Cómo bloquear o administrar unidades USB en Windows: consejos prácticos
Conectar unidades USB es muy práctico, pero a veces no merece la pena. Quizás intentas evitar fugas de datos en un entorno corporativo o simplemente quieres evitar que alguien conecte unidades flash desconocidas. Sea cual sea el motivo, Windows ofrece diversas maneras de controlar el acceso a USB, ya sea desactivándolo por completo o con reglas más específicas. Es un poco frustrante la cantidad de pasos que requiere, sobre todo con las GPO y la manipulación del Registro, pero una vez configurado, es bastante fiable. Aquí tienes lo que ha funcionado en varias configuraciones, así que espero que esto te ahorre algunas horas de trabajo.
🎯 Cómo deshabilitar unidades extraíbles USB mediante la política de grupo
Deshabilitar el almacenamiento USB en todos los equipos del dominio
Este es el enfoque clásico: bloquear todo el almacenamiento externo en la red, lo cual es útil para detener la exfiltración de datos o simplemente evitar que se llenen las unidades con Netflix. Básicamente, se trata de ajustar las directivas de grupo en Active Directory. Al habilitar la directiva correcta, Windows detectará las unidades USB, pero no permitirá abrirlas ni copiar archivos. El problema es que esto puede afectar a impresoras, teclados y cualquier otro dispositivo conectado, pero normalmente funciona bien para la mayoría de los roles de seguridad. En algunas máquinas, es posible que deba iniciar gpupdate /forceo reiniciar para ver los cambios. Por supuesto, esto debe hacerse con privilegios de administrador en el servidor GPO.
- Abra gpmc.msc : es la Consola de administración de políticas de grupo.
- Busca el contenedor de estaciones de trabajo, haz clic derecho y selecciona » Crear una GPO en este dominio y vincularla aquí». Asígnale un nombre como » Deshabilitar almacenamiento USB «.
- Edítelo y luego vaya a Configuración del equipo > Políticas > Plantillas administrativas > Sistema > Acceso a almacenamiento extraíble.
- Busque la política denominada » Todas las clases de almacenamiento extraíbles: denegar todo acceso » y configúrela en Habilitada.
En la práctica, tras forzar una actualización de gp y reconectar una unidad USB, Windows muestra un error como «Ubicación no disponible. Unidad no accesible. Acceso denegado». En resumen, las unidades USB quedan bloqueadas. A veces, al instalar la política inicial, es necesario reiniciar o intentarlo un par de veces, pero la mayoría de las veces se bloquea después de una actualización.
Limitar el acceso de escritura o ejecución: un control más preciso
¿Quieres que los usuarios lean datos USB, pero no escriban? ¿O bloquear la ejecución de archivos ejecutables desde unidades USB? Es bastante fácil con las mismas políticas. Simplemente activa políticas como » Discos extraíbles: Denegar acceso de escritura » o » Denegar acceso de ejecución «.Los usuarios recibirán un mensaje como «Acceso a la carpeta de destino denegado» cuando intenten guardar archivos o ejecutar aplicaciones desde la unidad. No es infalible, pero ofrece un nivel de control adecuado en un entorno administrado.
🎯 Cómo bloquear el acceso USB a usuarios o grupos específicos
Excepción para administradores o denegación dirigida
Si desea bloquear a todos excepto a ciertos grupos o usuarios (por ejemplo, permitir que el personal de TI use dispositivos USB, pero bloquearlo para el resto), puede usar el Filtrado de Seguridad en la GPO. Simplemente configure la GPO » Deshabilitar almacenamiento USB » y, en Filtrado de Seguridad, agregue sus grupos de administración, como Administradores de dominio, o cree un grupo dedicado, como Denegar USB. Luego, en la pestaña Delegación, deniegue la opción «Aplicar directiva de grupo» a los grupos o usuarios que desee excluir de las restricciones. Es un poco complejo, pero funciona si necesita flexibilidad.
🎯 Controlar el acceso mediante preferencias de registro y directivas de grupo
Métodos avanzados para el control granular
Para quienes disfrutan explorando el registro (o quieren programarlo), las políticas sobre el bloqueo de USB se reflejan en claves de registro específicas en [nombre del archivo] HKLM\Software\Policies\Microsoft\Windows\RemovableStorageDevices. Aquí, establecer Deny_Read[ Deny_Writenombre del archivo DWORD] en 1 bloquea eficazmente la lectura y la escritura. Puede crear estas claves manualmente o, mejor aún, implementarlas mediante las Preferencias de la Directiva de Grupo o scripts de PowerShell.
# Example PowerShell snippet to disable writing on all USB drives $regPath = "HKLM:\Software\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}" if (!(Test-Path $regPath)) { New-Item -Path $regPath -Force | Out-Null } New-ItemProperty -Path $regPath -Name 'Deny_Write' -Value 1 -PropertyType DWORD -Force | Out-Null De esta forma, puedes automatizar restricciones y dirigirte a clases de dispositivos específicas, especialmente si necesitas un ajuste más preciso que la configuración estándar de GPO. En algunas configuraciones, editar el registro manualmente puede ser suficiente para realizar pruebas rápidas.
🎯 Cómo deshabilitar completamente el almacenamiento USB en Windows
Deshabilitar el controlador USBSTOR
Esto es bastante complejo: básicamente, impides que Windows reconozca los dispositivos de almacenamiento USB al deshabilitar el controlador. Funciona bastante bien, especialmente si no necesitas almacenamiento USB. Abre PowerShell como administrador y ejecuta:
Set-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\USBSTOR" -Name "Start" -Value 4Esto modifica el registro para indicarle a Windows que no cargue el controlador. Tras reiniciar, los dispositivos de almacenamiento USB ni siquiera aparecerán en la Administración de discos ni en el Administrador de dispositivos. En empresas, puede implementar esto mediante las Preferencias del Registro de la GPO, lo que lo hace uniforme en todas las implementaciones.
3y los dispositivos volverán a funcionar después de reiniciar.
🎯 Cómo verificar o rastrear el historial de uso de USB
Seguimiento de conexiones y expulsiones USB
El seguimiento de las unidades USB que se conectaron y desconectaron es algo poco conocido, pero es factible. Ejecute PowerShell:
Get-PnpDevice -PresentOnly | Where-Object { $_.deviceId -match '^USBSTOR' }Aquí se enumeran los dispositivos de almacenamiento USB activos. Para facilitar la auditoría, habilite el Registro de eventos de Windows para la instalación y eliminación de dispositivos.
- Abrir Visor de eventos.
- Vaya a Registros de aplicaciones y servicios > Microsoft > Windows > DriverFrameworks-UserMode > Operacional.
- Busque identificadores de eventos como 2003 (conexión del dispositivo) y 2102 (desconexión).Estos pueden indicarle cuándo se conectaron o desconectaron las unidades.
Herramientas como USBDriveLog también te ofrecen un historial detallado: números de serie, tiempos de conexión e información del dispositivo, incluso si no configuraste el registro previamente. Es una gran ayuda para auditorías o resolución de problemas.
🎯 Permitir solo dispositivos USB específicos (lista blanca)
Restringir a unidades preaprobadas
Este es un poco más avanzado: bloquea todas las unidades USB excepto las que especifique. Cada unidad recibe un identificador único en el registro, ubicado en HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR. Recuerde que eliminar las entradas de las unidades que ya no están conectadas ayuda a mantener el orden. Puede bloquear los permisos del registro para que los usuarios no puedan agregar nuevos dispositivos a menos que se les permita explícitamente.
Para una estrategia rápida basada en scripts, podrías detectar eventos con EventID 2003 y ejecutar un script que expulse cualquier dispositivo no incluido en la lista blanca. Es bastante extremo, pero funciona si necesitas un control estricto sobre quién puede usar qué.
En general, bloquear o incluir en la lista blanca unidades USB puede ser bastante complejo, por lo que primero pruebe las políticas simples y luego complételas con scripts o cambios en el registro si es necesario.