So ermitteln Sie den USB-Nutzungsverlauf mit PowerShell und ADAudit Plus
USB-Speichergeräte können zum Einschleusen bösartigen Codes in das Organisationsnetzwerk missbraucht werden. Zusätzlich lassen sich USB-Speichergeräte auch zum illegalen Kopieren vertraulicher Dateien, zum Diebstahl geistigen Eigentums zweckentfremden. Zum Prüfen auf solche bösartigen Aktivitäten müssen Systemadministratoren den Verlauf von USB-Geräteverbindungen mit vernetzten Computern verfolgen.
Nachstehend ein Vergleich der Schritte zum Abruf von Berichten zum USB-Nutzungsverlauf mit Windows PowerShell und ADAudit Plus:
Windows PowerShell
Schritte zum Abruf des USB-Nutzungsverlaufs mit PowerShell:
- Identifizieren Sie die Domäne, zu welcher der Bericht abgerufen werden soll.
- Identifizieren Sie die LDAP-Attribute, die zum Abrufen des Berichtes erforderlich sind.
- Identifizieren Sie den primären Domänencontroller zum Abruf des Berichtes.
- Kompilieren Sie das Skript.
- Führen Sie dieses in Windows PowerShell aus.
Windows-PowerShell-Beispielskript:
Copied
Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Enum\USBSTOR\*\*' | Select FriendlyName
ADAudit Plus
Bericht abrufen:
- Melden Sie sich als Administrator an der ADAudit-Plus-Webkonsole an.
- Wechseln Sie zum Serveraudit-Register, wählen Sie „Wechseldatenträgerverbindungen“ aus dem „USB-Speicherauditing“-Bereich auf der linken Seite.
- Wählen Sie die Domäne, klicken Sie auf Erzeugen.
- Wählen Sie „Exportieren als“ zum Exportieren des Berichtes im gewünschten Format (CSV, PDF, HTML, CSVDE und XLSX).
- Wie Sie in der Abbildung sehen können, liefert ManageEngine ADAudit Plus einen umfangreichen, aber dennoch übersichtlichen Bericht mit sämtlichen Details, die Systemadministratoren zum Identifizieren der Quelle eines potentiellen Angriffs benötigen:
- Computerkontoname
- Datum und Uhrzeit
- Domänenname
- Typ des verwendeten externen Speichergerätes und dessen ID
Nachstehend die Beschränkungen beim Abruf eines Berichts zum USB-Nutzungsverlauf mit Windows PowerShell:
- Die gewonnenen Daten lassen sich nicht auf einen Blick entschlüsseln.
- Es ist nicht ganz einfach, den Bericht passend für unterschiedliche Zeitzonen und Datumsformate zu erzeugen.
- Ein Export des Berichtes in anderen Dateiformaten als CSV ist nicht ganz einfach.
- Einsatz weiterer Filter wie Organisationseinheit oder „Benutzername beginnt mit“ vergrößert die Komplexität der LDAP-Anfrage.
ADAudit Plus hingegen erzeugt den Bericht zum USB-Nutzungsverlauf im Handumdrehen und stellt diesen über eine übersichtliche und intuitiv verständliche Oberfläche dar.
