如何封鎖 USB/FireWire 外接碟？

[ulysses]

在下服務單位裡有幾台 Mac，處理一些列為公司機密的設計稿件。
最近資安部門來檢查的時候，要求強化安全管理，
他們講了一大堆，最後達成的協議是：
讓使用者沒辦法隨便把檔案複製到 USB 隨身碟上就成了。
問題是在 Mac OS X 上要如何封鎖 USB/FireWire 外接碟？

公司願意為資安花錢，所以要花錢的解決方案也 OK。

[leafy]

http://www.macintouch.com/readerreports ... c3177.html

不過裡面只提到把USB Mass Storage disable 掉，對於 firewire 需要使用 X-server 來做電腦管理才行

[進藤光]

簡單～我拿一台又貴又爛的空 2.5" 硬碟外接盒過去就通通搞定了！

為什麼？這台專燒 Firewire、USB 2.0 port，把這些 port 都燒毀不就安心囉～

[Joseph Peng]

加強對人員使用電腦的教育訓練才是根治之道，因為電腦是工具，人才是重點，鎖得住一部電腦，卻難防有心之人。

不能再說（電腦是死的，人是活的），我不想被打，特別是不想被太極拳打。

[hiko]

前公司在 PC 把易碎貼紙直接貼在 USB port 上。

[rlong]

建議老闆多發一些公司股票，並且限制員工賣分紅股票，用共同利益鎖死他們！

公司願意為資安花錢，所以要花錢的解決方案也 OK。

攻心為上，把發在資安的錢分給員工吧！

[悲]

在 Mac OS X 上要如何封鎖 USB/FireWire 外接碟？

二零零三年的技術文件TN2062內提及：

9) How do I prevent new media (CDs, DVDs, iPods, USB/Firewire hard drives, etc.) from becoming mounted?
There is currently no public programmatic solution to this problem (r. 2824118). For the present time administrators can disable new media from becoming active using the Mac Manager application located at: http://www.info.apple.com/usen/mm/

惟該連結已失效。

又，這頁的Macintosh Manager 2.2.2，不知是否上述的 Mac Manager application，試試看。

[悲]

終端機指令 mount 有一個選項：

-r
The file system is to be mounted read-only. Mount the file system read-only (even the super-user may not write it). The same as the 'rdonly' argument to the -o option.

在下猜想，未經測試；若系統啟動時執行 mount -r，其後 mount 的檔案系統只能讀取，不能寫入，或再配上選項 -t；可守密乎？

[Joseph Peng]

樓上的建議可有考慮到 Read Oniy 仍然可以讀取與（搬移）複製，而且該指令是對已完成的檔案而言，尚未編輯完成之前仍然可以進行存取與修改動作，是否仍未實際解決這個問題？
又需要考慮一件事，不能鎖住 USB Port ，因為鍵盤滑鼠是輸入工具。

[Joseph Peng]

在下服務單位裡有幾台 Mac，處理一些列為公司機密的設計稿件。
最近資安部門來檢查的時候，要求強化安全管理，
他們講了一大堆，最後達成的協議是：
讓使用者沒辦法隨便把檔案複製到 USB 隨身碟上就成了。
問題是在 Mac OS X 上要如何封鎖 USB/FireWire 外接碟？

公司願意為資安花錢，所以要花錢的解決方案也 OK。

試問貴公司的網路架構是否為使用者登入採取中央伺服器控管，所有檔案都集中在檔案伺服器上？是否每個資料夾均有設定使用者權限與存取原則？

以上是我從事 MIS 工作時會考慮的之幾項原則，當然還有其他原則，但是以你的狀況是需要在既有的架構上考慮，所以先問這幾個問題。

[ross_tt]

簡單～我拿一台又貴又爛的空 2.5" 硬碟外接盒過去就通通搞定了！
為什麼？這台專燒 Firewire、USB 2.0 port，把這些 port 都燒毀不就安心囉～

阿光這總作法，軍方單位早就在用了！

根據維護我們網路設備廠商的說法，軍方單位都是用熱溶膠來「閹割」 USB port ！！！

[cudown]

是呀
就用快乾或是三秒膠給他狠狠地灌進去就不就得了
快速又愉快


不過如果用無線網路分享檔案應該就很難擋

[lanxlot]

有軟體可以上鎖的嗎??若整顆硬碟搬走,接上去也無法讀取的??

[Jim.Y]

http://www.nsa.gov/snac/downloads_macOS ... cg10.3.1.1