☰

usbguardルールはすべてのキーボードとマウスを受け入れます

tag-icon • tag-icon usbguard
usbguardルールはすべてのキーボードとマウスを受け入れます

このファイルは/etc/usbguard/rules.conf以下で生成されたファイルです。usbguard generate-policy > /etc/usbguard/rules.conf

これは、有線キーボードと有線マウスのみが接続されているDell Optiplexコンピュータにあります。RHEL-8.9そしてusbguard-1.0.0-13.el8.x86_64

allow id 1d6b:0002 serial "0000:00:1d.0" name "EHCI Host Controller" hash "WHBTxNaEoMGNSNc31KpFNSAeFF4HbLMQgSBqORlC6S8=" parent-hash "jW2YTPWRLeQOE7Q8I2f0pdN13zFYXVQGQoNmr1gDZgg=" with-interface 09:00:00 with-connect-type ""
allow id 1d6b:0002 serial "0000:00:14.0" name "xHCI Host Controller" hash "jEP/6WzviqdJ5VSeTUY8PatCNBKeaREvo2OqdplND/o=" parent-hash "rV9bfLq7c2eA4tYjVjwO4bxhm+y6GgZpl9J60L0fBkY=" with-interface 09:00:00 with-connect-type ""
allow id 1d6b:0002 serial "0000:00:1a.0" name "EHCI Host Controller" hash "ej1WVedyLyUMLiQxzEcrwbY45zCodwV85Kzy7hm2Gv4=" parent-hash "e/RW0mMbM+TSFQxpRiMEfL7/3RJfKVdqffBm9F5qA+E=" with-interface 09:00:00 with-connect-type ""
allow id 1d6b:0003 serial "0000:00:14.0" name "xHCI Host Controller" hash "3Wo3XWDgen1hD5xM3PSNl3P98kLp1RUTgGQ5HSxtf8k=" parent-hash "rV9bfLq7c2eA4tYjVjwO4bxhm+y6GgZpl9J60L0fBkY=" with-interface 09:00:00 with-connect-type ""
allow id 8087:0024 serial "" name "" hash "Zx7v0FMQEjScKSAFENAiobEs1OGPPB0YWR+yXDCVE04=" parent-hash "WHBTxNaEoMGNSNc31KpFNSAeFF4HbLMQgSBqORlC6S8=" via-port "1-1" with-interface 09:00:00 with-connect-type "hardwired"

allow id 0461:4d51 serial "" name "DELL Laser Mouse" hash "w2bwgTsGy6TVhOOr7smHrvF8PtmYVKQwxbqgA5betmI=" parent-hash "jEP/6WzviqdJ5VSeTUY8PatCNBKeaREvo2OqdplND/o=" via-port "2-3" with-interface 03:01:02 with-connect-type "hotplug"
allow id 413c:2003 serial "" name "Dell USB Keyboard" hash "3eEGsGE566EIofQwRf06EINoPRynZIa/09c3uyy4TTY=" parent-hash "jEP/6WzviqdJ5VSeTUY8PatCNBKeaREvo2OqdplND/o=" via-port "2-4" with-interface 03:01:01 with-connect-type "hotplug"

allow id 8087:0024 serial "" name "" hash "kv3v2+rnq9QvYI3/HbJ1EV9vdujZ0aVCQ/CGBYIkEB0=" parent-hash "ej1WVedyLyUMLiQxzEcrwbY45zCodwV85Kzy7hm2Gv4=" via-port "3-1" with-interface 09:00:00 with-connect-type "hardwired"

allow id 0461:4d22 serial "" name "USB Optical Mouse" hash "OZ6XJQmjdeDg7Dp2MelZt+ewNTtdNTt92FtGPI0VPAc=" parent-hash "kv3v2+rnq9QvYI3/HbJ1EV9vdujZ0aVCQ/CGBYIkEB0=" via-port "3-1.4" with-interface 03:01:02 with-connect-type "hotplug"

ルールファイルに最後の行がないと、2番目のマウスを挿入すると機能しないため、このルールファイルはキーボードとマウスに固有のものであることがわかります。

私の質問は - これが可能であると聞きました - すべてのキーボードとマウスをシステムの[すべてのUSBポートに]接続できるようにルール構文を作成するにはどうすればよいですか？

ボーナス質問：有線USB kybdとマウスをUSBポート付きモニターに接続し、そのモニターからコンピューターのUSBポートに接続されているUSBケーブルがある場合は、すべてのモニターを許可するようにホワイトリストに追加できますか？

ベストアンサー1

生成されたルールは、キーボードとマウスにのみ適用されるのではなく、ルールが作成されたときにシステムに接続されているデバイスにのみ適用されます。

キーボードとマウスを許可するには、次を使用します。これに一致するルール:

allow with-interface one-of { 03:00:01 03:01:01 03:00:02 03:01:02 }

コロンで区切られた各三重項では、最初の値はインタフェースクラス、2番目の値はインタフェースサブクラス、3番目の値はインタフェースプロトコルです。カテゴリー3は「ヒューマンインターフェース機器」です。サブクラス 0 と 1 を指定すると、起動デバイスと非起動デバイスを一致させることができます。プロトコル1はキーボード、プロトコル2はマウスです。

ドキュメントには、最初のキーボードのみを許可するよりエキゾチックなバリエーションが記載されています。

allow with-interface one-of { 03:00:01 03:01:01 } if !allowed-matches(with-interface one-of { 03:00:01 03:01:01 })

これは、プロトコルを2に変更することでマウスに合わせて調整できます。

モニターの場合、ほとんどの場合、関連する機能はインターフェースクラス9です。

allow with-interface equals { 09:*:* }

おすすめ記事