企业防拷贝需同步阻断U盘、剪贴板、拖拽、网盘四路径：注册表禁USB（Start改4）、BitLocker全盘加密（保存恢复密钥）、域智盾细粒度管控（禁复制/拖拽/截屏+USB白名单）、组策略批量禁移动存储。
企业电脑设置核心数据防拷贝，必须同步阻断U盘拷贝、剪贴板复制、拖拽外泄、网盘上传四条高发路径，不能只禁USB而放行截图或微信转发。
注册表禁用USB存储设备（系统级物理拦截）
按Win + R打开运行框，输入regedit→回车进入注册表编辑器。
依次展开路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR。
在右侧双击Start项，将“数值数据”由默认的3改为【4】，点击确定。
关闭注册表编辑器，重启电脑。插入U盘后资源管理器不显示盘符、设备管理器中“磁盘驱动器”和“通用串行总线控制器”下均无对应设备，即生效。⚠️修改前务必右键导出该键值备份，误设为0或1可能导致系统无法启动。
启用BitLocker全盘加密（防硬盘拆机读取）
右键点击系统盘（通常是C:）→选择“启用BitLocker”→按向导操作。
务必勾选“将恢复密钥保存到Microsoft账户”或“另存为文件”，否则密码遗忘将【永久丢失全部数据】。
选择“新加密模式”和“XTS-AES 256位”加密强度→点击“开始加密”。首次加密需数小时，保持电源连接、禁止休眠。
部署域智盾实现细粒度防拷贝（行为层实时封堵）
① 下载安装域智盾客户端，使用管理员账号登录控制台；
② 创建加密策略：勾选需保护的文件类型（如.docx、.xlsx、.pdf、.dwg），必须启用“禁止复制”“禁止拖拽至桌面/U盘”“禁止剪贴板复制文本”三项；
③ 配置USB设备白名单：仅允许已登记序列号的加密U盘读写，其余一律拦截并记录日志；
④ 启用屏幕水印与截屏阻断：对打开加密文档的窗口自动叠加动态水印，同时禁用Snipping Tool、微信截图、QQ截图等全部本地截图工具；
⑤ 提交策略并推送到终端——策略下发后，员工打开受保护文件时仍可正常编辑，但复制粘贴、另存为、拖入浏览器上传框等动作全部失效。
组策略批量禁用移动存储（域环境统一管控）
在域控制器上打开“组策略管理编辑器”→导航至“计算机配置 → 管理模板 → 系统 → 可移动存储访问”→启用“所有可移动存储类：拒绝所有权限”。
该策略下发后，所有加入域的Windows电脑将无法识别U盘、移动硬盘、SD卡等设备，且普通用户无法通过注册表绕过。
