script to block devices

[Anonymous]

Boa noite Eduardo! Com as estações windows utilizo gpo para bloquear os pendrives dos usuários que pertencem a determinada OU ( Unidade Organizacional). Agora, temos clientes windows e clientes Linux que não têm o privilégio do uso do dispositivo USB. Como faço para bloquear USB dos usuários Linux Ubuntu 18.04LTS e Ubuntu 20.04 LTS. É possível fazer pela OU existente onde estão todos os usuários sem acesso ao pendrive?

Te agradeço pelo Apoio de sempre!

[Eduardo Moraes]

Saudações, meu caro!

Acrescente o seguinte bloco de código em seu script logon_root.sh:

ouname="NOME_DA_OU"
blfile='/etc/modprobe.d/blacklist.conf'
usbmod="/lib/modules/$(uname -r)/kernel/drivers/usb/storage/usb-storage.ko"

if [ "$(net ads search "(sAMAccountName=$USERNAME)" distinguishedname | grep -wi "OU=$ouname")" ]; then
    modprobe -r usb_storage
    [ "$(grep -x 'blacklist usb_storage' $blfile)" ] || echo 'blacklist usb_storage' >> $blfile
    mv -f $usbmod ${usbmod}.disabled
else
    mv -f ${usbmod}.disabled $usbmod
    sed -i '/blacklist usb_storage/d' $blfile
    modprobe usb_storage
fi

[emmanuel]

Para contribuir,

Caso deseje bloquear por estação de trabalho

Habilitar USB para estacoes de trabalho permitidas

    ou_et="ET_semUSB"
    blfile='/etc/modprobe.d/blacklist.conf'
    usbmod="/lib/modules/$(uname -r)/kernel/drivers/usb/storage/usb-storage.ko"

    if [ "$(net ads search "(objectClass=computer)" distinguishedName | egrep "${HOSTNAME^^}" | egrep "$ou_et")" ]; then
            modprobe -r usb_storage
            ["$(grep -x 'blacklist usb_storage' $blfile)" ] || echo 'blacklist usb_storage' >> $blfile
            mv -f $usbmod ${usbmod}.disabled

    else
            mv -f ${usbmod}.disabled $usbmod
            sed -i '/blacklist usb_storage/d' $blfile
            modprobe usb_storage
    fi

[André Luiz Matos Pinto]

Boa tarde Prezado Eduardo! Estou com erro na leitura de usb para aqueles usuários com permissões. Porém, algum problema no sistema operacional Ubuntu na liberação do uso do pendrive. Estou enviando os arquivos para tentar me ajudar nessa questão.

Desde ja agradeço pelo apoio!

[Anonymous]

Saudações, André!

Não deu pra identificar o caminho completo do arquivo que não é encontrado na primeira imagem, mas acredito que seja do módulo renomeado (com disabled no final).

Verifica se não houve uma atualização de kernel, e se der repente o arquivo renomeado não ficou no diretório do kernel antigo. Você pode usar o comando find para tentar encontrá-lo da seguinte forma:

find /lib/modules/*/kernel/drivers/usb/storage -name usb-storage.ko.disabled

[André Luiz Matos Pinto]

Boa tarde Eduardo! Saudações! Como solucionar o problema de atualização do kernel em relação ao uso de USB. Se mover o arquivo usb-storage.ko para a pasta /root/ . E, caso o usuário tenha USB liberada retornaria com o arquivo usb-storage.ko para "/lib/modules/$(uname -r)/kernel/drivers/usb/storage/usb-storage.ko". Onde vc teria a solução para não sofrer influência de atualização do kernel?

Att, André

[Eduardo Moraes]

Boa tarde, André!

É possível que sim, mas você correria o risco de sobrescrever o arquivo disponibilizado com o pacote de kernel mais recente pelo arquivo de um kernel antigo. Sendo assim, o ideal é que você crie um mecanismo de controle no seu script que possa checar de qual kernel o arquivo pertence.