine est éteinte. L'arrêt de l'ordinateur ne devrait donc pas déclencher une alarme). Cela peut être fait à faible coût en utilisant des solutions open source gratuites (de toute façon, vous devriez avoir une surveillance dans votre réseau!).

EDIT en réponse à un commentaire:
Si l'utilisateur ajoute un adaptateur sans fil, la métrique de cette nouvelle interface sera supérieure à celle de l'interface filaire. Windows continuera donc à utiliser l'interface filaire. Étant donné que l'utilisateur ne dispose pas de privilèges administratifs, il ne peut pas surmonter cela.

• Vous pouvez utiliser un proxy pour accéder à Internet et forcer les paramètres de proxy via un objet de stratégie de groupe. Ainsi, si la machine est déconnectée du réseau et ne peut pas accéder au proxy, elle ne peut rien accéder. Cette solution pourrait être facile dans un petit réseau, mais très difficile à mettre en œuvre dans un grand réseau.

Comme @Hangin l'a souligné dans un désespoir discret , il y a toujours un coût. Votre temps coûte de l’argent à l’entreprise et vous devez prendre en compte le coût réel de la mise en place de la sécurité par rapport au coût potentiel du mauvais comportement.

Vous pouvez utiliser la stratégie de groupe pour empêcher l'installation de nouveaux périphériques réseau.

Vous trouverez une option dans Modèles d'administration \ Système \ Installation de périphériques \ Restrictions relatives à l'installation de périphériques \ Empêcher l'installation de périphériques à l'aide de pilotes correspondant à ces classes d'installation.

De sa description:

Ce paramètre de stratégie vous permet de spécifier une liste d'identificateurs globaux uniques (GUID) de classe d'installation de périphérique pour les pilotes de périphérique que Windows ne peut pas installer. Ce paramètre de stratégie a priorité sur tout autre paramètre de stratégie permettant à Windows d'installer un périphérique.

Si vous activez ce paramètre de stratégie, Windows ne peut ni installer ni mettre à jour les pilotes de périphérique dont les GUID de classe de configuration de périphérique apparaissent dans la liste que vous créez. Si vous activez ce paramètre de stratégie sur un serveur de bureau distant, il affecte la redirection des périphériques spécifiés d'un client de bureau distant vers le serveur de bureau distant.

En utilisant les paramètres de stratégie ici, vous pouvez créer une liste blanche (ce que vous semblez ne pas vouloir) ou une liste noire, de périphériques individuels ou de classes entières de périphériques (tels que des adaptateurs réseau). Celles-ci prennent effet lorsqu'un périphérique est retiré et réinséré . Ainsi, la carte réseau intégrée à l' ordinateur ne sera pas affectée, à condition que vous n'appliquiez pas le paramètre aux périphériques déjà installés.

Vous devrez vous reporter à la liste des classes de configuration du périphérique pour trouver la classe des adaptateurs réseau, à savoir {4d36e972-e325-11ce-bfc1-08002be10318}. Ajoutez cette classe à la liste noire et, peu après, personne ne pourra utiliser les adaptateurs réseau USB.

Quel type d'antivirus vous utilisez? Dans Kaspersky Antivirus, vous pouvez définir des réseaux sécurisés et locaux. Ainsi, vous pouvez configurer votre réseau local comme sécurisé et interdire tout autre réseau. Cela fonctionne si l’ordinateur n’est utilisé que dans le bureau.

J'ai KSC et je peux gérer centralisé tous les ordinateurs.

Je pense qu’une option est de créer, sur la machine cible, un script pour contrôler les paramètres réseau du PC (par exemple: adresse IP et passerelle) et pour vous alerter (par exemple: par courrier électronique) lorsque quelque chose change.

N'oubliez jamais que l'utilisateur peut vérifier le porno directement sur son téléphone portable via le réseau LTE , ainsi personne ne le saura jamais (et un nouveau téléphone portable a un grand écran ...) Pourquoi l'utilisateur a-t-il utilisé le pont sur l'ordinateur moi.

Cela soulève une autre question importante ... gérez-vous le téléphone portable avec une règle d'entreprise?

Un exemple tiré du livre de l'administrateur BES :

La sélection de cette règle empêche le périphérique de s'associer à un ordinateur autre que l'hôte Apple Configurator. Cette règle ne s'applique qu'aux périphériques supervisés à l'aide de Apple Configurator.

ou

La sélection de cette règle empêche les utilisateurs d'utiliser AirDrop pour partager des données avec d'autres appareils. Cette règle ne s'applique qu'aux périphériques supervisés à l'aide de Apple Configurator.

Et oui, le contrôle de l'USB est bon, mais cet appareil peut contenir d'importants documents / courriels d'entreprise et ne pas le contrôler constitue un risque pour la sécurité.

Après cela, si vous contrôlez tous les téléphones portables, vous pouvez demander qu’aucune cellule personnelle ne soit présente au bureau / ordinateur des employés.

Pour tout autre cas, je dirai à l'utilisateur DoktorJ que s'il essaye de créer une configuration volumineuse pour contourner votre sécurité, il risque d'être renvoyé directement.

Pour attacher

Vous pouvez définir Windows incapable de trouver le fichier de pilotes RNDIS c: \ windows \ inf \ wceisvista.inf.

Pour votre test, renommez simplement l'extension ".inf_disable", votre système d'exploitation ne sera pas en mesure de trouver les pilotes appropriés pour le partage de connexion.