ابزار های eset

ابزار کنترل دستگاه ها Device control در eset ( بستن فلش دیسک ها و ...)

📅 ایجاد: 🔄 آخرین به‌روزرسانی:

آموزش جامع Device Control در ESET؛ مدیریت USB، بلوتوث، دسترسی دستگاه‌ها و قوانین امنیتی

قابلیت Device Control در محصولات امنیتی ESET به شما امکان می‌دهد مشخص کنید کدام تجهیزات خارجی اجازه اتصال و استفاده داشته باشند؛ برای حافظه‌های قابل حمل دسترسی خواندن و نوشتن را مدیریت کنید و حتی برای یک فلش مشخص، کاربران خاص یا گروهی از تجهیزات قانون جداگانه بسازید. در این مقاله، تنظیمات نسخه ESET Internet Security و شیوه‌های قابل استفاده در محصولات سازمانی ESET Endpoint را با تصاویر رسمی و مثال‌های کاربردی بررسی می‌کنیم.

Device Control چیست و چه کاربردی دارد؟

وقتی یک فلش، هارد اکسترنال، گوشی تلفن همراه، چاپگر USB یا دستگاه بلوتوث به رایانه متصل می‌شود، سیستم‌عامل آن را شناسایی و متناسب با نوع دستگاه، سرویس یا رابطی برای آن در دسترس قرار می‌دهد. Device Control لایه‌ای از کنترل دسترسی است که بر پایه قوانین ازپیش‌تعریف‌شده، برای تجهیزات تحت پشتیبانی تصمیم می‌گیرد. این قابلیت با نام‌های «کنترل دستگاه‌ها»، «کنترل تجهیزات جانبی» یا «مدیریت دسترسی دستگاه‌های خارجی» نیز شناخته می‌شود.

برای مثال، ممکن است بخواهید استفاده از فلش‌های ناشناس را محدود کنید، اجازه دهید یک حافظه سازمانی مشخص قابل استفاده باشد، روی یک هارد اکسترنال فقط امکان خواندن برقرار باشد یا ارتباط یک دسته از دستگاه‌های بلوتوث را مسدود کنید. این تصمیم‌ها با ساخت Rule انجام می‌شوند.

کاهش ریسک انتقال فایل

مسدود کردن یا فقط‌خواندنی کردن برخی رسانه‌های ذخیره‌سازی برای کاهش احتمال ورود فایل ناخواسته یا کپی شدن اطلاعات.

اجرای سیاست دسترسی

اعمال قوانین با توجه به نوع دستگاه، سازنده، مدل، شماره سریال و در دستگاه‌های مجاز، کاربر یا گروه کاربران ویندوز.

مرز این قابلیت را بشناسیدDevice Control جایگزین اسکن بدافزار، رمزنگاری اطلاعات یا راهکار کامل جلوگیری از نشت داده (DLP) نیست. برای نمونه، گزینه Write Block نوشتن روی رسانه هدف را محدود می‌کند، اما تمام روش‌های انتقال اطلاعات از شبکه، سرویس‌های ابری یا سایر مسیرها را پوشش نمی‌دهد.

چه دستگاه‌هایی با ESET Device Control قابل مدیریت هستند؟

مطابق راهنمای رسمی ESET Internet Security ، فهرست نوع دستگاه‌ها در بخش Device type شامل موارد زیر است. دسته‌بندی دستگاه در ESET به اطلاعاتی وابسته است که سیستم‌عامل شناسایی می‌کند؛ بنابراین ظاهر یک وسیله لزوماً نوعی را که در فهرست ESET می‌گیرد تعیین نمی‌کند.

نوع دستگاه در ESET مصادیق رایج نکته کاربردی
Disk Storage فلش USB، هارد اکسترنال و حافظه‌های ذخیره‌سازی شناسایی‌شده در این گروه برای مسدودسازی ذخیره‌ساز یا ایجاد دسترسی فقط خواندنی مهم است.
CD/DVD دیسک‌های نوری و رسانه‌های مشابه در شناسه Serial ممکن است شماره سریال خود رسانه ملاک باشد، نه درایو نوری.
USB Printer چاپگرهای متصل از طریق USB امکان تعریف قانون برای دسته چاپگرهای USB وجود دارد.
FireWire Storage تجهیزات ذخیره‌سازی متصل از طریق FireWire در محیط‌هایی با سخت‌افزار قدیمی‌تر کاربرد دارد.
Bluetooth Device دستگاه‌هایی که ویندوز در این رده شناسایی می‌کند مسدودسازی و مجازسازی ممکن است؛ گزینه Write Block برای بلوتوث قابل اعمال نیست.
Smart card reader کارت‌خوان هوشمند، کارت‌خوان SIM یا کارت احراز هویت قبل از مسدودسازی، اثر آن بر ورود و احراز هویت بررسی شود.
Imaging Device اسکنرها و دوربین‌هایی که در این دسته قرار می‌گیرند طبق مستندات ESET کنترل آن‌ها در سطح سراسری انجام می‌شود و فیلتر کاربران برایشان در دسترس نیست.
Modem مودم‌های شناسایی‌شده توسط سیستم‌عامل مسدودسازی نادرست ممکن است ارتباطات ضروری را مختل کند.
LPT/COM port درگاه‌های ارتباطی سریال و موازی برای برخی سخت‌افزارهای صنعتی و قدیمی مهم است.
Portable Device گوشی هوشمند، پخش‌کننده رسانه و تجهیزات Plug and Play در این گروه بسیاری از گوشی‌ها ممکن است به‌جای Disk Storage، به‌صورت Portable Device شناخته شوند.
All device types تمام انواع تجهیزات مشمول کنترل قانون بسیار فراگیر است و ممکن است روی تجهیزات ضروری هم اثر بگذارد.

به‌عنوان مثال، اگر تلفن همراه از پروتکل انتقال رسانه (MTP) استفاده کند، مسدودسازی صرفاً دسته Disk Storage لزوماً آن را پوشش نمی‌دهد. شناسایی نوع واقعی از روی Device Manager ویندوز و گزارش‌های Device Control ضروری است.

درباره وب‌کم و میکروفون وجود نوع Imaging Device به این معنی نیست که Device Control تمام دسترسی‌های نرم‌افزاری به وب‌کم یا میکروفون را به‌صورت مجزا مدیریت می‌کند. کنترل دسترسی برنامه‌ها به دوربین و میکروفون، بسته به محصول و امکانات آن، موضوع متفاوتی است. هنگام تدوین سیاست امنیتی نباید این قابلیت‌ها را یکی فرض کرد.

Device Control را از کجا فعال کنیم؟

در ESET Internet Security نسخه 20و محصولات Endpoint ویندوز، مسیر اصلی تنظیمات به شکل زیر است:

F5 / Advanced setup / Protections / Device control

  1. پنجره اصلی آنتی‌ویروس ESET را باز کنید و کلید F5 را فشار دهید تا Advanced setup نمایش داده شود.
  2. بخش Protections را باز کنید و Device control را انتخاب کنید.
  3. کلید Enable Device Control را فعال کنید.
  4. پس از فعال‌سازی اولیه، رایانه را Restart کنید تا قابلیت به‌طور کامل اعمال شود.
  5. کنار Rules روی Edit کلیک کنید تا فهرست قوانین نمایش داده شود. در صورت نیاز، Groups را هم از همین بخش مدیریت کنید.
آموزش فعال سازی Device Control در تنظیمات پیشرفته ESET Endpoint Security
تصویر ۱. فعال‌سازی Device Control در ESET Endpoint Security. نمایش تصویر در سایت رسمی ESET.
محل گزینه Edit کنار Rules در ESET Device Control
تصویر ۲. ورود به قسمت ویرایش قوانین در بخش Device Control. نمایش تصویر در سایت رسمی ESET.

ممکن است در نسخه‌های جدید یا محصولات متفاوت، چیدمان یا عبارت برخی گزینه‌ها اندکی تغییر کرده باشد. تصاویر بالا مربوط به ESET Endpoint Security هستند و مراحل اصلی در مستندات نسخه خانگی 20 نیز آمده است.

فعال کردن قابلیت به‌تنهایی سیاست دلخواه شما را ایجاد نمی‌کندپس از فعال‌سازی، قوانین موردنیاز را تعریف و با دستگاه آزمایشی بررسی کنید. از ساخت یک قانون فراگیرِ مسدودسازی پیش از شناسایی تجهیزات ضروری، مانند سخت‌افزار احراز هویت یا تجهیزات شبکه، خودداری کنید.

معنی گزینه‌های Allow، Block، Write Block و Warn

مهم‌ترین بخش هر قانون، فیلد Action است. چهار انتخاب زیر در مستندات ESET ذکر شده‌اند؛ اما هر چهار گزینه برای تمام انواع دستگاه‌ها در دسترس نیستند.

Action عملکرد نمونه استفاده محدودیت
Allow
اجازه دسترسی		 اجازه استفاده کامل از دستگاه در محدوده قانون. مجاز کردن فلش تأییدشده شرکت. به‌معنی امن بودن محتوای دستگاه نیست.
Block
مسدودسازی		 جلوگیری از دسترسی به دستگاه منطبق با قانون. مسدودسازی دستگاه‌های بلوتوث یا فلش‌های ناشناس. قوانین محدودکننده می‌توانند کار عادی تجهیزات را مختل کنند.
Write Block
ممنوعیت نوشتن		 اجازه خواندن از رسانه ذخیره‌سازی را می‌دهد، ولی نوشتن روی آن را منع می‌کند. خواندن فایل‌های هارد خارجی بدون امکان تغییر یا کپی روی هارد. برای همه انواع، از جمله Bluetooth Device، در دسترس نیست.
Warn
هشدار و ثبت رویداد		 هنگام اتصال دستگاه اعلان نمایش داده و رویداد را ثبت می‌کند؛ اتصال‌های بعدی همان دستگاه نیز دوباره اعلان دارند. اطلاع‌رسانی و پایش اتصال تجهیزات مشمول قانون. نباید آن را با پنجره درخواست تصمیم دستی یا یک سیاست انسداد قطعی اشتباه گرفت.

بر اساس راهنمای نسخه 20، برای storage devices هر چهار عمل قابل انتخاب است. برای دستگاه‌های غیرذخیره‌ای، مجموعه انتخاب‌ها محدودتر است؛ برای مثال در بلوتوث گزینه Write Block نمایش داده نمی‌شود. در عمل، گزینه‌های موجود را در فهرست Action همان نوع دستگاه بررسی کنید.

تفاوت Write Block با Block: اگر یک هارد اکسترنال را کاملاً Block کنید، کاربر نباید به محتوای آن دسترسی داشته باشد؛ اما در حالت Write Block می‌تواند فایل‌ها را از آن بخواند، بدون آنکه مجاز به نوشتن اطلاعات روی همان رسانه باشد. توجه کنید این حالت مانع کپی کردن فایل از رسانه به رایانه نمی‌شود.

آموزش ساخت قانون و توضیح تمام گزینه‌های پنجره Add rule

پس از ورود به قسمت Rules، روی Add کلیک کنید. در نسخه خانگی ESET Internet Security 20، پنجره‌ای شبیه تصویر زیر نمایش داده می‌شود.

ساخت قانون جدید Device Control در آنتی ویروس ESET
تصویر ۳. پنجره Rules و دکمه Add برای افزودن قانون. نمایش تصویر در سایت رسمی ESET.
پنجره افزودن قانون کنترل تجهیزات در ESET Internet Security 19
تصویر ۴. اجزای پنجره Add rule در نسخه خانگی ESET Internet Security 19. نمایش تصویر در سایت رسمی ESET.

۱. Name و Rule enabled

در Name نامی گویا انتخاب کنید؛ مثلاً Block Unknown USB Drives. کلید Rule enabled امکان فعال یا غیرفعال کردن موقت قانون را بدون حذف آن فراهم می‌کند. نام‌گذاری دقیق برای محیط‌های دارای چند ده قانون ضروری است.

۲. Device type

نوع دستگاه هدف را از فهرست انتخاب کنید. برای فلش و ذخیره‌سازها معمولاً Disk Storage و برای بعضی گوشی‌ها Portable Device مناسب است. انتخاب صحیح، به نوع شناسایی‌شده در ویندوز بستگی دارد، نه نام تجاری وسیله.

۳. Action

عمل موردنظر را تعیین کنید: Allow، Block، Write Block یا Warn، متناسب با نوع دستگاه و گزینه‌های موجود.

۴. Criteria type؛ دستگاه تکی یا گروه

در حالت Device، قانون با مشخصات یک دستگاه یا دسته‌ای از دستگاه‌های منطبق با الگوی شما تعریف می‌شود. حالت Device group اجازه می‌دهد از گروهی که قبلاً در بخش Groups ساخته‌اید، استفاده کنید. برای مثال مجموعه‌ای از فلش‌های سازمانی را می‌توان در یک گروه قرار داد و با یک قانون به همه آن‌ها مجوز داد.

۵. Vendor، Model و Serial

سه فیلد اصلی برای دقیق کردن قانون هستند:

فیلد معنا کاربرد دقیق
Vendor نام یا شناسه سازنده فیلتر کردن دستگاه‌های یک سازنده خاص
Model مدل یا نامی که برای تجهیز ثبت شده محدودسازی یک خانواده مشخص از دستگاه‌ها
Serial شماره سریال گزارش‌شده توسط دستگاه یا رسانه متمایز کردن یک وسیله مشخص از وسایل مشابه

این فیلدها نسبت به بزرگی و کوچکی حروف حساس‌اند و از دو کاراکتر عمومی پشتیبانی می‌کنند: * برای صفر یا چند نویسه و ? برای دقیقاً یک نویسه. برای مثال الگوی فرضی San* با نام‌هایی که با San شروع می‌شوند منطبق می‌شود. اگر فیلدی را خالی بگذارید، آن فیلد هنگام تطبیق نادیده گرفته می‌شود؛ بنابراین ممکن است قانون بسیار گسترده‌تر از تصور شما عمل کند.

شماره سریال را از روی حدس وارد نکنیدمقداری که ESET از سخت‌افزار دریافت می‌کند ممکن است با شماره چاپ‌شده روی بدنه تفاوت داشته باشد یا اصلاً ارائه نشده باشد. برای ساخت استثنای دقیق، بهتر است از Populate و گزارش Device Control برای مشاهده مشخصات واقعی استفاده کنید.

۶. Logging severity

با این فیلد مشخص می‌کنید ثبت رخدادهای مربوط به قانون با چه سطحی انجام شود. مقادیر راهنما عبارت‌اند از Always (ثبت همه رخدادها)، Diagnostic (اطلاعات عیب‌یابی)، Information (پیام‌های اطلاعاتی و سطوح مهم‌تر)، Warning (هشدارها و خطاهای مهم) و None (بدون ثبت رویداد). برای بررسی اولیه قوانین، سطح Always مفید است؛ در محیط پرترافیک لازم است حجم لاگ نیز در نظر گرفته شود.

۷. User list

در قانون‌هایی که این امکان پشتیبانی می‌شود، می‌توان با زدن Edit در بخش User list، کاربر یا گروه کاربران ویندوز را با گزینه‌های Add و Delete انتخاب یا حذف کرد. در صورت تعریف صحیح، قانون تنها روی کاربران هدف اعمال می‌شود.

محدودیت مهم User listطبق راهنمای رسمی ESET Internet Security 19، فیلتر User list برای این گروه‌ها قابل تعریف نیست: USB Printer، Bluetooth Device، Smart card reader، Imaging Device، Modem و LPT/COM port. برای این دسته‌ها نمی‌توان بر اساس همین قابلیت ادعا کرد که فقط کاربر مشخصی مسدود می‌شود.

۸. Notify user

اگر دسترسی دستگاه مطابق قانون Block شود، گزینه Notify user نمایش اعلان برای کاربر را کنترل می‌کند. این تنظیم را با عمل Warn اشتباه نگیرید: Notify user مربوط به پیام مسدودسازی است و Warn یک نوع عمل مستقل در قانون محسوب می‌شود.

۹. Apply during در برخی محصولات Endpoint

در تصاویر رسمی ESET Endpoint Security فیلد Apply during نیز دیده می‌شود که در مثال، مقدار Always دارد. این گزینه را جزو امکانات قطعی پنجره نسخه خانگی ۱۹ در نظر نگیرید؛ وجود آن و گزینه‌های قابل انتخاب ممکن است بر اساس نسخه و محصول متفاوت باشد.

قانون بلاک بلوتوث و انتخاب Device type و Action در ESET
تصویر ۵. نمونه قانون رسمی مسدود کردن Bluetooth در ESET Endpoint Security. نمایش تصویر در سایت رسمی ESET.

مدیریت قوانین و مفهوم اولویت در Device Control

در پنجره Rules editor، برای هر قانون اطلاعاتی مانند نام، وضعیت فعال، نوع دستگاه، اقدام، کاربران و سطح ثبت گزارش نمایش داده می‌شود. امکانات اصلی این پنجره عبارت‌اند از:

گزینه کاربرد
Add ساخت قانون جدید.
Edit اصلاح قانون موجود و تغییر شروط یا Action.
Delete / Remove حذف قانون انتخاب‌شده.
Copy تکثیر قانون و استفاده از تنظیمات آن به‌عنوان مبنای قانون بعدی.
Populate شناسایی اطلاعات تجهیزات متصل برای پر کردن خودکار پارامترها.
Enabled / Rule enabled فعال یا غیرفعال‌سازی بدون حذف.
Top / Up / Down / Bottom تغییر ترتیب و تقدم قوانین.

قوانین از بالا به پایین بر اساس اولویت مرتب شده‌اند و قوانین بالای جدول نسبت به قوانین پایین‌تر تقدم دارند. بنابراین اگر می‌خواهید یک فلش مشخص مجاز باشد ولی بقیه فلش‌ها مسدود شوند، قانون استثنای Allow باید بالاتر از قانون عمومی Block قرار گیرد. پس از هر تغییر، رفتار واقعی را با اتصال یک دستگاه مجاز و یک دستگاه غیرمجاز بررسی کنید.

در رابط مدیریت قوانین امکان انتخاب چند قانون با نگه داشتن Ctrl وجود دارد تا بتوانید آن‌ها را دسته‌جمعی حذف یا جابه‌جا کنید. همچنین طبق راهنمای ESET، با کلیک راست روی سربرگ ستون‌ها می‌توان ستون‌های نمایشی را انتخاب کرد و رشته‌های XML نمایش‌داده‌شده برای یک قانون ممکن است برای استفاده مدیریتی قابل کپی باشند. این امکان را با خروجی گرفتن کامل از سیاست‌های کنسول اشتباه نگیرید.

 

در صورتی که با زدن دکمه populate مشخصات دستگاه مورد نظر پیدا نشد ، میتوانید از دستور زیر در powershell ویندوز استفاده کنید.

Get-CimInstance Win32_DiskDrive |
Select-Object Model, SerialNumber, InterfaceType, PNPDeviceID |
Format-List
پنجره Rule editor در کنترل دستگاه های ESET
تصویر ۶. فهرست قوانین Device Control در ESET Internet Security 19. نمایش تصویر در سایت رسمی ESET.
ثبت و ذخیره شدن قانون کنترل دستگاه ها در ESET Endpoint Security
تصویر ۷. ذخیره شدن قانون جدید و تأیید تنظیمات در ESET Endpoint. نمایش تصویر در سایت رسمی ESET.

Device groups چیست و چگونه گروه دستگاه‌ها بسازیم؟

وقتی برای چند وسیله مشابه یک سیاست واحد دارید، ساخت گروه به‌جای ایجاد تعداد زیادی قانون منفرد مدیریت را ساده می‌کند. پنجره Device groups دو قسمت دارد: بخش چپ برای گروه‌ها و بخش راست برای فهرست اعضای گروه انتخابی است.

  1. از تنظیمات Device control، مقابل Groups روی Edit کلیک کنید.
  2. در سمت گروه‌ها، با Add یک نام مشخص مانند Approved USB ایجاد کنید.
  3. گروه را انتخاب کنید و در سمت فهرست دستگاه‌ها از Add یا Populate برای درج اعضا استفاده کنید.
  4. در صورت افزودن دستی، Vendor، Model، Serial و در صورت تمایل Description را مشخص کنید.
  5. با OK تغییرات را ذخیره کنید؛ سپس به Rules برگردید و یک قانون جدید با Criteria type = Device group و عمل دلخواه بسازید.

نکته بسیار مهم: ایجاد گروه به‌تنهایی برای اعضای آن اجازه یا ممنوعیت دسترسی نمی‌سازد. باید دست‌کم یک قانون مربوط به گروه و Action آن تعریف شود.

ابزارهای مدیریت Device groups

  • Add: بسته به بخشی که انتخاب شده، گروه جدید می‌سازد یا یک دستگاه به گروه موجود اضافه می‌کند.
  • Edit: نام گروه یا مشخصات دستگاه موجود را ویرایش می‌کند.
  • Delete: گروه یا عضو انتخاب‌شده را حذف می‌کند.
  • Populate: دستگاه‌های متصل را همراه با نوع، سازنده، مدل و شماره سریال در صورت موجود بودن نمایش می‌دهد.
  • Import: فهرست دستگاه‌ها را از فایل متنی با قالب مقرر وارد می‌کند.
  • Export: فهرست دستگاه‌های گروه را به فایل خروجی می‌دهد.

فرمت فایل متنی برای Import گروه دستگاه‌ها

طبق راهنمای ESET، هر دستگاه باید در یک خط جداگانه باشد و سه مقدار Vendor، Model و Serial به‌ترتیب با ویرگول انگلیسی جدا شوند. نمونه زیر از مستندات رسمی ESET است:

Kingston,DT 101 G2,001CCE0DGRFC0371
04081-0009432,USB2.0 HD WebCam,20090101

این محتوا صرفاً الگوی قالب‌بندی است؛ دستگاه‌ها و شماره سریال‌های موجود در نمونه، تجهیزات تأییدشده شما نیستند. پس از Import، اعضا و انطباق واقعی آن‌ها را بازبینی کنید. اگر فایل دارای ستون‌های اضافی، جداکننده فارسی یا قالب متفاوت باشد، ممکن است به‌درستی وارد نشود.

فهرست سفید تجهیزاتدر مستندات ESET اشاره شده که می‌توانید گروهی از دستگاه‌های مجاز با عمل Allow یا Write Block تعریف کنید تا دستگاه‌های شناسایی‌نشده محدود شوند. برای سیاست‌های حساس، استثناهای دقیق و ترتیب قوانین را بازبینی کنید و عملکرد گروه مجاز و دستگاه ناشناس را در همان محصول آزمایش کنید.

پنج سناریوی عملی برای تنظیم Device Control در ESET

سناریو اول: جلوگیری از استفاده از فلش‌ها و هاردهای USB

در Rules روی Add کلیک کنید. نام Block External Storage را بنویسید، نوع Disk Storage و عمل Block را انتخاب کنید. اگر قصد دارید همه ذخیره‌سازهای این گروه مسدود شوند، فیلدهای Vendor، Model و Serial را خالی بگذارید؛ سپس قانون را فعال کنید و ذخیره نمایید.

این سیاست مربوط به دسته Disk Storage است و الزاماً همه گوشی‌ها، دستگاه‌های MTP یا ابزارهای شناسایی‌شده با دسته دیگری را شامل نمی‌شود. پیش از تعمیم، تست کنید که درایوهای موردنیاز شما نیز تحت تأثیر نامناسب قرار نگیرند.

سناریو دوم: فقط خواندن از فلش یا هارد اکسترنال

برای یک حافظه پشتیبانی‌شده، یک قانون Disk Storage با Action برابر Write Block بسازید. در صورت لزوم، شناسه سریال حافظه را برای محدود کردن قانون به همان وسیله ثبت کنید. این حالت می‌تواند مشاهده و خواندن فایل‌ها را مجاز بگذارد، ولی نوشتن فایل جدید روی رسانه یا اصلاح آن را محدود کند.

اشتباه رایج در برداشت از Write Blockاین انتخاب روش جلوگیری از کپی کردن اطلاعات از فلش به کامپیوتر نیست؛ ممنوعیتِ نوشتن روی خود فلش را هدف می‌گیرد. برای سیاست جلوگیری از خروج داده، باید مسیرهای دیگر انتقال فایل نیز بررسی شوند.

سناریو سوم: فقط یک فلش تأییدشده مجاز باشد

  1. فلش تأییدشده را متصل کنید و مشخصات Vendor، Model و Serial آن را با Populate استخراج کنید.
  2. قانون Allow برای همان مشخصات بسازید و نامی مانند Allow Office USB 01 بدهید.
  3. در جای پایین‌تر، قانون عمومی Block برای سایر رسانه‌های هدف قرار دهید؛ ابتدا مطمئن شوید قاعده استثنا بالاتر است.
  4. با دو حافظه متفاوت، یعنی فلش مجاز و فلش ناشناس، کارکرد سیاست را امتحان کنید.

اگر چند فلش تأییدشده دارید، به‌جای چند قانون جداگانه می‌توانید از Device groups استفاده کنید. فیلدهای شناسه را تا حد ممکن دقیق تنظیم کنید؛ مجاز کردن صرف یک برند، مجوز را به همه تجهیزات منطبق با همان برند تعمیم می‌دهد.

سناریو چهارم: مسدود کردن دستگاه‌های بلوتوث

در یک قانون جدید، گزینه Bluetooth Device را از Device type و گزینه Block را از Action انتخاب کنید. اگر فیلتر Vendor، Model و Serial را خالی بگذارید، قانون می‌تواند تمام دستگاه‌های منطبق با این دسته را هدف قرار دهد. نمونه رسمی ESET Endpoint نیز دقیقاً از همین روش با نام Block bluetooth devices استفاده می‌کند.

در صورت نیاز به کنترل یک وسیله خاص، مشخصات آن را دقیق ثبت کنید. همچنین توجه داشته باشید که فیلتر User list برای این نوع دستگاه در راهنمای نسخه خانگی ۱۹ قابل استفاده نیست.

سناریو پنجم: مجوز برای یک گروه از کارکنان، در دستگاه‌های پشتیبانی‌شده

برای دسته‌ای که User list را پشتیبانی می‌کند، در پنجره قانون روی Edit کنار User list کلیک کنید، کاربر یا گروه موردنظر ویندوز را اضافه کنید و Action مناسب را انتخاب نمایید. این سناریو برای محیط‌های چندکاربره مفید است؛ اما قبل از اجرا، محدودیت‌های User list را مطالعه کنید و وجود حساب‌ها یا گروه‌ها را در ویندوز بررسی نمایید.

از کجا گزارش Device Control و مشخصات دستگاه‌ها را ببینیم؟

مسیر بررسی رویدادها در راهنمای نسخه ۱۹ به‌صورت Tools / Log files / Device control آمده است. از پنجره اصلی ESET وارد Tools و Log files شوید و در فهرست Log گزینه Device control را انتخاب کنید. رویدادهایی که این قابلیت ایجاد می‌کند در این قسمت قابل پیگیری هستند.

هنگام عیب‌یابی، نام قانون فعال، نوع دستگاه، زمان رویداد و داده‌هایی که در رابط محصول نمایش داده می‌شوند را بررسی کنید. برای به دست آوردن مشخصات وسیله، طبق راهنمای ESET می‌توان قانونی برای نوع آن تعریف کرد، وسیله را متصل نمود و جزئیات را در گزارش مشاهده کرد.

ثبت رویداد را متناسب با هدف تنظیم کنید. برای آزمایش یک سیاست جدید، Always یا در موارد عیب‌یابی Diagnostic ممکن است مناسب باشد، ولی انتخاب None تحلیل رخدادها را دشوار می‌کند. همچنین خالی بودن گزارش همیشه اثبات نمی‌کند که دستگاه هیچ‌گاه متصل نشده است؛ فعال بودن قابلیت، تطبیق قوانین و سطح ثبت گزارش بر داده‌های قابل مشاهده اثر دارند.

مدیریت متمرکز Device Control با ESET PROTECT و ESET PROTECT On-Prem

در شبکه‌های سازمانی می‌توان به‌جای انجام تنظیمات روی تک‌تک رایانه‌ها، سیاست‌های Device Control را با ESET PROTECT یا ESET PROTECT On-Prem برای محصولات Endpoint ویندوز تعریف و به گروه رایانه‌ها تخصیص داد. این قابلیت مخصوص مدیریت Endpoint است و نباید به‌عنوان امکان مدیریت مرکزی محصول خانگی ESET Internet Security معرفی شود.

  1. به ESET PROTECT Web Console وارد شوید و یک Policy جدید بسازید یا سیاست مناسبی را ویرایش کنید.
  2. در بخش Settings، محصول ESET Endpoint for Windows را انتخاب کنید.
  3. از Protections وارد Device control شوید و Enable Device control را فعال کنید.
  4. مقابل Rules روی Edit کلیک کنید، با Add قانون دلخواه را بسازید و تنظیمات را ذخیره نمایید.
  5. سیاست را به رایانه‌ها یا گروه هدف اختصاص دهید و اعمال صحیح آن را کنترل کنید. فعال شدن کامل این قابلیت ممکن است به راه‌اندازی مجدد رایانه نیاز داشته باشد.
مدیریت مرکزی Device Control در ESET PROTECT
تصویر ۸. تعریف تنظیمات Device Control در Policy کنسول ESET PROTECT. نمایش تصویر در سایت رسمی ESET.

گزارش‌گیری از تجهیزات و دسترسی‌های مسدودشده در ESET PROTECT

مستند رسمی ESET با شناسه KB7837 روش ساخت گزارش Device Control را نیز توضیح داده است. به قسمت Reports بروید، New Report Template بسازید و نمایش جدولی را فعال کنید. سپس از بخش Data ستون‌های زیر را برای گزارش انتخاب کنید:

  • Computer / Computer name: نام رایانه.
  • Device control / Device: مشخصات دستگاه گزارش‌شده.
  • Device control / Action performed: اقدامی که انجام شده است.
  • Device control / Time of occurrence: زمان وقوع رویداد.

پس از ساخت گزارش، امکان قراردادن آن در Dashboard کنسول نیز طبق راهنمای ESET وجود دارد. این گزارش برای بررسی رویدادهای ثبت‌شده و پیگیری دستگاه‌های محدودشده مفید است و جایگزین بررسی سیاست‌ها و وضعیت ارتباط Endpoint با سرور مدیریت نیست.

گزارش دستگاه های مسدود شده Device Control در ESET PROTECT
تصویر ۹. ستون‌های گزارش Device Control در ESET PROTECT. نمایش تصویر در سایت رسمی ESET.

اشتباهات رایج و عیب‌یابی Device Control

مشکل یا تصور اشتباه بررسی پیشنهادی
قانون ساخته شده ولی هیچ اثری ندارد. فعال بودن Device Control، فعال بودن همان Rule، راه‌اندازی مجدد بعد از فعال‌سازی، نوع واقعی دستگاه و تقدم قوانین را بررسی کنید.
فلش مشخصی باید مجاز باشد، ولی مسدود می‌شود. قانون Allow با شناسه صحیح را بالاتر از Block عمومی بگذارید؛ Vendor، Model و Serial را با اطلاعات شناسایی‌شده مقایسه کنید.
گوشی همراه با قانون Disk Storage مسدود نمی‌شود. دسته Portable Device و نحوه شناسایی گوشی توسط ویندوز را بررسی کنید؛ از دسته‌بندی USB صرفاً بر اساس نوع کانکتور نتیجه نگیرید.
Write Block روی دستگاه بلوتوث قابل انتخاب نیست. این محدودیتِ نوع دستگاه است؛ Write Block در راهنمای ESET برای دستگاه‌های ذخیره‌ای مطرح شده است.
امکان انتخاب کاربر برای چاپگر یا بلوتوث وجود ندارد. قابلیت User list برای برخی انواع از جمله USB Printer و Bluetooth پشتیبانی نمی‌شود.
هیچ رویدادی در لاگ دیده نمی‌شود. Logging severity، قانون منطبق، فعال بودن Device Control و مسیر گزارش‌ها را بررسی کنید.
کاربر نمی‌تواند تنظیمات را در Endpoint تغییر دهد. ممکن است Policy اعمال‌شده از ESET PROTECT یا تنظیمات قفل‌شده سازمانی کنترل نهایی را در اختیار داشته باشد.
مسدودسازی کلی به ابزار حیاتی آسیب می‌زند. قوانین فراگیر را تنها پس از شناسایی تجهیزات موردنیاز و تست روی یک رایانه آزمایشی اجرا کنید.
روش استاندارد آزمون سیاستپیش از استقرار روی شبکه، نتیجه را با دست‌کم یک دستگاه مجاز و یک دستگاه غیرمجاز بررسی کنید. نام قانون، جزئیات تطبیق، اولویت و رویدادهای Device Control را ثبت نمایید تا علت رفتار سیستم قابل پیگیری باشد.

سؤالات متداول درباره Device Control در آنتی‌ویروس ESET

آیا با Device Control می‌توان همه فلش‌های USB را مسدود کرد؟

برای رسانه‌هایی که در گروه Disk Storage شناسایی می‌شوند، می‌توان قانون Block تعریف کرد. با این حال همه دستگاه‌های متصل از طریق USB الزاماً در همین گروه نیستند؛ گوشی‌های MTP و دسته‌های دیگر باید جداگانه بررسی شوند.

تفاوت Block و Write Block چیست؟

Block دسترسی به دستگاه را مسدود می‌کند. Write Block در رسانه‌های ذخیره‌سازی اجازه خواندن می‌دهد اما نوشتن روی رسانه را محدود می‌کند.

آیا می‌شود فقط یک فلش مشخص مجاز باشد؟

بله. می‌توانید قانون Allow را با پارامترهای دقیق Vendor، Model و Serial بسازید و بالاتر از قانون عمومی Block قرار دهید. لازم است نتیجه را با دستگاه واقعی آزمایش کنید.

آیا می‌توان دسترسی بلوتوث را فقط برای یک کاربر مسدود کرد؟

در راهنمای ESET Internet Security نسخه ۱۹، User list برای Bluetooth Device قابل تعریف نیست. برای این نوع، نباید امکان فیلتر کاربر را مفروض گرفت.

آیا برای فعال شدن Device Control نیاز به Restart هست؟

بله. طبق راهنمای رسمی ESET، پس از فعال کردن این قابلیت باید دستگاه را راه‌اندازی مجدد کرد تا تغییر به‌طور کامل اعمال شود.

آیا Device Control همان محافظت از وب‌کم و میکروفون است؟

خیر. Device Control مجوز استفاده از تجهیزات قابل شناسایی را طبق انواع و قوانین آن مدیریت می‌کند. نظارت بر دسترسی برنامه‌ها به وب‌کم یا میکروفون قابلیت متفاوتی است و باید بر اساس محصول و نسخه جداگانه بررسی شود.

آیا می‌توان قوانین را به‌صورت گروهی مدیریت کرد؟

بله. بخش Device groups برای دسته‌بندی دستگاه‌ها وجود دارد و در ESET PROTECT می‌توان سیاست‌های Endpoint را به‌صورت متمرکز روی رایانه‌ها اعمال کرد.

چرا گاهی Vendor، Model یا Serial با نام روی بدنه فرق دارد؟

ESET این اطلاعات را از شناسایی انجام‌شده توسط سیستم‌عامل و شناسه‌های گزارش‌شده دستگاه دریافت می‌کند. بنابراین برای فیلتر دقیق از اطلاعات واقعی قابل مشاهده در Populate و لاگ استفاده کنید.

منابع رسمی ESET

این راهنما با اتکا به مستندات ESET نوشته شده است. تصاویر، به‌صورت لینک مستقیم از دامنه‌های support.eset.com و help.eset.com بارگذاری می‌شوند. نمایش آن‌ها نیازمند دسترسی مرورگر بازدیدکننده به سرور ESET است.

  1. KB7260: افزودن و ویرایش قوانین Device Control در محصولات ESET Endpoint.
  2. ESET Internet Security 19: معرفی Device Control و فهرست انواع دستگاه.
  3. ESET Internet Security 19: تنظیمات افزودن قانون و فیلدها.
  4. ESET Internet Security 19: پنجره مدیریت و اولویت‌بندی قوانین.
  5. ESET Internet Security 19: مدیریت Device groups و Import / Export.
  6. KB7837: ایجاد قوانین Device Control و گزارش در ESET PROTECT.

جمع‌بندی: Device Control یک ابزار قدرتمند برای کنترل استفاده از تجهیزات جانبی در ESET است، اما اثربخشی آن به انتخاب صحیح Device type، تعریف Action مناسب، دقت شناسه‌ها و اولویت قوانین بستگی دارد. در محیط سازمانی توصیه می‌شود سیاست‌ها ابتدا روی گروه آزمایشی اعمال شوند و سپس به کمک ESET PROTECT گسترش پیدا کنند.

به‌روزرسانی محتوایی: ۲۸ اکتبر ۲۰۲۶. نام بعضی منوها و گزینه‌ها ممکن است در نسخه‌های دیگر محصولات ESET متفاوت باشد.

← بازگشت به لیست