Windows 7 以權限控制徹底封鎖 USB 自動執行：從 inf 檔案層面切斷病毒傳播鏈

USB 隨身碟是病毒傳播首要管道。Windows 7 引入的「權限控制」機制，允許我們直接修改系統驅動安裝檔（usbport.inf、usbstor.inf）的 ACL，拒絕 SYSTEM 權限讀取，從源頭阻止 USB 大量儲存裝置驅動安裝，達到「插上無反應、病毒無法自動執行」的效果。本文教學完整設定流程與權限回授策略。

核心邏輯

• USB 裝置插入 → 系統讀取 usbstor.inf 安裝大量儲存裝置驅動 → 掛載磁碟 → AutoRun 啟動病毒。
• 若拒絕 SYSTEM 讀取 usbstor.inf，驅動安裝失敗，磁碟不掛載，AutoRun 自然無法觸發。

設定步驟（需管理員權限）

1. 進入 C:\Windows\inf 目錄（C 為系統盤）。
2. 分別找到 usbport.inf、usbstor.inf。
3. 右鍵 usbstor.inf → 「內容」→ 「安全性」索引標籤。
4. 選取「SYSTEM」→ 「編輯」→ 勾選「完全控制」欄位下的 「拒絕」 → 確定套用。
5. 同樣對 usbport.inf 重複上述操作。

副作用與對策

• 副作用：所有 USB 大量儲存裝置（隨身碟、外接硬碟、手機大量儲存模式）插上電腦完全無反應，裝置管理員也看不到。
• 對策：為常用帳戶回授權限
  在同一「安全性」頁面 → 「編輯」→ 「新增」→ 輸入你的常用帳戶名稱 → 確定 → 為該帳戶勾選「完全控制」→ 「允許」。
  效果：以該帳戶登入時，系統可讀取 inf 安裝驅動，USB 正常使用；其他帳戶（含 SYSTEM 服務帳戶）仍被拒絕，病毒若嘗試透過服務/排程觸發驅動安裝將失敗。

進階：群組原則部署（企業環境）

電腦設定 → Windows 設定 → 安全性設定 → 檔案系統 → 新增 %SystemRoot%\inf\usbstor.inf、%SystemRoot%\inf\usbport.inf → 設定 ACL：拒絕 SYSTEM 完全控制、允許 Administrators/特定群組完全控制。透過 GPO 推送至全域電腦，集中管理。

比較：傳統法 vs 權限控制法

結語

Windows 7 的檔案系統 ACL 權限控制，提供了比註冊檔、服務停用更精細、更源頭的 USB 防毒手段。配合常用帳戶回授權限，兼顧安全與便利，是企業與進階使用者的優選方案。