USB存储设备：便捷的安全噩梦

[[334367]]

广泛的远程工作似乎使这些问题更加复杂。根据一项新的研究，自从疫情发生以来，员工下载到USB存储介质上的数据量增加了123%，这表明许多人已经使用这种设备将大量数据带回家。因此，在任何给定的时间，都有数百TB的潜在敏感、未加密的企业数据到处移动，将显著增加了严重数据丢失的风险。

幸运的是，有效地实施USB控制和加密可以显著降低这种风险。

什么是USB控制和加密?

USB控制和加密是指用于确保设备对USB端口的访问安全的一组技术和实践。这样的技术和实践构成端点安全性的关键部分，并有助于保护计算机系统和敏感数据资产免受丢失，以及可以通过物理插入式USB设备部署的安全威胁(例如恶意软件)的侵害。

USB控制和加密可以通过多种方式实现。最权威的方法是通过物理覆盖端点USB端口或禁用整个操作系统中的USB适配器来完全阻止USB设备的使用。尽管这肯定是有效的，但鉴于绝大多数依赖USB端口运行的外围设备(例如键盘、充电器、打印机等)，对于大多数企业而言，这根本不是一个可行的方法。

取而代之的是，一种更实用的方法是将不太严苛的物理措施与使用可保护敏感数据本身的加密相结合，这意味着即使包含此类数据的闪存驱动器丢失或被盗，其内容仍将保持安全。最简单(通常也是最昂贵)的方法是购买已经内置了强大加密算法的设备。

成本更低(但较难管理)的替代方案是实施和实施用于管理USB设备使用的特定IT策略。这可能是只允许员工使用某些“经过身份验证”的USB设备(其文件系统已手动加密)的设备，或者是规定单个文件必须先加密，然后才能传输到USB存储设备。

更好的控制意味着更好的安全性

作为大多数操作系统的一部分提供的默认USB端口控件在功能方面趋于十分有限。安全团队可以选择使其完全打开，将其指定为只读或完全禁用它们。但是，对于那些希望使用更细微差别的方法的人，可以借助第三方安全应用程序和/或解决方案来实现更高级别的粒度控制。例如，要求每个插入的USB设备将连接协议中的确切设备告知操作系统。

借助USB控制应用程序，管理员可以使用此信息来限制或阻止特定终结点端口上的某些类型的USB设备。一个很好的例子是允许通过端口使用连接USB的鼠标，但禁止对USB安全造成更大威胁的存储设备，例如USB记忆棒。

一些控制应用程序走得更远，允许安全团队制定规则以将USB端口控制到单个级别。这包括确切指定可以通过特定USB端口复制或传输的文件类型，或指定特定端口只能由预先批准的白名单中的设备使用(基于其序列号)。这样的控件在防止未经授权的数据外流以及恶意操作(例如尝试通过未经授权的USB闪存上传恶意软件)方面非常有效。

集中控制的解决方案避免了重大的后勤问题

值得注意的是，一个普通的商业网络可以包含数百个甚至数千个端点，每个端点都有一个或多个USB端口。这样，可以集中管理而不是单独管理的控制和加密解决方案非常容易实现和管理。在当前时间点尤其如此，因为远程工作协议使得几乎不可能以任何其他方式有效地管理设备。

尽管便携式USB驱动器和设备被员工视为一种快速，便捷的方式来传输或存储数据，但它们通常使安全专业人员感到头疼。

幸运的是，实施USB控制和加密解决方案可以极大地改善安全团队可使用的工具以应对此类挑战，并确保网络和敏感企业数据始终受到保护。