注册表禁用usbstor驱动（设start为4）可彻底屏蔽u盘识别；设writeprotect为1启用写保护；bitlocker全盘加密防拆机读取；域智盾实现剪贴板、拖拽、截图等行为级精准拦截。
要防止他人通过U盘、剪贴板、拖拽等方式把电脑里的合同、源码、客户资料等敏感文件悄悄拷走，必须绕过表面权限设置，直击系统底层识别逻辑与数据流动路径——禁用设备只是第一步，真正起效的是让复制动作在操作系统内核层就被拦截。
注册表禁用USB存储设备（彻底屏蔽识别）
按 Win + R 打开运行框，输入 regedit → 回车进入注册表编辑器。
依次展开路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR。
在右侧双击 Start 项，将“数值数据”由默认的 3 改为 4 → 点击确定。
关闭注册表编辑器，重启电脑。插入U盘后，设备管理器中不显示USB大容量存储设备，资源管理器无新增盘符，说明系统已完全“失明”——这不是隐藏，是驱动根本不加载。
【修改前务必右键导出该键值备份】，若误设为0或1，可能导致系统启动失败；普通用户无管理员权限时，双击会提示“无法编辑该值”，需先以管理员身份运行regedit。
启用USB写保护模式（保留识别，阻断写入）
方法一：直接定位到 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies。
若该路径不存在，需手动创建：右键 Control → 新建 → 项 → 命名为 StorageDevicePolicies。
选中 StorageDevicePolicies → 右键 → 新建 → DWORD (32位)值 → 命名为 WriteProtect。
双击 WriteProtect，将数值数据设为 1（基数选十进制即可），点击确定。
无需重启，拔插任意U盘即生效：U盘能正常识别、读取文件，但所有复制粘贴、拖入操作均被系统拒绝，资源管理器弹出“媒体受写保护”提示。
【该设置对所有U盘统一生效】，解除时只需把1改回0，否则连你自己的加密工作盘也无法写入。
启用BitLocker全盘加密（防硬盘拆机读取）
第一步：右键点击系统盘（通常是C:）→ 选择“启用BitLocker”。
第二步：勾选“使用密码解锁驱动器”，输入高强度密码；务必点击“将恢复密钥保存到Microsoft账户”或“另存为文件”——漏掉这步等于白设。
第三步：选择“加密整个驱动器”→ 加密模式选“新加密模式”，加密算法选“XTS-AES 256位”→ 点击“开始加密”。
首次加密过程不可中断，耗时取决于磁盘大小和CPU性能；建议连接电源、关闭睡眠，保持电脑唤醒状态。
加密完成后，即使硬盘被拆下装入其他电脑，没有密码或恢复密钥，所有文件均为不可读乱码。
部署域智盾实现细粒度防拷贝（精准拦截行为）
① 下载安装域智盾客户端，使用管理员账号登录控制台。
② 创建加密策略：勾选需保护的文件类型（如 .xlsx、.pdf、.dwg、.sql），启用“禁止复制文本”“禁止拖拽至浏览器/微信/网盘上传框”“禁止剪贴板历史记录”。
③ 配置USB设备白名单：仅允许已登记序列号的加密U盘读写，其余U盘插入即拦截并写入审计日志。
④ 启用屏幕水印与截屏阻断：打开受保护文档时自动叠加动态水印，同时禁用Snipping Tool、QQ截图、微信截图、OBS录屏等全部本地截屏工具。
⑤ 提交策略并推送到终端——策略生效后，员工仍可正常编辑文档，但Ctrl+C/V、右键另存为、拖入邮件附件框等动作全部静默失败，无提示、无弹窗、无残留文件。
