本文目录导读：
防止USB橡皮鸭（USB Rubber Ducky）等HID（人机接口设备）注入攻击的关键在于控制USB设备的信任与行为，尤其是对键盘模拟设备的识别和拦截，以下是具体的防御措施：
物理访问控制
- 锁定USB端口：在机箱或笔记本的USB端口上加装物理锁或使用端口阻断器（如USB数据阻断器），仅允许授权人员插入设备。
- 禁用未使用的端口：通过BIOS或设备管理器禁用不常用的USB端口（如前置面板接口），减少攻击面。
操作系统与软件防护
-
启用设备控制策略：
- Windows：使用组策略或第三方端点保护软件（如BitLocker To Go、Symantec Endpoint Protection），设置USB设备白名单，仅允许特定厂商ID（VID）和产品ID（PID）的设备。
- macOS：在“系统偏好设置→安全性与隐私→隐私”中限制“辅助功能”及“输入监控”权限，阻止未授权的键盘模拟工具获取权限。
- Linux：通过
udev规则限制HID设备（如ACTION=="add", ATTRS{idVendor}=="XXXX", ATTRS{idProduct}=="YYYY", RUN+="/usr/bin/block_device.sh"）。
-
安装USB攻击防御工具：
- USBGuard（Linux/Windows）：基于策略的USB设备访问控制，可配置规则禁止HID键盘设备。
- Anti-HID（开源工具）：实时监控并拦截非标准键盘输入，检测异常高速或脚本化击键。
系统行为硬化
- 禁用自动运行功能：在Windows中通过组策略“计算机配置→管理模板→Windows组件→自动播放策略”禁用所有驱动器上的自动执行。
- 限制键盘驱动加载：在Windows中通过组策略“阻止安装可移动设备”或使用
devcon工具禁用HID键盘类设备（需谨慎，可能影响正常键盘）。 - 启用“键盘过滤驱动程序”：用驱动程序拦截非标准键盘（如随机按键序列），可配合防键盘记录软件（如KeyScrambler）使用。
用户教育与流程
- 培训员工不插入未知USB设备：尤其警惕“U盘诱饵攻击”（如停车场捡到的U盘）。
- 使用加密U盘：仅允许认证的硬件加密U盘（如iStorage datAshur），其固件会阻止非授权HID模拟。
- 定期审计USB活动：通过Windows事件查看器（Event ID 4663）或Linux
dmesg日志，分析异常设备连接。
高级防护（企业环境）
- USB控制网关：部署硬件设备（如Gateway USB Secure），在USB数据传输前进行策略检查。
- 端点检测与响应（EDR）：使用EDR套件（如CrowdStrike、SentinelOne），检测并阻止键盘注入行为（如大批量快速按键）。
- 隔离测试环境：在开发测试环境中，使用USB隔离器（如USB Armory）或虚拟机中的独立USB控制器。
针对特定场景的应急措施
- 发现异常键盘行为：立即拔出疑似恶意USB设备，并按住
Alt+Ctrl+Del中断当前恶意输入进程（Windows）。 - 保存证据：记录设备插入时间、系统日志，并检查是否已安装后门（如计划任务、恶意脚本）。
注意事项：
- 不要依赖单一防御措施,结合物理控制、系统策略和用户教育形成多层防御。
- 对于必须使用USB键盘的场合（如输入密码），优先选择内嵌加密模块或生物识别认证的键盘（如Yubikey）。
- 定期更新系统与安全软件,因为部分攻击方法会利用旧驱动漏洞（如CVE-2019-12068）。
通过以上措施,可以显著降低USB橡皮鸭等HID注入攻击的成功率，尤其是在高安全需求的环境中（如金融、政府、研发机构）。
