Win7 系統防範 USB 病毒的實用技巧：透過群組原則限制裝置安裝

USB 隨身碟雖然方便攜帶資料，卻也是病毒傳播的主要管道之一。Windows 7 內建的群組原則功能，能讓我們精確控制哪些 USB 裝置被允許安裝，從源頭阻擋惡意程式透過 USB 介面入侵系統。本文將詳細說明如何擷取裝置硬體 ID，並透過群組原則建立白名單機制，實現 USB 介面的精準管控。

第一步：擷取信任 USB 裝置的硬體 ID

在設定限制前，必須先取得自己常用 USB 裝置（如滑鼠、鍵盤、自家隨身碟）的硬體識別碼，避免誤攔截正常裝置。

1. 按 Win + X 選擇「裝置管理員」，或在控制台輸入 devmgmt.msc 開啟。
2. 展開「通用序列匯流排控制器」，找到目標裝置（例如「USB 大量儲存裝置」），右鍵選「內容」。
3. 切換至「詳細資料」頁籤，屬性下拉選單選「硬體識別碼」，複製數值並存入記事本備用。
4. 重複上述步驟，將所有信任裝置的硬體 ID 全部記錄下來。

第二步：透過群組原則建立裝置安裝白名單

取得硬體 ID 後，接著設定群組原則，僅允許名單內的裝置被安裝：

1. 按 Win + R 輸入 gpedit.msc 開啟「本機群組原則編輯器」。
2. 依序展開：電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制。
3. 雙擊右側的「允許安裝符合這些裝置執行個體 ID 的裝置」，選「已啟用」，點擊「顯示」按鈕。
4. 在彈出的清單中，逐行貼上先前備份的硬體 ID，確定離開。

第三步：啟用封鎖未授權裝置的設定

白名單建立完成後，必須同時啟用封鎖機制，才能生效：

1. 在同一個「裝置安裝限制」資料夾下，找到「防止安裝未由其他原則設定描述的裝置」。
2. 雙擊開啟，選「已啟用」，按下確定。
3. 關閉群組原則編輯器，重新開機或執行 gpupdate /force 刷新原則。

完成上述設定後，系統將僅允許白名單內的 USB 裝置正常運作，任何未授權的儲存裝置、惡意程式載具都將被阻擋在外，大幅提升 Windows 7 系統的防毒防護能力。建議定期檢查裝置管理員，確認無異常裝置嘗試安裝。