统信UOS中USB管控需分场景实施：临时禁用用rmmod usb_storage；永久禁用需黑名单配置+update-initramfs；按端口禁用通过/sys/bus/usb/devices/xxx/authorized控制；白名单则用udev规则匹配vendor/product/serial实现精准授权。
为防止员工通过U盘、移动硬盘等USB存储设备拷贝敏感图纸、客户资料或报价单导致数据泄露，需在统信UOS系统中对USB端口实施精准管控，而不是简单关闭全部USB功能——否则键盘、鼠标、扫描仪等办公必需外设也会失效。
临时禁用USB存储（当前会话生效）
这一步适合安全审计、临时会议等短期场景，操作后立即阻断所有U盘识别，但重启即恢复。
打开终端，执行命令确认usb_storage模块是否正在运行：lsmod | grep usb_storage
若输出中含usb_storage字样，说明模块已加载，执行卸载：【sudo rmmod usb_storage】
再次运行lsmod | grep usb_storage，应无任何输出；此时插入U盘，dmesg | tail -10里不再出现“usb-storage”或“scsi add-single-device”日志。
永久禁用USB存储（重启后仍有效）
该方法从内核加载阶段拦截，适用于财务、研发等高保密岗位的终端批量部署。
创建黑名单配置文件：sudo nano /etc/modprobe.d/usb-storage-blacklist.conf
写入两行内容：
blacklist usb-storage
install usb-storage /bin/false
保存退出后，必须更新initramfs才能让新规则在启动时生效：【sudo update-initramfs -u】
重启系统，再插入U盘，lsmod | grep usb_storage将始终无返回结果。
按物理端口禁用（只封特定USB口）
适用于保留后置USB口给打印机、扫描仪，仅禁用前置面板USB口供员工插拔U盘的混合办公环境。
第一步：插入U盘，执行dmesg | grep -i 'usb.*new device' | tail -1，从输出中提取类似2-1的总线-设备编号
第二步：禁用该端口授权：echo 0 | sudo tee /sys/bus/usb/devices/2-1/authorized
第三步：拔出U盘，更换至同一端口重新插入，系统将完全无响应；换到其他未禁用端口则仍可识别
如需恢复该端口，只需把命令中的0改为1即可。
用udev规则实现白名单管控（只允许指定U盘）
这是企业最实用的方案——既防泄密又保效率，只有登记备案的公司U盘能读写，私人U盘插入即被拦截。
方法一：获取目标U盘唯一标识
插入待授权U盘，执行udevadm info --attribute-walk --name=/dev/sdb | grep -E "(idVendor|idProduct|serial)"（注意将sdb替换为实际设备名）
方法二：编写白名单规则
创建规则文件：sudo nano /etc/udev/rules.d/99-usb-whitelist.rules
写入内容（示例中vendor=0781、product=5583、serial=4C530001150107116165）：
ACTION=="add", SUBSYSTEM=="usb", ATTR{idVendor}=="0781", ATTR{idProduct}=="5583", ATTR{serial}=="4C530001150107116165", ENV{ID_USB_INTERFACES}=="*:080650:*", RUN+="/bin/sh -c 'echo 1 > /sys$devpath/authorized'"
方法三：屏蔽其余所有USB存储设备
在同个文件末尾追加一行通用拦截规则：
ACTION=="add", SUBSYSTEM=="usb", ENV{ID_USB_INTERFACES}=="*:080650:*", RUN+="/bin/sh -c 'echo 0 > /sys$devpath/authorized'"
保存后重载规则：sudo udevadm control --reload-rules && sudo udevadm trigger --subsystem-match=usb
