Detectando o uso do Thumb Drive em uma máquina Windows

Question

Minha empresa tem um problema com clientes potencialmente usando pen drives para registrar e acessar informações nas máquinas das empresas com as quais contratamos para executar aplicativos de teste para nós. Idealmente, gostaríamos que eles travassem o sistema para não permitir isso, mas isso não é uma opção, já que várias empresas expressaram desprazer ao seguir essa solicitação. Existe um sistema de registro em algum lugar no Windows que controla as coisas que acessaram o computador dentro de um determinado período de tempo. Se não, existe um programa que podemos ter em execução no plano de fundo para fazer isso?

Eu devo esclarecer. Na verdade, o que minha empresa tem medo é de alguém usando um pen drive que tenha programas e inicie aplicativos que possam copiar dados de nosso sistema de testes. O teste é feito pela internet, então, não temos muito medo de copiar arquivos do disco rígido. Eu sei que provavelmente não podemos detectar que alguém lançou um aplicativo, mas, em um piscar de olhos, gostaríamos de detectar se um pen drive foi colocado na máquina em uma determinada data e hora.

    

Answer 1

Você pode detectar as evidências de que um pen drive estava conectado. Consulte a postagem no blog do especialista em forense do Windows, Harlan Carvey Leis Forenses para indicar que isso é verdade. Ele o cobre em seu livro, Windows Forensics Analysis , se bem me lembro (o link no blog agora leva você para a home page da Elsevier para a Syngress).

para determinar o que foi copiado é um pouco mais difícil se você não tiver a auditoria ativada. Se você tem imagens exatas das duas unidades, você pode determinar qual direção, mas você já sabe quais arquivos.

    

Answer 2

Se você ativar determinadas SACLs para seus arquivos confidenciais (ele está configurado dentro do editor de segurança, na guia "Auditoria", se me lembro corretamente), todos os acessos são registrados no log de eventos de Segurança.

    

Answer 3

Se as máquinas forem gerenciadas através do Active Directory, isso pode ser feito através da aplicação da Diretiva de Grupo correta.

Você pode ver algumas instruções aqui .

Isso também é coberto pelo MS KB555324