需部署底层拦截规则实现文档防拷贝：用大势至系统设后台策略，组策略或注册表禁u盘，防火墙阻断微信等程序出站上传。
想让电脑里的重要文档、设计稿、客户资料在后台自动防拷贝，不被U盘复制、微信发送、邮件外发或截图泄露，就得绕过表面权限设置，直接部署底层拦截规则。
用大势至企业文档安全管理系统设后台防拷贝
该软件运行后默认隐藏在系统托盘，所有规则均在后台持续生效，无需用户保持界面打开。
第一步：双击桌面快捷方式或运行安装目录下的 DszFileSafe_x64.exe 启动软件（若已运行，右键任务栏图标→“显示主界面”输入密码进入）。
第二步：点击左侧菜单栏【文档防泄密】→ 右侧勾选“启用文档防拷贝功能”→ 点击“添加规则”。【必须先启用主开关，否则后续所有规则无效】
第三步：在弹出窗口中，点击“添加文件夹”按钮，选择需保护的路径，例如 C:\公司资料\合同模板、D:\项目源码。支持多路径同时添加，但不能跨盘符通配（如 D:\* 不被识别）。
第四步：为该路径设定行为控制：勾选“禁止复制到剪贴板”“禁止拖拽到U盘/微信/QQ”“禁止另存为本地文件”“禁止打印”——每项对应一个独立进程级钩子，勾选即实时注入内核拦截模块。
第五步：点击“确定”保存规则 → 软件自动编译策略并加载到 svchost.exe 的受保护进程中 → 此时关闭主界面，规则仍在后台运行。下次插入U盘或复制Word内容时，系统会直接拦截，不弹窗、不报错、不提示，操作者无感知。
用组策略禁用USB存储实现物理层防拷贝
适用于不想装第三方软件、只要彻底封死U盘/移动硬盘拷贝通道的场景。
方法一：通过组策略编辑器（仅限Windows专业版/企业版）
按 Win + R 输入 gpedit.msc 回车 → 依次展开：计算机配置 → 管理模板 → 系统 → 可移动存储访问 → 双击“所有可移动存储类：拒绝读取权限”和“所有可移动存储类：拒绝写入权限” → 均设为“已启用” → 点击“确定”。
方法二：注册表强制封锁（全版本通用）
Win + R 输入 regedit 回车 → 导航至 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR → 在右侧找到 Start 值 → 双击将其数值数据改为 4（禁用状态）→ 重启电脑生效。【修改后U盘能识别但无法打开、无法复制任何文件，且不会触发任何提示】
用Windows防火墙规则阻断特定程序外传
当某款软件（如微信、钉钉、迅雷）已被确认存在非授权上传行为，需精准切断其出站通道。
打开控制面板 → 系统和安全性 → Windows Defender 防火墙 → 高级设置 → 左侧点“出站规则” → 右侧点“新建规则…” → 选择“程序” → 点“浏览”，定位到微信WeChat.exe 或 钉钉DingTalk.exe 的实际安装路径（常见于 C:\Program Files\Tencent\WeChat\WeChat.exe）→ 下一步 → 选“阻止连接”→ 下一步 → 勾选“域”“专用”“公用”全部网络类型 → 下一步 → 输入名称如“禁用微信外传” → 完成。
这条规则一旦启用，微信将无法上传图片、文件、聊天记录到服务器，也无法通过“文件传输助手”发送任意内容，但不影响接收消息和语音通话——因为入站流量未被限制。
