需从系统底层、软件策略和用户行为三层面同步设防：禁用usb存储（注册表改start值为4）、启用bitlocker全盘加密、部署域智盾实现细粒度防拷贝（禁复制/拖拽/剪贴板）、组策略批量禁用移动存储、关闭剪贴板历史与拖拽功能。
要防止电脑里的敏感文件被随意拷贝到U盘或通过剪贴板、拖拽等方式外泄，必须在系统底层、软件策略和用户行为三个层面同步设防。仅靠禁用USB端口会漏掉截图、网盘上传、邮件附件等高发泄密路径；只加密文件又无法阻止未授权访问前的复制动作。
禁用USB存储设备（注册表法）
第一步：按 Win + R 打开运行框，输入 regedit，回车确认；
第二步：导航至路径 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR；
第三步：在右侧双击 Start 项，将“数值数据”由默认的 3 改为 4，点击确定；
第四步：重启电脑或拔插U盘验证——插入后设备管理器中不显示磁盘，资源管理器无盘符，即生效。
⚠️注意：此操作需管理员权限；修改前务必右键导出该键值备份，否则误设为0或1可能导致系统启动异常。
启用BitLocker全盘加密（Windows专业版/企业版）
方法一：右键点击系统盘（通常是C:）→ 选择“启用BitLocker”→ 按向导设置密码或插入USB密钥→ 选择“加密整个驱动器”→ 开始加密。
方法二：打开“控制面板 → 系统和安全 → BitLocker驱动器加密”，点击对应磁盘旁的“启用BitLocker”。
这一步完成后，即使硬盘被拆下装到其他电脑上，没有密钥或恢复密钥也无法读取任何文件内容。
部署域智盾实现细粒度防拷贝
① 下载安装域智盾客户端，使用管理员账号登录控制台；
② 创建加密策略：勾选需保护的文件类型（如.docx、.xlsx、.pdf、.dwg），设置“禁止复制”“禁止拖拽至桌面/U盘”“禁止剪贴板复制文本”；
③ 配置USB设备白名单：仅允许已登记序列号的加密U盘读写，其余一律拦截并记录日志；
④ 启用屏幕水印与截屏阻断：对打开加密文档的窗口自动叠加动态水印，同时禁用Snipping Tool、微信截图、QQ截图等全部本地截图工具；
⑤ 提交策略并推送到终端——策略下发后，员工打开受保护文件时仍可正常编辑，但复制粘贴、另存为、拖入浏览器上传框等动作全部失效。
组策略禁用移动存储（域环境批量部署）
在域控制器上打开“组策略管理编辑器”→ 导航至“计算机配置 → 管理模板 → 系统 → 可移动存储访问”→ 启用“所有可移动存储类：拒绝所有权限”；
该策略下发后，所有加入域的Windows电脑将无法识别U盘、移动硬盘、SD卡等设备，且普通用户无法在本地绕过；
若需保留鼠标键盘等HID设备功能，可单独启用“可移动磁盘：拒绝写入权限”，允许读取但禁止拷入拷出。
关闭剪贴板历史与禁用拖拽传输
打开“设置 → 蓝牙和其他设备 → 剪贴板”，关闭“剪贴板历史记录”和“跨设备同步”；
进入“设置 → 系统 → 多任务处理”，关闭“贴靠窗口时贴靠建议”和“拖动窗口时贴靠”——这两项虽非直接防拷贝，但能减少因误操作导致的跨应用内容泄露；
对关键业务系统（如ERP、OA），在域智盾或安企神中单独添加“禁止拖拽到外部进程”规则，可精准拦截将Excel表格拖进微信对话框等高危行为。
