Come disabilitare le unità USB in Windows 11 e Windows 10

Questa breve guida si propone di illustrare come disabilitare le unità USB in Windows e come gestire i rischi legati alle unità USB. Il blocco dell’accesso USB è importante per la sicurezza delle implementazioni di Windows 11 e Windows 10 nelle organizzazioni e sui dispositivi personali, in quanto può prevenire la diffusione di malware, il furto di dati e persino danni fisici ai dispositivi.

Come disabilitare le unità USB in Windows

Il metodo da utilizzare per disabilitare le unità USB in Windows dipende dalla gestione del singolo dispositivo o di più dispositivi. Prima di apportare modifiche al sistema, ti consigliamo di eseguire un backup completo.

Per eseguire tutte le operazioni descritte di seguito, dovrai aver effettuato l’accesso come amministratore.

Utilizzare l’editor del Registro di Windows per disabilitare l’archiviazione USB

Questo metodo per disabilitare le unità USB consente agli altri dispositivi USB di continuare a funzionare e viene eseguito tramite il registro di Windows:

• Clicca con il tasto destro del mouse sul pulsante Start , quindi su Esegui e digita “regedit” per aprire l’editor del Registro di sistema.
• Nell’editor del Registro di sistema, vai su HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR.
• Modifica il valore della chiave di registro Start nel percorso USBSTOR portandolo su 4.
• Per reimpostare questa modifica e riabilitare l’archiviazione USB, modifica il valore di Start riportandolo su 3.

Se il valore della chiave di registro Start in USBSTOR è impostato su 4, quando colleghi un’unità USB non succederà niente e verrà visualizzato un errore nella voce della gestione dispositivi per il dispositivo di archiviazione USB.

Utilizzare l’editor criteri di gruppo di Windows per disabilitare l’archiviazione USB

Puoi anche utilizzare i Criteri di gruppo per disabilitare l’accesso alle unità USB su un singolo computer o su un dominio Windows utilizzando Active Directory:

• Clicca con il tasto destro del mouse sul pulsante Start , quindi clicca su Esegui e digita “gpedit.msc” per aprire l’editor criteri di gruppo.
• Nell’editor Criteri di gruppo, utilizza la struttura di navigazione nel pannello di sinistra per andare su Configurazione del computer/Modelli amministrativi/Sistema/Accesso all’archiviazione rimovibile.
• Nel pannello di destra, seleziona Dischi rimovibili: Nega l’accesso all’esecuzione.
• Seleziona Abilitato per abilitare questo criterio e disabilitare l’archiviazione USB rimovibile.

Se vuoi distribuire questo criterio a più macchine in un dominio Windows, utilizza la console di gestione dei criteri di gruppo eseguendo gpmc.smc su un domain controller. Quindi, abilita il criterio di cui sopra per l’Unità Organizzativa per la quale desideri disabilitare le unità USB rimovibili. Farlo ti consentirà di abilitare la restrizione in base all’appartenenza a un gruppo di utenti o per macchine specifiche.

Utilizzare Gestione dispositivi per disabilitare le porte USB

Per bloccare l’accesso USB su un singolo computer, puoi utilizzare Gestione dispositivi. Tieni presente che questo metodo comporta il rischio di disabilitare la porta o il controller USB a cui sono collegati il mouse e la tastiera, pertanto ti consigliamo di utilizzare un metodo per disabilitare solo i dispositivi di archiviazione USB o di impostare un punto di ripristino del sistema prima di iniziare, in modo da poter eseguire il rollback della modifica in caso di necessità.

• Clicca con il tasto destro del mouse sul pulsante Start , quindi clicca su Gestione periferiche.
• Espandi la voce di menu ad albero Controller Universal Serial Bus .
• Clicca con il pulsante destro del mouse e disabilita le porte USB come richiesto.

Utilizzare strumenti di terze parti per bloccare l’accesso USB

Esistono diversi strumenti che permettono di disabilitare le unità USB in Windows, in alcuni casi consentendo la gestione remota dei dispositivi. Tra questi ci sono USB Block e USB Lock RP.

A meno che tu non abbia bisogno di controllare quali dispositivi USB specifici possono essere collegati, utilizzare un software di gestione USB aggiuntivo è generalmente considerato inutile, data la capacità integrata di Windows di bloccare l’accesso all’archiviazione USB (compresa la possibilità di limitare altri tipi specifici di dispositivi USB utilizzando PowerShell).

Se in un ambiente aziendale è necessaria una protezione più solida, una soluzione completa per la sicurezza degli endpoint può aiutarti a gestire sia i rischi legati ai dispositivi USB sia quelli legati ad altri vettori di minacce alla sicurezza informatica.

Comprendere i rischi legati alle unità USB

I rischi legati alle unità USB rimovibili sono diversi e si risolvono scoraggiandone o impedendone l’uso. Tra i rischi, ci sono:

• Violazioni e furti di dati: Le unità USB contenenti informazioni sensibili possono essere facilmente smarrite da un dipendente, con conseguente violazione dei dati. Anche il furto è un problema, così come il rischio che un dipendente aggiri le restrizioni di accesso ai dati utilizzando il computer di un collega per caricare su una chiavetta USB informazioni che dovrebbero restare segrete e condividerle.
• Perdita e corruzione dei dati: Le unità USB non sono dispositivi di archiviazione affidabili. Scoraggiandone l’uso, si elimina il rischio che un dipendente trasferisca dati importanti su una chiavetta USB e che questi vengano successivamente persi o danneggiati.
• Infezioni da malware e da corruzione del firmware: Alcune minacce informatiche sono in grado di diffondersi tramite USB sotto forma di file o nascondendosi nel firmware, aggirando così le protezioni di rete. Inoltre, alcuni attacchi informatici si verificano quando una chiavetta USB infetta viene lasciata intenzionalmente in un luogo in cui un dipendente specifico potrebbe trovarla e collegarla per vedere cosa contiene (per esempio, sul bancone di un negozio o alla reception di uno stabile).

I dispositivi USB possono anche rappresentare una minaccia di danni fisici. Gli aggressori in passato hanno già utilizzato chiavette USB particolari che contengono hardware ad alta tensione per danneggiare i dispositivi quando vengono collegate. Per questo motivo è fondamentale proteggere i dispositivi pubblici: non solo è necessario disabilitare l’archiviazione USB, ma anche limitare l’accesso alle porte USB fisiche.

Casi d’uso e conseguenze della scelta di disabilitare le unità USB

L’impatto maggiore della scelta di disabilitare i dispositivi di archiviazione USB ricade sugli utenti. Per ridurre le lamentele relative al mancato funzionamento delle unità USB, assicurati che siano consapevoli delle modifiche che stai apportando ai loro dispositivi.

Sebbene alcune soluzioni di sicurezza di Windows consentano di inserire nella whitelist specifici dispositivi di archiviazione USB, questo non impedisce che vengano utilizzati in altri computer al di fuori del tuo controllo, con il rischio che vengano infettati con malware. Valuta invece la possibilità di mettere a disposizione spazio di archiviazione in cloud o condivisioni di rete che possano essere monitorati per evitare abusi e malware, in modo che gli utenti possano condividere i file o lavorarci anche quando non sono in ufficio.

La protezione manuale degli endpoint porta a falle nella sicurezza e a violazioni

Se si tenta di gestire manualmente più di qualche dispositivo, è probabile che si verifichino configurazioni errate, che potrebbero rendere i dispositivi dell’azienda vulnerabili alle minacce legate a dispositivi di archiviazione USB non sicuri. È importante che gli stessi criteri siano applicati a tutti i dispositivi per garantire coerenza e manutenibilità.

Se hai bisogno di proteggere più dispositivi Windows in una rete, prendi in considerazione la possibilità di implementare una soluzione di sicurezza che affronti non solo i rischi relativi ai dispositivi USB, ma anche altre minacce alla sicurezza informatica come malware, phishing, attacchi hacker ed errori degli utenti. La soluzione di gestione degli endpoint NinjaOne ti offre una visibilità completa sul tuo parco dispositivi e ti permette di applicare i criteri di Windows e di monitorare malware e potenziali violazioni dei dati per un controllo completo del tuo ambiente IT.