Win7 權限控制從源頭封鎖 USB 自動安裝驅動：拒絕 SYSTEM 對 usbstor.inf 完全控制

核心邏輯：阻止驅動安裝 = 阻止裝置運作

USB 裝置插入 → 系統識別 → 載入驅動 → 裝置就緒。若在**驅動安裝階段**卡住，裝置就無法被系統使用，徹底杜絕「自動播放執行惡意碼」、「不明裝置竊取資料」風險。Win7 檔案級權限控制（ACL）使此成為可能。

操作步驟：修改兩關鍵 INF 檔案 ACL

1. 開啟 C:\Windows\inf（C: 為系統盤）
2. 找到 usbport.inf 與 usbstor.inf
3. 以 usbstor.inf 為例：右鍵 → 「內容」 → 「安全性」 → 「進階」
4. 停用繼承 → 「將繼承的權限轉換為此物件的明確權限」
5. 選取 SYSTEM → 「編輯」 → 勾選「完全控制」→ 類型：**「拒絕」** → 確定層層套用
6. 對 usbport.inf 重複相同操作

變通：為自己帳號保留完全控制

上述操作會導致**所有使用者（含管理員）無法使用 USB 儲存裝置**。實務上：

1. 在 ACL 中「新增」→ 輸入**您的日常使用帳號** → 檢查名稱 → 確定
2. 給予該帳號 **「完全控制」→「允許」**
3. 順序調整：將「允許」規則移至「拒絕 SYSTEM」之上（ACL 由上而下匹配）

**效果：您插入 USB 正常讀寫，其他帳號/服務/惡意碼（通常以 SYSTEM 權限執行）無法安裝驅動。**

風險與替代方案

• Windows Update、驅動更新可能失敗（需暫時移除拒絕規則）
• 合法 USB 印表機、掃描儀、手機同步同樣受阻
• 替代：群組原則 電腦設定→系統→裝置安裝→裝置安裝限制 設定「防止安裝未說明的裝置」+ 白名單裝置 ID
• 替代：第三方 USB 管制軟體（如 USB Blocker、Endpoint Protector）

**此法適合高安全需求、固定裝置環境（如 POS、工控、考場），一般家用建議用群組原則或良好使用習慣。**