Обнаружение внешних USB устройства на сервере с операционной системой Linux

1. Постановка задачи.

В рамках выполнения регуляторных требований потребовалось подготовить доказательную базу для аудиторов в части мониторинга событий подключения внешних USB устройств к серверу на операционной системе Linux.

В данной «Заметке по мониторингу» представлены примеры событий, полученные по результатам практического тестирования актуальных релизов операционных систем Linux: CentOS Stream 9 и Ubuntu Server 26.04 LTS.

2. Результаты тестирования.

2.1. Операционная система Centos Stream 9.

При подключении устройства отмечена следующая последовательность:

Aug 24 13:36:25 centos9 kernel: usb 2-1: new SuperSpeed USB device number 7 using xhci_hcd
Aug 24 13:36:25 centos9 kernel: usb 2-1: New USB device found, idVendor=174c, idProduct=55aa, bcdDevice= 0.01
Aug 24 13:36:25 centos9 kernel: usb 2-1: New USB device strings: Mfr=2, Product=3, SerialNumber=1
Aug 24 13:36:25 centos9 kernel: usb 2-1: Product: Silicon-Power
Aug 24 13:36:25 centos9 kernel: usb 2-1: Manufacturer: PHD 3.0
Aug 24 13:36:25 centos9 kernel: usb 2-1: SerialNumber: 20021560216000000018
Aug 24 13:36:25 centos9 kernel: usb 2-1: USB controller 0000:00:0c.0 does not support streams, which are required by the UAS driver.
Aug 24 13:36:25 centos9 kernel: usb 2-1: Please try an other USB controller if you wish to use UAS.

В дальнейшем отмечено отключение:

Aug 24 13:45:41 centos9 kernel: usb 2-1: USB disconnect, device number 7

В данном фрагменте наблюдается один цикл: обнаружение устройства в 13:36:25 и его отключение в 13:45:41. Номер 7 присутствует как при обнаружении, так и при отключении.

2.2. Операционная система Ubuntu Server 26.04 LTS.

При подключении устройства отмечена следующая последовательность:

2026-08-24T14:17:49.140130+05:00 ubuntu-web kernel: usb 2-1: new SuperSpeed USB device number 2 using xhci_hcd
2026-08-24T14:17:49.140152+05:00 ubuntu-web kernel: usb 2-1: New USB device found, idVendor=174c, idProduct=55aa, bcdDevice= 0.01
2026-08-24T14:17:49.140153+05:00 ubuntu-web kernel: usb 2-1: New USB device strings: Mfr=2, Product=3, SerialNumber=1
2026-08-24T14:17:49.140153+05:00 ubuntu-web kernel: usb 2-1: Product: Silicon-Power
2026-08-24T14:17:49.140154+05:00 ubuntu-web kernel: usb 2-1: Manufacturer: PHD 3.0
2026-08-24T14:17:49.140154+05:00 ubuntu-web kernel: usb 2-1: SerialNumber: 20021560216000000018
2026-08-24T14:17:49.140245+05:00 ubuntu-web kernel: usb 2-1: USB controller 0000:00:0c.0 does not support streams, which are required by the UAS driver.
2026-08-24T14:17:49.140246+05:00 ubuntu-web kernel: usb 2-1: Please try an other USB controller if you wish to use UAS.

Отключение устройства:

2026-08-24T14:21:59.841505+05:00 ubuntu-web kernel: usb 2-1: USB disconnect, device number 2

Здесь также наблюдается один цикл обнаружения и отключения. Совпадают idVendor, idProduct, строковые характеристики и серийный номер. Номер 2 присутствует как при обнаружении, так и при отключении.

3. Заключение.

Обычное подключение и отключение USB устройства обнаруживается ядром Linux и сопровождается уведомлениями, обрабатываемыми udev. Нельзя рассчитывать, что оно автоматически создаст записи USER_DEVICE, DEV_ALLOC или DEV_DEALLOC в Linux Audit. Такие записи зависят от наличия и настройки компонентов, которые их формируют. Примером для USER_DEVICE является USBGuard с включённой интеграцией Linux Audit.