XDA bu ay, sormadan Windows PC’sine yardımcı bir uygulama yükleyen bir monitör hakkında bir makale yayınladı. Hile sofistike bir kötü amaçlı yazılım değildi. Monitor, USB Type-C üzerinden bağlandı, kendisini Windows’a bir HID klavyesi olarak sundu ve açık bir shell’e doğrudan kurulum komutlarını yazdı. Windows bir klavye gördü, bunu anında monte etti ve kaynağı hiç sorgulamadı. Bu, tüm BadUSB modeli bir cihazda. 2026’da masaüstünde USB HID koruması için en iyi uygulamalar, işletim sisteminin daha önce görmediği herhangi bir HID cihazına güvenmeyerek veya garip bir klavye göründüğü anda tuş vuruşu akışını engelle yerek bu boşluğu kapanır. Bu liste, Windows, macOS ve Linux’u kapsayan sekiz aracı sıralar ve açık kaynak projeleri, tek kullanıcılı yardımcı programları ve kurumsal cihaz kontrol paketlerini karıştırarak ev hobi yapıcısı ve bir hastane IT ekibinin her ikisinin de uygulanabilir bir şey bulmasını sağlar.
USB HID koruma uygulamasında ne aranmalı
Kullanışlı bir HID koruyucusu, USB port anahtarından fazlasına ihtiyaç duyar. Altı şey pratik olarak önemli.
- Beyaz liste politikası. Araç, tam olarak hangi satıcı ve ürün kimliklerinin güvenilir olduğunu belirtmenize izin vermeli ve eşleşmeyen herhangi bir klavye veya farayı reddetmelidir.
- Çekirdek seviyesinde engelle. Uygulama, masaüstü oturumunun altında oturmalı veya kötü amaçlı bir klavye, tıklamadan önce bir açılır pencereyi yazarak geçebilir.
- Platformlar arası kapsama. Filo nadiren bir işletim sistemi çalıştırır, bu nedenle Windows, macOS ve Linux’u tek bir politika altında kapsayan bir araç denetim süresinden tasarruf sağlar.
- Cihaz başına parmak izi. Seri numarası, arayüz sınıfı ve açıklayıcı hash, iki özdeş görünümlü Logitech dongle’ı ayırmanıza olanak tanır.
- Kolay geçici güven. Bir misafir meşru bir USB konferans tıklayıcısı ile geldiğinde, ona bir toplantı için güvenmek için iş akışı saniye almalı, bir değişiklik isteği değil.
- Raporlama. Her cihaz eki, engel ve geçersiz kılmanın merkezi günlükleri teknik bir kontrolü uyum hikayesine dönüştürür.
Hızlı Karşılaştırma
| Uygulama | En iyi | Platformlar | Ücretsiz plan | Başlangıç fiyatı | |—–|———-|———–|—————-| | USBGuard | Linux sunucuları ve iş istasyonları | Linux | Evet, açık kaynak | Ücretsiz | | Microsoft Defender for Endpoint | Zaten Defender üzerindeki Windows filo | Windows, macOS | Defender lisansıyla | M365 E5’te dahil | | Beamgun | Tek kullanıcılı Windows masaüstü | Windows | Evet, açık kaynak | Ücretsiz | | ManageEngine Device Control Plus | KOBİ Windows filo | Windows | 25 uç noktaya kadar ücretsiz katman | 100 uç nokta için yılda yaklaşık $595 | | Netwrix Endpoint Protector | Platformlar arası kurumsal DLP | Windows, macOS, Linux | Yalnızca deneme | Teklif tabanlı, orta pazar | | Ivanti Device Control | Düzenlenmiş işletmeler | Windows | Yalnızca deneme | Teklif tabanlı, kurumsal | | AccessPatrol (CurrentWare) | Granüler HID kuralları isteyen takımlar | Windows | Yalnızca deneme | Aylık yaklaşık $12’den başlayarak | | USB-Lock-RP | Şirket içi Windows ağları | Windows | Yalnızca deneme | Uç nokta başına teklif |
Uygulamalar
1. USBGuard – Linux sunucuları ve iş istasyonları için en iyi
USBGuard, Linux’ta USB cihaz yetkilendirmesinin referans uygulamasıdır. Küçük bir daemon basit bir dilbilgisinde yazılmış kurallar kümesini okur, çekirdek aracılığıyla her USB ekleme olayını izler ve eşleşmeyen herhangi bir şeyi engeller. 1.1.4 serisi Ubuntu, Debian, Fedora, RHEL ve Arch’da gemi ve Red Hat hala yukarı akış yama katkısı yapar, bu nedenle bu bir hobi projesi değildir. HID sınıfı cihazları belirli satıcı kimliklerine, seri numaralarına veya arayüz karmalarına sabitlere sabitlere sabitlere sabitlere sabitlere sabitlere sabitlere sabitlere sabitlere sabitlere sabitlere sabitlere sabitlere sabitlere sabitlere.
Başarısız olduğu yer: Yalnızca Linux. Komut satırı birincil arabirimdir ve GTK ön ucu minimumdur. Yeni yöneticilerin daemon yararlı olmadan önce başlangıç politikası yazması gerekir ve yanlış bir kural bir sonraki yeniden başlatmada kendi klavyelerini kilitleyebilir.
Fiyatlandırma: Ücretsiz, GPLv2.
Platformlar: Linux (Windows ve macOS desteklenmez).
İndir: USBGuard Proje Sitesi
Sonuç: Uç noktalarınız Linux çalıştırıyorsa, bu ilk ulaşılacak araçtır. Öğrenme eğrisi gerçek, ama Linux’ta başka hiçbir şey aynı uygulama garantisini vermez.
2. Microsoft Defender for Endpoint – Zaten Defender üzerindeki Windows filo için en iyi
Defender for Endpoint cihaz kontrolü, çoğu Windows yöneticisinin zaten sahip olduklarını unuttuğu Microsoft güvenlik paketinin parçasıdır. İlkeler Intune veya Grup İlkesi’nden akar ve HID dahil olmak üzere tüm cihaz sınıflarını engelle, denetim veya salt okunur hale getirebilir. Haziran 2026’daki Microsoft Learn belgelerinin tazelenmesi HID kuralı sözdizimini daha temiz hale getirdi ve aynı portal aracılığıyla macOS cihaz kontrol ilkeleri için ilk taraf destek ekledi.
Başarısız olduğu yer: İlke yazma JSON yoğun ve portal güncellemeler arasında sözvarlığı değiştirir. macOS’taki kapsama gerçek ancak Windows’ta daha dardır ve Linux kapsam dışındadır.
Fiyatlandırma: Microsoft 365 E5 veya Defender for Endpoint Plan 2’ye dahil. Bağımsız ücretsiz katman yok.
Platformlar: Windows 10, Windows 11, Windows Server, macOS.
İndir: Microsoft Defender for Endpoint Cihaz Kontrol belgeleri
Sonuç: E5 için ödeyiyorsan, bunu şimdi etkinleştir. Değilse, lisans maliyeti sadece HID koruması için haklı olması zordur.
3. Beamgun – Tek kullanıcılı Windows masaüstü için en iyi
Beamgun, yeni klavyeleri izleyen küçük bir açık kaynak Windows tepsi uygulamasıdır. Biri göründüğünde, Beamgun tüm tuş vuruşlarını engeller ve kapatılana kadar bir uyarı gösterir. Bu tek davranış neredeyse her USB Rubber Ducky tarzı saldırıyı yakalar, çünkü enjektör başarılı olmak için kesintisiz yazma gerektirir. Projenin ayrıca yeni bağlı USB ağ adaptörlerini devre dışı bırakan bir modu vardır, bu da ikinci yaygın BadUSB varyantını işler.
Başarısız olduğu yer: Beamgun kişisel bir savunmacı, filo aracı değil. Merkezi konsol, raporlama ve macOS veya Linux bağlantı noktası yoktur. Son büyük yayın bir süre önce oldu, ancak kod tabanı topluluk fork’ları canlı tutmaya yetecek kadar küçük.
Fiyatlandırma: Ücretsiz, MIT lisansı.
Platformlar: Windows 7 ile Windows 11 arasında.
İndir: GitHub’da Beamgun
Sonuç: Bazen güvenilmeyen USB gören kişisel bir Windows makinesi için, bu en gürültülü saldırı yolunu kapatan beş dakikalık bir kurulumudur.
4. ManageEngine Device Control Plus – KOBİ Windows filo için en iyi
Device Control Plus, güvenilen cihaz envanteri oluşturur ve başka her şeyi reddeder. Yöneticiler belirli HID satıcı ve ürün kimliklerini sabitleyebilir, tüm cihaz sınıflarını engelle veya depolama için salt okunur kuralları ayarlayabilir, hepsi çoğu Windows mağazasının bir öğleden sonra alabildiği bir web konsolundan. ManageEngine ürünü çevre birimleri için sıfır güven olarak konumlandırır, bu pratikte varsayılan duruş reddetme ve her izin verilen cihaz açık bir giriş anlamına gelir.
Başarısız olduğu yer: Konsol sekmeleri sıkı ve raporlar ayarlama olmadan gürültülü hissedebilir. Kapsama Windows ilk; diğer işletim sistemleri daha hafif bir tedavi alır.
Fiyatlandırma: 25 uç noktaya kadar ücretsiz katman. Profesyonel sürüm, 100 uç nokta için yılda yaklaşık $595’ten başlayarak, aynı sayı için yaklaşık $1,488 etrafında kalıcı bir lisans mevcuttur.
Platformlar: Windows.
İndir: ManageEngine Cihaz Kontrol Artı
Sonuç: 20 ila 500 sandalyeli bir Windows mağazası çalıştırıyorsanız ve kurumsal DLP fiyatları ödememek görünür HID kuralları istiyorsanız, bu pratik seçimdir.
5. Netwrix Endpoint Protector – Platformlar arası kurumsal DLP için en iyi
Endpoint Protector, CoSoSys satın alımından sonra artık Netwrix adıyla satılmakta, Windows, macOS ve Linux’u eşit vatandaş olarak ele alan birkaç cihaz kontrol ürününden biridir. HID sınıfı işleme, cihaz başına VID ve PID kuralları, geçici çevrimdışı uygulama ve merkezi gölge günlüğe kaydetme içerir. PeerSpot ve G2’deki incelemeler tutarlı olarak 10 üzerinden 8’in üzerinde puanlar ve çok işletim sistemi kapsaması öne çıkanlar olarak alıntılanır.
Başarısız olduğu yer: Fiyatlandırma teklif tabanlı ve orta pazar bölgesine düşer. Eski macOS ve Linux ana bilgisayarları bazen ana işletim sistemi güncellemelerinden sonra ajan tarafı sorun giderme gerektirir.
Fiyatlandırma: Deneme mevcuttur. Üretim lisansları teklif tabanlıdır.
Platformlar: Windows, macOS, Linux.
İndir: Netwrix Endpoint Protector Ürün Sayfası
Sonuç: Karışık işletim sistemi mülkiyeti olan düzenlenmiş kuruluşlar buradan tek ajan kapsamının en geniş kapsamını alırlar.
6. Ivanti Device Control – Düzenlenmiş işletmeler için en iyi
Ivanti Device Control, red ile varsayılan duruş granüler beyaz liste ile, tam olarak denetçilerin istediği modeldir. HID kuralları kullanıcı, grup, makine veya zaman penceresi tarafından kapsamlı olabilir ve bir yerleşik davranış, etkin bir oturum sırasında bir sıcak fiş yeni HID cihazı masaüstünü kilitler. Bu tek özellik paylaşılan alanlarda fırsatçı drive-by BadUSB saldırılarını durdurur.
Başarısız olduğu yer: Çoğu Ivanti ürünü gibi, dağıtım birden fazla konsol ve lisans katmanı içerir. Öğrenme eğrisi, solo yöneticiler yerine adanmış uç nokta güvenlik ekiplerine yöneliktir.
Fiyatlandırma: Deneme mevcuttur. Kurumsal lisanslama, teklif tabanlı.
Platformlar: Windows.
İndir: Ivanti Cihaz Kontrol
Sonuç: Mevcut Ivanti anlaşmaları olan ve belgelenmiş cihaz ilkeleri gerektiren uyum çerçevesi olan işletmeler için doğal seçim.
7. AccessPatrol (CurrentWare) – Granüler HID kuralları isteyen takımlar için en iyi
AccessPatrol HID’i birinci sınıf cihaz kategorisi olarak ele alır. Yöneticiler tanımlayıcıya göre belirli klavyelere ve farelere izin verebilir ve diğer tüm giriş cihazlarını engelle, bu BadUSB monitörüne karşı tam duruştur. Ayrıca, depolama yalnızca USB cihazlarının serbestçe eklenmesine izin veren bir mod vardır ve HID beyaz listeyi yine de uygular, böylece kullanıcılar başparmak sürücülerini çalışır durumda tutarken gizli klavye yolu kapalı kalır.
Başarısız olduğu yer: Bazı yönetim görevleri şirket içi sunucu bileşenini gerektiriyor ve raporlama işlevsel yerine güzel.
Fiyatlandırma: Deneme mevcuttur. Bağımsız modül yaklaşık $12 başına yılı faturalanan, toplu ve kar amacı gütmemeyen indirimler ile.
Platformlar: Windows.
İndir: CurrentWare’de AccessPatrol
Sonuç: Tam DLP paketi satın almadan hangisi klavyelerin ve farelerin güvenilir olduğuna açık kontrol isteyebilen küçük takımlar burada iniş.
8. USB-Lock-RP – Şirket içi Windows ağları için en iyi
USB-Lock-RP, gerçek zamanlı engellemeye ağır odak ile Advanced Systems International’dan şirket içi, yalnızca Windows cihaz kontrol paketidir. Tuş vuruşu enjeksiyonuna ve fare-emule USB saldırılarına karşı adanmış koruma ile gelir ve yetkili sürücüler için AES-256 şifrelemesi aynı ilke altyapısına veri kaybı açısı verir. Ürün tamamen ağınızın içinde çalışır hiçbir bulut bağımlılığı olmadan, bazı düzenlenmiş alıcılar 2026’da hala talep ediyor.
Başarısız olduğu yer: macOS veya Linux istemcisi yok ve fiyat satış sohbeti olmadan opak. Arayüz daha yeni web konsolları ile karşılaştırıldığında yaşını gösterir.
Fiyatlandırma: Uç nokta başına teklif. İki yıl yazılım güvencesi her lisansa dahildir.
Platformlar: Windows.
İndir: Advanced Systems International tarafından USB-Lock-RP
Sonuç: Müşteri veya denetçi giden telemetri olmadan şirket içi Windows aracı gerektirirse, bu uzman seçeneğidir.
Doğru olanı seçme
Seçim, platform, bütçe ve kaç makinenin kapatılması gerektiğine reduce olur.
- Masaüstü veya sunucuda Linux çalıştırıyorsanız, USBGuard yükleyin. Linux’ta başka hiçbir şey size çekirdek seviyesi HID uygulama her büyük distro’da olgunlaşmış paketi vermez.
- Filo Windows ise ve Microsoft 365 E5 için ödüyorsanız, Defender for Endpoint cihaz kontrolünü açın. Lisans bir batırılmış maliyettir ve kapsama gerçektir.
- Tek bir kişisel Windows PC ise ve bu gece koruma istiyorsanız, Beamgun yükleyin. Beş dakika, ücretsiz ve en gürültülü saldırı yolunu kapanır.
- 25 ile 500 Windows uç noktasını sıkı bütçe ile yönetiyorsanız, ManageEngine Device Control Plus kurum DLP fiyatı olmadan gerçek konsol verir.
- Ortam Windows, macOS ve Linux’u karışık ve uyum önemsiyorsa, Netwrix Endpoint Protector pazar üzerinde tek ajan kapsamının en geniş.
- Ivanti’i zaten çalıştırıyorsanız ve denetim hazır cihaz ilkeleri gerekiyorsa, Ivanti Device Control o yığına temiz sığar.
- Öncelik tam DLP satın almak olmayan başına HID beyaz liste ise, AccessPatrol en sıkı uyum.
- Kurallar bulut konsolları veya giden telemetri yasaklıyorsa, USB-Lock-RP şirket içi Windows uzman.
FAQ
BadUSB saldırısı nedir?
BadUSB, herhangi bir USB sınıfı olarak kendisini beyan etme hakkını kötüye kullanan USB cihazı için genel terimdir. Ucuz bir flash sürücü, klavye olarak kendisini sunmak için yeniden yazılabilir, sonra işletim sisteminin güvendiği komutları yazı, çünkü işletim sistemi klavyelere güvenir. XDA monitör hikayesi ekran bezeli aynı numaradır. HID koruma araçları, açık onay olmadan yeni klavyelere güvenmeyerek saldırıyı durdurmak.
Antivirus sahte USB klavye bloklar mı?
Kendi başına değil. Antivirus dosya içeriğini tarar ve HID enjektörü asla dosya yazmaz. Tuş vuruşları zaten odak sahibi olan uygulamaya yazılır, bu nedenle yük meşru kullanıcı girdisi olarak gelir. USB yığınında filtre uygulayan bir cihaz kontrol katmanına ihtiyacınız var, bu da bu listedeki araçlar sağlar.
Windows’un yerleşik USB HID koruması var mı?
Kısmen. Windows 11, Grup İlkesi ve Intune’de cihaz kurulumu kısıtlama ilkeleri ve Microsoft Defender for Endpoint doğru lisansı aldığınızda tam cihaz kontrolü ekler. Windows’un Ev sürümleri çok sınırlı kontroller vardır. Defender olmayan bir ev PC’si için, Beamgun gibi hafif araç boşluğu doldurur.
USBGuard macOS’ta mevcut mi?
Hayır. USBGuard sadece Linux. macOS’ta, en yakın eşdeğerleri Defender for Endpoint, Netwrix Endpoint Protector ve diğer kurumsal aracılardaki cihaz kontrol özellikleridir. Objective-See’den ReiKey yazılım katmanında tuş vuruşu olaylarını algılar, ilgili ancak farklı tehdit modelidir.
Tüm USB bağlantı noktalarını devre dışı bırakmak daha iyi mi?
Neredeyse asla. Her USB bağlantı noktasını engelle meşru klavyeleri, fareleri, dongles ve ses arabirimleri kırar. HID korumasının amacı gerçekten sahip olduğunuz çevre birimlerine izin vererek her şey yeni engellemektir. Bu listedeki her araç tam bu nedenle bir beyaz liste destekler.
Monitör nasıl klavye gibi yapıyor?
USB Type-C, DisplayPort videosunun yanında USB veri taşır. USB hub’lı monitör da HID arayüzü ortaya çıkabilir. İşletim sistemi HID cihazlarını eklenir ek olarak enumerate eder ve hemen onlardan giriş kabul etmeye başlar. XDA durumu, o kanalı kullanarak etkin kabuk kurulum komutunu yazı bir monitör gösterdi. HID beyaz liste arayüzü işletim sistemi dinlemeye başlamadan önce reddeder.
