Peripheral Control: ควบคุม USB และอุปกรณ์ต่อพ่วงบนเครื่อง Windows และ macOS

Peripheral Control ในเมนู Endpoint Control ใช้กำหนดสิทธิ์การใช้อุปกรณ์ต่อพ่วงบนเครื่องของผู้ใช้ เช่น USB Drive (Removable Storage), CD-ROM, มือถือและแท็บเล็ต, Bluetooth, กล้อง, เครื่องพิมพ์ และ AirDrop เพื่อลดช่องทางการนำไฟล์ออกจากเครื่อง Policy ทำงานผ่าน Omnipoint Secure Client บนเครื่อง Windows และ macOS ที่อยู่ใน Applicable Scope บทความนี้อธิบายอุปกรณ์ที่ควบคุมได้ การสร้าง Policy การตรวจผล และแนวทางเริ่มใช้งาน

ก่อนเริ่ม

• เครื่องของผู้ใช้เป็น Windows หรือ macOS ติดตั้ง Omnipoint Secure Client และเชื่อมต่อกับ Athena SASE อยู่
• วางแผนว่าผู้ใช้กลุ่มใดใช้อุปกรณ์ใดได้ เช่น ฝ่ายขายอ่าน USB ได้อย่างเดียว ฝ่ายบัญชีไม่อนุญาตให้ใช้ USB
• เตรียม Device ID ของ USB Drive ที่องค์กรแจกให้พนักงาน หากต้องการอนุญาตเฉพาะอุปกรณ์เหล่านั้น
• หากต้องการให้ Policy มีผลเฉพาะบางช่วงเวลา ให้เตรียม Schedule ที่ Platform Management › Objects › Schedules (ดู Schedule Objects)
• เปิดดูรายการ Policy ที่มีอยู่ก่อน รายการอาจมีแถวที่ระบบสร้างไว้ เช่น Default Policy ให้ตรวจค่าของแถวนั้นก่อนเพิ่ม Policy ใหม่

อุปกรณ์ที่ควบคุมได้

หน้าต่าง Add แยกการตั้งค่าเป็นแท็บ Windows และ macOS ในฟอร์มใหม่ทุกอุปกรณ์ตั้งไว้เป็น Allow (หรือ Read and Write) ให้เปลี่ยนเฉพาะอุปกรณ์ที่ต้องการควบคุม

สร้าง Peripheral Control Policy

1. ไปที่ Platform Management › Endpoints › Endpoint Control แล้วเลือกแท็บ Peripheral Control
2. กด Add
3. Basics — กรอก Name, Description (ไม่บังคับ) เลือก Status และ Rank (ผู้ดูแลระบบที่มีระดับ Rank เท่ากับหรือสูงกว่าค่านี้ (ค่า Rank ยิ่งน้อยระดับยิ่งสูง โดย 0 สูงสุด)เท่านั้นที่แก้ไข Policy นี้ได้ และลำดับความสำคัญของ Policy เรียงตาม Rank)
4. Settings › Action — ตั้งค่าอุปกรณ์ในแท็บ Windows และแท็บ macOS ตามตารางด้านบน
5. Device Whitelist — กรอก Device ID ของอุปกรณ์ที่อนุญาตให้ใช้หรืออ่านเขียนข้อมูลได้ บรรทัดละหนึ่งรายการ สูงสุด 500 รายการ และแต่ละ ID ยาวไม่เกิน 200 ตัวอักษร (ดูวิธีหา Device ID จากลิงก์ในหน้าต่าง)
6. Schedule — เลือก All Day หรือ Schedule ที่องค์กรสร้างไว้ (กด + Add หรือ Go to Schedules ในรายการเพื่อสร้างใหม่)
7. Endpoint Reminder — ติ๊กเพื่อแจ้งผู้ใช้เมื่ออุปกรณ์ที่เสียบ Match กับ Policy เลือกแท็บ English เพื่อแก้ข้อความ (ตัวแปร $Device Types$ แทรกประเภทอุปกรณ์ให้อัตโนมัติ) และดูตัวอย่างใน Preview ตามที่หน้าจอระบุ การแจ้งเตือนนี้ใช้กับอุปกรณ์ทุกประเภท ยกเว้นมือถือ แท็บเล็ต และ AirDrop บน macOS
8. Applicable Scope — ในฟอร์มช่อง User/Department ตั้งไว้เป็น All ให้เลือกผู้ใช้หรือ Department ที่ต้องการ และกำหนด Excluded User ได้ กด + Add เพื่อเพิ่มเงื่อนไข User/Department หรือ Src IP และกด + Add Condition เพื่อเพิ่มชุดเงื่อนไข
9. กด OK

แนวทางเริ่มใช้งาน: เริ่มจากผู้ใช้กลุ่มเล็กด้วย Removable Storage แบบ Read Only และเปิด Endpoint Reminder ไว้ เมื่อผู้ใช้คุ้นเคยแล้วจึงขยาย Scope หรือเปลี่ยนเป็น Reject และใช้ Device Whitelist กับ USB Drive ขององค์กร

จัดการรายการ Policy

รายการแสดง Priority, Policy Name, Description, Objects, Schedule, Status, Rank และ Created By ใช้ปุ่ม Enable / Disable เพื่อเปิดหรือปิด Policy ที่เลือก ใช้ Delete เพื่อลบ และใช้ช่องค้นหา Policy name เพื่อหา Policy

ตรวจผล

1. ที่เครื่องของผู้ใช้ใน Scope เสียบอุปกรณ์ที่ควบคุม เช่น USB Drive
2. อุปกรณ์ต้องทำงานตามที่ตั้งไว้ เช่น แบบ Read Only ผู้ใช้เปิดดูไฟล์ใน USB ได้แต่บันทึกไฟล์ลง USB ไม่ได้ และจะเห็น Endpoint Reminder หากเปิดไว้
3. ตรวจ Log ที่ Logs › Endpoint Management › Endpoint Control แท็บ Peripheral Control ซึ่งมีคอลัมน์ Time, Username, Display Name, Asset Type, Department, Location, Source IP, Description, File Name, File Size, Source Path, Action และ Status (ดู Endpoint Management Logs)

หากต้องการบันทึกว่าไฟล์ใดถูกคัดลอกออกไปยัง USB ให้ใช้ Audit Policies ของ Data Loss Analysis ร่วมด้วย (ดู Audit Policies: ตรวจสอบไฟล์ที่ส่งออก)

ปัญหาที่พบบ่อย