為防止機密資料經由 USB 隨身碟、行動硬碟外洩，可透過修改登錄檔禁用 USB 大容量儲存裝置驅動，達到「插上無反應、磁碟機代號不出現」的物理隔離效果。
操作步驟
- 按 Win+R → 輸入
regedit → Enter 開啟登錄編輯器。
- 定位至鍵值：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR
- 右側窗格雙擊 Start (REG_DWORD)。
- 將「數值資料」從
3（預設：手動啟動）改為 4（停用） → 「確定」。
- 關閉登錄編輯器，重啟電腦生效。
效果驗證
- 重啟後插入 USB 隨身碟/行動硬碟：裝置管理員顯示「未知裝置」或帶黃色驚嘆號，「我的電腦」中無磁碟機代號，無法讀寫。
- USB 滑鼠、鍵盤、印表機、手機（MTP 模式）等非大容量儲存類裝置不受影響，正常使用。
恢復 USB 儲存功能
- 同樣開啟
regedit 定位至 USBSTOR 鍵值。
- 將
Start 值改回 3 → 重啟電腦。
進階：僅針對特定 USB 裝置禁用（白名單機制）
若需允許特定授權 USB（如公司發放加密隨身碟），可結合群組原則：
gpedit.msc → 電腦設定 → 管理範本 → 系統 → 可移動儲存體存取。- 啟用「所有可移動儲存體：拒絕寫入/讀取/執行」。
- 在「可移動儲存體：允許特定裝置」中新增授權裝置的硬體 ID（裝置管理員 → 內容 → 詳細資料 → 硬體 ID）。
注意事項
- 修改登錄具風險，操作前建議匯出
USBSTOR 鍵值備份（右鍵→匯出）。
- 此法僅阻擋 USB 大容量儲存類，無法防禦網路傳輸、郵件外寄、列印、螢幕截圖等洩密管道，需配合 DLP 系統綜合防護。
- Windows 10/11 同樣適用，鍵值路徑相同。
一鍵註冊表修改，建立 USB 實體資料防火牆，守護核心機密。