12.6. Criação de uma política personalizada estruturada para dispositivos USB

Procedimento

1. Criar uma política que autorize os dispositivos USB atualmente conectados e armazenar as regras geradas em um novo arquivo .conf, por exemplo, policy.conf.

   # usbguard generate-policy --no-hashes > ./policy.conf

   A opção --no-hashes não gera atributos de hash para dispositivos. Evite atributos de hash em suas configurações, pois eles podem não ser persistentes.

2. Mostrar o policy.conf arquivo com um editor de texto de sua escolha, por exemplo:

   # vi ./policy.conf
   ...
   allow id 04f2:0833 serial "" name "USB Keyboard" via-port "7-2" with-interface { 03:01:01 03:00:00 } with-connect-type "unknown"
   ...

3. Mova as linhas selecionadas para um arquivo .conf separado.

   Nota

   Os dois dígitos no início do nome do arquivo especificam a ordem na qual o daemon lê os arquivos de configuração.

   Por exemplo, copie as regras para seus teclados em um novo arquivo .conf.

   # grep "USB Keyboard" ./policy.conf > ./10keyboards.conf

4. Instale a nova política no diretório /etc/usbguard/rules.d/.

   # install -m 0600 -o root -g root 10keyboards.conf /etc/usbguard/rules.d/10keyboards.conf

5. Mova o restante das linhas para um arquivo principal em rules.conf.

   # grep -v "USB Keyboard" ./policy.conf > ./rules.conf

6. Instale as demais regras.

   # install -m 0600 -o root -g root rules.conf /etc/usbguard/rules.conf

7. Reinicie o daemon usbguard para aplicar suas mudanças.

   # systemctl restart usbguard

Etapas de verificação

1. Exibir todas as regras ativas USBGuard.

   # usbguard list-rules
   ...
   15: allow id 04f2:0833 serial "" name "USB Keyboard" hash "kxM/iddRe/WSCocgiuQlVs6Dn0VEza7KiHoDeTz0fyg=" parent-hash "2i6ZBJfTl5BakXF7Gba84/Cp1gslnNc1DM6vWQpie3s=" via-port "7-2" with-interface { 03:01:01 03:00:00 } with-connect-type "unknown"
   ...

2. Exibir o conteúdo do arquivo rules.conf e todos os arquivos .conf no diretório /etc/usbguard/rules.d/.

   # cat /etc/usbguard/rules.conf /etc/usbguard/rules.d/*.conf

3. Verificar se as regras ativas contêm todas as regras dos arquivos e se estão na ordem correta.