企業或個人為防止不明 USB 隨身碟帶入病毒、惡意程式或洩漏機密資料，可利用 Windows 7 專業版/旗艦版內建的「群組原則編輯器」配合裝置硬體 ID，實施「白名單」管制：僅允許已登記的 USB 裝置在系統上運作，其他所有 USB 儲存裝置一律封鎖。此法比單純停用 USB 埠更有彈性，不影響滑鼠、鍵盤等非儲存類裝置。
前置作業：取得允許裝置的硬體 ID
將常用的 USB 隨身碟、外接硬碟等裝置插入電腦，依下列兩種方式取得硬體 ID 並記錄於記事本備用。
方法一：透裝置與印表機介面
- 開啟「控制台」→「硬體和音效」→「裝置和印表機」。
- 在裝置清單中右鍵點選目標 USB 裝置 →「內容」→「硬體」頁籤 → 選取裝置 →「內容」→「詳細資料」頁籤。
- 在「屬性」下拉選單選擇「硬體 ID」，複製第一組數值（通常為
USB\VID_XXXX&PID_XXXX 格式）。
方法二：透裝置管理員（針對 USB 大量儲存裝置）
- 以系統管理員身分執行
devmgmt.msc 開啟裝置管理員。
- 展開「通用序列匯流排控制器」，找到「USB 大量儲存裝置」，右鍵→「內容」→「詳細資料」頁籤。
- 同樣選擇「硬體 ID」並複製數值。
核心設定：配置群組原則限制裝置安裝
- 按 Win+R 輸入
gpedit.msc 開啟「本機群組原則編輯器」。
- 依序展開：電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制。
- 雙擊右側的 「允許安裝符合下列裝置執行個體 ID 的裝置」，選擇「已啟用」→ 點擊「顯示」按鈕 → 將先前記錄的硬體 ID 逐行貼上 → 確定。
- 再雙擊 「防止安裝未由其他原則設定描述的裝置」，選擇「已啟用」→ 確定。
驗證與注意事項
- 設定完成後，插入非白名單的 USB 隨身碟，系統將不會載入驅動程式，裝置管理員中會顯示錯誤代碼，資料無法讀寫。
- 白名單裝置插入時正常運作，不受影響。
- 適用版本：Windows 7 Professional / Enterprise / Ultimate（家用版無
gpedit.msc）。
- 例外處理：若需臨時允許新裝置，可將其硬體 ID 加入白名單後執行
gpupdate /force 立即生效。
- 補充防護：建議搭配「BitLocker To Go」加密允許的隨身碟，並部署端點防毒軟體掃描 USB 裝置，構建多層防禦。
原理說明
群組原則的「裝置安裝限制」利用裝置執行個體 ID（硬體 ID）進行比對。啟用「允許安裝...」並填入白名單 ID 後，系統僅安裝符合清單的裝置驅動程式；同時啟用「防止安裝未由其他原則描述的裝置」即封鎖所有未在白名單中的裝置。此機制在核心層級攔截，繞過難度高，適合資安要求較高的環境。
