12.6. Creación de una política personalizada estructurada para los dispositivos USB

Procedimiento

1. Cree una política que autorice los dispositivos USB actualmente conectados, y almacene las reglas generadas en un nuevo archivo .conf, por ejemplo, policy.conf.

   # usbguard generate-policy --no-hashes > ./policy.conf

   La opción --no-hashes no genera atributos hash para los dispositivos. Evita los atributos hash en tus ajustes de configuración porque podrían no ser persistentes.

2. Visualice el policy.conf archivo con un editor de texto de su elección, por ejemplo:

   # vi ./policy.conf
   ...
   allow id 04f2:0833 serial "" name "USB Keyboard" via-port "7-2" with-interface { 03:01:01 03:00:00 } with-connect-type "unknown"
   ...

3. Mover las líneas seleccionadas a un archivo separado .conf.

   Nota

   Los dos dígitos al principio del nombre del archivo especifican el orden en que el demonio lee los archivos de configuración.

   Por ejemplo, copie las reglas de sus teclados en un nuevo archivo .conf.

   # grep "USB Keyboard" ./policy.conf > ./10keyboards.conf

4. Instale la nueva política en el directorio /etc/usbguard/rules.d/.

   # install -m 0600 -o root -g root 10keyboards.conf /etc/usbguard/rules.d/10keyboards.conf

5. Mueve el resto de las líneas a un archivo principal rules.conf.

   # grep -v "USB Keyboard" ./policy.conf > ./rules.conf

6. Instale las reglas restantes.

   # install -m 0600 -o root -g root rules.conf /etc/usbguard/rules.conf

7. Reinicie el demonio usbguard para aplicar los cambios.

   # systemctl restart usbguard

Pasos de verificación

1. Muestra todas las reglas activas de USBGuard.

   # usbguard list-rules
   ...
   15: allow id 04f2:0833 serial "" name "USB Keyboard" hash "kxM/iddRe/WSCocgiuQlVs6Dn0VEza7KiHoDeTz0fyg=" parent-hash "2i6ZBJfTl5BakXF7Gba84/Cp1gslnNc1DM6vWQpie3s=" via-port "7-2" with-interface { 03:01:01 03:00:00 } with-connect-type "unknown"
   ...

2. Muestra el contenido del archivo rules.conf y todos los archivos .conf en el directorio /etc/usbguard/rules.d/.

   # cat /etc/usbguard/rules.conf /etc/usbguard/rules.d/*.conf

3. Compruebe que las reglas activas contienen todas las reglas de los archivos y están en el orden correcto.