Win7 禁用 USB 存儲設備防數據外洩：組策略/註冊表/專用軟件三法對比 (保留鼠標鍵盤/U盾)

企業需禁用 U盤/移動硬盤等 USB 存儲設備，但保留 USB 鼠標、鍵盤、U盾、打印機可用。三種方案對比：

方法一：組策略禁止安裝可移動設備 (原生、免費、易部署)

1. gpedit.msc → 計算機配置 → 管理模板 → 系統 → 設備安裝 → 設備安裝限制。
2. 「禁止安裝可移動設備」→「已啟用」→ 確定，重啟生效。
3. 已安裝驅動的設備不受影響，新插入存儲設備無法安裝驅動。

方法二：註冊表/權限修改 (底層阻斷、懂技術可繞過)

• 修改 C:\Windows\inf\usbstor.inf/.pnf 權限拒絕 SYSTEM 完全控制，或註冊表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR 設 Start=4 (禁用)。
• 缺點：懂技術員工可反向修改恢復，設置不當風險高。

方法三：專用 USB 端口管理軟件 (功能最全、內核級攔截、防繞過、防洩密)

• 如「大勢至 USB 端口管理軟件」：自動識別禁用所有 USB 存儲，白名單機制、單向讀寫控制、禁用光驅/藍牙/無線網卡、禁用郵件附件/網盤/FTP/QQ 發送文件等全方位防洩密。
• 配置加密保護、防卸載、審計日誌，企業級安全需求首選。

選擇建議：小微企業/臨時需求用組策略 (零成本、原生)；高安全/合規要求/大規模部署用專用軟件 (內核級、防繞過、防洩密一體化)；註冊表法風險高、維護難，**不推薦作為主流方案**。