Windows Vista 禁用 USB 端口完整指南：注冊表與驅動程式雙重防護

為什麼要封鎖 USB 端口？

USB 端口雖然方便資料傳輸，但也是病毒傳播與資料外洩的高風險通道。企業環境中，為防止惡意程式透過隨身碟入侵，或機密檔案被輕易複製帶走，封鎖 USB 端口成為必要的安全措施。雖然資深使用者仍可繞過限制，但對大多數一般用戶與內部威脅已具備足夠阻嚇力。

方法一：手動修改登錄檔（三種策略任選其一）

1. 完全禁用 USB 儲存裝置啟動

1. 按 Win+R 輸入 regedit 開啟登錄編輯器（Vista 會彈出 UAC 提示，點選「是」）。
2. 瀏覽至：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR
3. 在右側窗格雙擊 Start 鍵值，將數值從 3 改為 4，按確定。
4. 重新開機後，USB 儲存裝置將無法被偵測，檔案總管也不會顯示磁碟機代號。

恢復方法：將 Start 值改回 3 即可。

圖 1：修改 USBSTOR 服務啟動類型

2. 僅禁止寫入（唯讀模式）

1. 開啟登錄編輯器，定位至：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies
2. 若無此分支，右鍵新增 機碼 命名為 StorageDevicePolicies。
3. 在右側新增 DWORD (32 位元) 值，名稱 WriteProtect，數值設為 1。
4. 重開機後，所有 USB 裝置僅能讀取，無法寫入資料。

恢復方法：將 WriteProtect 改為 0 或刪除該值。

圖 2：設定寫入保護

3. 隱藏磁碟機代號（I: 到 Z:）

1. 瀏覽至：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
2. 新增 二進位值 NoDrives，數值設為 00 ff ff ff（隱藏 I-Z 磁碟）。
3. 再新增 NoViewOnDrive，數值同為 00 ff ff ff，達到「看不見也點不進」的效果。

進階技巧：建立一個「受限帳戶」供日常使用，該帳戶無修改登錄權限，即可防止使用者自行解除限制。

方法二：拒絕 USB 驅動程式安裝權限（需 NTFS 磁碟）

若電腦尚未安裝過 USB 裝置，可透過檔案權限阻止特定用戶/群組安裝驅動：

1. 以系統管理員身分開啟 C:\Windows\inf 資料夾。
2. 分別對 Usbstor.pnf 與 Usbstor.inf 右鍵 →「屬性」→「安全性」分頁。
3. 選取欲限制的用戶/群組，勾選「完全控制」下的「拒絕」，確定套用。

圖 3：設定驅動程式檔案拒絕權限

完成後，該群組用戶將無法安裝 USB 儲存裝置驅動，自然也就無法使用 USB 端口。

總結與建議

除了上述兩大類原生方法，市面上也有第三方工具（如 USB Blocker、端口鎖等）提供圖形化介面與更細緻的白名單管理。建議根據環境需求選擇：登錄檔法適合單機快速部署，驅動權限法適合已加入網域的企業環境，搭配群組原則可大規模推送。無論採用哪種方式，務必先測試恢復流程，避免誤鎖自身。