必须开启“移动设备接入时自动扫描”开关并配置全文件系统类型与完整扫描规则，否则U盘插入不会触发查杀；还需通过udev监听或命令行补漏确保未识别设备也被扫描。
银河麒麟OS插入U盘后需自动触发病毒查杀，不能依赖手动点击安全中心扫描——必须配置外设接入事件与KYSEC引擎的联动策略，否则U盘内潜伏的木马、蠕虫可能在挂载瞬间完成内存驻留或自启注册。
启用外设接入自动防护策略
安全中心默认仅对主动发起的“全盘扫描”生效，U盘插入属于事件驱动型威胁入口，需单独开启实时响应开关。
点击左下角「开始菜单」→ 搜索“安全中心”并打开 → 左侧导航栏选择「病毒防护」。
在右侧找到【防护设置】区域 → 将「移动设备接入时自动扫描」开关拖动为蓝色开启状态 → 确认下方提示变为“已启用，U盘/移动硬盘插入后将立即启动快速扫描”。
【该开关必须开启，否则即使U盘含已知病毒样本，也不会触发任何拦截或告警】
验证并强制绑定USB设备扫描规则
仅开启自动扫描开关还不够，部分U盘因文件系统类型（如exFAT）或分区标识异常，会被KYSEC引擎跳过扫描。需手动指定规则匹配路径。
在安全中心「病毒防护」页 → 点击右上角【高级设置】→ 切换至【扫描规则】标签页。
找到「可移动存储设备」规则行 → 点击右侧【编辑】→ 在弹出窗口中勾选全部文件系统类型：FAT32、NTFS、exFAT、EXT4。
将「扫描深度」从默认“快速扫描”改为“完整扫描” → 勾选「包含隐藏文件和系统文件」→ 点击【保存】。
此设置确保U盘根目录下的autorun.inf、.kysec_hidden、$RECYCLE.BIN等高危路径被纳入首轮扫描范围。
命令行补漏：为未识别U盘强制注入扫描任务
当U盘插入后桌面无弹窗、文件管理器不显示设备图标，但dmesg已确认内核识别为/dev/sdb1时，图形界面自动扫描链路已断裂，需终端介入。
方法一：基于设备路径触发扫描
执行命令：sudo kysec-scan --device /dev/sdb1 --quick。若返回“no device found”，说明U盘尚未挂载，先运行sudo udisksctl mount -b /dev/sdb1再重试。
方法二：监听udev事件实现真自动
创建监听脚本：sudo nano /usr/local/bin/usb-auto-scan.sh，写入以下内容：
#!/bin/bash<br>if [[ "$1" == "add" && "$2" == "usb" ]]; then<br> sleep 3<br> for dev in $(lsblk -ln -o NAME,TYPE | awk '$2=="part"{print "/dev/"$1}'); do<br> if udevadm info --name=$dev | grep -q "ID_BUS=usb"; then<br> sudo kysec-scan --device $dev --quick > /dev/null 2>&1 &<br> fi<br> done<br>fi
保存后执行：sudo chmod +x /usr/local/bin/usb-auto-scan.sh → 创建udev规则：echo 'SUBSYSTEM=="usb", ACTION=="add", RUN+="/usr/local/bin/usb-auto-scan.sh add usb"' | sudo tee /etc/udev/rules.d/99-usb-auto-scan.rules → 最后重载规则：sudo udevadm control --reload-rules。
