Sådan detekterer du USB-historik med PowerShell og ADAudit Plus
USB-lagerenheder kan bruges til at uploade skadelig kode til netværksforbundne maskiner i en organisation. De kan også bruges til at kopiere kritiske filer og resultere i tyveri af intellektuel ejendom. For at kontrollere for sådanne ondsindede aktiviteter skal systemadministratorer spore historikken for USB-enheder, der er tilsluttet en af de netværksforbundne computere.
Det følgende er en sammenligning mellem at få en rapport om USB-brugshistorik med Windows PowerShell og ADAudit Plus:
Windows PowerShell
Trin til at hente USB-brugshistorikken ved hjælp af PowerShell:
- Fastlæg, hvilket domæne du vil hente rapporten fra.
- Identificer de LDAP-attributter, du skal bruge til at hente rapporten.
- Fastlæg den primære DC til at hente rapporten.
- Kompilér scriptet.
- Kør det i Windows PowerShell.
Eksempel på Windows PowerShell-script:
Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Enum\USBSTOR\*\*' | Select FriendlyName
Prøve output:
ADAudit Plus
Sådan får du rapporten:
- Log ind på ADAudit Plus' webkonsol som administrator.
- Naviger til fanen Serverovervågning og fra afsnittet USB-lagerovervågning i venstre rude vælges Plugin til flytbar enhed.
- Vælg domænet, og klik på Generer.
- Vælg "Eksportér som" for at eksportere rapporten i et af de foretrukne formater (CSV, PDF, HTML, CSVDE og XLSX).
Som du kan se på figuren, leverer ManageEngine ADAudit Plus en omfattende, men enkel rapport med alle de detaljer, der kræves for, at en systemadministrator kan identificere kilden til et potentielt angreb:
- Computerkontonavnet
- Dato og klokkeslæt
- Domænenavn
- Den anvendte type ekstern lagerenhed og dens ID
Følgende er begrænsningerne ved at hente en rapport om USB-brugshistorik med Windows PowerShell:
- De indsamlede data kan ikke tydes med et enkelt blik.
- Det er svært at generere rapporten til forskellige tidszoner og datoformater.
- Det er svært at eksportere rapporten i andre filformater end CSV.
- Hvis du anvender flere filtre som Organisationsenhed eller "Brugernavn starter med", bliver LDAP-forespørgslen mere kompleks.
På den anden side genererer ADAudit Plus en rapport over USB-brugshistorikken og viser den i en simpel og intuitivt designet brugergrænseflade.
