USBGuard 开源项目使用教程

1. 项目介绍

USBGuard 是一个用于实现 USB 设备授权策略的软件框架，它决定了哪些 USB 设备被授权以及这些设备如何与系统交互。简而言之，它是一个 USB 设备的白名单工具，能够帮助系统管理员加强对 USB 设备的安全管理。

2. 项目快速启动

在开始使用 USBGuard 之前，你需要确保系统中已经安装了编译所需的依赖项。以下是在基于 Debian 的 GNU/Linux 发行版（如 Ubuntu 21.10）上安装依赖项的命令：

sudo apt update && \
sudo apt install --no-install-recommends -V \
asciidoc autoconf automake bash-completion build-essential catch2 \
docbook-xml docbook-xsl git ldap-utils libaudit-dev libcap-ng-dev \
libdbus-glib-1-dev libldap-dev libpolkit-gobject-1-dev libprotobuf-dev \
libqb-dev libseccomp-dev libsodium-dev libtool libxml2-utils \
libumockdev-dev pkg-config protobuf-compiler sudo tao-pegtl-dev xsltproc

安装完依赖项后，可以按照以下步骤编译和安装 USBGuard：

./configure
make
sudo make install

在第一次启动 USBGuard 守护进程之前，你需要生成一个规则文件，以确保当前连接的 USB 设备（尤其是鼠标和键盘）能够继续工作，避免系统锁定。

sudo sh -c 'usbguard generate-policy > /etc/usbguard/rules.conf'

生成规则文件后，可以安全地启动 USBGuard 服务：

sudo systemctl start usbguard.service

若希望系统在每次启动时自动启动 USBGuard 服务，可以使用以下命令：

sudo systemctl enable usbguard.service

3. 应用案例和最佳实践

案例一：创建 USB 设备白名单

为了只允许特定的 USB 设备连接到系统，可以创建一个白名单规则。例如，以下规则允许具有特定 Vendor ID 和 Product ID 的 USB 设备：

allow /dev/bus/usb/<busnum>/<devnum>

将上述规则添加到 /etc/usbguard/rules.conf 文件中，并重启 USBGuard 服务。

最佳实践

• 定期更新 USBGuard 规则，以适应新的设备或安全要求。
• 使用 usbguard generate-policy 命令为系统中的设备生成初始规则。
• 利用 USBGuard 的日志功能，监控和记录 USB 设备的活动。

4. 典型生态项目

USBGuard 作为 USB 设备管理的工具，可以与其他安全软件和系统管理工具集成，例如：

• SELinux：增强系统安全，通过安全策略来限制 USB 设备的访问。
• systemd：与 systemd 集成，确保 USBGuard 作为系统服务运行。
• USB_ModeSwitch：用于自动配置和切换 USB 设备的 Mode。

通过这些工具和框架的配合使用，可以构建一个更加强大和安全的 USB 设备管理系统。