Windows 7 透過權限控制禁止 USB 裝置自動執行

USB 隨身碟是病毒傳播首要管道。Windows 7 除可透過群組原則關閉 AutoPlay，更可從驅動程式層面封鎖：修改 C:\Windows\inf\usbstor.inf 與 usbport.inf 的安全性權限，拒絕 SYSTEM 帳號存取，使系統無法載入 USB 大量儲存裝置驅動，達到「插上無反應」的源頭封鎖。

操作步驟

1. 開啟檔案總管 → 定位 C:\Windows\inf（隱藏資料夾，需啟用「顯示隱藏檔案」）。
2. 找到 usbstor.inf 與 usbport.inf（或 usbport.PNF）。
3. 右鍵 usbstor.inf → 「內容」→「安全性」索引標籤。
4. 選取 SYSTEM → 「編輯」→ 勾選「完全控制」拒絕 → 確定（需確認權限繼承關閉，改為明確拒絕）。
5. 同樣處理 usbport.inf。

效果與副作用

• 效果：插入 USB 隨身碟/外接硬碟 → 裝置管理員顯示「未知裝置」或無反應，檔案總管不出現磁碟機代號，病毒無法透過 AutoRun 執行。
• 副作用：合法 USB 裝置（備份碟、安裝媒體、安全金鑰）均無法使用。

變通：授權特定使用者/群組

1. 同一安全性頁籤 → 「編輯」→ 「新增」→ 輸入常用帳號名稱（或 Administrators 群組）。
2. 給予 完全控制 允許（拒絕優先於允許，故需確保 SYSTEM 拒絕、目標帳號允許）。
3. 或建立專用群組 USB_Allowed，將需使用 USB 的帳號加入，僅授權該群組。

替代方案比較

恢復正常

將 usbstor.inf、usbport.inf 的 SYSTEM 拒絕權限移除，或復原繼承權限，重啟即恢復 USB 功能。

權限封鎖屬於「核選項」，適用於極高安全需求且無 USB 業務需求的環境。一般用戶建議採用「關閉 AutoPlay + 防毒軟體即時掃描 + 定期掃描 USB」的組合防護。