禁用usb自动挂载并实施设备白名单是防范物理数据窃取最有效手段。需分系统关闭自动挂载、按硬件id/序列号白名单管控、分级限制存储权限，并同步封堵蓝牙、光驱等外设入口。
禁用 USB 挂载和限制未授权外设，是防范物理主机数据窃取最直接、最有效的防线。攻击者常利用 U 盘、伪装成键鼠的 Attiny85 设备、甚至带存储功能的打印机或充电宝，绕过网络防护实施窃密。关键不在于“彻底封死所有 USB”，而在于精准识别风险设备、阻断自动挂载、切断非法数据通路。
关闭自动挂载，切断“即插即用”通道
Attiny85 类攻击依赖系统将设备识别为 HID（人机接口）或大容量存储设备后自动执行操作。禁用自动挂载能大幅提高攻击门槛：
- Windows：进入「设备管理器 → 通用串行总线控制器」，右键禁用「USB 大容量存储设备」驱动；更稳妥的做法是通过组策略禁用「可移动磁盘：拒绝读取权限」，避免驱动加载
-
macOS：在「系统设置 → 隐私与安全性 → 完整性保护」中关闭“外部介质自动挂载”，或使用终端命令
sudo defaults write /Library/Preferences/com.apple.ImageCapture disableHotPlug -bool YES -
Linux：编辑
/etc/fstab或通过 udev 规则屏蔽 vendor ID 为 0x16c0（Attiny 常用）等可疑设备，同时禁用udisks2服务
启用 USB 设备白名单机制
只允许已知可信设备接入，是企业级防护的核心逻辑。不是靠“禁止”，而是靠“确认”：
- 在 Windows 组策略中配置「设备安装限制」，仅允许指定硬件 ID（如公司加密 U 盘的 VID/PID）的设备安装驱动
- 使用专业工具（如洞察眼 MIT、域智盾）导入设备序列号或固件指纹，插入非白名单设备时立即弹窗告警并阻断访问
- 对办公键盘、鼠标等 HID 设备也做白名单——Attiny85 常伪装成 HID，但真实办公设备有固定厂商签名，可据此过滤
分层管控 USB 存储行为
单纯禁用 USB 端口会误伤正常办公，应按数据流向分级控制：
- 禁止写入 + 允许读取：防止员工拷走内部文件，但仍可读取客户资料或培训材料
- 禁止读取 + 允许写入：适用于对外分发场景，如向合作伙伴交付报告，U 盘只能存入不能反向读取
- 全权限但强制审计：开放使用，但记录每次插拔时间、设备型号、访问路径及文件操作（含复制、删除、重命名），日志加密上传至中心服务器
同步封堵其他物理外设入口
U 盘只是入口之一，蓝牙、光驱、带 USB 接口的打印机/扫描仪同样存在风险：
- 在系统设置中禁用蓝牙发现模式，并关闭「允许蓝牙设备配对」选项
- 通过组策略或注册表禁用 CD/DVD 驱动器（
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CDROM中设 Start=4） - 对网络打印机启用「打印作业审核」，记录每份文档的发送者、时间、页数及原始文件名；扫描仪默认禁用 OCR 和本地保存功能
真正安全的物理主机，不是没有 USB 口，而是让每个插入的设备都必须“自报家门”，且每一次数据流动都有据可查。不复杂，但容易忽略细节。
