USB-Steuerung – Empfohlener Bereitstellungsworkflow
1.Beschreibung
2.Empfehlung
3.Vorgehensweise
4.Fehlerbehebung
Beschreibung
Dieser Artikel beschreibt den empfohlenen Bereitstellungsworkflow für das Modul USB-Steuerung in Heimdal. Dieser Ansatz trägt dazu bei, eine vollständige Gerätesichtbarkeit sicherzustellen und unbeabsichtigte Blockierungen aufgrund einer unvollständigen Whitelist von Geräten zu verhindern.
Empfehlung
Es wird empfohlen, die USB-Steuerung zunächst im Meldemodus zu konfigurieren, bevor Einschränkungen aktiviert werden. Dadurch können alle USB-Geräteinstanzen erkannt und überprüft werden, bevor die Durchsetzung aktiviert wird.
Vorgehensweise
Schritt 1 – Meldemodus aktivieren
Navigieren Sie zu:
Endpunkteinstellungen → Gruppenrichtlinien → [Richtlinie auswählen] → USB-Einstellungen
Setzen Sie USB-Modus auf Meldemodus
Klicken Sie in der Gruppenrichtlinie auf Speichern
Erwartetes Verhalten:
Alle verbundenen USB-Geräte werden erkannt
Das System listet alle Geräteeinträge und Instanzen auf (einschließlich verschiedener Instanzen, die durch Anschlüsse, Treiber oder Verbindungskontexte erzeugt werden)
Gerätedaten werden an das Heimdal-Dashboard gemeldet
Schritt 2 – Geräteeinträge überprüfen
Nach einem Überwachungszeitraum:
Öffnen Sie das Heimdal-Dashboard
Navigieren Sie zum Verwaltungsbereich der USB-Steuerung:
Überprüfen Sie alle erkannten Geräteeinträge
Wichtig:
Ein einzelnes physisches USB-Gerät kann im System mehrere Einträge (Auflistungen) erzeugen.
Jeder dieser Einträge stellt eine andere Instanz desselben Geräts dar.
Schritt 3 – Erforderliche Geräteeinträge zur Whitelist hinzufügen
Identifizieren Sie alle erforderlichen USB-Geräte
Fügen Sie alle zugehörigen Einträge (Auflistungen) jedes Geräts zu den Erlaubten Geräten (Whitelist) hinzu
Wichtiger Hinweis:
Wenn nicht alle zugehörigen Einträge eines Geräts zur Whitelist hinzugefügt wurden, wird das Gerät möglicherweise teilweise oder vollständig blockiert, sobald Einschränkungen angewendet werden.
Schritt 4 – Eingeschränkten Modus aktivieren
Sobald die Whitelist vollständig ist:
Ändern Sie den USB-Modus in den eingeschränkten Modus
Klicken Sie in der Gruppenrichtlinie auf Speichern
Ergebnis:
Nur Geräte in der Whitelist sind zulässig
Alle anderen USB-Geräte werden blockiert
Wichtige Hinweise
Der Meldemodus wird empfohlen, um eine vollständige Geräteerkennung vor der Durchsetzung von Einschränkungen sicherzustellen
Wenn der eingeschränkte Modus aktiviert ist, steht der Meldemodus nicht mehr zur Verfügung (die Option ist ausgegraut)
Eine unvollständige Aufnahme von Geräteeinträgen in die Whitelist kann zur unbeabsichtigten Blockierung ansonsten zulässiger Geräte führen
Für eine kontrollierte Bereitstellung:
Meldemodus → Vollständige Geräteauflistung → Vollständige Aufnahme in die Whitelist (alle Einträge) → Eingeschränkter Modus
Fehlerbehebung – Gerät nach Aufnahme in die Whitelist weiterhin blockiert
Wenn ein USB-Gerät weiterhin blockiert wird, nachdem es zu den Erlaubten Geräten (Whitelist) hinzugefügt wurde, berücksichtigen Sie Folgendes:
1. Unvollständige Geräteauflistung
Die häufigste Ursache ist, dass nicht alle Geräteeinträge (Auflistungen) zur Whitelist hinzugefügt wurden.
Erklärung:
Ein einzelnes physisches USB-Gerät kann im System mehrere Einträge erzeugen (verschiedene Anschlüsse, Treiber oder Verbindungskontexte).
Maßnahme:
Navigieren Sie zum USB-Meldebereich im Dashboard
Identifizieren Sie alle Einträge, die sich auf das Gerät beziehen
Stellen Sie sicher, dass alle zugehörigen Einträge zu den Erlaubten Geräten (Whitelist) hinzugefügt wurden
2. Richtlinie nicht auf dem Endpunkt angewendet
Die aktualisierte Gruppenrichtlinie wurde möglicherweise noch nicht auf dem Endpunkt angewendet.
Maßnahme:
Überprüfen Sie, ob der Endpunkt online ist
Prüfen Sie, ob die Richtlinie erfolgreich aktualisiert wurde
Lösen Sie bei Bedarf eine Aktualisierung der Richtlinie aus
3. Gerät an einem anderen Anschluss erneut verbunden
Wenn das Gerät an einen anderen USB-Anschluss angeschlossen wird, kann eine neue Auflistung erzeugt werden.
Maßnahme:
Überprüfen Sie das Gerät erneut in den Meldedaten
Fügen Sie alle neu erzeugten Einträge zur Whitelist hinzu
4. Meldemodus vor dem eingeschränkten Modus nicht verwendet
Wenn der eingeschränkte Modus aktiviert wurde, ohne zuvor den Meldemodus zu verwenden, wurden möglicherweise einige Geräteeinträge nicht erkannt.
Maßnahme:
Wechseln Sie vorübergehend zurück in den Meldemodus (sofern betrieblich möglich)
Warten Sie ausreichend lange, bis alle Geräte vollständig aufgelistet wurden
Aktualisieren Sie die Whitelist entsprechend
Aktivieren Sie den eingeschränkten Modus erneut
5. Überprüfung der Richtlinienkonfiguration
Stellen Sie sicher, dass keine widersprüchlichen Einstellungen das USB-Verhalten beeinflussen.
Maßnahme:
Überprüfen Sie die USB-Einstellungen in der Gruppenrichtlinie
Bestätigen Sie, dass dem Endpunkt die richtige Richtlinie zugewiesen ist
Zusätzliche Empfehlung
Lassen Sie im Meldemodus immer ausreichend Zeit, um alle Gerätevarianten zu erfassen, bevor Sie Einschränkungen aktivieren.