যখন একটি নতুন USB ডিভাইস কম্পিউটারের সাথে সংযুক্ত করা হয়, Windows অটোমেটিক্যালি ডিভাইসটি সনাক্ত করে এবং উপযুক্ত ড্রাইভার ইনস্টল করে। ফলস্বরূপ, ইউজার почти অবিলম্বে সংযুক্ত USB ড্রাইভ বা ডিভাইস ব্যবহার করতে পারেন। কিছু সংস্থায় নিরাপত্তার কারণে USB স্টোরেজ ডিভাইস (ফ্ল্যাশ ড্রাইভ, USB HDD, SD কার্ড ইত্যাদি) ব্যবহারের ওপর রোক लगाয়া থাকে যাতে সংবেদনশীল ডেটা লিক না হয় এবং কম্পিউটার ইনফেক্টেড না হয়। এই আর্টিকেলে বর্ণনা করা হয়েছে কীভাবে Group Policy (GPO) ব্যবহার করে এক্সটার্নাল রিমুवेবল USB-ড্রাইভ নিষ্ক্রিয় করা যায়।
ডোমেন কম্পিউটারে USB স্টোরেজ ডিভাইস নিষ্ক্রিয় করার জন্য GPO কনফিগারেশন
Windows 7 থেকে শুরু করে Windows-এর সব ভার্সনে, আপনি Group Policies ব্যবহার করে এক্সটার্নাল ড্রাইভ (USB, CD/DVD, ফ্লপি, টেপ ইত্যাদি) অ্যাক্সেস ফ্লেক্সিবলভাবে ম্যানেজ করতে পারেন (আমরা BIOS সেটিংস দিয়ে USB পোর্ট নিষ্ক্রিয় করার চরম উপায় বিবেচনা করছি না)। শুধু USB ড্রাইভের ব্যবহার ব্লক করা প্রোগ্রাম্যাটিক্যালি সম্ভব, যাতে মাউস, কীবোর্ড, প্রিন্টার ইত্যাদি USB ডিভাইসের ওপর কোনো প্রভাব না পড়ে (যেগুলো রিমুवेবল ডিস্ক হিসেবে রিকগনাইজ করা হয় না)।
USB ডিভাইস ব্লকিং পলিসি কাজ করবে যদি আপনার AD ডোমেনের ইনফ্রাস্ট্রাকচার নিচের শর্তগুলো পূরণ করে:
- Active Directory স্কিমা ভার্সন — Windows Server 2008 বা nieuwer; নোট। রিমুवेবল মিডিয়া ইনস্টলেশন এবং ব্যবহার নিয়ন্ত্রণ করার Group Policies সেট শুধু AD ভার্সন 44-এ যোগ করা হয়েছিল।
- ডেস্কটপ OS — Windows 7 বা nieuwer।
আমরা একটি নির্দিষ্ট AD কন্টেইনার (OU)-এ সব কম্পিউটারের জন্য USB-ড্রাইভ ব্যবহারের ওপর সীমাবদ্ধতা લাগাব। আপনি পুরো ডোমেনে USB ব্লক পলিসি অ্যাপ্লাই করতে পারেন, কিন্তু এটি সার্ভার এবং অন্যান্য টেকনোলজিক্যাল ডিভাইসের ওপর প্রভাব ফেলবে। মান লইয়ে চলি আমরা Workstations নামক OU-এ পলিসি অ্যাপ্লাই করতে চাই। এজন্য GPO ম্যানেজমেন্ট কনসোল (gpmc.msc) খুলুন, OU Workstations-এ রাইট-ক্লিক করুন এবং একটি নতুন পলিসি তৈরি করুন (Create a GPO in this domain and Link it here.)
টিপ। স্ট্যান্ড-আলোন কম্পিউটারের ক্ষেত্রে, USB-ডিভাইস সীমাবদ্ধতা পলিসি লোকাল Group Policy Editor — gpedit.msc দিয়ে এডিট করা যায়। Windows Home এডিশনে Local Group Policy Editor উপলব্ধ নয়, কিন্তু আপনি এটি ইনস্টল করতে পারেন: How to enable gpedit.msc on Windows 10 Home।
GPO-এর নাম দিন "Disable USB Access"।
GPO সেটিংস মডিফাই করুন (Edit)।
এক্সটার্নাল স্টোরেজ ডিভাইস ব্লক করার সেটিংস GPO-এর User এবং Computer উভয় সেকশনে উপলব্ধ:
- User Configuration → Policies → Administrative Templates → System → Removable Storage Access.
- Computer Configuration → Policies → Administrative Templates → System → Removable Storage Access.
আপনি যদি সব কম্পিউটার ইউজারের জন্য USB স্টোরেজ ডিভাইস ব্লক করতে চান, তবে "Computer Configuration" সেকশনে সেটিংস কনফিগার করতে হবে।
Removable Storage Access সেকশনে বেশ কিছু পলিসি আছে যেগুলো বিভিন্ন টাইপের স্টোরেজ ক্লাসের ব্যবহার নিষ্ক্রিয় করতে দেয় — CD/DVD, FDD, USB-ডিভাইস, টেপ, ইত্যাদি।
- CD and DVD: Deny execute access.
- CD and DVD: Deny read access.
- CD and DVD: Deny write access.
- Custom Classes: Deny read access.
- Custom Classes: Deny write access.
- Floppy Drives: Deny execute access.
- Floppy Drives: Deny read access.
- Floppy Drives: Deny write access.
- Removable Disks: Deny execute access.
- Removable Disks: Deny read access.
- Removable Disks: Deny write access.
- All Removable Storage classes: Deny all access.
- All Removable Storage: Allow direct access in remote sessions.
- Tape Drives: Deny execute access.
- Tape Drives: Deny read access.
- Tape Drives: Deny write access.
- Windows Portable Device – এই ক্লাসে স্মার্টফোন, ট্যাবলেট, প্লেয়ার ইত্যাদি অন্তর্ভুক্ত।
- WPD Devices: Deny write access.
আপনি দেখছেন, প্রতিটি ডিভাইস ক্লাসের জন্য এক্সিকিউটেবল ফাইল চালানো বন্ধ করা (ভাইরাস থেকে কম্পিউটার রক্ষা), এক্সটার্নাল মিডিয়া থেকে ডেটা পড়া এবং লিখা/এডিট করা বন্ধ করা সম্ভব।
সবচেয়ে কঠোর সীমাবদ্ধতা পলিসি — All Removable Storage Classes: Deny All Access — সকল টাইপের এক্সটার্নাল স্টোরেজ ডিভাইসের অ্যাক্সেস সম্পূর্ণ বন্ধ করতে দেয়। পলিসি অন করার জন্য এটি খুলুন এবং Enable চেক করুন।
পলিসি সক্রিয় করে ক্লায়েন্ট কম্পিউটারগুলোতে আপডেট করার পর (gpupdate /force), OS সংযুক্ত এক্সটার্নাল ডিভাইসগুলো সনাক্ত করে (শুধু USB ডিভাইস নয়, যেকোনো এক্সটার্নাল ড্রাইভ), কিন্তু সেগুলো খোলার চেষ্টা করলে এরর আসে:
Location is not available Drive is not accessible. Access is denied.
টিপ। একই সীমাবদ্ধতা রেজিস্ট্রি ব্যবহার করে সেট করা যায় Deny_All নামে DWORD প্যারামিটার তৈরি করে যার মান 00000001 রেজিস্ট্রি কী HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\RemovableStorageDevices-এ।
এই পলিসি সেকশনে আপনি এক্সটার্নাল USB ড্রাইভ ব্যবহারের ওপর আরও ফ্লেক্সিবল সীমাবদ্ধতা কনফিগার করতে পারেন।
উদাহরণস্বরূপ, USB ফ্ল্যাশ ড্রাইভ এবং অন্যান্য টাইপের USB ড্রাইভে ডেটা লিখা রোধ করতে, আপনাকে পলিসি Removable Disk: Deny write access সক্রিয় করতে হবে।
এই ক্ষেত্রে, ইউজাররা USB ফ্ল্যাশ ড্রাইভ থেকে ডেটা পড়তে পারবে, কিন্তু সেখানে ইনফরমেশন লিখার চেষ্টা করলে অ্যাক্সেস ডেনাইড এরর পাবে:
Destination Folder Access Denied You need permission to perform this action
আপনি USB-ড্রাইভ থেকে এক্সিকিউটেবল এবং স্ক্রিপ্ট ফাইল রান করা বন্ধ করতে পারেন Removable Disks: Deny execute access পলিসি ব্যবহার করে।
নির্দিষ্ট ইউজারদের জন্য GPO দিয়ে USB ড্রাইভ নিষ্ক্রিয় করা
খুব সময় ডোমেনে সব ইউজারের জন্য USB ড্রাইভ ব্লক করতে হয় অ্যাডমিনিস্ট্রেটররা বাদ দিয়ে।
এটি করার সবচেয়ে সহজ পথ হলো GPO-তে Security Filtering ব্যবহার করা। উদাহরণস্বরূপ, Domain Admins গ্রুপে USB ব্লক পলিসি প্রয়োগ না হলে:
- Group Policy Management কনসোলে আপনার Disable USB Access পলিসি সিলেক্ট করুন;
- Security Filtering সেকশনে Domain Admins গ্রুপ যোগ করুন;
- Delegation ট্যাবে যান এবং Advanced ক্লিক করুন। সিকিউরিটি সেটিংস এডিটরে, Domain Admins গ্রুপের জন্য এই GPO প্রয়োগ করা নিষিদ্ধ করুন (Apply group policy – Deny)।
এক আরো টাস্ক হতে পারে — আপনাকে সবার জন্য এক্সটার্নাল USB ড্রাইভ ব্যবহার অনুমতি দিতে হবে একটি নির্দিষ্ট ইউজার গ্রুপ বাদ দিয়ে। "Deny USB" নামে একটি সিকিউরিটি গ্রুপ তৈরি করুন এবং এই গ্রুপকে GPO-এর সিকিউরিটি সেটিংসে যোগ করুন। এই গ্রুপের জন্য পলিসি পড়া এবং প্রয়োগ করার পারমিশন দিন, এবং Authenticated Users বা Domain Computers গ্রুপের জন্য শুধু পড়ার পারমিশন রেখে দিন (Apply group policy চেকবক্স আনচেক করুন)।
রেজিস্ট্রি এবং Group Policy Preferences দিয়ে USB এবং রিমুवेবল ডিভাইস ব্লক করা
আপনি এক্সটার্নাল ডিভাইস অ্যাক্সেস আরও ফ্লেক্সিবলভাবে কন্ট্রোল করতে পারেন উপরে আলোচনা করা পলিসিগুলোর রেজিস্ট্রি সেটিংস Group Policy Preferences (GPP) দিয়ে কনফিগার করে। উপরের সকল পলিসি HKLM (বা HKCU) \SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices কীতে নির্দিষ্ট রেজিস্ট্রি কী cúpula Amtspru (ডিফল্টভাবে এই রেজিস্ট্রি কী অনুপস্থিত থাকে)।
এই পলিসিগুলোর যেকোনো একটি সক্রিয় করতে, আপনাকে নির্দিষ্ট কীতে আপনি যেই ডিভাইস ক্লাস ব্লক করতে চান তার নামে (কলাম ২) একটি নতুন সাবকী তৈরি করতে হবে এবং রেজিস্ট্রি প্যারামিটার Deny_Read, Deny_Write বা Deny_Execute টাইপের REG_DWORD তৈরি করতে হবে। এই প্যারামিটারের মান যদি 1 হয়, তবে USB সীমাবদ্ধতা সক্রিয়, যদি 0 হয় তবে এই ডিভাইস ক্লাসের ওপর কোনো সীমাবদ্ধতা নেই।
| Policy name | Device Class GUID | Registry parameter name |
| Floppy Drives: Deny read access |
{53f56311-b6bf-11d0-94f2-00a0c91efb8b} | Deny_Read |
| Floppy Drives: Deny write access |
{53f56311-b6bf-11d0-94f2-00a0c91efb8b} | Deny_Write |
| CD and DVD: Deny read access |
{53f56308-b6bf-11d0-94f2-00a0c91efb8b} | Deny_Read |
| CD and DVD: Deny write access |
{53f56308-b6bf-11d0-94f2-00a0c91efb8b} | Deny_Write |
| Removable Disks: Deny read access |
{53f5630d-b6bf-11d0-94f2-00a0c91efb8b} | Deny_Read |
| Removable Disks: Deny write access |
{53f5630d-b6bf-11d0-94f2-00a0c91efb8b} | Deny_Write |
| Tape Drives: Deny read access |
{53f5630b-b6bf-11d0-94f2-00a0c91efb8b} | Deny_Read |
| Tape Drives: Deny write access |
{53f5630b-b6bf-11d0-94f2-00a0c91efb8b} | Deny_Write |
| WPD Devices: Deny read access |
{6AC27878-A6FA-4155-BA85-F98F491D4F33} {F33FDC04-D1AC-4E8E-9A30-19BBD4B108AE} |
Deny_Read |
| WPD Devices: Deny write access |
{6AC27878-A6FA-4155-BA85-F98F491D4F33} {F33FDC04-D1AC-4E8E-9A30-19BBD4B108AE} |
Deny_Write |
আপনি ম্যানুয়ালি নির্দিষ্ট রেজিস্ট্রি কী এবং প্যারামিটার তৈরি করতে পারেন। নিচের স্ক্রিনশটে, আমি একটি RemovableStorageDevices কী তৈরি করেছি, এবং একটি সাবকী নাময় {53f5630d-b6bf-11d0-94f2-00a0c91efb8b}। REG_DWORD প্যারামিটার দিয়ে আমি USB ড্রাইভে লিখা এবং এক্সিকিউটেবল রান করা নিষিদ্ধ করেছি।
USB স্টোরেজ নিষ্ক্রিয়তা পলিসি প্রয়োগ হওয়ার সাথে সাথে কার্যকর হয়ে যায় (কম্পিউটার রিস্টার্ট করার প্রয়োজন নেই)। যদি একটি USB ফ্ল্যাশ ড্রাইভ কম্পিউটারের সাথে সংযুক্ত থাকে, তবে এটি রিকানেক্ট না হওয়া পর্যন্ত উপলব্ধ থাকবে।
আপনি এই রেজিস্ট্রি কী এবং GPP-এর Item-level targeting ব্যবহার করে এক্সটার্নাল USB স্টোরেজ ডিভাইস ব্যবহারের সীমাবদ্ধতা পলিসি ফ্লেক্সিবলভাবে প্রয়োগ করতে পারেন। আপনি পলিসি নির্দিষ্ট AD সিকিউরিটি গ্রুপ, সাইট, OS ভার্সন, OU-তে প্রয়োগ করতে পারেন (WMI ফিল্টারও ব্যবহার করতে পারেন)। উদাহরণস্বরূপ, আপনি Storage-Devices-Restrict ডোমেন গ্রুপ তৈরি করতে পারেন এবং সেই কম্পিউটার অ্যাকাউন্টগুলো যোগ করতে পারেন যেগুলোর জন্য আপনি USB ড্রাইভ ব্যবহারের ওপর সীমাবদ্ধতা চান। এই গ্রুপকে আপনার GPP পলিসিতে Item Level Targeting → Security Group সেকশনে Computer in Group অপশন দিয়ে নির্দিষ্ট করুন। এতে USB ব্লকিং পলিসি সেই কম্পিউটারগুলোর ওপর প্রয়োগ হবে যেগুলো এই AD গ্রুপে যোগ করা আছে।
নোট। একইভাবে, আপনি এই তালিকায় নেই এমন ডিভাইস ক্লাসের জন্য নিজস্ব পলিসি তৈরি করতে পারেন। আপনি ড্রাইভার প্রপার্টিজে Device Class GUID অ্যাট্রিবিউটের মান থেকে ডিভাইস ক্লাস ID জানতে পারেন।
রেজিস্ট্রি দিয়ে USB Storage Driver নিষ্ক্রিয় করা
আপনি সম্পূর্ণরূপে USBSTOR (USB Mass Storage Driver) ড্রাইভার নিষ্ক্রিয় করতে পারেন, যা USB স্টোরেজ ডিভাইস সঠিকভাবে সনাক্ত ও মাউন্ট করার জন্য আবশ্যক।
স্ট্যান্ড-আলোন কম্পিউটারে, আপনি এই ড্রাইভার নিষ্ক্রিয় করতে পারেন Start রেজিস্ট্রি প্যারামিটারের মান 3 থেকে 4 এ পরিবর্তন করে। PowerShell দিয়ে এটি করতে পারেন:
Set-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\services\USBSTOR" -name Start -Value 4
কম্পিউটার রিস্টার্ট করুন এবং আপনার USB স্টোরেজ ডিভাইস সংযুক্ত করার চেষ্টা করুন। এখন এটি File Explorer বা Disk Management কনসোলে দৃশ্যমান হওয়া উচিত নয়, এবং Device Manager-এ ডিভাইস ড্রাইভার ইনস্টলেশন এরর দেখাবে।
নোট। পুরনো Windows XP/Windows Server 2003-এ USB ড্রাইভ নিষ্ক্রিয় করার একমাত্র উপায় এই, কারণ এই ভার্সনগুলোর মধ্যে এক্সটার্নাল USB ডিভাইস অ্যাক্সেস সীমাবদ্ধ করার আলাদা Group Policy সেটিং নেই।
আপনি ডোমেন কম্পিউটারগুলোর ওপর USBSTOR ড্রাইভার চলাচল বন্ধ করতে Group Policy Preferences ব্যবহার করতে পারেন। এজন্য আপনাকে GPO দিয়ে রেজিস্ট্রি পরিবর্তন করতে হবে।
এই সেটিংস সব ডোমেন কম্পিউটারে ডিপ্লয় করা যায়। একটি নতুন Group Policy তৈরি করুন, কম্পিউটারগুলোর OU-তে লিংক করুন এবং Computer Configuration → Preferences → Windows Settings → Registry সেকশনে একটি নতুন প্যারামিটার তৈরি করুন এই মানগুলো দিয়ে:
- Action: Update
- Hive: HKEY_LOCAL_MACHINE
- Key path: SYSTEM\CurrentControlSet\Services\USBSTOR
- Value name: Start
- Value type: REG_DWORD
- Value data: 00000004
শুধু একটি নির্দিষ্ট USB স্টোরেজ ডিভাইস কানেক্ট করার অনুমতি দেওয়া
আপনি একটি নির্দিষ্ট রেজিস্ট্রি সেটিং ব্যবহার করে একটি নির্দিষ্ট (অনুমোদিত) USB স্টোরেজ ড্রাইভকে আপনার কম্পিউটারের সাথে কানেক্ট করার অনুমতি দিতে পারেন। আসুন দ্রুত দেখি এটি কীভাবে কনফিগার করা যায়।
আপনি যখন যেকোনো USB স্টোরেজ ডিভাইস কম্পিউটারের সাথে সংযুক্ত করেন, USBSTOR ড্রাইভার ডিভাইসটি ইনস্টল করে এবং HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR এর অধীনে একটি আলাদা রেজিস্ট্রি কী তৈরি করে। এই রেজিস্ট্রি কীতে USB ড্রাইভ সম্পর্কিত তথ্য থাকে (উদাহরণস্বরূপ, Disk & Ven_Kingstom & Prod_DT_1010_G2 & Rev_12.00)।
আপনার কম্পিউটারের সাথে যেসব USB ড্রাইভ কোনো সময় সংযুক্ত হয়েছিল, তাদের তালিকা নিচের PowerShell কমান্ড দিয়ে পাওয়া যায়:
Get-ItemProperty –Path HKLM:\SYSTEM\CurrentControlSet\Enum\USBSTOR\*\*| select FriendlyName
আপনি আগে সংযুক্ত USB ফ্ল্যাশ ড্রাইভের সব রেজিস্ট্রি কী ডিলিট করতে পারেন, সেটি বাদ দিয়ে যা আপনার প্রয়োজন।
তারপর USBSTOR রেজিস্ট্রি কী-র ওপর পারমিশন পরিবর্তন করুন যাতে সবাই (SYSTEM এবং অ্যাডমিনিস্ট্রেটর সহ) শুধু রিড-অনলি পারমিশন পায়। ফলস্বরূপ, অনুমোদিত ড্রাইভ ছাড়া যেকোনো USB ড্রাইভ সংযুক্ত করলে Windows ডিভাইসটি ইনস্টল করতে পারবে না।
