企業/共用電腦環境需防止 USB 隨身碟資料竊取。單純停用 USB 連接埠易被發現且可重新啟用。註冊表 `NoDrives` 隱藏磁碟機代號、`NoViewOnDrive` 禁止存取，雙重封鎖達到「看不見、用不著」效果，且管理員知曉路徑仍可透過完整路徑存取。
核心原理：位元遮罩對應磁碟機代號
NoDrives / NoViewOnDrive 為 32 位元 DWORD，每位對應一個磁碟機代號：
| 位元 | 磁碟機 | 十六進位值 | 十進位值 |
|---|
| 0 | A: | 0x00000001 | 1 |
| 1 | B: | 0x00000002 | 2 |
| 2 | C: | 0x00000004 | 4 |
| 3 | D: | 0x00000008 | 8 |
| ... | ... | ... | ... |
| 25 | Z: | 0x02000000 | 33554432 |
隱藏多個磁碟機：將對應十六進位值相加（或位元 OR 運算）。
例：隱藏 C: (0x4) + D: (0x8) = 0xC (12 十進位)
設定步驟
- Win+R →
regedit
- 導航至：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
- 新增 DWORD 值
NoDrives → 設定遮罩值（例：隱藏 D: 以後所有磁碟機 0xFFFFFFF8）
- 新增 DWORD 值
NoViewOnDrive → 設定相同遮罩值
- 重新開機或登出/登入生效
效果差異
| 設定 | 檔案總管顯示 | 直接路徑存取 | 命令列存取 |
|---|
| 僅 NoDrives | 隱藏 | 可存取 | 可存取 |
| NoDrives + NoViewOnDrive | 隱藏 | 拒絕存取 | 拒絕存取 |
管理員繞過與部署
- 管理員知道完整路徑（如 `E:\`）仍可在「執行」/檔案總管網址列/命令列直接存取
- 群組原則對應：使用者設定 → 系統管理範本 → Windows 元件 → 檔案總管 → 「隱藏這些指定的磁碟機」/「防止存取這些指定的磁碟機」
- 登入腳本部署 `.reg` 檔案，動態計算遮罩值（依實際磁碟機配置）
- 搭配 USB 連接埠停用（BIOS/群組原則/註冊表 `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR\Start` = 4）達到物理+邏輯雙重防護
