Red Hat Training

A Red Hat training course is available for RHEL 8

12.4. Bloquear y autorizar permanentemente un dispositivo USB

Puede bloquear y autorizar permanentemente un dispositivo USB utilizando la opción -p. Esto añade una regla específica del dispositivo a la política actual.

Requisitos previos

  • El servicio usbguard está instalado y funcionando.

Procedimiento

  1. Configure SELinux para permitir que el demonio usbguard escriba reglas.

    1. Muestra los booleanos de semanage relevantes para usbguard. 

      # semanage boolean -l | grep usbguard
usbguard_daemon_write_conf     (off  ,  off)  Allow usbguard to daemon write conf
usbguard_daemon_write_rules    (on   ,   on)  Allow usbguard to daemon write rules

    2. Opcional: Si el booleano usbguard_daemon_write_rules está desactivado, actívelo. 

      # semanage boolean -m --on usbguard_daemon_write_rules

  2. Lista de dispositivos USB reconocidos por USBGuard: 

    # usbguard list-devices
1: allow id 1d6b:0002 serial "0000:00:06.7" name "EHCI Host Controller" hash "JDOb0BiktYs2ct3mSQKopnOOV2h9MGYADwhT+oUtF2s=" parent-hash "4PHGcaDKWtPjKDwYpIRG722cB9SlGz9l9Iea93+Gt9c=" via-port "usb1" with-interface 09:00:00
...
6: block id 1b1c:1ab1 serial "000024937962" name "Voyager" hash "CrXgiaWIf2bZAU+5WkzOE7y0rdSO82XMzubn7HDb95Q=" parent-hash "JDOb0BiktYs2ct3mSQKopnOOV2h9MGYADwhT+oUtF2s=" via-port "1-3" with-interface 08:06:50

  3. Autorizar permanentemente el dispositivo 6 para interactuar con el sistema: 

    # usbguard allow-device 6 -p

  4. Desautorizar permanentemente y eliminar el dispositivo 6: 

    # usbguard reject-device 6 -p

  5. Desautorizar permanentemente y retener el dispositivo 6: 

    # usbguard block-device 6 -p
Nota

USBGuard utiliza los términos block y reject con el siguiente significado:

  • block: no interactúe con este dispositivo por ahora.
  • reject: ignora este dispositivo como si no existiera.

Verificación

  1. Compruebe que las reglas de USBGuard incluyen los cambios realizados. 

    # usbguard list-rules

Recursos adicionales

  • Lista todas las opciones del comando usbguard: 

    $ usbguard --help
  • usbguard(1) página de manual