Może zezwalać, ograniczać lub monitorować pamięć wymienną, drukarki, kamery, urządzenia interfejsu ludzkiego oraz połączenia przewodowe lub krótkiego zasięgu bezprzewodowe według tożsamości lub klasy urządzenia, użytkownika, punktu końcowego, operacji i kontekstu. Etykieta jest zmienna między systemami operacyjnymi i produktami bezpieczeństwa.
Kontrola urządzeń redukuje ścieżki dla złośliwego kodu, nieautoryzowanego transferu danych, alternatywnego rozruchu lub debugowania oraz bezpośredniego dostępu do pamięci. Polityka powinna zaczynać się od potrzeby operacyjnej, bo zablokowanie portu lub peryferium może też przerwać dostępność, konserwację, backup lub istotne przepływy pracy.
Najważniejsze punkty
Odkryj użycie i ryzykoInwentaryzuj interfejsy i klasy podłączanych urządzeń, zidentyfikuj legalnych właścicieli i przepływy pracy, sklasyfikuj dane mogące przez nie przechodzić i oceń scenariusze złośliwego oprogramowania, utraty, personifikacji, debugowania i dostępu do pamięci.
Egzekwuj konkretne uprawnieniaPreferuj reguły dla zatwierdzonych urządzeń, użytkowników, punktów końcowych i operacji, takich jak odczyt, zapis, wykonanie, drukowanie, synchronizacja lub ładowanie, zamiast niewyjaśnionej blokady uniwersalnej.
Chroń i weryfikujStosuj szyfrowanie i kontrole złośliwego oprogramowania tam, gdzie właściwe, loguj znaczące zdarzenia połączeń i transferów, zarządzaj wyjątkami i wygaśnięciem, testuj politykę na wspieranym sprzęcie i badaj próby obejścia.
Istotne ograniczenieDozwolony identyfikator nie dowodzi, że peryferium jest bezpieczne; identyfikatory mogą być generyczne lub podrabiane, a zaufane urządzenie może być skompromitowane. Kontrole mogą też przeoczyć niewspierane interfejsy, zaszyfrowane transfery, fotografie lub dane przenoszone przez dozwolone aplikacje.