System per Gruppenrichtlinie so gut es geht gegen BadUSB absichern

[computerfrust]

Als Ansatz, um sich gegen BadUSB zu schützen (jedenfalls besser als wenn man gar nichts tun würde), habe ich im Netz den Tipp gefunden, mit Group Policies zu arbeiten.
Leider waren die Tipps immer unvollständig, und so musste ich mir diverse Geräteklassen mühsam zusammensuchen.
Die beste Hilfe leisteten mir folgende Links:

System-Defined Device Setup Classes Available to Vendors
https://msdn.microsoft.com/en-us/library/windows/hardware/ff553426(v=vs.85).aspx

Ein Post im Heise-Forum
http://www.heise.de/forum/heise-Sec...-Bordmitteln-verhindern/posting-5065053/show/

Nun habe ich mir also folgende Liste zusammengestellt:

gpedit.msc
Computerkonfiguration - Administrative Vorlagen - System - Geräteinstallation - Einschränkungen bei der Geräteinstallation
Installation von Geräten mit Treibern verhindern, die diesen Gerätesetupklassen entsprechen

• HID (Human Interface Device)
  {745a17a0-74d3-11d0-b6fe-00a0c90f57da}
• Keyboard
  {4d36e96b-e325-11ce-bfc1-08002be10318}
• Mouse
  {4d36e96f-e325-11ce-bfc1-08002be10318}
• Bluetooth
  {e0cbf06c-cd8b-4647-bb8a-263b43f0f974}
• Modem
  {4d36e96d-e325-11ce-bfc1-08002be10318}
• Network Adapter
  {4d36e972-e325-11ce-bfc1-08002be10318}
• Multifunction Devices
  {4d36e971-e325-11ce-bfc1-08002be10318}
• Firewire
  {6bdd1fc1-810f-11d0-bec7-08002be2092f}

Ich bin mir nicht ganz sicher, ob die Liste vollständig ist und ob Dinge wie Bluetooth und Firewire nicht doch überflüssig sind.
Modems und Netzwerkadapter habe ich mit reingenommen, weil man im Video der BadUSB-Demonstration auch einen USB-Angriff per Netzwerkadapter sehen konnte (bei 24:44).

https://www.youtube.com/watch?v=nuruzFqMgIw

Ich würde gerne mal wissen, was ihr dazu sagt und ob man was verbessern kann.
Es wäre halt gut, wenn niemand mehr mühsam von allen möglichen Seiten die GUIDs zusammensuchen muss und so wie ich jetzt gar nicht weiß, ob das Resultat sinnvoll ist. Mein Eindruck ist: Relativ wenige Seiten haben sich bisher ausführlich damit befasst, und manche empfehlen nur, das Keyboard zu sperren, was möglicherweise nicht reicht.

 

[Domi83]

Ich wollte solch ein BadUSB schon mal auf meinem alten Notebook testen um zu schauen ob das von irgend etwas erkannt wird und wie das arbeitet, hab es aber bis heute nicht versucht. In Firmen macht so etwas auf jeden Fall Sinn. Am liebsten würde ich jeglichen USB Zugriff unterbinden, aber wie in manchen Artikeln beschrieben, werden ja auch Tastaturen, Mäuse etc. via USB angesteuert.

Gruß, Domi

 

[computerfrust]

Das gute an den Gruppenrichtlinien ist, dass sie nicht auf bereits installierte Hardware angewendet werden. Es sei denn, man setzt ein Häkchen.
Also kann man den PC zunächst sauber aufsetzen und anschließend nach Wunsch "dichtmachen".