* * * Forum OXMO Message * * * -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=- Titre : [CONSEIL] verrouiller l'accès au floppy ? Lancé le 03-12-2003 11:47 par shakes808080 Téléchargé de https://www.forum.oxmo.org/showthread.php?threadid=23185 -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=- [Post 1] Auteur : shakes808080 Date : 03-12-2003 11:47 Titre : [CONSEIL] verrouiller l'accès au floppy ? A titre professionnel, je recherche quelque chose qui pourrait remplacer floplock. floplock était fourni avec NT4 et permettais de verrouiller le lecteur de disquette . le problème, c'est que je travaille sur un site où les utilisateurs sont administrateurs de leur propre PC . Et dans ce cas, floplock ne fonctionne pas. Je recherche une "bidouille" genre suppression clé de registre, afin de pouvoir réaliser l'opération pendant le script del login. J'aimerais éviter de devoir passer par un shareware. Donc si vous avez un truc genre bidouille clé de registre ou autre, je suis preneur ;) -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=- [Post 2] Auteur : soopajud Date : 03-12-2003 11:49 ben dans le bios tu désactives le floppy ! edit : oups j'avais pas vu... tu veux faire ça à distance ? si c'est ça je sais pas... -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=- [Post 3] Auteur : shakes808080 Date : 03-12-2003 11:52 [QUOTE][i]Message écrit par soopajud, le 03-12-2003 à 11:49 [/i] [B]ben dans le bios tu désactives le floppy ! edit : oups j'avais pas vu... tu veux faire ça à distance ? si c'est ça je sais pas... [/B][/QUOTE] effectivement, je ne me vois pas passer sur chacun des 500 PC du parc informatique pour faire la manip ;) -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=- [Post 4] Auteur : soopajud Date : 03-12-2003 11:53 ça peut peut etre t'aider : Sous Windows 98, je ne peux pas accéder à mon lecteur de disquettes. Sous Windows 98, l'accès au lecteur de disquettes a été accéléré par rapport à Windows 98.Cela peut parfois produire des problèmes (secteur non trouvé. ..non formaté. ..). D'autre part, il faut importer le fichier floppy.reg dans le registre. Si cela n'apporte rien et que l'accès au lecteur de disquettes est normal sous DOS, vous pouvez passer par le "Gestionnaire de périphériques'; faire un double clic sur le "Contrôleur de lecteur de disquettes" et activer la coche dans la case "Désactiver dans ce profil matériel': Voici le code du fichier floppy.reg: Créez-le simplement à l'aide d'un éditeur comme Notepad et tapez le code suivant: REGEDIT4 [HKEY_LOCAL-_ACHINE\System\Current-ControlSet\Services\Class\fdc\0000] "ForceFIFO"="0" Ensuite, exécutez ce fichier et effectuez un double clic. -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=- [Post 5] Auteur : soopajud Date : 03-12-2003 11:53 ou alors tu mets un troyen style subseven.... -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=- [Post 6] Auteur : Pateretou[2] Date : 03-12-2003 13:12 strategie de securite ? -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=- [Post 7] Auteur : shakes808080 Date : 03-12-2003 14:02 @soopajud : c'est un parc de PC sous XP désolé, j'aurais dû le préciser.... [QUOTE][i]Message écrit par Pateretou[2], le 03-12-2003 à 13:12 [/i] [B]strategie de securite ? [/B][/QUOTE] Oui, on y a pensé, mais le soucis c'est que tous les PC sont dans le même container AD. Et on ne veut pas verrouiller tout le monde, mais juste déverouiller les lecteurs des utilisateurs qui appartiennent à un groupe spécifique (genre "floppy_ok") qui existe déjà et qui est renseigné correctement... -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=- [Post 8] Auteur : Pateretou[2] Date : 03-12-2003 18:58 ah ben alors j'sais pas .... -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=- [Post 9] Auteur : Pateretou[2] Date : 11-12-2003 17:50 si ca repond a ton pb ..... Subject: RE: How to disable all floppy drives on the network My bet in this case is your husband does not have full administrative rights on the workstation and thus cannot install/add any hardware devices to the system. -----Original Message----- From: Leung, Annie LDB:EX [mailto:annie.leung@bcliquorstores.com] Sent: Wednesday, December 10, 2003 2:41 PM To: 'Jannie Hanekom'; [email]focus-ms@securityfocus.com[/email] Cc: [email]sakaba@alexandria.cc[/email] Subject: RE: How to disable all floppy drives on the network FYI. I bought a USB storage device of 64 MB early this year. I gave it to my husband for him to save his PowerPoint files at work. However, his workstation failed to accept it and he asked their administrator who said it is the company policy that they don't allow these devices and the platform actually configured to not accept these USB devices. I don't know how do they do that, by workstation or by GPO, don't know. Annie Leung -----Original Message----- From: Jannie Hanekom [mailto:j_hanekom@hotmail.com] Sent: Wednesday, December 10, 2003 11:02 AM To: [email]focus-ms@securityfocus.com[/email] Cc: [email]sakaba@alexandria.cc[/email] Subject: RE: How to disable all floppy drives on the network If you can disable the "Floppy Disk" driver through a policy, you'll probably meet management's requirement, though many would see the logic as flawed. The "Hide these specified drives" user policy is also quite useful in enforcing this type of limit. Note that disabling the floppy driver doesn't prevent people from sticking in ZIP drives, LS-120 drives, CD Writers, USB Storage Keys, Infrared, USB Wireless LAN adapters, printers, or any other type of removable storage/transfer mechanism. Hiding drives is somewhat useful for that, but you'll have to disable the Command Prompt in conjunction with that. (Any application that doesn't use the standard Windows File Open/Save/Browse dialogs will still provide access to the removable device.) The floppy disk driver key is at: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Flpydisk You can change the "Start" type to one of the following: 0x00 Boot 0x01 System 0x02 Auto load 0x03 Load on demand 0x04 Disabled You can possibly set up your own ADM template for this, but I'm speculating it will be possible to add this into the "System Services" list in Group Policies. Try adding the following into the relevant policy's GptTmpl.inf file in Sysvol\\Policies\\Machine\Microsoft\Windows NT\SecEdit: [Service General Setting] FlpyDisk,4,"D:AR(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSD RCWDWO;;;SY)" You can get the UUID of the policy by displaying its properties in AD Users & Computers. The line above should add a "FlpyDisk" entry under System Services in the group policy you added it to. Open the Group Policy, change anything (just to notify AD that it has changed) and close it. I've not tested it, but in theory applying the policy now will disable the floppy driver. Just be careful with applying this policy to all computers - limit "Apply Group Policy" to only a test set of workstations to verify that this actually works. Jannie -----Original Message----- From: Sakaba [mailto:Sakaba@alexandria.cc] Sent: 10 December 2003 05:46 To: [email]focus-ms@securityfocus.com[/email] Subject: How to disable all floppy drives on the network Hi everyone, I got a AD network running mostly Win2k and WinXP. All our client PCs have floppy drives but I've been asked by management to remove them to prevent users from putting data on floppies which short of encrypting the files lack security. This is obviously very time consuming so I'm looking for a way to simply disable them. - The group policy setting that limits access to the locally logged in user is no good because the drive still shows up to many applications that were installed under local admin. - I can disable each drive via AD users/computers-->manage computer (one at a time)-->disable floppy device. This is very time consuming because I can't manage multiple computers at a time and we are talking about thousands of boxes. I was thinking maybe a WMI script might do it but I'm a neopyte in that area so I'm not sure. Any ideas? Best Regards, sakaba --------------------------------------------------------------------------- --------------------------------------------------------------------------- --------------------------------------------------------------------------- --------------------------------------------------------------------------- --------------------------------------------------------------------------- --------------------------------------------------------------------------- --------------------------------------------------------------------------- --------------------------------------------------------------------------- ? Help < MsgIndex P PrevMsg - PrevPage D Delete R Reply O OTHER CMDS > ViewAttch N NextMsg Spc NextPage U Undelete F Forward -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=- [Post 10] Auteur : Benmars Date : 11-12-2003 18:52 * Essaie ça : Démarrer > paramètres > Panneau de configuration > Outils d'administration > Gestion de l'ordinateur > Stockage > Stockage amovible > Bibliothèques > click droit sur le lecteur > Propriétés > Sécutité > Autorisation pour administrateur : - Utiliser : refuser - Contrôler : refuser (à tester) - Modifier : refuser (à tester) Tu fais une comparaison de base de registre avant/après pour cibler le changement et t'as plus qu'à monter le petit .reg pour automatiser le ON/OFF du floppy pour tous tes pc. * Sinon : [quote]Pour masquer le lecteur de disquette dans l'explorateur et ainsi empêcher son utilisation : Ouvrez l'éditeur de la base de registres. Développer l'arborescence en double-cliquant sur HKEY_CURRENT_USER, Software, Microsoft, Windows, CurrentVersion, Policies puis Explorer. Dans le menu Edition, cliquez sur Nouveau puis Valeur DWORD. Nommez-la NoDrives puis validez deux fois. Dans le champ Données, saisissez la valeur 1 puis cliquez sur OK. Fermez l'éditeur de la base de registres.[/quote] -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=- [Post 11] Auteur : shakes808080 Date : 11-12-2003 19:17 @pateretou : merci, j'essayerai ça au boulot ;) @benmars : je n'ai pas de lecteur de disquette dans la bibliotheque.... §jesaispas§. Mais je garde ta démarche sous le coude... -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=- [Post 12] Auteur : Benmars Date : 11-12-2003 19:33 Vu que je n'ai pas de lecteur de disquette installé, je ne peux vérifier. Regarde autour, dans le même genre d'idée. Sinon, applique le quote. -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=- [Post 13] Auteur : shakes808080 Date : 23-12-2003 00:13 merci à tous pour vos conseils ;) finalement, on s'en sort avec deux stratégies installées dans AD, dont une est prioritaire et n'est lisible que par le groupe "FLOPPY_OK"... -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-