適用情境
- 多使用者共用電腦，防止攜帶惡意程式、竊取資料。
- 高安全性環境（伺服器、金融終端、工控電腦）。
- 需長期插入特定 USB 設備（如加密狗、授權金鑰）但禁止大量儲存裝置。
方法一：NTFS 權限封鎖驅動程式檔案（適用於無 USB 裝置連接時）
- 開啟檔案總管，瀏覽至
%SystemRoot%\Inf（通常為 C:\Windows\Inf）。
- 右鍵
Usbstor.pnf → 內容 → 安全性標籤。
- 選取目標使用者/群組（如 Users、Guests、特定帳號）。
- 勾選「完全控制」欄位的「拒絕」→ 確定。
- 對
Usbstor.inf 重複相同操作。
原理： Windows 載入 USB 大量儲存裝置驅動程式需讀取這兩個檔案，拒絕讀取權限即可阻止驅動安裝，裝置將無法被識別。
方法二：登錄表停用 USB 大量儲存服務（適用於裝置長期插入情境）
- 備份登錄表： Win+R →
regedit → 檔案 → 匯出 → 全部 → 儲存。
- 瀏覽至：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UsbStor
- 右側窗格雙擊
Start（DWORD），數值資料改為 4（十六進位），基數選「十六進位」。
- 確定 → 重新開機生效。
數值對照： 3 = 手動啟動（預設），4 = 停用。修改後 USB 隨身碟、外接硬碟、讀卡機等大量儲存類裝置將完全無法使用；鍵盤、滑鼠、印表機等 HID/列印類裝置不受影響。
進階：僅允許特定裝置（白名單機制）
Windows XP 原生不支援裝置級白名單。建議方案：
- 使用群組原則「裝置安裝限制」（需 Windows XP Professional + 行政範本
system.adm 更新）。
- 部署第三方端點防護軟體（如 Symantec Endpoint Protection、McAfee DLP、趨勢科技 USB Security）實作 VID/PID 白名單。
- 物理層面：USB 連接埠膠水封死、機箱鎖、BIOS 關閉 USB 控制器（極端情況）。
恢復 USB 功能
- 方法一：移除
Usbstor.pnf/.inf 的「拒絕」權限項目。
- 方法二：登錄表
UsbStor\Start 改回 3 並重開機。
注意事項
- 修改權限/登錄表需 系統管理員權限。
- 操作前務必備份登錄表與重要資料。
- 若環境需偶爾使用 USB，建議採用「臨時啟用 → 使用完畢 → 立即停用」流程，或使用受管控的加密 USB 隨身碟。
結語
禁用 USB 大量儲存是資安基本功之一。配合 NTFS 權限與登錄表雙重管制，可有效阻斷實體介面的資料外洩與惡意程式入侵管道。