Danh sách cho phép là gì

Danh sách cho phép các thiết bị USB là một biện pháp bảo mật nhằm hạn chế các thiết bị có thể truy cập vào máy tính, chỉ cho phép các thiết bị cụ thể, đã được phê duyệt trong "danh sách cho phép". Điều này ngăn ngừa việc các thiết bị USB không xác định hoặc không đáng tin cậy gây ra các vi phạm dữ liệu hoặc chuyển giao dữ liệu trái phép, đồng thời cắt đứt một vector phổ biến cho phần mềm độc hại.

Danh sách cho phép theo Mã nhận dạng người bán hoặc Mã nhận dạng sản phẩm (VID/PID) cho phép các quản trị viên điểm cuối khả năng cấp quyền cho các thiết bị USB cụ thể dựa trên mã nhận dạng duy nhất của chúng. Chỉ các thiết bị có sự kết hợp VID/PID trùng khớp mới được quyền kết nối và hoạt động. Tùy thuộc vào phần mềm bảo mật hoặc hệ điều hành được sử dụng, các bước cụ thể để lập danh sách cho phép có thể khác nhau. Nói chung, quy trình này bao gồm việc nhận diện VID và PID của thiết bị, sau đó thêm chúng vào danh sách cho phép.

VID/PID là gì?

Một thiết bị USB, khi được cắm vào, sẽ tự nhận diện qua sự kết hợp VID/PID của thiết bị. VID (Mã nhận dạng người bán) là một số 16-bit của người bán. PID (Mã nhận dạng sản phẩm) là một số 16-bit của sản phẩm. Kết hợp giữa VID và PID, cùng nhau, tạo thành một mã nhận dạng duy nhất cho thiết bị, giống như một mã vạch mà hệ thống có thể sử dụng để nhận diện và tương tác với thiết bị đó. Một máy chủ có thể sử dụng sự kết hợp VID/PID để tìm ra trình điều khiển phù hợp cho thiết bị USB, nếu có.

Tại sao sử dụng cả VID và PID?

Có nhiều cấp độ bảo vệ đối với các thiết bị lưu trữ USB, tùy thuộc vào phương thức. Việc sử dụng mã nhận dạng người bán và mã nhận dạng sản phẩm của các thiết bị lưu trữ USB để đưa vào danh sách cho phép vừa hiệu quả lại đơn giản. Mỗi nhà sản xuất thiết bị ngoại vi USB đều có một VID duy nhất, nhưng PID thay đổi đối với mỗi sản phẩm mới được phát hành. Về danh sách cho phép, chỉ sử dụng VID của nhà sản xuất là quá rộng để đảm bảo an toàn: tất cả các thiết bị USB mà nhà sản xuất từng sản xuất đều sẽ được phép sử dụng. PID riêng lẻ là một phương pháp bảo mật tinh vi hơn, hạn chế quyền truy cập vào hệ thống máy chủ chỉ cho phép một mẫu sản phẩm cụ thể. Tuy nhiên, đây không phải là giải pháp hoàn hảo, vì người dùng có thể có cơ hội mua các thiết bị phù hợp với mẫu sản phẩm đã được phê duyệt trên thị trường tiêu dùng.

Chương trình tùy chỉnh của Kingston có thể tạo và áp dụng các hồ sơ PID tùy chỉnh cho từng doanh nghiệp cho một loạt các ổ USB flash mã hóa của Kingston. Liên hệ đại diện Kingston để tìm hiểu thêm.

Lợi ích của danh sách cho phép

• Danh sách cho phép cung cấp khả năng kiểm soát chặt chẽ hơn, bằng cách để quyền truy cập thiết bị chỉ cho phép các thiết bị cụ thể, trong khi chặn hầu hết các thiết bị khác.
• Danh sách cho phép giải phóng nhân viên khỏi nhiệm vụ giám sát, giúp tiết kiệm thời gian và tài nguyên, tăng hiệu quả.
• Rõ ràng là, danh sách cho phép giúp nâng cao bảo mật mạng, làm cho việc xâm nhập vào hệ thống của bạn trở nên khó khăn hơn nhờ vào việc chặn tất cả các thiết bị chưa được phê duyệt. Các thiết bị USB không được phê duyệt là một vector phổ biến của phần mềm độc hại, có thể gây ra nhiều tác hại đối với doanh nghiệp của bạn, như rò rỉ dữ liệu.
• Vì lý do này, danh sách cho phép là một hình thức hiệu quả của DLP (ngăn ngừa mất dữ liệu).
• Nhờ vào các lợi ích bảo mật, danh sách cho phép là một phương pháp hiệu quả để đảm bảo tuân thủ các quy định bảo vệ dữ liệu như HIPAA hoặc GDPR.

Các thay thế cho danh sách cho phép

Bạn có thể cho thiết bị vào danh sách cho phép dựa trên số sê-ri của thiết bị, nếu có. Thay thế khác bao gồm việc sử dụng lớp tùy chỉnh để nhóm các thiết bị theo loại hoặc theo các tiêu chí khác mà doanh nghiệp bạn cho là chấp nhận được.

Cách tìm VID/PID của một thiết bị

• Trên Windows: Nhấp vào Start. Nhập Device Manager, sau đó mở để xem tất cả thiết bị kết nối với máy tính của bạn. Chọn và nhấp đúp vào thiết bị của bạn. Đi tới thẻ Details. Trong menu thả xuống, chọn Parent để xem VID và PID.
• Trên macOS: Gõ ‘Thông tin hệ thống’ để vào thanh Tìm kiếm, sau đó nhấp vào Phần cứng. Bạn sẽ tìm thấy VID/PID của thiết bị USB trong thông tin của ổ đĩa đó.
• Trên Linux: Nhập lệnh ‘lsusb’ trong cửa sổ dòng lệnh của bạn. Bạn sẽ thấy các cặp VID và PID được liệt kê cho từng thiết bị USB kết nối với máy tính của bạn.

Kết hợp VID/PID của Kingston IronKey™

* Trong một số trường hợp hiếm hoi ở các môi trường bị giới hạn, ổ USB mã hóa có thể chuyển sang chế độ HID. Nếu điều này xảy ra, mã PID của HID cũng cần được đưa vào danh sách cho phép bên cạnh PID tiêu chuẩn.
** Một số giải pháp điểm cuối sẽ hiển thị giá trị VID/PID dưới dạng thập phân, thay vì các giá trị thập lục phân tiêu chuẩn.

Tóm tắt

Quản lý điểm cuối là một vấn đề khó khăn đối với các doanh nghiệp ở mọi quy mô. Việc sử dụng thiết bị USB không kiểm soát có thể đe dọa tính toàn vẹn của hệ thống và dữ liệu, khiến doanh nghiệp phải chịu thiệt hại hàng triệu đô la, cùng với thiệt hại về uy tín. Trong khi đó, việc cấm hoàn toàn các thiết bị USB lại làm giảm khả năng làm việc linh hoạt và chia sẻ thông tin cần thiết trong doanh nghiệp của bạn. Danh sách cho phép cung cấp cho các doanh nghiệp một cách thức an toàn để cho phép nhân viên sử dụng các thiết bị đã được phê duyệt mà không để lại cửa hậu cho phần mềm độc hại và các vấn đề bảo mật khác. Hồ sơ PID tùy chỉnh của Kingston dành cho từng tổ chức mang đến một giải pháp riêng biệt giúp đơn giản hóa việc lên danh sách cho phép và tăng cường bảo mật.