U 盤雖方便，卻是病毒、資料外洩的高風險管道。Windows 專業版/企業版內建的群組原則可實現「白名單機制」：僅允許已登記的 U 盤讀寫，其他裝置插上即被拒絕掛載。

前置作業：取得自用 U 盤的硬體 ID

1. 插入自用 U 盤，右鍵「這台電腦」→「管理」→「裝置管理員」
2. 展開「磁碟機」→ 找到該 U 盤 → 右鍵「內容」→「詳細資料」
3. 屬性選「硬體 ID」→ 複製第一組值（如 USBSTOR\DISK&VEN_KINGSTON&PROD_DATATRAVELER...）
4. 同樣展開「通用序列匯流排控制器」→「USB 大容量儲存裝置」→ 同樣複製第一組硬體 ID

群組原則設定白名單

1. Win+R 輸入 gpedit.msc 開啟群組原則編輯器
2. 依序展開：
   電腦設定 → 管理範本 → 系統 → 裝置安裝 → 裝置安裝限制
3. 啟用 「禁止安裝未由其他原則設定描述的裝置」
4. 啟用 「允許安裝符合下列裝置執行個體 ID 的裝置」 → 點擊「顯示」→ 將剛複製的兩組硬體 ID 各佔一行貼上
5. 確定 → 關閉群組原則編輯器 → 重新開機或執行 gpupdate /force

驗證成果

• 自用 U 盤插入 → 正常讀寫
• 他人 U 盤插入 → 裝置管理員顯示錯誤代碼、總管不出現盤符、彈出「裝置安裝被原則阻止」提示

注意事項

• 僅 Windows Pro/Enterprise/Education 版支援 gpedit.msc；Home 版可用第三方工具（如 Policy Plus）或修改登錄表實現
• 新增自用 U 盤時，須重複上述步驟將新硬體 ID 加入白名單
• 此法僅阻擋「儲存裝置類」，鍵盤、滑鼠、印表機等 HID 類裝置不受影響

透過硬體 ID 白名單，將「信任決策」從使用者判斷轉移至系統強制執行，徹底斷絕「借個 U 複製檔案」帶來的病毒與洩密風險。