CrowdStrike Device Control instellen

De Apparaatbeheer module stelt je in staat het gebruik van USB-apparaten (USB-sticks, externe harde schijven, enz.) te controleren. Concreet maakt Apparaatbeheer het mogelijk een USB-apparaat Beleid: je definieert algemene regels die USB-apparaten toestaan of blokkeren op basis van hun klasse.

Wat mogelijk is:

• Configuratie per apparaattype

• Geïmplementeerd met CrowdStrike-beleidsregels, door jou of door het Stoïk SOC

• Configuratie van uitsluitingen (werkstation, apparaat)

• Kan worden beheerd met het “Device Manager” gebruikersrecht

Wat niet mogelijk is:

• Configuratie per endpoint

  • Dit zou vereisen dat elk endpoint wordt toegewezen aan specifieke groepen

Je kunt bijvoorbeeld een beleid maken om USB-opslagapparaten te blokkeren terwijl toegang tot andere USB-apparaatklassen wordt toegestaan.

• Implementatie door het Stoïk-team

• Zelfbedienings-implementatie

• Uitrol van beleid

1. Implementatie door het Stoïk-team

1.a. Definieer je controle doelstellingen

Bepaal wat je wilt afdwingen:

❌ Alle USB-apparaten blokkeren

👁️ Apparaten op alleen-lezen zetten

✅ Alleen specifieke modellen toestaan

📊 Gebruik monitoren / auditen zonder te blokkeren (observatiemodus)

1.b. Inventaris van toegestane of geblokkeerde apparaten

Voor elke USB-stick of elk apparaat dat je wilt toestaan of blokkeren:

• Sluit het aan op een werkstation

• Haal de hardware-identificaties op (Windows-procedure hieronder)

Handmatig, via de grafische interface:

• Apparaatbeheer > USB-apparaat

• Rechtermuisklik > Eigenschappen > Details > Hardware-ID's

Automatisch, via de PowerShell-console:

Get-PnpDevice -PresentOnly | Where-Object { $_.Class -eq "USB" }

Stuur de informatie naar het Stoïk-team via [email protected]:

• Vendor ID (VID)

• Product ID (PID)

• Serienummer (indien van toepassing)

1.c. Implementatie door het Stoïk-team

Een Stoïk-cybersecurity-ingenieur stelt de regels in en informeert je zodra de configuratie voltooid is.

2. Zelfbedienings-implementatie

Voor zelfbediening, vraag “Device Control Manager” toegang tot je CrowdStrike-console aan door een e-mail te sturen naar [email protected].

1. Ga naar Endpoint Security > USB Device Control > Policies

2. Klik Beleid maken

   1. Voer een naam en een optionele beschrijving in voor je beleid

   2. Klik Beleid maken om te bevestigen

3. In het Instellingen tabblad:

   1. Selecteer de te gebruiken modus: Monitor, Monitoren en afdwingen, Uit (alleen macOS)

   2. Schakel de gewenste USB-instellingen in om USB-apparaten op te nemen in het beleid

      1. Selecteer de melding om eindgebruikers te informeren wanneer een USB-apparaat volledig geblokkeerd is

      2. Selecteer de melding om eindgebruikers te informeren wanneer een USB-apparaat beperkt is

De hierboven genoemde modi komen overeen met verschillende configuraties van de Apparaatbeheer-optie. Er zijn drie verschillende modi

1. Monitoren en afdwingen: Past actief de gedefinieerde regels toe — blokkeert of staat USB-verbindingen toe en registreert activiteit. Hiermee kun je verbindingspogingen volgen en ongeautoriseerde pogingen blokkeren.

2. Alleen monitoren: Registreert verbindingen en acties zonder beperkingen af te dwingen. Ideaal om beleid aanvankelijk te testen zonder gebruikers te verstoren.

3. Uit (alleen macOS): Schakelt Apparaatbeheer-bescherming volledig uit; er wordt geen activiteit geregistreerd of geblokkeerd.

⇒ Het gebruik van een beleid in Alleen monitoren modus is een effectieve manier om nauwkeurig een lijst op te stellen van USB-apparaten die gewoonlijk door je medewerkers worden gebruikt. Deze lijst kan vervolgens dienen als basis voor een toekomstige toegestane lijst van geautoriseerde apparaten.

1. Ga naar het USB-apparaat tabblad

   1. Om de USB-apparaatklassen te selecteren die in het beleid moeten worden opgenomen, open het USB-apparaat tabblad

      1. Klik om elke apparaatsklasse uit te vouwen om op te nemen

      2. Kies het autorisatieniveau voor elke apparaatsklasse

      3. Voeg zonodig uitzonderingen per klasse toe door te klikken Voeg uitzondering toe. Voer de USB-poort in met behulp van de gecombineerde ID of via handmatige invoer

      

b. Klik Opslaan in de rechterbovenhoek, klik vervolgens Opslaan opnieuw om te bevestigen.

1. Ga naar het Toegewezen hostgroepen tabblad

   1. Klik Wijs hostgroepen toe aan beleid

2. Zodra de configuratie voltooid is, klik Beleid inschakelen

💡 Om de configuratie van vergelijkbare beleidsregels te versnellen, klik Beleid dupliceren om een exacte kopie te maken. Open vervolgens de kopie en pas de naam, instellingen, autorisatieniveaus en uitzonderingen aan indien nodig.

3. Uitrol van beleid

Windows: Apparaatbeleidsregels worden toegepast zodra een USB-apparaat op een host wordt aangesloten. Als USB-apparaten al op een host zijn aangesloten op het moment dat het beleid wordt toegewezen, worden ze pas beïnvloed bij de volgende herverbinding of bij de volgende herstart van de host.

macOS: Apparaatbeleidsregels worden toegepast zodra een USB- of Bluetooth-apparaat op een host wordt aangesloten. Als USB- of Bluetooth-apparaten al zijn aangesloten op het moment dat het beleid wordt toegewezen, treedt het beleid onmiddellijk in werking. Met andere woorden: als het beleid het apparaat blokkeert, wordt het losgekoppeld.