5. 登錄檔禁用 USBSTOR 服務 (單機、無 GPO 環境)

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR]
"Start"=dword:00000004   ; 4 = Disabled

• 匯入後重開機生效。僅阻擋 USB 大量儲存，鍵盤/滑鼠/印表機 (HID/Printer Class) 不受影響。
• 缺點：本機管理員可改回；惡意程式若有高權限可修改登錄檔。

6. 檔案權限拒絕存取 usb.inf / usbport.sys (舊版 Windows 常用)

• 針對 %SystemRoot%\Inf\usb.inf、%SystemRoot%\Inf\usbport.inf、%SystemRoot%\System32\drivers\usbport.sys 設定 Everyone / Users : 拒絕「讀取與執行」。
• 缺點：Windows 更新/驅動更新可能重置權限；系統檔案保護 (WFP/SFC) 可能還原；維護困難。

7. Device Guard / AppLocker / WDAC (Windows 10/11 企業版/教育版)

• 部署 Windows Defender Application Control (WDAC) 原則，僅允許簽署驅動程式載入，隱性阻擋未簽署/惡意 USB 驅動。
• AppLocker 規則：封鎖特定裝置類別安裝、封鎖可執行檔從 USB 執行。
• 優點：核心層級強制、難以繞過、支援簽署者/路徑/雜湊規則。
• 缺點：需企業版授權、規則設計複雜、誤攔合法裝置風險。

8. 禁用 AutoRun/AutoPlay (防止 USB 病毒自動執行)

• 群組原則：電腦設定 → 系統管理範本 → Windows 元件 → 自動播放原則 → 關閉自動播放 → 啟用 → 所有磁碟機。
• 登錄檔：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun = 0xFF (255)。
• 補充：不等同禁用 USB 埠，僅防自動執行，需搭配上述方案使用。

第三類：企業級專用方案 (集中管控、稽核、彈性最高)

9. 端點安全管理平台 (EPP/EDR/XDR) — 如 Symantec, Trend Micro, CrowdStrike, SentinelOne, 微步在線, 安恆, 深信服

• 功能：裝置控制 (依裝置類別/VID/PID/序號 白/黑名單)、資料外洩防護 (DLP) (掃描檔案敏感內容阻擋複製)、影子複製/加密備份 (USB 寫入自動加密)、全稽核日誌 (誰、何時、什麼裝置、複製什麼檔案)、遠端鎖定/抹除。
• 部署：Agent 安裝於端點，管理主控台下發策略，支援 Windows/macOS/Linux。
• 成本：每端點每年 NT$500–3000+，需專人運維。

10. 資料外洩防護 (DLP) 專用設備/軟體 — Forcepoint, Digital Guardian, GTB, 國內廠商 (資安堡壘機、網路DLP)

• 網路層面檢測 USB 大量儲存流量 (透過代理/鏡像流量)、端點 Agent 掃描檔案指紋/關鍵字/正則表達式、郵件/雲端/列印/剪貼板/USB 多通道統一管控。
• 適用：高敏感資料 (設計圖面、原始碼、客戶名單、財報) 防外洩。

11. 硬體級 USB 防火牆 / 埠控制器 — USB Block, PortBlocker, Lindy USB Port Blocker (硬體鑰匙)

• 介於電腦 USB 埠與隨身碟之間，需物理鑰匙/指紋/刷卡授權才通電/傳輸資料。
• 優點：作業系統無關、無驅動、絕對物理控制。
• 缺點：每埠一裝置、成本高、不支援 USB Hub 串接多裝置。

12. 虛擬桌面基礎架構 (VDI) / 遠端桌面 (RDS/VDI) — 根除本地 USB 需求

• 使用者僅連接遠端桌面 (VMware Horizon, Citrix VDA, Microsoft AVD, Windows 365)，本地裝置無資料、無 USB 需求 (或透過 USB 重導向策略精確控制)。
• 徹底解決「帶資料走」、「插惡意 USB」風險，但需高頻寬/低延遲網路、伺服器端高成本。

方案選擇決策矩陣

關鍵實施細節 (避坑指南)

• 白名單機制：授權備份備份硬碟、加密隨身碟 (如 IronKey、Apricorn)、YubiKey、智慧卡讀卡機 — 依 VID/PID/序號精準放行，避免「全開」或「全關」。
• 例外流程：建立 IT 服務台單據流程，臨時放行需主管簽核、記錄用途、事後稽核日誌。
• Linux/macOS 同步管控：
  • Linux：/etc/modprobe.d/blacklist-usb-storage.conf → blacklist usb_storage；udev 規則 ATTR{idVendor}=="xxxx", ATTR{idProduct}=="yyyy", AUTHORIZED="0"。
  • macOS：MDM 部署 com.apple.systemextension.install 限制、RestrictedMedia 載入項限制、第三方 DLP (如 Jamf Protect、Kandji)。
• 稽核日誌保留：Windows Event ID 20001 (USBSTOR)、4663 (檔案存取)、Sysmon Event ID 14 (USB 裝置變更) → 轉發至 SIEM/Log Server 保留 ≥ 1 年。
• 員工教育：宣導「為何管控 USB」、「如何申請例外」、「發現可疑裝置回報」 — 技術手段只能擋住 90%，文化建設擋住最後 10%。

總結

沒有單一「銀彈」能完美解決 USB 風險。分層防禦才是王道：
🔒 物理層 封堵不需埠 + 易碎貼紙稽核 →
🛡️ OS 層 GPO 禁用大量儲存 + WDAC 鎖死驅動載入 + 關閉 AutoRun →
🏢 企業層 EDR 裝置控制/DLP 內容檢測 + VDI 根除本地資料 →
📋 管理層 白名單例外流程 + 稽核日誌 + 持續教育。

依組織資產價值、威脅模型、預算與運維能力，從決策矩陣選擇適層級組合，並每季演練紅隊測試驗證有效性，才能真正守住 USB 這條最寬廣的資料外洩與惡意代碼入侵通道。