如何防止重要文件被 USB 隨身碟複製？Win7 組策略限制未授權 USB 儲存裝置安裝教學

核心原理

透過 群組原則 (gpedit.msc) 設定「禁止安裝未由其他原則描述的裝置」，並將授權的 USB 裝置硬體 ID 加入白名單，實現「只有特定隨身碟能用，其他全部阻擋」的資料外洩防護。

操作步驟

1. 獲取授權 USB 的硬體 ID：
   • 將授權的 USB 插入電腦 → 「控制台」→「裝置管理員」→「可攜式裝置」/「通用序列匯流排控制器」→「USB 大容量儲存裝置」。
   • 右鍵 → 「屬性」→「詳細資料」分頁 → 屬性選 「硬體 ID」 → 複製第一行值（如 USBSTOR\DISK&VEN_KINGSTON&PROD_DATATRAVELER...）。
   • 同樣複製「USB 大容量儲存裝置」的硬體 ID 備用。
2. 設定群組原則：
   • Win+R → gpedit.msc。
   • 依序展開：電腦設定 → 管理範本 → 系統 → 裝置安裝 → 裝置安裝限制。
   • 雙擊 「禁止安裝未由其他原則設定描述的裝置」 → 選 「已啟用」 → 確定。
3. 加入白名單（允許安裝的裝置）：
   • 在同一路徑下找到 「允許安裝符合下列裝置安裝類別的裝置」 或 「允許安裝具有下列裝置 ID 的裝置」（視版本而定）。
   • 啟用並點擊「顯示」→ 新增剛複製的硬體 ID（每行一個）。
4. 套用生效：Win+R → gpupdate /force 或重新開機。

注意事項

• 僅適用於 Windows 專業版/企業版/教育版（家用版無 gpedit.msc，可用註冊表或第三方工具達成類似效果）。
• 設定後，**未授權的 USB 隨身碟/移動硬碟插入將不會出現盤符，也無法在裝置管理員正常啟用**。
• 授權裝置需**逐一錄入硬體 ID**，批量部署可透過網域群組原則下發。
• 此法無法防禦：已授權裝置被盜用、網路傳輸(郵件/雲端/IM)、列印/拍照/手抄等物理洩密手段，需配合 DLP 系統綜合治理。