先清毒再加密：用组策略禁用自动播放并运行专业autorun清理工具彻底清除病毒；再按需选用bitlocker全盘加密、7-zip文件级加密（须勾选加密文件名）或securestick便携加密；企业场景可部署usb白名单或加密u盘准入机制。
要让U盘既防病毒又防泄密，不能只靠杀毒软件扫一遍就完事，也不能只设个密码就以为万无一失——病毒可能早已写入autorun.inf劫持启动项，而弱密码或未加密文件名会让整个压缩包形同虚设。
先清毒：彻底干掉Autorun类U盘病毒
插入U盘后，立即按Win+R输入gpedit.msc→本地组策略编辑器→计算机配置→管理模板→Windows组件→自动播放策略→关闭所有驱动器上的自动播放→启用。这一步必须做在任何扫描前，否则病毒会在你双击打开时再次激活。
下载官方认证的“Autorun病毒清理工具”，解压后以管理员身份运行，勾选“深度扫描隐藏+系统属性文件”→点击“开始查杀”。该工具会定位并删除根目录下的autorun.inf、伪装成文件夹的malware.exe，同时修复被篡改的IFEO注册表项。
扫描完成后，手动检查U盘根目录是否还残留autorun.inf或setup.exe等可疑文件——【若存在，说明病毒未清干净，需重启进入安全模式再执行一次扫描】。
再加密：三类加密方案按需选用
BitLocker（系统原生）：仅限Windows 10/11专业版或企业版。右键U盘→启用BitLocker→选择“使用密码解锁驱动器”→输入至少8位含大小写字母+数字的密码→备份恢复密钥到Microsoft账户（【此步不可跳过，丢失即永久锁死数据】）。加密全程后台运行，不影响其他操作。
7-Zip文件级加密（轻量通用）：右键待保护的文件夹→7-Zip→添加到压缩包→加密选项中务必勾选“加密文件名”→设置密码→加密方法选AES-256。注意：不勾选“加密文件名”，别人仍能看见压缩包里有哪些文件，只是打不开内容。
SecureStick（便携免装）：将SecureStick程序本体复制进U盘根目录→双击运行→选择“加密当前U盘”→设定密码→完成。之后在任意电脑上，只需插入U盘→运行SecureStick→输入密码，即可挂载为一个临时盘符访问文件。它不修改系统注册表，拔出即锁，适合临时出差携带敏感报表。
高阶防护：企业场景下阻断未授权U盘接入
方法一：用Ping32设置USB端口白名单
安装Ping32客户端→管理员登录→设备控制→USB存储设备→开启“仅允许已注册设备”→点击“注册新设备”→插入目标U盘并命名→确认。此后，未注册U盘插入电脑将直接被禁用，资源管理器中不显示盘符，连格式化选项都不会出现。
方法二：安固软件启用“加密U盘准入机制”
打开安固管理控制台→策略中心→USB策略→勾选“强制U盘预注册”→设置部门级密码策略（如财务部U盘必须使用AES-256+指纹双因子）→下发策略。员工插入新U盘时，系统弹窗提示“请先联系IT管理员注册”，无法跳过。
这一步做完，U盘在非授权电脑上连图标都不显示，不是“打不开”，而是“根本不存在”。
