Windows 7 群組原則限制 USB 隨身碟：僅允許特定裝置啟動，防範惡意程式傳播

透過硬體 ID 白名單機制管控 USB 裝置

USB 隨身碟雖方便，卻是惡意程式傳播主要管道。Windows 7 專業版以上版本可透過「群組原則編輯器」設定「裝置安裝限制」，僅允許已登錄硬體 ID 的 USB 裝置運作，有效阻擋陌生隨身碟存取，保護系統安全。

設定前準備：取得自用 USB 裝置的硬體 ID

1. 將自用 USB 隨身碟插入電腦。
2. 右鍵「電腦」→「管理」→「裝置管理員」。
3. 展開「磁碟機」，找到該隨身碟（通常顯示為「USB Mass Storage Device」或廠牌型號），右鍵選「內容」。
4. 切換至「詳細資料」索引標籤，屬性下拉選單選「硬體識別碼」。
5. 複製第一行的值（如 USBSTOR\DISK&VEN_KINGSTON&PROD_DATATRAVELER...）。
6. 同樣操作，在「通用序列匯流排控制器」下找到「USB 大量儲存裝置」，複製其硬體 ID 第一行值。

設定群組原則限制裝置安裝

1. 按 Win+R 輸入 gpedit.msc 開啟「本機群組原則編輯器」。
2. 依序展開：電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制。
3. 雙擊「防止安裝未由其他原則設定描述的裝置」，選「已啟用」，確定。
4. 雙擊「允許安裝符合下列裝置識別碼的裝置」，選「已啟用」，點擊「顯示」。
5. 在「顯示內容」對話方塊中，將剛才複製的兩組硬體 ID 分別貼上（每行一個），確定離開。

驗證與注意事項

• 設定完成後，插入非白名單隨身碟，系統將不載入驅動程式，裝置管理員會顯示錯誤代碼，磁碟機代號不會出現。
• 自用隨身碟插入應正常運作。
• 此設定需 Windows 7 專業版、企業版、旗艦版；家庭版無群組原則編輯器。
• 若需新增允許裝置，重複上述步驟在「顯示內容」中新增硬體 ID 即可。
• 此法僅限制「大量儲存裝置」；鍵盤、滑鼠、印表機等 HID 裝置不受影響。

進階補充

企業環境建議搭配「BitLocker To Go」加密自用隨身碟，並透過網域群組原則統一部署，達成更完整的 USB 管控策略。