Zo blokkeert u USB-opslagapparaten via Intune en Defender for Endpoint

De meeste bedrijven en managed service providers (MSP’s) blokkeren ongeautoriseerde USB-devices om datalekken te voorkomen en aanvalsvectoren via fysieke toegang te beperken. Dit is een gangbare beveiligingseis in zowel zakelijke als MSP-omgevingen.

Beheerders kunnen schaalbare, auditvriendelijke en omkeerbare beleidsregels voor het blokkeren van USB opzetten met Microsoft Intune en Defender for Endpoint.

Liever een visuele uitleg als aanvulling op uw kennis? Bekijk “Zo blokkeert u USB-opslagapparaten via Intune en Defender for Endpoint” voor meer informatie.

Verschillende methoden om USB-devices te blokkeren

Naast Intune en Defender for Endpoint kunt u USB-drives ook blokkeren met Groepsbeleid, de Register-editor, PowerShell of de opdrachtprompt.

📌 Vereisten:

• Windows 10/11 Enterprise of Education
• Beheerdersrechten
• Devices moeten via Intune worden beheerd en eventueel zijn onboard gebracht bij Microsoft Defender for Endpoint.
• Licentie voor Defender for Endpoint (P1 of P2 voor device control)

Methode 1: via Microsoft Intune

U kunt Microsoft Intune gebruiken om USB-opslagapparaten te blokkeren met beheersjablonen.

📌 Use case: IT-beheerders die een profiel willen maken en uitrollen om USB-devices te blokkeren met Intune

1. Meld u aan bij het Intune-beheercentrum.
2. Ga naar:
   • Apparaten > Configuratie > Maken > Nieuw beleid
3. Voer de volgende eigenschappen in:
   • Platform: selecteer Windows 10 en hoger.
   • Profieltype: selecteer Sjablonen > Beheersjablonen
4. Klik op Maken.
5. Voer bij Basisinstellingen een naam en beschrijving in en klik op Volgende.
6. Scroll bij de configuratie-instellingen omlaag en vouw de sectie Algemeen uit.
7. Zoek Verwisselbare opslag en zet de instelling op Blokkeren.
8. Selecteer bij Toewijzingen de apparaatgroepen die het profiel krijgen. Klik op Volgende.
9. Controleer uw instellingen bij Controleren + maken en klik op Maken om de wijzigingen op te slaan en het profiel toe te wijzen.

Methode 2: via device control-regels in Defender for Endpoint

Bij deze methode beheert u de instellingen van Defender for Endpoint via Intune.

📌 Use case: IT-beheerders die device control via ASR (Attack Surface Reduction) willen inzetten voor een strenger beleid

1. Meld u aan bij het Intune-beheercentrum.
2. Ga naar Eindpuntbeveiliging en vervolgens naar Kwetsbaarheid voor aanvallen verminderen.
3. Klik op + Beleid maken:
   • Platform: Windows 11 en Windows Server
   • Profiel: Device Control
4. Klik op Maken.
5. Geef uw beleid een naam en beschrijving op het tabblad Basisinstellingen.
6. Zoek de instelling “Removable Disk: Deny Write Access” onder Storage op het tabblad met configuratie-instellingen.
7. Klik op het vervolgkeuzemenu en selecteer Ingeschakeld.
8. Klik op Volgende.
9. Klik op Groepen toevoegen, selecteer de Entra-beveiligingsgroep met Windows-devices en klik op Volgende.
10. Controleer het overzicht van de uitrol en klik op de knop Maken.

Methode 3: via Groepsbeleid (GPO)

Bij deze methode gebruikt u de Editor voor lokaal groepsbeleid om USB-opslag op devices te blokkeren.

📌 Use cases: IT-beheerders die USB-beperkingen willen afdwingen zonder Intune of Microsoft Defender for Endpoint.

1. Druk op Win + R, typ gpedit.msc en druk op Enter om de Editor voor lokaal groepsbeleid te openen.
2. Ga naar:

Computerconfiguratie > Beheersjablonen > Systeem > Toegang tot verwisselbare opslag

1. Dubbelklik op het volgende en klik op Ingeschakeld:
   • Alle klassen verwisselbare opslag: alle toegang weigeren
   • Verwisselbare schijven: leestoegang weigeren
   • Verwisselbare schijven: schrijftoegang weigeren
2. Pas de GPO toe op de gewenste OU (Organizational Unit).
3. Start het device opnieuw op om de wijzigingen door te voeren.

Methode 4: via de Register-editor

Bij deze methode gebruikt u het Windows-register om USB-devices handmatig te blokkeren.

📌 Use case: IT-beheerders die USB- of devicebeperkingen eenvoudig willen afdwingen in omgevingen zonder centrale beheertools

1. Druk op Win + R, typ regedit en druk op Enter
2. Ga naar:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices

1. Bewerk de volgende registersleutels:
   • Deny_All (DWORD): 1 (blokkeert alle verwisselbare opslag voor iedere gebruiker)
   • Allow_Admins (DWORD): 0 (zorgt dat ook beheerders worden geblokkeerd, zodat zij de beperking niet kunnen omzeilen)
2. Start het device opnieuw op om de wijzigingen door te voeren.

💡 Let op: als de sleutel RemovableStorageDevices ontbreekt, leest u hieronder bij de tips hoe u deze aanmaakt.

💡 Tips:

• U kunt direct naar de map RemovableStorageDevices springen door het pad te kopiëren en in de adresbalk te plakken.
• Bestaan de sleutels niet? Maak ze aan door met de rechtermuisknop op OneDrive te klikken. Selecteer Nieuw > DWORD-waarde (32-bits).
• U kunt ook USB-klasse-devices blokkeren door naar het volgende te gaan:
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR, Start (DWORD) op 4 zetten en het device opnieuw opstarten.

⚠️ Waarschuwing: het bewerken van het register kan onbedoelde gevolgen hebben. Ga voorzichtig te werk en maak een back-up van het register voordat u wijzigingen aanbrengt. (Meer informatie vindt u bij: Waar u op moet letten)

Methode 5: via PowerShell

Bij deze methode gebruikt u PowerShell om USB-opslag uit of weer in te schakelen door de USBSTOR-service aan te passen.

📌 Use case: IT-beheerders die snel en via scripts controle willen over USB-opslag, zowel om deze te blokkeren als te deblokkeren. Deze methode is ideaal voor geautomatiseerde uitrol in omgevingen zonder GPO of Intune.

1. Druk op Win, typ PowerShell en klik op Als administrator uitvoeren.
2. Kopieer en plak de volgende scripts in de prompt en druk op Enter:
   • USB-opslag uitschakelen door het USBSTOR-stuurprogramma te stoppen:
     • Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\USBSTOR" -Name "Start" -Value 4

Stop-Service -Name "USBSTOR"

• • Weer inschakelen:
    • Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\USBSTOR" -Name "Start" -Value 3

Start-Service -Name "USBSTOR"

• • Voor auditlogging:
    • Get-WinEvent -LogName Security | Where-Object {$_.Message -like "*USB*"}

3. Start het device opnieuw op om de wijzigingen door te voeren.

Met het volgende script controleert u of de wijziging is gelukt:

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Services\USBSTOR' -Name 'Start'
Get-Service -Name USBSTOR
💡 Let op: deze opdracht kan lang duren omdat het volledige beveiligingslogboek wordt doorzocht. Controleer de query of verfijn deze met een tijdfilter om vertraging te voorkomen.⚠️ Waarschuwing: test de gewijzigde instelling eerst op een lokale machine voordat u deze op verschillende endpoints uitrolt. (Meer informatie vindt u bij: Waar u op moet letten)

Methode 6: via de opdrachtprompt

Bij deze methode gebruikt u de opdrachtprompt om USB-opslag te blokkeren of te deblokkeren door registerwaarden te bewerken.

📌 Use case: IT-beheerders die USB-opslagstuurprogramma’s snel en via scripts willen in- of uitschakelen

• Druk op Win, typ cmd en klik op Als administrator uitvoeren.
• Kopieer en plak de volgende scripts in de prompt en druk op Enter:
  • USB-opslagstuurprogramma’s uitschakelen:
    • reg add "HKLM\SYSTEM\CurrentControlSet\Services\USBSTOR" /v Start /t REG_DWORD /d 4 /f
  • USB-opslagstuurprogramma’s inschakelen:
    • reg add "HKLM\SYSTEM\CurrentControlSet\Services\USBSTOR" /v Start /t REG_DWORD /d 3 /f
• Voer het volgende uit om een GPO-update af te dwingen:
  • gpupdate /force
• Controleer de wijziging met het volgende script:
  • reg query HKLM\SYSTEM\CurrentControlSet\Services\USBSTOR /v Start
    • De query geeft een REG_DWORD-waarde terug. Is deze 0x4, dan is het USBSTOR-stuurprogramma uitgeschakeld (USB-opslag geblokkeerd). Is deze 0x3, dan is het stuurprogramma ingeschakeld (USB-opslag beschikbaar).

💡 Tip: worden de wijzigingen niet doorgevoerd na een geforceerde GPO-update? Start dan het device opnieuw op.

⚠️ Waarschuwing: zorg dat u het juiste script kopieert en plakt, want een verkeerde syntaxis kan fouten veroorzaken. (Meer informatie vindt u bij: Waar u op moet letten)

⚠️ Waar u op moet letten

Risico’s	Mogelijke gevolgen	Terugdraaien
Het register bewerken zonder back-up	Het register verkeerd bewerken kan tot beschadiging leiden. Maak daarom vooraf een back-up van het register.	Exporteer de registersleutel vóór de wijzigingen via Bestand > Exporteren.
Niet testen op een lokale machine	Het uitrollen van een ongetest script kan devices laten vastlopen, bijvoorbeeld door incompatibele registersleutels.	Pas de gewenste wijzigingen toe op een lokale machine en controleer daarna of de configuratie het beoogde resultaat geeft.
Onjuiste opdrachtsyntaxis	Een onjuiste opdrachtsyntaxis kan leiden tot beschadiging van het register, onverwacht systeemgedrag of code die niets doet.	Zorg dat u het juiste script kopieert en in de prompt plakt. U kunt ook tools als PSScriptAnalyzer gebruiken om de codekwaliteit te controleren.

Aanvullende overwegingen

Houd bij het blokkeren van USB-opslagapparaten rekening met de volgende scenario’s en beste praktijken.

Fijnmazige toegangscontrole

Met Device Control-profielen bepaalt u welke USB-devices gebruikt mogen worden. U kunt dus specifieke devicetypen of afzonderlijke devices toestaan of blokkeren op basis van hun ID.

Auditmodus

Laat het device vóór het blokkeren van USB-devices 30 dagen in auditmodus draaien om alle USB-gerelateerde activiteiten vast te leggen (verbindingen, bestandstoegang en schrijfpogingen). Dat geeft inzicht in veelgebruikte devices, afdelingen die afhankelijk zijn van verwisselbare opslag en mogelijke uitzonderingen op het beleid.

AppLocker inzetten

U kunt bovenstaande methoden combineren met AppLocker voor extra beschermingslagen. AppLocker beperkt uitvoerbare bestanden en scripts en voorkomt zo dat malware of ongeautoriseerde apps vanaf USB-devices worden uitgevoerd.

Mobiele scenario’s

Tablets en hybride mobiele devices werken vaak met USB-C-accessoires. In dat geval kan MAM (Mobile Application Management) via Intune de gegevensstroom binnen zakelijke apps regelen. U kunt ook Microsoft Defender for Endpoint gebruiken om USB-beperkingen op mobiele devices af te dwingen.

Veelvoorkomende problemen oplossen

Hieronder staan problemen die u kunt tegenkomen bij het blokkeren van USB-devices en hoe u die oplost.

USB-devices worden niet geblokkeerd

Zijn USB-devices nog steeds toegankelijk? Controleer dan of het beleid aan de juiste Entra-groep is toegewezen en of het device is gesynchroniseerd.

Stuurprogramma’s installeren zichzelf automatisch

U voorkomt automatische installatie van stuurprogramma’s door de USBSTOR-service uit te schakelen. Voer daarvoor het volgende script uit in PowerShell:

• Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\USBSTOR" -Name "Start" -Value 4

Uitzonderingen voor devices

In Intune kunt u uitzonderingen voor devices toevoegen. U configureert daarvoor de Device Control-instellingen in het ASR-beleid.

NinjaOne-diensten die helpen bij het afdwingen en monitoren van USB-access policies

NinjaOne biedt krachtige tools om USB-access policies af te dwingen en te monitoren. Deze tools vullen de mogelijkheden van Intune en Defender aan door het gat in automatisering en zichtbaarheid tussen omgevingen te dichten.

• Registerautomatisering: registerwijzigingen uitrollen om USB-toegang te beperken via apparaatbeleid
• Scriptuitrol: PowerShell- of CMD-scripts voor USB-beheer op grote schaal inplannen en uitrollen
• Policy-engine: compliancecontroles automatiseren en notificaties krijgen wanneer USB-toegang weer wordt ingeschakeld
• Realtime notificaties: beheerders waarschuwen zodra nieuwe verwisselbare opslag wordt gedetecteerd
• Handhaving op meerdere platforms: het scripting- en policybeheer van NinjaOne inzetten op zowel hybride als cloudbeheerde endpoints

Voorkom datalekken door USB-opslagapparaten te blokkeren

Het blokkeren van USB-opslagapparaten beperkt datalekken, de verspreiding van malware en aanvalsvectoren via fysieke toegang. IT-beheerders kunnen beperkingen voor verwisselbare opslag beheren met Microsoft Intune, Defender for Endpoint en scripts via de opdrachtregel.

Gerelateerde onderwerpen:

• Zo schakelt u USB-drives uit in Windows 11 en Windows 10
• Zo schakelt u USB-opslagapparaten in of uit op Linux met shellscripting
• Zo configureert u schrijftoegang tot verwisselbare schijven die niet met BitLocker zijn beveiligd in Windows
• Wat is BadUSB? Definitie en hoe u het voorkomt
• PowerShell-script voor het detecteren van USB-devices: een onmisbare tool voor IT-professionals