PowerShell : comment monter et démonter dynamiquement des fichiers ISO

Dans cet article, nous proposons un script PowerShell que les administrateurs informatiques peuvent utiliser pour monter et démonter les fichiers ISO de manière dynamique.

Contexte

Les fichiers ISO, qui sont essentiellement une copie complète d’un disque sous forme numérique, sont largement utilisés pour distribuer des logiciels (y compris des logiciels malveillants, malheureusement). Les professionnels de l’informatique et les fournisseurs de services gérés (MSP) peuvent préférer bloquer le montage des fichiers ISO en général, ou bien ils peuvent  avoir besoin d’activer ou de désactiver le montage de ces images ISO de manière dynamique, en particulier sur les systèmes d’entreprise. Ce script PowerShell permet de contrôler cette fonctionnalité avec précision, en veillant à ce que la sécurité et le respect de la politique soient observés avec élégance.

Le script

#Requires -Version 5.1

<#
.SYNOPSIS
    Enables or disables the mounting of ISO images.
.DESCRIPTION
    Enables or disables the mounting of ISO images.
.EXAMPLE
     -Enable
    Enables mounting of ISO images.
.EXAMPLE
     -Disable
    Disables mounting of ISO images.
.OUTPUTS
    None
.NOTES
    Minimum OS Architecture Supported: Windows 10, Windows Server 2016
    Release Notes:
    Initial Release
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
#>

[CmdletBinding()]
param (
    [Parameter()]
    [switch]
    $Enable,
    [Parameter()]
    [switch]
    $Disable
)

begin {
    function Set-ItemProp {
        param (
            $Path,
            $Name,
            $Value,
            [ValidateSet("DWord", "QWord", "String", "ExpandedString", "Binary", "MultiString", "Unknown")]
            $PropertyType = "DWord"
        )
        # Do not output errors and continue
        $ErrorActionPreference = [System.Management.Automation.ActionPreference]::SilentlyContinue
        if (-not $(Test-Path -Path $Path)) {
            # Check if path does not exist and create the path
            New-Item -Path $Path -Force | Out-Null
        }
        if ((Get-ItemProperty -Path $Path -Name $Name)) {
            # Update property and print out what it was changed from and changed to
            $CurrentValue = Get-ItemProperty -Path $Path -Name $Name
            try {
                Set-ItemProperty -Path $Path -Name $Name -Value $Value -Force -Confirm:$false -ErrorAction Stop | Out-Null
            }
            catch {
                Write-Error $_
            }
            Write-Host "$Path$Name changed from $CurrentValue to $(Get-ItemProperty -Path $Path -Name $Name)"
        }
        else {
            # Create property with value
            try {
                New-ItemProperty -Path $Path -Name $Name -Value $Value -PropertyType $PropertyType -Force -Confirm:$false -ErrorAction Stop | Out-Null
            }
            catch {
                Write-Error $_
            }
            Write-Host "Set $Path$Name to $(Get-ItemProperty -Path $Path -Name $Name)"
        }
        $ErrorActionPreference = [System.Management.Automation.ActionPreference]::Continue
    }
    function Test-IsElevated {
        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
        $p = New-Object System.Security.Principal.WindowsPrincipal($id)
        $p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator)
    }
}
process {
    if (-not (Test-IsElevated)) {
        Write-Error -Message "Access Denied. Please run with Administrator privileges."
        exit 1
    }

    if ($env:Action -like "Enable") {
        $Enable = $true
    }
    elseif ($env:Action -like "Disable") {
        $Disable = $true
    }

    # Use a unique number that isn't likely to be used
    # "ninja" to something close to a number plus 1 at the end: "41470" + "1"
    $GroupName = "414701"

    # Mount HKEY_CLASSES_ROOT as HKCR: for the current session
    New-PSDrive -PSProvider registry -Root HKEY_CLASSES_ROOT -Name HKCR

    if ($Enable -and $Disable) {
        Write-Error "Both Enable and Disable can not be used at the same time."
        exit 1
    }
    elseif ($Enable) {
        # Enables the use of ISO mounting by removing registry settings

        # ErrorAction set to SilentlyContinue for when the registry settings don't exist
        Remove-ItemProperty -Path "HKLM:SOFTWAREPoliciesMicrosoftWindowsDeviceInstallRestrictionsDenyDeviceIDs" -Name "$GroupName" -ErrorAction SilentlyContinue
        Write-Host "Removed $GroupName from HKLM:SOFTWAREPoliciesMicrosoftWindowsDeviceInstallRestrictionsDenyDeviceIDs"

        Remove-ItemProperty -Path "HKLM:SOFTWAREPoliciesMicrosoftWindowsDeviceInstallRestrictions" -Name "DenyDeviceIDsRetroactive" -ErrorAction SilentlyContinue
        Write-Host "Removed DenyDeviceIDsRetroactive from HKLM:SOFTWAREPoliciesMicrosoftWindowsDeviceInstallRestrictionsDenyDeviceIDs"

        Remove-ItemProperty -Path "HKCR:Windows.IsoFileshellmount" -Name "ProgrammaticAccessOnly" -ErrorAction SilentlyContinue
        Write-Host "Removed ProgrammaticAccessOnly from HKCR:Windows.IsoFileshellmount"
    }
    elseif ($Disable) {
        # Disables the use of ISO mounting by creating registry settings

        Set-ItemProp -Path "HKLM:SOFTWAREPoliciesMicrosoftWindowsDeviceInstallRestrictionsDenyDeviceIDs" -Name "$GroupName" -Value "SCSICdRomMsft____Virtual_DVD-ROM_" -PropertyType String
        Set-ItemProp -Path "HKLM:SOFTWAREPoliciesMicrosoftWindowsDeviceInstallRestrictions" -Name "DenyDeviceIDsRetroactive" -Value "1" -PropertyType DWord
        Set-ItemProp -Path "HKCR:Windows.IsoFileshellmount" -Name "ProgrammaticAccessOnly" -Value "" -PropertyType String
    }
    else {
        Write-Error "Enable or Disable is required."
        exit 1
    }
    Write-Host "Any logged in users will need to log out and back in for changes to take effect."
}
end {
    $ScriptVariables = @(
        [PSCustomObject]@{
            name           = "Action"
            calculatedName = "action"
            required       = $true
            defaultValue   = [PSCustomObject]@{
                type  = "TEXT"
                value = "Disable"
            }
            valueType      = "DROPDOWN"
            valueList      = @(
                [PSCustomObject]@{
                    type  = "UNDEFINED"
                    value = "Disable"
                },
                [PSCustomObject]@{
                    type  = "UNDEFINED"
                    value = "Enable"
                }
            )
            description    = "Used to enable or disable the mounting of ISO images."
        }
    )
}

 

Description détaillée

Le script fourni est conçu pour activer ou désactiver la capacité de montage des images ISO. Décortiquons ses composantes :

• Paramètres : Le script accepte deux commutateurs – $Enable et $Disable. Ils dictent le comportement du script, en activant ou en désactivant le montage ISO.
• Fonction Set-ItemProp : Cette fonction interne gère la création ou la modification d’une propriété du registre. Elle prend en charge différents types de propriétés, ce qui garantit une certaine souplesse dans la gestion des clés du registre Windows.
• Fonction Test-IsElevated : Vérifie si le script s’exécute avec des privilèges administratifs. Cela garantit que les changements sont appliqués à l’ensemble du système et ne sont pas limités à la session de l’utilisateur.
• Bloc « process » : Le cœur du script. C’est ici que réside la logique :
• Vérifie les droits d’administration.
• Détermine l’action en fonction des paramètres ou des variables d’environnement fournis.
• Supprime (activation) ou définit (désactivation) des clés de registre spécifiques pour contrôler la capacité de montage ISO.

Cas d’utilisation potentiels

Prenons l’exemple d’une étude de cas : Le département informatique de la Compagnie ACME diffuse une mise à jour logicielle via des fichiers ISO sur tous les systèmes des employés. Une fois la mise à jour terminée, l’objectif est de désactiver temporairement la capacité de montage ISO. En déployant ce script à l’échelle de l’entreprise, le département informatique peut contrôler cette fonctionnalité et s’assurer que les utilisateurs curieux ne montent pas d’ISO non officielles ou non approuvées.

Comparaisons

Bien qu’une intervention manuelle ou des outils basés sur une interface graphique permettent de gérer les autorisations de montage ISO, ils sont inefficaces pour les opérations à grande échelle. Notre script offre une méthode automatisée, performante et sans prise de tête par rapport aux processus manuels qui prennent beaucoup de temps.

FAQ script et fichiers ISO

• Le script nécessite-t-il des privilèges d’administrateur ?
  Oui, pour les modifications à l’échelle du système, le script doit être exécuté avec des droits d’administrateur.
• Puis-je activer et désactiver simultanément ?
  Non. Le script nécessite une action distincte, soit l’activation, soit la désactivation.

Implications

La gestion du montage des fichiers ISO peut avoir de profondes répercussions sur la sécurité. Les ISO non autorisées peuvent introduire des logiciels malveillants ou indésirables. En contrôlant cette fonction, les services informatiques peuvent s’assurer que seules les ISO approuvées sont montées, ce qui atténue les menaces potentielles.

Recommandations

• Sauvegardez toujours les paramètres du registre avant de les modifier.
• Testez le script dans un environnement contrôlé avant de le déployer à l’échelle de l’entreprise.
• Contrôlez les comportements du système après le déploiement afin d’identifier tout résultat inattendu.

Conclusion

Pour des plateformes comme NinjaOne, qui s’adresse aux opérations et à la gestion informatiques, les scripts de ce type sont d’une valeur inestimable. Ils illustrent la polyvalence de la plateforme et son adaptation aux besoins informatiques contemporains. En tirant parti de ces outils, les professionnels de l’informatique peuvent exploiter toute la puissance de PowerShell, ce qui rend la gestion du système efficace et sécurisée.