USBGuard

USBGuard (https://usbguard.github.io/) предлагает механизм белого/чёрного списка для USB-устройств.

USBGuard решает, какое USB-устройство авторизовать, на основе политики, определенной набором правил. При подключении USB-устройства к системе служба последовательно сканирует существующие правила. Если соответствующее правило найдено, оно либо авторизует (разрешает), деавторизует (блокирует) или удаляет (отклоняет) устройство в зависимости от цели правила. Если соответствующее правило не найдено, решение принимается на основе неявной цели по умолчанию. Это неявное значение по умолчанию заключается в блокировке устройства до тех пор, пока пользователь не примет решение.

Примечание: Для выполнения задач по администрированию модуля можно также воспользоваться модулем ЦУС USBGuard.

Установка и первоначальная настройка

Установить пакет usbguard:

# apt-get install usbguard

Создать исходный набор правил на основе подключенных в данный момент USB-устройств (в правила с действием «allow» будут добавлены все подключенные устройства):

# usbguard generate-policy > /etc/usbguard/rules.conf

Примечание: Создать исходный набор правил, не генерируя атрибуты хэш-функции для устройств:

# usbguard generate-policy --no-hashes > /etc/usbguard/rules.conf

Запустить службу usbguard и добавить её в автозагрузку:

# systemctl enable --now usbguard

Команда usbguard

Синтаксис команды usbguard:

usbguard [ОПЦИИ] <команда> [ОПЦИИ КОМАНДЫ]

где команда может принимать одно из следующих значений:

• get-parameter <name> — получить значение параметра времени выполнения;
• set-parameter <name> <value> — установить значение параметра времени выполнения;
• list-devices — вывести список всех USB-устройств, распознаваемых демоном USBGuard;
• allow-device <id|rule|p-rule> — разрешить устройству взаимодействовать с системой;
• block-device <id|rule|p-rule> — деавторизовать устройство;
• reject-device <id|rule|p-rule> — деавторизовать и удалить устройство из системы;
• list-rules — вывести набор правил (политику), используемый демоном USBGuard;
• append-rule <rule> — добавить правило в набор правил;
• remove-rule <id> — удалить правило из набора правил;
• generate-policy — сгенерировать набор правил (политику) на основе подключенных USB-устройств;
• watch — следить за событиями интерфейса IPC и выводить их на стандартный вывод;
• read-descriptor — прочитать дескриптор USB из файла и вывести его в удобочитаемой форме;
• add-user <name> — добавить пользователя/группу USBGuard IPC (требуются права root);
• remove-user <name> — удалить пользователя/группу USBGuard IPC (требуются права root).

Дополнительную информацию смотрите на соответствующих страницах руководства, например:

$ usbguard add-user -h

Примеры:

• вывести список подключенных устройств:

  $ usbguard list-devices
  1: allow id 1d6b:0002 serial "0000:00:0b.0" name "EHCI Host Controller" hash "SEiVqUWwefEKDMN9OJUyXkFIvvFPJmvPTRKIlVCvlvE=" parent-hash "BfFg9THiKJIvTnHGCjHfrWc00WcrIzhayJ9C3BiPYho=" via-port "usb1" with-interface 09:00:00 with-connect-type ""
  2: allow id 1d6b:0001 serial "0000:00:06.0" name "OHCI PCI host controller" hash "lUN32sIeMBBlD8Pd82mxu95iCTw8oKlT8iZDeg628/o=" parent-hash "XokStAV3JXWqQkW0l6YD7ZPFcHse1OtwuGmVNBCe46E=" via-port "usb2" with-interface 09:00:00 with-connect-type ""
  3: allow id 13fe:3e00 serial "11101094E6BA1A00A4A5200A" name "Silicon-Power4G" hash "0Dcf+ZVj7NkORO+RN1kxcP0rgDl6CqvqkcYkcf+0X/k=" parent-hash "SEiVqUWwefEKDMN9OJUyXkFIvvFPJmvPTRKIlVCvlvE=" via-port "1-1" with-interface 08:06:50 with-connect-type "unknown"
  

• временно заблокировать устройство с id 3:

  $ usbguard block-device 3
  

• для постоянной блокировки или и авторизации USB-устройство, следует использовать опцию -p. В этом случае в текущую политику будет добавлено правило для конкретного устройства:

  $ usbguard block-device 3 -p
  

• вывести список правил:

  $ usbguard list-rules
  4: allow id 1d6b:0002 serial "0000:00:0b.0" name "EHCI Host Controller" hash "SEiVqUWwefEKDMN9OJUyXkFIvvFPJmvPTRKIlVCvlvE=" parent-hash "BfFg9THiKJIvTnHGCjHfrWc00WcrIzhayJ9C3BiPYho=" via-port "usb1" with-interface 09:00:00 with-connect-type ""
  5: allow id 1d6b:0001 serial "0000:00:06.0" name "OHCI PCI host controller" hash "lUN32sIeMBBlD8Pd82mxu95iCTw8oKlT8iZDeg628/o=" parent-hash "XokStAV3JXWqQkW0l6YD7ZPFcHse1OtwuGmVNBCe46E=" via-port "usb2" with-interface 09:00:00 with-connect-type ""
  6: block id 090c:1000 serial "2010121200000186" name "USB DISK" hash "2dfdMHZxF5olAaNbsh68G4fpzD3iQLPL3+M7KHnSRjE=" parent-hash "SEiVqUWwefEKDMN9OJUyXkFIvvFPJmvPTRKIlVCvlvE=" via-port "1-1" with-interface 08:06:50 with-connect-type "unknown"
  

• дать пользователю user полный доступ к разделам «devices» и «exceptions», также, user будет иметь возможность просматривать и изменять текущую политику:

  # usbguard add-user -u user --devices ALL --policy modify,list --exceptions ALL
  

• удалить права у пользователя user:

  # usbguard remove-user -u user
  

Конфигурация

Основной файл конфигурации USBGuard — /etc/usbguard/usbguard-daemon.conf.

В параметре PresentDevicePolicy определяется как обращаться с устройствами, которые уже подключены, при запуске службы. По умолчанию для PresentDevicePolicy установлено значение apply-policy, т.е. USBGuard оценивает набор правил для каждого подключенного устройства. Это наиболее безопасный параметр, который обеспечивает безопасность даже при перезагрузке службы.

В параметре ImplicitPolicyTarget настраивается политика обработки устройств по умолчанию, если ни одно правило не соответствует. Самый безопасный вариант здесь — block.

По умолчанию служба usbguard записывает события в файл /var/log/usbguard/usbguard-audit.log (параметр AuditFilePath).

В параметре IPCAllowedUsers (устарел) можно указать список имен пользователей, разделенных пробелами, от которых служба будет принимать запросы (по умолчанию: root).

В параметре IPCAllowedGroups (устарел) можно указать список имен групп, разделенных пробелами, от которых служба будет принимать запросы (по умолчанию: wheel).

В параметре IPCAccessControlFiles указывается каталог, файлы в котором будут интерпретироваться службой как файлы определения управления доступом. Каждый файл в этом каталоге обрабатывается следующим образом:

• базовое имя файла интерпретируется как имя пользователя, UID, имя группы или GID;
• если имя файла начинается с : (двоеточие), предполагается, что остальная часть имени представляет собой идентификатор группы (имя группы или GID в случае, если строка содержит только числовые значения);
• если имя файла не начинается с :, то имя файла интерпретируется как идентификатор пользователя (имя пользователя или UID в случае, если строка содержит только числовые значения).

Содержимое файла анализируется построчно. Каждая строка определяет привилегии раздела в формате:

Раздел=привилегия [привилегия ...]

Если раздел опущен, предполагается, что для этого раздела привилегии не предоставлены.

Например:

IPCAccessControlFiles=/etc/usbguard/IPCAccessControl.d/

Пример ACL пользователя user (содержимое файла /etc/usbguard/IPCAccessControl.d/user):

Devices=list,modify,listen
Policy=list,modify
Exceptions=listen

Доступные следующие разделы и привилегии:

• Devices
  • modify: изменение состояния авторизации устройств, включая постоянные изменения (т.е. изменение правил для конкретных устройств в политике);
  • list: возможность получить список распознанных устройств и их атрибутов;
  • listen: прослушивание присутствия устройства и изменение политики устройства.
• Policy
  • modify: возможность добавления/удаления правил в политике;
  • list: возможность просмотра текущей политики;
• Exceptions
  • listen: возможность получения сообщений об исключениях;
• Parameters
  • modify: возможность установить значения параметров времени выполнения;
  • list: возможность получить значения параметров времени выполнения.

Примечание: Для управления списком управления доступом (ACL), следует использовать команды usbguard add-user и usbguard remove-user.

Правила

Набор правил USBGuard по умолчанию хранится в файле /etc/usbguard/rules.conf. Но ручное редактирование правил обычно не требуется.

Синтаксис правила:

rule ::= target attributes.

target ::= "allow" | "block" | "reject".

attributes ::= attributes | attribute.
attributes ::= .

Например, правило для принтера Canon, подключенного через USB:

allow id 04a9:177a name "Canon E400" serial "F572EC" via-port "1-2" hash "eql9yA8m+5VVMmhXOvbUzwNPDGCAPq+fxIQHvbptlsY="

Первое слово в правиле определяет политику (цель):

• allow — добавляет устройство в белый список;
• block — останавливает обработку устройства;
• reject — удаляет устройство из системы.

Примечание: USBGuard использует термины block и reject в следующих значениях:

• block — пока не взаимодействовать с этим устройством;
• reject — игнорировать это устройство, как будто его не существует.

Затем следует набор атрибутов с их параметрами. Атрибуты устройства — это определенные значения, считываемые с USB-устройства после его подключения к системе. Все атрибуты поддерживают две формы:

• однозначная:

  name value
  

• многозначная:

  name [operator] { value1 value2 … }
  

Возможные атрибуты:

Атрибут	Описание
id usb-device-id	Соответствует идентификатору USB-устройства. Идентификатор USB-устройства представляет собой пару, разделенную двоеточием, в форме vendor_id:product_id. И vendor_id и Product_id — это 16-битные числа в шестнадцатеричной системе счисления. Символ звездочки можно использовать для соответствия любому идентификатору устройства *:* или любому идентификатору продукта от конкретного поставщика, например, 1234:*.
id [оператор] {usb-device-id … }	Соответствует набору идентификаторов USB-устройств
hash "value"	Соответствует хэшу, вычисленному на основе значений атрибутов устройства и данных дескриптора USB. Хэш вычисляется USBGuard для каждого устройства
hash [оператор] { "value" … }	Соответствует набору хэшей устройств
parent-hash "value"	Соответствует хэшу родительского устройства
parent-hash [оператор] { "value" … }	Соответствует набору хэшей родительского устройства
name "device-name"	Соответствует имени USB-устройства
name [оператор] { "device-name" … }	Соответствует набору имен USB-устройств
serial "serial-number"	Соответствует серийному номеру устройства USB
serial [оператор] { "serial-number" … }	Соответствует набору серийных номеров устройства USB
via-port "port-id"	Соответствует USB-порту, через который подключено устройство. Значение port-id — это идентификатор USB-порта, специфичный для платформы. В Linux он имеет форму «usbN» в случае USB-контроллера (точнее, «корневого концентратора») или «bus-port[.port[.port …​]]» (например, 1-2, 1-2.1 , …​) в случае USB-устройства. Некоторые системы имеют нестабильную нумерацию портов, которая меняется после перезагрузки системы или перезагрузки определенных модулей ядра. Необходимо использовать атрибут parent-hash, чтобы убедиться, что устройство подключено через определенное родительское устройство
via-port [оператор] { "port-id" … }	Соответствует набору портов USB
with-interface interface-type	Соответствует типу интерфейса, предоставляемому USB-устройством. Тип интерфейса указывается как три 8-битных числа в шестнадцатеричном формате, разделенных двоеточием, т.е. cc:ss:pp. Числа обозначают класс интерфейса (cc), подкласс (ss) и протокол (pp), назначенные USB-IF. Вместо номера подкласса и протокола можно использовать символ *, чтобы соответствовать всем подклассам или протоколам. Сопоставление определенного класса и определенного протокола не допускается, т.е. если в качестве номера подкласса используется «*», то для протокола также необходимо использовать «*».
with-interface [оператор] { interface-type interface-type … }	Сопоставляет набор типов интерфейсов с набором интерфейсов, предоставляемых USB-устройством
with-connect-type "connect-type"	Соответствует атрибуту устройства USB-порт/connect_type.
with-connect-type [оператор] { "connect-type" … }	Соответствует набору атрибутов устройства USB-порт/connect_type.

Необязательный параметр оператор является одним из:

• all-of — набор атрибутов устройства должен содержать все указанные значения;
• one-of — набор атрибутов устройства должен содержать хотя бы одно из указанных значений;
• none-of — набор атрибутов устройства не должен содержать ни одного из указанных значений;
• equals — набор атрибутов устройства должен содержать данный набор значений;
• equals-ordered — набор атрибутов устройства должен содержать данный набор значений в том же порядке;
• match-all — набор атрибутов устройства должен быть подмножеством указанных значений.

Если оператор не указан, ему присваивается значение equals.

За исключением цели, все остальные поля правила являются необязательными. Правило, в котором указана только цель, будет соответствовать любому устройству. Это позволяет администратору политики указать явную цель по умолчанию. Если к устройству не применимо ни одно правило из политики, будет использоваться неявная цель, настроенная в /etc/usbguard/usbguard-daemon.conf.

Примеры политик:

• разрешить USB-накопители (карты-памяти) и заблокировать все остальное (например, мыши, клавиатуры):

  allow with-interface 08:*:*
  

• разрешить подключение принтера Canon, подключенного через USB, через определённый порт:

  allow id 04a9:177a name "Canon E400" serial "F572EC" via-port "1-2" hash "eql9yA8m+5VVMmhXOvbUzwNPDGCAPq+fxIQHvbptlsY="
  

• отклонять устройства с подозрительной комбинацией интерфейсов (USB-накопитель, оснащенный клавиатурой или сетевым интерфейсом):

  allow with-interface equals { 08:*:* }
  reject with-interface all-of { 08:*:* 03:00:* }
  reject with-interface all-of { 08:*:* 03:01:* }
  reject with-interface all-of { 08:*:* e0:*:* }
  reject with-interface all-of { 08:*:* 02:*:* }