Ubuntu系统使用usbguard控制外接设备防止数据泄露

在物理安全领域，最容易被忽视却又最致命的威胁往往来自USB端口。一个伪装成U盘的BadUSB设备可以在数秒内模拟键盘输入恶意指令，或者伪装成网卡劫持网络流量。对于运行Ubuntu系统的企业服务器、研发终端或涉密工作站，仅靠禁用自动挂载或设置BIOS密码远远不够。usbguard正是解决这一问题的核心组件，它通过内核级白名单机制，在USB设备被系统识别之前就进行拦截，从根本上阻断未授权外接设备的接入。

usbguard并非像udev规则那样在设备挂载后才执行脚本，而是直接与Linux内核的USB授权框架交互。当USB设备插入时，内核会先询问usbguard守护进程是否允许该设备初始化。在usbguard做出决策之前，设备甚至无法获得电源进行完整的枚举过程。这意味着恶意设备根本没有机会执行任何操作。

usbguard的策略判断基于设备的多维度属性：设备ID（vendor_id和product_id）、序列号、设备类、子类、协议、USB端口路径等。你可以创建极其精细的规则，例如“仅允许特定序列号的YubiKey插入前置面板的特定物理端口”，而其他任何USB存储设备即使型号相同也会被拒绝。

在Ubuntu 20.04及以上版本中，usbguard已包含在官方仓库。直接使用包管理器安装：

sudo apt update
sudo apt install usbguard -y

安装完成后，usbguard服务会自动启动。但此时它处于“监听模式”，不会拦截任何设备，而是记录所有已连接设备的信息。这是生成初始策略的关键步骤。执行以下命令查看当前连接的USB设备：

sudo usbguard list-devices

你会看到类似这样的输出，每行代表一个设备及其属性：

1: allow id 8087:0024 serial "" name "" hash "jEP/6WzviqdJ5VSeTUY8PatCNBKeaREvo2OqdplND/o=" parent-hash "..." via-port "1-1" with-interface { 09:00:00 }

这里的hash值是根据设备属性计算出的唯一标识，via-port表示物理连接路径。要基于当前连接的设备生成初始白名单策略，执行：

sudo usbguard generate-policy > /etc/usbguard/rules.conf

这条命令会将所有当前连接的设备生成allow规则并写入配置文件。检查生成的文件确认无误后，需要修改usbguard的守护进程配置文件，将其从监听模式切换到强制执行模式。

编辑usbguard的主配置文件：

sudo nano /etc/usbguard/usbguard-daemon.conf

找到关键配置项进行修改。首先是策略模式相关参数：

# 当规则列表中没有匹配规则时，默认执行的操作：allow, block, reject
# reject会通知内核拒绝设备，block则直接忽略
ImplicitPolicyTarget=block

# 当前存在设备但规则列表中无对应规则时的处理
PresentDevicePolicy=apply-policy

# 是否在启动时将当前策略应用到已连接设备
PresentControllerPolicy=keep

ImplicitPolicyTarget设为block意味着任何不在白名单中的设备都会被静默拦截。PresentDevicePolicy设为apply-policy确保守护进程启动时会对已连接设备执行策略检查。修改完成后重启服务：

sudo systemctl restart usbguard

重启后，任何新插入的USB设备如果不在rules.conf中，将无法被系统识别。你可以通过插入一个未授权的U盘来验证：系统日志中会出现usbguard的拦截记录，而文件管理器中不会出现任何新设备。

usbguard规则的语法非常灵活。一条典型的allow规则结构如下：

allow id 0781:5591 serial "4C530001230616101372" name "SanDisk Ultra" hash "abc123..." parent-hash "def456..." via-port "2-1" with-interface { 08:06:50 }

各字段含义：id是厂商ID和产品ID的组合，用冒号分隔；serial是设备序列号；name是设备报告的产品名称；hash是根据设备属性计算的哈希值；parent-hash是父设备的哈希，用于表示设备连接在哪个集线器上；via-port指定物理USB端口路径；with-interface定义设备实现的USB接口类。

你不需要在每条规则中填写所有字段。usbguard采用“字段越多匹配越严格”的原则。例如，如果只想允许特定厂商的U盘而不限制序列号，可以省略serial字段：

allow id 0781:5591

如果要精确到特定物理端口上的特定设备，防止有人将设备从机箱后部换到前部绕过规则：

allow id 0781:5591 serial "4C530001230616101372" via-port "2-1"

对于键盘鼠标这类HID设备，建议至少匹配到id和via-port，因为恶意HID设备通常会伪装成这些常见设备。更严格的做法是匹配hash值，因为hash涵盖了设备的完整描述符信息，即使有人修改设备固件伪造ID和序列号，只要描述符结构有差异，hash就会不同。

临时允许某个设备而不永久修改规则文件时，可以使用命令行：

sudo usbguard allow-device 2

其中数字是设备ID，通过usbguard list-devices查看。这种方式添加的规则仅在当前会话有效，重启后失效，适合临时授权场景。

在实际部署中，建议按设备类型分层设计策略。第一层：永久连接的内部设备，如笔记本内置摄像头、蓝牙模块、指纹识别器。这些设备的规则应该包含完整的hash和via-port，确保即使设备被物理替换也会触发告警。

第二层：授权的外接HID设备，如特定品牌的键盘鼠标。使用id加via-port组合，限定在指定端口上使用。如果员工需要将键盘插到不同端口，可以设置多条规则覆盖不同via-port路径。

第三层：授权的存储设备。对于U盘和移动硬盘，强烈建议匹配到serial序列号。仅靠id是不够的，因为攻击者可以购买同型号U盘刷入恶意固件。序列号是出厂烧录的，修改难度更高。

第四层：临时授权设备。对于需要临时使用的设备，使用usbguard allow-device命令授权，并设置定时任务在会议结束后自动撤销。可以结合脚本实现：

#!/bin/bash
# 临时授权USB设备1小时
sudo usbguard allow-device 3
(sleep 3600 && sudo usbguard block-device 3) &

当设备通过USB集线器连接时，via-port路径会包含集线器的端口信息。例如直接连接在端口2-1上的设备，via-port为"2-1"；如果通过插在2-1上的集线器的第3个端口连接，via-port会变成"2-1.3"。这导致策略编写变得复杂。

推荐的做法是：如果环境中存在USB集线器，将集线器本身加入白名单，然后对通过集线器连接的设备使用id和serial进行匹配，而不限制via-port。或者更严格地，禁止使用任何USB集线器，在规则中明确block所有集线器类设备：

block with-interface { 09:00:* }

09是集线器类的编号，这条规则会拦截所有USB集线器，无论其ID是什么。

usbguard的所有拦截和授权事件都会写入系统日志。通过journalctl可以实时查看：

sudo journalctl -u usbguard -f

拦截事件的典型日志格式包含设备属性、策略决策原因和时间戳。将这些日志接入集中式日志系统可以实现安全告警。例如使用rsyslog将usbguard日志转发到SIEM平台，当出现连续多次拦截事件时触发安全事件响应流程。

还可以配置usbguard在拦截设备时执行自定义脚本。在usbguard-daemon.conf中添加：

DevicePolicy=block
IPCAllowedUsers=root
DeviceRulesWithPort=true

然后使用usbguard的IPC接口编写监听脚本。更简单的方式是通过监控日志文件实现：

#!/bin/bash
# 监控usbguard拦截事件并发送通知
journalctl -u usbguard -f -n 0 | while read line; do
    if echo "$line" | grep -q "block"; then
        # 提取设备信息并发送告警
        device_info=$(echo "$line" | grep -oP 'id \S+')
        wall "USB设备被拦截: $device_info"
    fi
done

对于Ubuntu桌面用户，usbguard提供了GNOME集成工具：

sudo apt install usbguard-applet-qt

安装后会在系统托盘中出现USB防护图标。当有新设备插入时，会弹出对话框询问是否授权，并显示设备的详细信息。这对于需要频繁处理临时设备的桌面用户非常实用。但需要注意，GUI工具依赖usbguard的IPC接口，确保usbguard-daemon.conf中IPCAllowedUsers包含了当前用户。

rules.conf是usbguard的核心资产。建议将其纳入版本控制系统，并建立变更审批流程。每次修改规则前备份当前生效的配置：

sudo cp /etc/usbguard/rules.conf /etc/usbguard/rules.conf.$(date +%Y%m%d)

在多台Ubuntu机器上部署统一策略时，可以使用配置管理工具如Ansible分发rules.conf。但要注意，via-port路径在不同硬件上可能不同，模板中需要使用变量替换或省略该字段。

定期审计规则列表也很重要。执行以下命令列出所有规则并检查是否有过于宽松的条目：

sudo usbguard list-rules

重点关注那些只匹配id而没有serial或hash的allow规则，评估是否可以被攻击者利用。对于已离职员工的设备序列号，及时从规则中移除。

usbguard能有效防御BadUSB和Rubber Ducky这类模拟键盘的攻击，但物理安全需要纵深防御。结合以下措施可以构建更完整的防护体系：

使用USB端口物理锁或端口封堵器，防止攻击者拔掉合法设备后插入恶意设备。对于服务器机房的USB端口，在BIOS中禁用前端端口，仅保留后端必要端口。开启Ubuntu的Secure Boot，防止攻击者通过USB引导修改内核。配置sudo要求物理令牌认证，即使键盘被劫持也无法提权。将/sys/bus/usb目录的访问权限收紧，防止普通用户通过sysfs接口操作USB设备。

对于极高安全需求的环境，可以结合udev规则作为usbguard的补充层。usbguard负责设备授权，udev负责设备挂载后的行为限制。例如在udev规则中禁止所有USB存储设备的挂载选项中的执行权限：

SUBSYSTEM=="block", ACTION=="add", ENV{ID_BUS}=="usb", ENV{UDISKS_FILESYSTEM_SHARED}="0", ENV{mount_options}="noexec,nosuid,nodev"

这样即使usbguard策略被意外修改导致存储设备被授权，挂载后的文件系统也无法执行二进制文件，降低了恶意代码运行的风险。

usbguard是Linux内核USB授权框架的前端实现，它将USB设备的控制权从用户空间提升到了内核授权层。在Ubuntu系统上部署usbguard并不复杂，关键在于策略的精细化设计和持续的规则维护。从监听模式开始生成基线，逐步收紧规则，结合日志监控和物理防护措施，可以有效防止通过USB端口的数据泄露和恶意设备攻击。对于任何需要保护数据资产的Ubuntu终端，usbguard应当成为安全基线的一部分。