USB 隨身碟是病毒、蠕蟲病毒（如 Autorun.inf 型）主要傳播管道。Windows 8 可透過修改登錄表 MountPoints2 權限，徹底封鎖所有使用者（含系統帳戶）對 USB 自動執行掛載點的寫入權限，達到「插入不自動執行、不建立掛載點」的防毒效果。

操作步驟

1. 按 Win+R → regedit 開啟登錄表編輯器。

2. 定位路徑：
   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
3. 右鍵點選 MountPoints2 → 「權限」。

4. 在「群組或使用者名稱」清單中，逐一選取每個帳戶（含 SYSTEM、Administrators、Users、目前使用者帳戶等） → 下方「權限」區塊，勾選「完全控制」欄位的 「拒絕」。
5. 每次彈出「安全性」警告視窗 → 點選「是」。

6. 所有帳戶皆設定「拒絕完全控制」後 → 「確定」關閉。

原理說明

• MountPoints2 儲存每個 USB 裝置的掛載點資訊（磁碟機代號對應、Autorun.inf 執行記錄等）。
• 拒絕所有帳戶「完全控制」，系統無法寫入新掛載點資料，也無法讀取舊資料執行 AutoRun。
• 此法比「關閉 AutoPlay」更徹底：AutoPlay 僅阻擋自動播放視窗，惡意程式仍可透過 Shell 執行；封鎖 MountPoints2 連掛載點都不建立。

副作用與對策

部分備份/同步軟體偵測不到 USB 插入

副作用	說明	對策
USB 插入不自動彈出檔案總管	掛載點未建立，Shell 無觸發事件	手動按 Win+E 開啟檔案總管，或「這台電腦」點選磁碟機
依賴 MountPoints2 變更通知	軟體設定改為輪詢偵測，或暫時恢復權限備份後再封鎖
系統帳戶（SYSTEM）也被拒絕	可能影響系統層級裝置管理	實測 Windows 核心掛載機制不依賴此鍵值，無實際影響

補充防護：群組原則關閉 AutoPlay（雙重保險）

1. Win+R → gpedit.msc（專業版以上）。
2. 電腦設定 → 系統管理範本 → Windows 元件 → 自動播放原則 → 「關閉自動播放」→ 「已啟用」→ 「所有磁碟機」。

企業環境部署建議

將上述登錄表權限設定封裝為 .reg 檔或 PowerShell 腳本，透過群組原則/MDM 大量部署至全域電腦，建立 USB 防毒基線。

登錄表權限封鎖 MountPoints2 是 Windows 8/8.1/10/11 通用的「硬核」USB 防毒手段，配合關閉 AutoPlay、禁用 Autorun.inf 解析、啟用 Windows Defender 即時防護，構建多層次防禦體系。