必须在操作系统层、应用层和外设层同步设防：禁用usb存储（注册表改start为4）、启用bitlocker全盘加密、部署洞察眼mit管控剪贴板/拖拽/u盘白名单、组策略批量禁用可移动存储。
要让电脑里的客户资料、财务报表、研发文档不被随意复制到U盘或通过微信、邮件外发，必须在操作系统层、应用层和外设层同步设防。这套设置不是点几下就能完事的，它需要分阶段控制数据流动路径，每一步都卡住一个常见泄密出口。
禁用USB存储设备（注册表法）
第一步：按 Win + R 打开运行框，输入 regedit → 回车，确认用户账户控制弹窗。
第二步：在注册表编辑器中，逐级展开路径：
HKEY_LOCAL_MACHINE → SYSTEM → CurrentControlSet → Services → USBSTOR
第三步：在右侧窗口找到名为 Start 的 DWORD（32位）值，双击打开；将“数值数据”由默认的 3 改为 4，点击确定。
这一步改的是USBSTOR驱动服务的启动类型——3表示“自动”，4表示“禁用”。改完不重启也能立刻生效，但插拔一次U盘才能验证效果。注意：【修改前务必导出该键值备份，误改其他项可能导致系统无法识别键盘鼠标】。
启用BitLocker全盘加密（Windows专业版/企业版）
右键点击系统盘（通常是C:）→ 选择“启用BitLocker”→ 按向导提示选择解锁方式（推荐“使用密码”+“保存恢复密钥到Microsoft账户”）→ 点击“开始加密”。
加密过程后台运行，不影响正常使用。首次加密耗时取决于硬盘大小和使用状态，建议插电操作。加密完成后，即使硬盘被拆下装到另一台电脑上，没有密码或恢复密钥，所有文件都不可读。
部署洞察眼MIT系统进行行为管控
方法一：安装客户端并绑定管理员账号
从内网服务器下载洞察眼MIT客户端 → 双击安装 → 输入管理员分配的终端编号与认证口令 → 完成注册。
方法二：配置U盘白名单策略
登录管理控制台 → 进入“USB设备管理” → 开启“仅允许白名单设备接入” → 点击“添加设备”，插入需授权的U盘，自动读取其PID/VID信息并保存。
方法三：开启剪贴板与拖拽拦截
在“终端策略”中勾选“禁止加密文件内容复制到剪贴板”和“禁止拖拽加密文件至非受信目录” → 启用后，员工复制Word中的客户列表会失败，把Excel表格拖进U盘根目录会弹出权限拒绝提示。
设置组策略禁用可移动存储（域环境批量部署）
第一步：在域控制器上运行 gpedit.msc 或打开“组策略管理控制台”（GPMC）。
第二步：新建GPO并命名为“禁用USB存储”，链接到目标OU（如“研发部终端”）。
第三步：编辑该策略 → 计算机配置 → 管理模板 → 系统 → 可移动存储访问 → 分别启用以下三项：
• “所有可移动存储类：拒绝读取权限”
• “所有可移动存储类：拒绝写入权限”
• “可移动磁盘：拒绝执行权限”
第四步：执行 gpupdate /force 强制刷新策略，目标电脑重启后即生效。该策略对普通U盘、移动硬盘、SD读卡器全部生效，但不影响键盘、鼠标、打印机等HID设备。
