需组合策略层、服务层、固件层三重管控：组策略禁用可移动存储与设备安装（Win专业版/企业版/教育版），注册表禁用USBSTOR等驱动（全版本通用，需重启），BIOS/UEFI禁用USB控制器（物理级封锁，键鼠亦失效）。
要拦截未经授权的usb设备，需在系统启动、驱动加载、设备安装和硬件枚举多个环节设防。单一方法易被绕过，推荐组合使用策略层+服务层+固件层管控，确保既阻断u盘、移动硬盘等存储类设备，又不妨碍键盘、鼠标等必要外设。
组策略精准限制可移动存储与设备安装
适用于Windows专业版/企业版/教育版，是企业环境首选方案：
- 按 Win + R 输入 gpedit.msc 打开本地组策略编辑器
- 路径一：计算机配置 → 管理模板 → 系统 → 可移动存储访问 → 启用“所有可移动存储类：拒绝所有权限”
- 路径二：计算机配置 → 管理模板 → 系统 → 设备安装 → 设备安装限制 → 启用“禁止安装可移动设备”和“禁止安装未由其他策略设置描述的所有设备”
- 执行 gpupdate /force 刷新策略，无需重启即可部分生效；重启后完全固化
注册表禁用关键USB驱动服务
全版本通用（含家庭版），直接切断USB存储识别能力：
- 以管理员身份运行 regedit
- 定位并修改以下路径中的 Start 值（DWORD 32位）为 4（禁用）：
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR（核心存储驱动）
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBHUB 和 USBHUB3（禁用集线器可阻止新设备枚举）
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\usbohci（可选，增强对老式USB控制器限制）
- 修改后必须重启才生效；恢复时将数值改回 3 即可
BIOS/UEFI底层禁用USB控制器
物理级封锁，重装系统或重置策略均不失效，适合高密场景：
- 重启电脑，在开机自检阶段反复按 Del / F2 / F10（依主板品牌而异）进入BIOS/UEFI
- 进入 Advanced → Integrated Peripherals 或类似路径
- 找到 USB Controller、USB Ports 或 XHCI Hand-off 等选项
- 将其设为 Disabled，保存退出（通常按F10）
- 注意：此操作将导致所有USB端口失效（包括键鼠），务必提前准备PS/2接口外设或启用BIOS内置安全键盘支持
补充建议：白名单机制与物理加固
仅靠禁用不够，还需主动识别可信设备并防止物理绕过：
- 使用 Microsoft Intune 或第三方工具（如域智盾、安企神）配置USB设备ID白名单，只允许特定硬件ID的U盘接入
- 在设备管理器中导出已授权设备的 Hardware ID，用于策略比对
- 对闲置USB口加贴防拆封条或填充硅胶塞，配合软件日志审计——一旦检测到异常插入行为即告警并记录时间、设备型号、用户账户
