移動存儲設備 (U盤/移動硬盤/手機/相機) 是病毒/木馬/勒索軟件橫向傳播的高速公路。企業內部機房、核心業務終端、隔離網環境，往往不需要 USB 存儲功能。本文提供兩種原生禁用方案：文件權限法 (用戶級精細) 與 註冊表法 (機器級全域)，並給出選型決策樹。

方案一：文件權限法 —— 針對特定用戶/組，保留打印機/掃描儀/鍵鼠等非存儲 USB 設備

前置條件

• 系統盤為 **NTFS** (FAT32 不支持文件級 ACL) → `convert c: /fs:ntfs` (需重啟)。
• 關閉「簡單文件共享」：資源管理器 → 工具 → 文件夾選項 → 查看 → 取消勾選「使用簡單文件共享」 → 運行「網絡安裝精靈」恢復標準共享/安全標籤。
• **必須創建非 Administrator 的日常賬號** (即使屬 Administrators 組)，Administrator 默認繞過 DACL，無法被拒絕訪問。

核心操作：拒絕兩個驅動預裝文件的「完全控制」

目標文件：`%SystemRoot%\Inf\Usbstor.pnf` 、`%SystemRoot%\Inf\Usbstor.inf` (USB 大容量存儲驅動預編譯信息/安裝信息)

1. 右鍵文件 → 屬性 → 安全 → 編輯 → 添加目標用戶/組 (建議創建專用組 `G_USB_Storage_Deny`，用戶加入該組)。
2. 選中該用戶/組 → 勾選 **拒絕 → 完全控制** → 確認「系統」賬號**同樣被添加到拒絕列表** (防止系統安裝驅動)。
3. 對兩個文件重複上述操作。

效果：目標用戶插入 U盤 → 設備管理器顯示「未知設備」/「驅動程序錯誤」/「訪問被拒絕」，無法掛載磁盤分區。USB 打印機/掃描儀/鍵鼠/HID 設備**完全不受影響** (使用 `usbprint.sys`/`usbscan.sys`/`hidclass.sys` 等不同驅動棧)。

方案二：註冊表法 —— 機器級全域禁用，適用批量部署/組策略/MDM 下發

禁用 USBSTOR 服務 (設置 Start=4 禁用)

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR]
"Type"=dword:00000001
"Start"=dword:00000004   ; 4 = Disabled (3 = Manual 默認)
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\
  44,00,72,00,69,00,76,00,65,00,72,00,73,00,5c,00,55,00,53,00,42,00,53,\
  00,54,00,4f,00,52,00,2e,00,53,00,59,00,53,00,00,00
"DisplayName"="USB 大容量存儲設備"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR\Security]
"Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,\
  00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\
  00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,\
  05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\
  20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,\
  00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,\
  00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00

保存為 `Disable_USBSTOR.reg`，雙擊導入 / 組策略「計算機配置→偏好→Windows 設置→註冊表」部署 / SCCM/Intune 基線下發。**所有用戶 (含 Administrator) 均生效**，重啟後 USB 存儲設備徹底不可用。

恢復啟用 (Start=3 Manual)

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR]
"Start"=dword:00000003
; Security 節點同禁用版 (保持默認 DACL 即可)

保存為 `Enable_USBSTOR.reg` 導入並重啟。

選型決策樹：根據業務場景選擇方案

需要 USB 存儲嗎？
├── 完全不需要 (機房服務器、隔離網終端、Kiosk 模式)
│   └── → 註冊表法 (機器級全域、一次配置全網生效、無繞過可能)
└── 部分用戶/部門需要 (開發/測試/高管/特定業務)
    ├── 需區分用戶/組權限
    │   └── → 文件權限法 (配合 G_USB_Storage_Deny 組、GPO 受限組、動態成員)
    └── 需臨時/審批制開放
        └── → 註冊表法 + 自助服務門戶 (ServiceNow/Jira/自研) 觸發腳本翻轉 Start 值 + 審計日志

進階補充：組策略原生設置 (Win7+/2008R2+ 推薦)

計算機配置 → 管理範本 → 系統 → 可移動存儲訪問 → 「所有可移動存儲類別: 所有權限」→ **啟用 → 拒絕讀取/寫入/執行**。優點：原生、無需註冊表 Hack、支援動態插拔即時生效 (無需重啟)、可針對「可移動磁碟/磁帶/軟盤/WPD」分類控制。

合規與審計建議

• 將 USB 禁用策略納入「終端安全基線清單」，定期掃描合規 (SCCM/Intune/Qualys/Tenable)。
• 記錄每次策略變更：申請單、審批人、執行時間、影響範圍、驗證結果。
• 異常檢測：EDR 監控 `USBSTOR` 服務狀態變更、註冊表 `Start` 值修改、新增 USB 設備枚舉事件 (Event ID 20001/20003/2100/2101)。
• 數據防洩漏 (DLP) 聯動：USB 寫入嘗試 → 觸發告警 → 記錄文件哈希/路徑/用戶/進程 → 可選阻斷/隔離。

禁用 USB 存儲是「斷絕物理傳播鏈」的經典戰術，但**不能替代網絡傳播防護 (郵件/網盤/IM/漏洞利用/供應鏈)**。請在「零信任架構」宏觀框架下，將其作為「設備信任評估」的一項指標，而非唯一依賴。