必须从系统底层控制、软件策略拦截和权限精细划分三个层面同步实施：注册表禁用usbstor（值改4）、bitlocker全盘加密、域智盾透明加密+usb白名单+外发审批、组策略批量禁用可移动存储。
要让电脑里的客户名单、财务报表、研发图纸等核心资料无法被随意复制到U盘或外发出去，必须从系统底层控制、软件策略拦截和权限精细划分三个层面同步动手，缺一不可。
禁用USB存储设备（注册表法）
这是最直接切断物理拷贝通道的方式，适用于单机或小团队环境，无需安装额外软件。
按 Win + R 打开运行框，输入 regedit 并回车，以管理员身份运行注册表编辑器。
依次展开路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR。
在右侧找到名为 Start 的 DWORD 值，双击打开；将“数值数据”由默认的 3 改为 4，点击确定。
【修改前务必先导出该键值备份】，否则误操作可能导致系统识别异常，且恢复时需重启生效。
重启电脑后插入U盘，设备管理器中不会出现新磁盘，资源管理器也无盘符显示，说明已生效。
启用BitLocker全盘加密（Windows原生方案）
即使硬盘被拆下挂到其他电脑上，没有密钥也无法读取任何文件，专防设备丢失或被恶意拆机盗取。
右键点击系统盘（通常是C:），选择“启用BitLocker”→勾选“使用密码解锁驱动器”→设置强密码（至少8位含大小写字母+数字）→保存恢复密钥到Microsoft账户或文件（【此步不可跳过，丢失密钥=永久锁死数据】）→选择“新加密模式”→点击“开始加密”。
首次加密耗时较长，建议插电运行，期间可正常使用电脑；加密完成后，每次开机都会提示输入密码或使用TPM芯片自动解锁。
注意：仅Windows专业版/企业版/教育版支持BitLocker，家庭版用户需升级系统或改用第三方全盘加密工具。
部署域智盾实现行为级管控
当需要区分“谁可以拷什么、在哪能拷、拷出去后还能不能打开”，就必须靠专业DLP软件做细粒度策略。
方法一：透明加密 + 权限绑定
安装客户端后，管理员在控制台设定“财务部文档自动加密”，员工保存Excel即实时加密封装；设置“销售部禁止复制到U盘”，其剪贴板粘贴、拖拽至移动设备等动作全部拦截并弹窗告警。
方法二：USB白名单 + 动态水印
只允许带公司编号的加密U盘接入，普通U盘插入即自动锁定端口；所有打开的敏感文档右下角叠加当前用户姓名+时间戳的半透明水印，截图或拍照也能溯源。
方法三：外发包审批流
员工需右键选择“申请外发”，填写用途、接收方、有效期，提交至主管审批；通过后生成带密码、次数限制、过期自动失效的加密压缩包，非授权设备打开即乱码。
这三套策略可单独启用，也可组合叠加——比如研发人员既要禁止U盘拷贝，又要防止CAD图纸被截屏，就同时开启“USB阻断”和“禁止截图”规则。
组策略批量禁用USB（域环境推荐）
适用于Active Directory域控下的上百台办公电脑，IT管理员一次配置，全网终端自动同步执行。
第一步：在域控制器上打开“组策略管理”，新建GPO策略，命名为“禁用USB存储”；
第二步：编辑该策略 → 计算机配置 → 管理模板 → 系统 → 可移动存储访问 → 启用“所有可移动存储类：拒绝读取权限”和“所有可移动存储类：拒绝写入权限”；
第三步：将策略链接至目标OU（如“研发部计算机”），强制更新组策略（gpupdate /force）。
生效后，域内所有加入该OU的电脑插入U盘时，会提示“拒绝访问”，但键盘、鼠标等HID设备不受影响。
注意：该策略不影响已登录用户的本地账户权限，也不阻止管理员通过命令行临时绕过，适合中大型企业标准化管控场景。
