Windows: Group Policy и PowerShell

# GPO путь: Computer Configuration → Administrative Templates →
# Windows Components → Microsoft Defender Antivirus → Scan

# Включение сканирования съемных дисков при подключении
Set-MpPreference -DisableRemovableDriveScanning $false

# Настройка действия при обнаружении угрозы
Set-MpPreference -RemovableDriveScanOption 2  # 2 = Quarantine

# Исключение доверенных устройств по VID/PID
New-ItemProperty -Path "HKLM:SOFTWAREPoliciesMicrosoftWindows DefenderExclusionsRemovableDrives" `
  -Name "USBVID_1234&PID_5678" -Value 1 -PropertyType DWORD -Force

# Скрипт для обработки события подключения через Task Scheduler
$action = New-ScheduledTaskAction -Execute "powershell.exe" `
  -Argument "-File C:ScriptsScan-Removable.ps1"
$trigger = New-ScheduledTaskTrigger -AtLogon
Register-ScheduledTask -TaskName "RemovableScan" -Action $action -Trigger $trigger

Для централизованного управления я использую Group Policy Preferences или конфигурационные менеджеры. Важно тестировать политики на пилотной группе перед массовым внедрением.

Linux: udev правила и ClamAV

# /etc/udev/rules.d/99-removable-scan.rules
ACTION=="add", SUBSYSTEM=="block", ENV{ID_FS_TYPE}=="vfat|ntfs|exfat", 
  RUN+="/usr/local/bin/scan-removable.sh %k"

# /usr/local/bin/scan-removable.sh
#!/bin/bash
DEVICE="/dev/$1"
MOUNT_POINT="/mnt/scan_$1"
LOG_FILE="/var/log/removable-scan.log"

# Блокируем автоматическое монтирование
udevadm settle --timeout=10

# Создаем временную точку монтирования
mkdir -p "$MOUNT_POINT"
mount -o ro "$DEVICE" "$MOUNT_POINT" 2>/dev/null

# Запускаем сканирование ClamAV с карантином
clamscan -r --move=/var/quarantine 
  --log="$LOG_FILE" 
  --alert-exit-code=1 
  "$MOUNT_POINT"

SCAN_RESULT=$?

# Размонтируем и очищаем
umount "$MOUNT_POINT"
rmdir "$MOUNT_POINT"

# Генерируем событие для SIEM
if [ $SCAN_RESULT -eq 1 ]; then
  logger -t removable-scan "THREAT_DETECTED device=$DEVICE"
fi

exit $SCAN_RESULT

Для production-сред я добавляю AppArmor профиль для скрипта и настраиваю auditd для отслеживания всех операций с removable media.

Форматы событий для SIEM

# Пример события в CEF формате
CEF:0|SecurityVendor|RemovableScanner|1.0|THREAT_DETECTED|
Malware found on removable media|8|
deviceExternalId=USB_12345
src=192.168.1.100
fileName=invoice.exe
fileHash=sha256:a1b2c3d4...
threatName=Trojan.Win32.Generic
action=Quarantined
user=DOMAINjohn.doe

# Пример в JSON для REST API
{
  "timestamp": "2026-02-27T14:23:01Z",
  "event_type": "removable_scan_result",
  "device": {
    "serial": "ABCD1234",
    "vendor_id": "1234",
    "product_id": "5678",
    "mount_point": "E:"
  },
  "scan_result": {
    "status": "threat_detected",
    "threats": [
      {
        "file_path": "/documents/report.exe",
        "signature": "Trojan.GenericKD.12345",
        "severity": "high",
        "action_taken": "quarantined"
      }
    ]
  },
  "user_context": {
    "username": "john.doe",
    "workstation": "WS-FINANCE-01",
    "department": "finance"
  }
}

Автоматизация реагирования через SOAR

[✓] Блокировка учетной записи пользователя при повторных детектах — почему: предотвращает lateral movement через скомпрометированный аккаунт

[✓] Изоляция рабочей станции от сети при критических угрозах — почему: ограничивает blast radius инцидента

[✓] Сбор артефактов для расследования — почему: сохраняет доказательства для forensic анализа

[✓] Уведомление SOC через тикет-систему — почему: обеспечивает своевременное реагирование аналитиков

Я настраиваю playbook с эскалацией: warning-события логируются, high-severity генерируют alert, critical запускают автоматические действия с подтверждением от аналитика.

Критерии добавления в whitelist

[✓] Устройство зарегистрировано в инвентаризационной системе — почему: гарантирует учет и контроль физического носителя

[✓] Владелец устройства подтвержден через корпоративный процесс — почему: обеспечивает ответственность за использование

[✓] Устройство прошло первичное сканирование без угроз — почему: исключает изначально зараженные носители

[✓] Срок действия whitelist ограничен 90 днями — почему: требует периодического пересмотра доверия

Исключения хранятся в централизованной базе с аудитом всех изменений. Автоматическое удаление по истечении срока предотвращает накопление устаревших правил.

Пример конфигурации исключений

# Windows: реестр через GPO
[HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindows DefenderExclusionsRemovableDrives]
"USBVID_8087&PID_0024ABCD1234"=dword:00000001
"USBVID_0781&PID_55834C53000123456789"=dword:00000001

# Linux: файл конфигурации сканера
# /etc/removable-scan/whitelist.conf
device:
  - serial: "ABCD1234"
    vendor_id: "8087"
    product_id: "0024"
    owner: "john.doe"
    department: "it"
    expires: "2026-05-27"
    reason: "Emergency recovery drive"
  - serial: "4C53000123456789"
    vendor_id: "0781"
    product_id: "5583"
    owner: "admin"
    department: "security"
    expires: "2026-04-15"
    reason: "Forensic analysis kit"

# Скрипт проверки whitelist при подключении
def is_whitelisted(device_info):
    key = f"{device_info['vendor']}:{device_info['product']}:{device_info['serial']}"
    entry = whitelist_db.get(key)
    if not entry:
        return False
    if datetime.now() > entry['expires']:
        remove_from_whitelist(key)
        return False
    return True