配置系统策略禁用u盘等外设

在日常办公或公共电脑维护中我们经常面临这样的困扰公司内部资料需要严防外泄可总有员工随手插U盘拷贝文件学校机房的电脑病毒泛滥源头往往就是学生带来的个人U盘甚至有些场景下我们希望电脑完全“拒绝”任何新设备的接入——无论是U盘、打印机还是摄像头等等。很多人第一反应是拿胶封USB口其实Windows本身就藏着几招更优雅的解法。更有意思的是学会禁U盘你就顺手掌握了禁用任何外设的本事。接下来我们介绍一下实现电脑禁止u盘的三种方法一、组策略从“能认不能开”到“彻底无视”简单版能识别盘符但打不开操作步骤1.打开运行窗口输入 gpedit.msc 进入组策略编辑器。2.依次进入计算机配置 → 管理模板 → 系统 → 可移动存储访问 → 所有可移动存储类。3.将“可移动存储类拒绝所有权限”设为“已启用”。效果u盘盘符会出现在计算机磁盘列表中双击后提示“拒绝访问”打不开U盘。加强版插入后毫无反应不识别盘符操作步骤1.在组策略中依次进入计算机配置 → 管理模板 → 系统 → 设备安装 → 设备安装限制。2.开启“禁止安装未由其他策略设置描述的设备”。效果U盘驱动安装被中断U盘不会出现在计算机磁盘列表中。注意事项1.开启“禁止安装未由其他策略设置描述的设备”后所有新增的U盘都无法识别但之前已识别过的U盘仍然可用若想连之前的U盘也禁用需先插入之前的u盘然后在设备管理器中卸载“usb大容量设备”再启用此策略。2.启用此策略后如需为其他驱动开白名单可通过同一位置的“允许使用与下列设备安装程序类相匹配的驱动程序安装设备”添加白名单类GUIDGUID在设备管理器可查到。组策略里的“设备安装限制”本质是一个通用开关禁U盘只是它的一个应用场景其实它可以禁用任意外设。二、注册表精准打击举一反三原理每个设备驱动在注册表里都有一个“开关”改个值就能让它加载不上。操作步骤1.插入U盘后打开设备管理器找到“通用串行总线控制器”下的“USB大容量存储设备”右键选择“属性” → “事件”记下驱动程序服务名“usbstor”。2.打开注册表编辑器定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR将右侧的 Start 值从 3 改为 4重启电脑生效。效果U盘驱动安装被中断U盘不会出现在计算机磁盘列表中。注册表同一路径下还有无数个类似项——打印机、摄像头、无线网卡等等用同样的方法把这些项的 Start 值改成 4这些设备就都无法工作了。三、改驱动文件底层操作一劳永逸原理直接让驱动文件“消失”系统根本找不到自然装不上。操作步骤1.按照上一节的方法找到u盘的驱动程序服务名“usbstor”。2.然后在C:\Windows\System32\drivers中找到U盘驱动文件usbstor.sys。3.把这个文件的安全属性设置成“完全控制”。4.最后将“usbstor.sys”改名或者删除。效果U盘驱动安装被中断U盘不会出现在计算机磁盘列表中。这个文件夹里躺着成百上千个.sys文件每一个都对应一个硬件设备其他的类似网卡Rtwlane、蓝牙BTHUSB、摄像头WSDscan、想禁谁就改谁的文件名。写在最后这三种方法看似都在解决“禁用U盘”这一个问题