員工私自使用 360 隨身 WiFi 等 USB 共享裝置建立熱點，不僅繞過企業網管政策，更可能造成資安洩漏、頻寬濫用與法律風險。本文提供兩套企業級禁用方案：USB 連接埠管控（根治）與 ICS 服務封鎖（針對性），並分析優劣適用場景。

方案一：USB 連接埠管控（推薦，根治所有隨身 WiFi）

1. BIOS 完全禁用 USB（最徹底但副作用大）

• 進入 BIOS → Advanced → USB Configuration → Disable All USB Ports
• 缺點：同時禁用鍵盤、滑鼠、加密狗、列印機等合法 USB 裝置，實用性極低

2. 部署專業 USB 連接埠管理軟體（推薦：大勢至 USB 連接埠控制軟體）

核心優勢：精準識別裝置類別，僅禁用儲存類/網路共享類 USB，不影響 鍵盤、滑鼠、加密狗、列印機等 HID/列印類裝置。

• 官網：https://www.grablan.com/monitorusb.html
• 功能：
    • 完全禁用 360/百度/小度等所有品牌隨身 WiFi
    • 禁用 U 盤、行動硬碟、手機儲存模式
    • 白名單機制：授權特定 U 盤/裝置可用
    • 审計日誌：記錄誰、何時、插拔何裝置
    • 集中部署：支援網域/工作群組批次安裝、策略下發
• 部署建議：
    • 電腦數 < 50 台：手動安裝/群組原則腳本部署
    • 電腦數 > 50 台：搭配軟體分發系統（SCCM/PDQ/自建）靜默安裝

方案二：禁用 ICS 服務（零成本、針對性強、但易被繞過）

原理：360 隨身 WiFi 等虛擬 AP 依賴 Windows ICS (Internet Connection Sharing) 服務實現網路共用。禁用 ICS 即可阻斷其核心運作機制。

操作步驟（單機/群組原則均可）

1. Win+R → services.msc
2. 找到 Internet Connection Sharing (ICS)
3. 右鍵 → 內容 → 「停止」 服務
4. 啟動類型改為 「已停用」 或 「手動」
5. 確定 → 重新開機驗證

群組原則批次部署（網域環境）

GPO → 電腦設定 → 原則 → Windows 設定 → 安全性設定 → 系統服務
→ 找到 Internet Connection Sharing (ICS)
→ 定義此原則設定 → 啟動模式：已停用
→ 連結至目標 OU → gpupdate /force

驗證效果

• 插入 360 隨身 WiFi → 軟體啟動但無法建立熱點/手機連線無網路
• Windows 10 內建「行動熱點」同樣失效（同依賴 ICS）

風險與繞過手段

• 具技術能力員工可：
    • 手動重啟 ICS 服務（需本機管理員權限）
    • 使用第三方虛擬 AP 軟體（Connectify、Virtual Router Plus 等）
    • 攜帶旅行路由器/手機熱點繞過
• 對抗：結合「限制本機管理員權限」+「軟體白名單管控」+「USB 管控」

方案選擇決策矩陣

維度	USB 管控軟體	禁用 ICS 服務
防護範圍	所有 USB 隨身 WiFi、儲存裝置、非授權周邊	僅阻擋依賴 ICS 的虛擬 AP（含 Win10 行動熱點）
繞過難度	極高（需繞過核心驅動層攔截）	低（具管理員權限可重啟服務）
部署成本	軟體授權費 + 部署人力	零成本（內建功能/群組原則）
對正常辦公影響	無（白名單機制保障合法裝置）	無（不影響正常上網/列印/鍵鼠）
適用規模	中大型企業、高資安需求單位	小型企業、臨時應急、預算為零

最佳實務建議

• 中大型企業（>50 台）：部署專業 USB 管控軟體 + 限制本機管理員權限 + 軟體白名單，構建纵深防禦
• 小型企業（<20 台）：群組原則禁用 ICS + 口頭規定 + 定期稽核，低成本達標
• 高安環境（金融/軍工/研發）：物理剪斷 USB 埠/膠水封死 + 純內網隔離 + 專用資安閘道

選擇適合組織規模與資安等級的方案，從根源杜絕隨身 WiFi 帶來的網管盲點與資安風險！