Sie versuchen, mit einem technischen Tool ein soziales Problem zu lösen. Die Antwort ist, dass dies nicht passt.

Techniken können bei korrekter Verwendung große Sicherheit bieten, aber nur die Schulung der Benutzer kann eine ordnungsgemäße Verwendung ermöglichen. Ich mag oft den , der für welche Frage verantwortlich ist. Das bedeutet, dass Benutzer wissen sollten, dass sie für alles verantwortlich sind, was mit ihren Anmeldeinformationen getan werden kann. Es reicht nicht aus zu beweisen, dass sie es nicht getan haben, sie müssen beweisen, dass sie ihre Anmeldeinformationen korrekt geschützt haben.

Die physikalische Analogie kann ebenfalls helfen. Sie würden den Schlüssel eines physischen Safes nicht unbeaufsichtigt lassen. Sie sollten verstehen, dass sie, wenn sie hinreichend gesicherte Anmeldeinformationen erhalten, diese als physischen Schlüssel betrachten und gleich verwenden sollten. Da sie jedoch an ihren eigenen Heimcomputer ohne Sicherheit gewöhnt sind, ist die Ausbildung schwierig und die Dinge müssen wiederholt werden. Leider habe ich nie einen besseren Weg gefunden ...

Es scheint mir, dass ein Startskript nach gemounteten USBs suchen und das WLAN / Netzwerk blockieren könnte, wenn während der Anzeige einer Nachricht ein USB-Mount angeschlossen ist.

Eine einfache Abfragefunktion könnte nach neuen USB-Anschlüssen suchen.

All dies ist in Powershell möglich.

Dies würde das Problem lösen, dass die USBs angeschlossen sind und würde den Benutzer zwingen, vor der Verwendung des Laptops auszuwerfen. Dies löst nicht das Problem, was der Benutzer anschließend mit dem USB macht. Ich kann mir leicht vorstellen, dass Benutzer den Netzstecker ziehen, um den Laptop zu verwenden, und dann den USB-Stick wieder anschließen, um ihn zu speichern, sobald sie den Deckel schließen.

Dies ist möglicherweise nicht der beste Weg, dies zu tun, und ich kann nicht sagen, dass ich es befürworte, aber ich habe gesehen, dass es in der Praxis angewendet wird:

Sie könnten Sicherheitskräfte nachts patrouillieren lassen und welche nehmen USB-Stick oder Token werden mit ihnen an einen Computer angeschlossen und füllen einen Sicherheitsvorfall aus. Wenn die Benutzer am nächsten Tag ihre USB-Geräte abholen, erhalten sie persönlich einen offiziellen Verweis. Wenn sie dies nicht tun, erhalten sie einen stärkeren Verweis, weil sie ihr vermisstes Ding nicht bemerkt oder gemeldet haben. Lassen Sie die Verweise schlecht über ihren Gehaltsscheck nachdenken, oder entlassen Sie die Mitarbeiter mit zu vielen Verweisen.

Wenn erzwungen, können Sie sicher sein, dass diese Richtlinie sehr unbeliebt, aber effektiv ist.

Bearbeiten: Sie haben in einem Kommentar hinzugefügt, für den Ihr Szenario bestimmt ist mobile Benutzer, die sich nicht vor Ort befinden. Ich fürchte, mein Vorschlag kann in diesem Fall nicht angewendet werden. Ich werde immer noch gehen, kann antworten, da es für andere, die versuchen, Sicherheitsrichtlinien in ihren Räumlichkeiten durchzusetzen, immer noch nützlich sein könnte.

Ich bin nicht so technisch, aber dies scheint möglich zu sein:

Der USB-Stick muss bestimmte Aufgaben ausführen, z. B. auf Aufzählungen oder Anfragen über die API zur Validierung des Schlüssels. Die erste Frage ist also, ob diese verwendet werden können. Möglicherweise müssen Sie die technischen Dokumente auf diese Möglichkeit überprüfen:

• Wenn die Geräte im Besitz des Unternehmens sind, aber mobil , können Sie ein Skript installieren, das dies testet, und Wenn ein Gerät länger als 2 Minuten nach der Annahme der Erstvalidierung aufgelistet bleibt oder reagiert, wird die Validierung / der Zugriff beendet. Dies sollte sicherstellen, dass Benutzer automatisch ihre Schlüssel entfernen - das Gerät lässt sie einfach nicht arbeiten, wenn sie dies nicht tun.

• Wenn einige Geräte BYO sind (bringen Sie Ihre eigenen mit) dann ist es schwieriger. Möglicherweise ermöglicht die Zugriffsmethode oder der Schlüssel selbst eine Art fortlaufende Validierung, die für andere Zwecke verwendet werden kann (wenn der Zugriff über einige Minuten hinaus andauert, beenden Sie ihn). Kaufen Sie bei Bedarf einen Schlüsseltyp, der dies ermöglicht.

• Wenn eine serverseitige oder einseitig betriebene Prüfung nicht möglich ist, können Sie auf der Serverseite nichts tun, um den USB-Stick-Status zu überprüfen. Dann müssen Sie auf clientseitige Software / Skripte zurückgreifen. Wenn eine Person ihr eigenes Gerät mitbringen möchte, gibt es häufig Richtlinien dazu, und manchmal und in einigen Unternehmen muss der Benutzer ein vom Unternehmen bereitgestelltes Skript / Software / VPN / Zertifikat / was auch immer ausführen oder installieren, wenn er es verwenden möchte ein eigenes Gerät im Netzwerk des Unternehmens, daher ist dies möglicherweise eine akzeptable Option.

Warum sichert dieses USB-Token Ihrer Meinung nach allein den Laptop?

Dies ist eine Zwei-Faktor-Autorisierungssituation. Für diejenigen, die das Konzept noch nicht kennengelernt haben, wird 2FA als "etwas, das Sie wissen und etwas, das Sie haben" beschrieben. Der USB-Dongle ist das "Etwas, das Sie haben", aber der Laptop ist immer noch durch das "Etwas, das Sie wissen", d. H. Ein Passwort, geschützt. 2FA soll eine Ebene hinzufügen, die es einem Faktor ermöglicht, redundant zu sein, damit das System nicht unsicher wird, wenn der Angreifer das Sicherheitstoken erhält, solange der Benutzer nicht auch das Kennwort notiert hat. Natürlich ist es besser, dass sie nicht einen Arm der Sicherheit brechen, aber der Laptop sollte trotzdem sicher sein.

Um den Benutzer zum Entfernen des Schlüssels zu zwingen, ist dies ebenfalls ein großes Problem. Das Sichern des Laptops ist ein nachträglicher Gedanke, um alle lokalen Dateien zu schützen, die der Benutzer möglicherweise herumhängen lässt. Dies ist eine kleine Teilmenge Ihrer Unternehmensdaten. Der kritisch wichtige Teil sichert den Zugriff des Benutzers auf Ihr Netzwerk. Netzwerke, insbesondere VPNs, sind nur so gut wie ihre Anmeldesicherheit. Wenn Sie also Sicherheitsbedenken haben, sollte Ihr VPN überprüfen, ob das Bitlocker-Token vorhanden ist, wenn sich der Benutzer beim VPN anmeldet, und dass es den Computer während dieser Anmeldesitzung nie verlässt stark>. Andernfalls hätte sich der Benutzer versehentlich angemeldet lassen können, als er den Deckel schloss und dachte, der Computer sei heruntergefahren, oder verschiedene ähnliche Szenarien. Sie können nicht davon ausgehen, dass sie sich irgendwann in der Vergangenheit in Ordnung angemeldet haben, daher verwenden sie die Maschine immer noch.

Kurz gesagt, ich denke, Sie überdenken einen Bereich und ohne das Gesamtbild zu berücksichtigen, wie es der Datensicherheit des Unternehmens hilft.

Die einfachste Antwort für USB-Dongles besteht natürlich darin, darauf zu bestehen, dass sie mit ihren Haus- oder Autoschlüsseln vom Schlüsselbund des Benutzers leben. Mehr als ein Schlüsselring? Kein Problem - sie können so viele Dongles haben, wie sie brauchen. Dies stellt jedoch sicher, dass der Dongle immer vom Laptop entfernt wird, wenn der Benutzer ihn verlässt, da er den Schlüsselring benötigt, um nach Hause zu kommen.

Ich komme aus der Welt der Fertigungstechnologie und die Verwendung kleiner Vorrichtungen zur Durchsetzung eines bestimmten manuellen Verhaltens für Qualität und Sicherheit ist eine standardmäßig akzeptierte Methode. Ich bin nicht einverstanden mit der Perspektive, dass man menschliches Verhalten nicht durch bestimmte Hindernisse konstruieren kann. Dies geschieht aus Gründen der menschlichen Sicherheit und wird ebenso ernst genommen wie die Netzwerksicherheit. Ein üblicher Ansatz ist die Verwendung eines Poka-Jochs, aber man sieht auch Verriegelungen und Totmannschalter, wenn Leben auf dem Spiel stehen.

Die Herausforderung besteht darin, diese Konzepte an die Sicherheit anzupassen. Ich stimme zu, dass es schwierig sein würde, Ihren Weg aus dieser heraus verlässlich zu kodieren, aber wenn Sie Ihre Perspektive auf die Hardwareentwicklung erweitern, ist dies sicherlich erreichbar.

Wenn es für Sie oder Ihren Arbeitgeber wichtig ist, Es kann ein benutzerdefinierter Dongle entworfen werden, der dieses Verhalten erzwingt. Ein Ansatz wäre ein zeitgesteuerter Cutoff, bei dem sich der Dongle nach einer bestimmten Zeit unter Strom selbst deaktiviert. Erneutes Einstecken erforderlich.

Wenn Sie ein gewisses Maß an Kontrolle über die Benutzer und Richtlinien des Laptops haben, aber keine Polizei spielen möchten, können beliebig viele andere Hindernisse eingesetzt werden, um die Einhaltung Ihrer Sicherheitsrichtlinien zu fördern.

Für einen unternehmungslustigen Benutzer ist dies natürlich umgehbar. Wenn Sie also ein Sicherheitsprodukt entwerfen, das an Kunden verkauft wird, reicht dies nicht aus.

Aber ich glaube, die Analogie zu Poka -Joch ist angemessen, da die Umgehung der technischen Kontrolle durch einen Mitarbeiter gegen Richtlinien / Verfahren verstoßen und einem Verweis oder einer Warnung unterliegen würde.

Sie können den USB-Mehrzweck so gestalten, dass er nicht mehr auf dem PC verbleibt. Zum Beispiel müssen sie es an ein anderes Gerät anschließen, um ihren Arbeitstag zu beginnen. Sie können sagen, dass Sie wissen möchten, wann sie zur Arbeit kommen und der Beginn ihres Arbeitstages durch den USB-Anschluss an dieses zweite Gerät gekennzeichnet ist.

Dies gilt nicht für jeden Fall, aber ich schreibe es mit der Hoffnung, dass es jemandem eine gute Idee geben könnte.

OK, jetzt haben Sie irgendwie sichergestellt, dass der Besitzer des Laptops sein Token nicht angeschlossen lässt.

Jetzt nehmen sie jedoch diesen Laptop und das Token mit, wenn sie nach Hause gehen, und werden überfallen von einem Industriespion auf dem Parkplatz. Ergebnis ist sowohl Token als auch Laptop, wie in den Händen einer nicht autorisierten Person und schlimmer noch, der gleichen nicht autorisierten Person.

Das Ergebnis ist natürlich genau das gleiche, wie es wäre, wenn das Token in den Laptop eingesteckt wäre Der Bösewicht kann einfach das Token einstecken.

Herzlichen Glückwunsch, Sie haben gerade die Sicherheitsgrenze ein wenig verschoben, um überhaupt keinen wirklichen Gewinn zu erzielen.

Sie könnten einige installieren Software auf den Laptops, die den Bildschirm blockiert oder sogar herunterfährt, wenn das Token nach dem Booten des Betriebssystems auf dem Laptop installiert ist. Sagen Sie etwas, das im Rahmen des Betriebssystemstarts gestartet wurde und alle paar Minuten nach dem Token sucht. Würde sicherstellen, dass das Token nach dem Booten des Computers entfernt wird, würde jedoch nicht verhindern, dass sowohl das Token als auch der Computer gestohlen werden.

Die einzige Möglichkeit, dies sicherzustellen, ist ein 4-Augen-Prinzip, bei dem die Maschine nicht gestartet werden kann, ohne dass mindestens zwei Personen anwesend sind, eine mit dem Token und eine mit dem Kennwort.

Und das ist ein wichtiger Punkt PITA und insbesondere für Remote-Mitarbeiter oft unmöglich (da Remote-Mitarbeiter in der Regel allein an einem Standort sind).