Список загрузочных устройств в BIOS

[Loader]

Думаю большинству пользователей известно что большинство материнских плат позволяют загрузиться с любого устройства без входа в BIOS. Для этого достаточно при загрузке нажать клавишу (в зависимости от производителя Esc, F1-F12).

Интересует вопрос - каким образом этот функционал можно отключить.

З.Ы. Биос запаролен.

[kvazimoda]

Никак, только отключать определние USB устройств в БИОСе и отключать сидиром.

[alancor]

Нндаа.., действительно никак, прямыми действиями, а кривыми.., можно всё:)

[Yezhishe]

Если под "кривыми" действиями понимать выпиливание этого функционала руками из кода BIOS - тогда таки да. Можно...

Но, что интересно - если даже всё, что есть в списке загрузочных устройств (кроме системного HDD, конечно ж, но даже если и его) перевести в состояние Disabled - един фиг клавиша вызова загрузочного меню срабатывает.

Так что тут поможет только дизассемблирование (disassembling - разборка) кода и тупое комментирование вызова этой функции. Другое дело, что для этого надо как минимум пару рабочих BIOS'ов самому написать, ибо Боги его знают - какие там зависимости, но это - уже другой разговор...

[kvazimoda]

Так что тут поможет только дизассемблирование (disassembling - разборка) кода и тупое комментирование вызова этой функции. Другое дело, что для этого надо как минимум пару рабочих BIOS'ов самому написать, ибо Боги его знают - какие там зависимости, но это - уже другой разговор...

На мой взгляд, тогда уж проще найти материнку без этой функции :)

А мне однижды попадалась мамка, где при установке пароля вызов меню с загрузочными устройствами тоже по паролю становится. Сейчас модель не скажу, но знаю где комп стоит, так что смогу посмотреть на следующей неделе, если не забуду. :)

Изменено 26 февраля, 2012 пользователем kvazimoda

[alancor]

У меня такой вопрос, а зачем все эти напряги?

[Yezhishe]

Насколько я понимаю - для того, чтобы юзеры не могли загружаться с принесённых носителей.

[alancor]

Ну, так-то понятно.., только, может, что-то имелось в виду...

[edde]

Вообще для этого существует административный ресурс. Разъяснение пользователям что рабочий компьютер для работы а не для персонального использования как хочется, плюс пара существенных штрафов. Достаточно объяснить юзерам политику безопасности компании и большинство достаточно быстро всё усваивает. для тех кто не понял, всегда в офисе найдется человек который проследит кто куды чего и когда сунул, и доложит по административной вертикали. Звучит это некрасиво но зато работает всегда и гарантированно.

[Loader]

Насколько я понимаю - для того, чтобы юзеры не могли загружаться с принесённых носителей.

Именно, и другие компы для этих целей никто закупать не будет.

Вообще для этого существует административный ресурс. Разъяснение пользователям что рабочий компьютер для работы а не для персонального использования как хочется, плюс пара существенных штрафов. Достаточно объяснить юзерам политику безопасности компании и большинство достаточно быстро всё усваивает. для тех кто не понял, всегда в офисе найдется человек который проследит кто куды чего и когда сунул, и доложит по административной вертикали. Звучит это некрасиво но зато работает всегда и гарантированно.

Пошел именно по этому пути, просто хотелось узнать есть ли альтеративные способы защиты от "шаловливых ручонок".

[edde]

Пошел именно по этому пути, просто хотелось узнать есть ли альтеративные способы защиты от "шаловливых ручонок".

Неа, нету. Трудовую дисциплину никакие технологические уловки не заменят. :doh: Достаточно объяснить,что стоимость ремонта и простоя сети в случае допусим вирусного заражения ляжет на нерадивого работника и проблемы решаются сами собой.

Изменено 26 февраля, 2012 пользователем edde

[kvazimoda]

Вообще для этого существует административный ресурс. Разъяснение пользователям что рабочий компьютер для работы а не для персонального использования как хочется, плюс пара существенных штрафов. Достаточно объяснить юзерам политику безопасности компании и большинство достаточно быстро всё усваивает. для тех кто не понял, всегда в офисе найдется человек который проследит кто куды чего и когда сунул, и доложит по административной вертикали. Звучит это некрасиво но зато работает всегда и гарантированно.

А как быть с компьютерами в интернет кафе? Там всем подрят не объяснишь, что не надо лазить в БИОС, что не надо загружаться со своих флешек. Есть же разные идиоты, которым вот неимёться напакостить... Я эту проблему в кафе решил путём отключения USB и извлечения всех сидиромов.

[edde]

Насчет кафе - я не совсем в курсе темы, если честно. Да и программных решений по моему существовало великое множество и даже не дорогих. Не знаю, если для похода в интернет то вполне себе выход - решение на базе линукса, а если игрушки - то по моему нужно софтину специальную покупать и не мучаться, либо акронис, который никто не отменял :)

[kvazimoda]

Насчет кафе - я не совсем в курсе темы, если честно. Да и программных решений по моему существовало великое множество и даже не дорогих. Не знаю, если для похода в интернет то вполне себе выход - решение на базе линукса, а если игрушки - то по моему нужно софтину специальную покупать и не мучаться, либо акронис, который никто не отменял :)

Да не, это и так понятно, что стоит линукс, там закрыто всё что только можно, вплоть до смены обоев рабочего стола. Так же, если всё-таки кто-то умудрился что-то испортить, то стоит отдельный сервер с которого по сети всегда можно накатить образ, причём делается это всё по удалёнке. Вопрос изначально был в том, чтобы запретить загрузку с каких-либо устройств кроме встроенного ЖД. Я решил этот вопрос вышеозначенным способом.

Но на самом деле, я не понимаю этого, почему бы не ставить пароль на эту функцию? Иначе пароль на БИОС не имеет смысла вообще, ведь, получается, всегда можно загрузить левую систему и оттуда сбросить CMOS.

В общем, это такая же проблема как с флешками с защитой от записи. Почему-то таких флешек тупо не выпускают.

Изменено 26 февраля, 2012 пользователем kvazimoda

[edde]

Но на самом деле, я не понимаю этого, почему бы не ставить пароль на эту функцию?

Ну это уже вопрос к этим например товарищам :) или этим

Возможно должны существовать заглушки на задние usb порты (отпаять их тоже можно :smiles20(13): ) а передние проще отключить совсем.

А насчет флешек с защитой от записи то они в общем есть :) но не в ближайшем ларьке http://www.secudrives.com/index.php/corporate/secudrive-usb-basic-v?gclid=COTLmJztu64CFYYXzQodMXZd8g

Ну и хорошо выпрямленные руки и пытливый ум (это я не про себя) всегда дадут подходящий результат http://master-tv.com/article/flash-write-protect/

[kvazimoda]

Ну и хорошо выпрямленные руки и пытливый ум (это я не про себя) всегда дадут подходящий результат http://master-tv.com...-write-protect/

Ну, подобное я уже себе делал как-то, причём ставил маленький переключатель, чтобы защиту от записи можно было снимать.

Возможно должны существовать заглушки на задние usb порты (отпаять их тоже можно :smiles20(13): ) а передние проще отключить совсем.

Слава Богу, что пока что, практически во всех БИОСах можно отключить определние USB накопителей. Но с CD-ROM'ом вопрос остаётся.

[Yezhishe]

CD-ROM просто физически отключается от материнки. С пломбированием корпуса, натурально...

[kvazimoda]

CD-ROM просто физически отключается от материнки. С пломбированием корпуса, натурально...

А если он нужен? :)

[Yezhishe]

Если нужен админу - подключается...

Если нужен юзеру - служебная записка начальству с обоснованием.

[kvazimoda]

Если нужен юзеру - служебная записка начальству с обоснованием.

В интернет кафе?

А вообще всё это больше на костыли похоже. Но ничего не остаётся, производители, как всегда, не думают о таких "ненужных" функциях.

Изменено 27 февраля, 2012 пользователем kvazimoda

[Yezhishe]

Ну-у-у... В Интернет-кафе блокируется всё. По умолчанию.... Кроме понятно чего.

Всё остальное - проблема админа...