​​Блокировка подключения USB-устройств в Linux

USB-устройства – это удобно, подключил и работай, но это серьезная брешь в безопасности. Поэтому многие администраторы задумываются над тем, как ограничить возможность использовать USB-устройства.

Самое простое решение, что называется «в лоб», заблокировать загрузку драйвера usb-storage, для этого выполните:

echo "install usb-storage /bin/true" > /etc/modprobe.d/usb-storage.conf

После чего потребуется перезагрузить устройство. Данный метод заменяет установку драйвера usb-storage командой /bin/true, которая ничего не делает, а только возвращает код успешного завершения операции.

При этом кроме USB-накопителей у вас также перестанут работать и USB устройства ввода, такие как клавиатуры или мыши.

Данный способ вполне подойдет для серверов, чтобы уменьшить возможности «шаловливых рук» в случае непосредственного физического доступа к устройствам.

Альтернативой указанному выше способу можно использовать:

echo "blacklist uas" > /etc/modprobe.d/blacklist.conf
echo "blacklist usb-storage" > /etc/modprobe.d/blacklist.conf

Список модулей приведен для систем Debian и Ubuntu, после чего также перезагрузите устройство.

Более гуманным будет запрет на автоматическое монтирование USB-накопителей, после чего это можно будет сделать только вручную и только с правами суперпользователя.
Создадим файл /etc/udev/rules.d/99-usb.rules и внесем в него строку:

ENV{ID_USB_DRIVER}=="usb-storage",ENV{UDISKS_IGNORE}="1"

Для применения без перезагрузки применяем:

udevadm control --reload-rules

Чтобы разрешить автоматическое монтирование выбранных устройств сначала нам потребуется узнать их серийный номер:

udevadm info --query=env --name=/dev/sdd | grep ID_SERIAL

В нашем случае мы узнаем серийный номер устройства sdd, затем добавляем в /etc/udev/rules.d/99-usb.rules строку:

ATTRS{serial}=="4079621041319618643",ENV{UDISKS_IGNORE}="0"

Где в кавычках указываем серийный номер нужного устройства. Таких строк можно добавить несколько.

Данные способы простые и в чем-то даже грубые, но они доступны на любой системе без установки стороннего ПО.

Если же требуется более гибкое управление USВ устройствами, то вам потребуется специализированный софт, например, USBGuard, но это уже тема отдельной заметки.