企業資安需求：防止員工透過 USB 隨身碟/硬碟洩漏機密資料或帶入惡意程式。Windows 網域環境可透過群組原則(GPO)鎖定 usbstor.inf/usbstor.pnf 檔案權限，阻止 USB 儲存裝置驅動安裝，實現集中管控。針對已安裝驅動電腦，需配合註冊檔停用服務達到完全禁用。
GPO 禁用 USB 儲存驅動安裝(適用未曾使用 USB 儲存裝置的電腦)
- 開啟「Active Directory 使用者和電腦」。
- 右鍵目標 OU(組織單位) →「屬性」→「群組原則」→「新建」→ 命名(如「禁用 USB 儲存」)→「編輯」。
- 展開：「電腦設定」→「Windows 設定」→「安全性設定」→「檔案系統」。
- 右鍵「檔案系統」→「新增檔案」→ 輸入
%systemroot%\inf\usbstor.inf → 確定。
- 「資料庫安全性設定」視窗：
移除所有現有使用者/群組 →「新增」→ 輸入 Everyone → 確定。
取消勾選「允許」欄所有權限(讀取/執行、列出資料夾內容、讀取)。
勾選「拒絕」欄「完全控制」 → 確定。
- 「新增物件」視窗保持預設 → 確定。
- 重複步驟 4-6，針對
%systemroot%\inf\usbstor.pnf 設定相同拒絕權限。
- 關閉 GPO 編輯器。
- 客戶端執行
gpupdate /force 強制刷新原則，或重開機生效。
註冊檔停用 USB 儲存服務(適用已安裝驅動/曾使用 USB 的電腦)
GPO 僅阻止驅動「安裝」，已安裝的驅動仍會載入。需修改註冊檔停用服務：
- Windows XP/2003/Vista/7/8/10/11：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR
Start (DWORD) 值改為 4 (停用)。預設 3(手動)/2(自動)。
- Windows 2000：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBHUB
Start 改為 4。
可透過 GPO「電腦設定」→「喜好設定」→「Windows 設定」→「登錄」→ 新增登錄項目分發此設定，實現集中部署。
驗證與例外處理
- 插入 USB 隨身碟 → 裝置管理員「通用序列匯流排控制器」下不應出現「USB 大容量儲存裝置」/「磁碟機」無新增磁碟代號。
- 需例外允許特定 USB 裝置(如授權加密狗、備份硬碟) → 建立獨立 GPO 針對特定電腦/使用者不套用禁用原則，或使用裝置安裝限制原則(Device Installation Restrictions)白名單機制(支援硬體 ID 比對)，精細度更高。
- 此法不影響 USB 鍵盤/滑鼠/印表機/掃描器/音訊裝置(非儲存類別)，僅針對 USB Mass Storage Class。
纏繞防禦建議
- GPO 鎖定 inf/pnf 權限(防安裝) + 註冊檔停用服務(防載入) = 雙重保險。
- 配合端點 DLP(資料外洩防護)軟體監控檔案複製行為。
- 實體介面管控：機箱前置 USB 埠封膠/停用 BIOS USB 控制器/物理斷線(高安環境)。
- 定期稽核：
gpresult /h report.html 驗證原則套用、裝置管理員稽核未授權裝置。
USB 介面雙面刃，管控得當才能兼顧效率與安全。群組原則提供企業級集中管控能力，善用之。
