如何使用组策略阻止USB驱动器和可移动媒体

朴灿烈づ我的快乐病毒、 2023-10-07 08:42 64阅读 0赞

将新的USB设备连接到计算机时，Windows会自动检测该设备并安装适当的驱动程序，这意味着用户几乎可以立即使用连接的USB驱动器或设备。在某些组织中，出于安全原因，禁止使用USB设备（闪存驱动器，USB硬盘，SD卡等），以防止机密数据的安全泄漏和病毒渗透到公司内部网络。本文介绍如何使用组策略（GPO）禁用外部可移动USB驱动器，这些驱动器无法进行数据写入或运行可执行文件。

**内容：**

*  [配置GPO以阻止USB驱动器和其他外部存储设备][GPO_USB]
 *  [GPO为某些用户禁用USB驱动器][GPO_USB 1]
 *  [通过注册表和组策略首选项阻止USB和可移动设备][USB]

在Windows中，从Windows 7 / Vista开始，您可以使用组策略灵活地管理对外部驱动器（USB，CD / DVD，软盘，磁带等）的访问。您可以通过编程方式阻止USB驱动器的使用，而不会影响诸如鼠标，键盘，打印机等USB设备。

如果您的AD域的基础结构满足以下要求，则USB设备阻止策略将起作用：

1.  Active Directory架构版本\-Windows Server 2008或更高版本。

**注意**。该策略集允许控制仅在此AD版本（版本44）中出现的Windows上可移动媒体的安装和使用。

1.  桌面操作系统– Windows Vista，Windows 7或更高版本。

**提示**。在Windows XP组策略中，您不能限制对外部USB设备的访问：要阻止对外部媒体的访问，管理员必须使用第三方工具，或者阻止某些设备驱动程序（UsbStor，Cdrom，Flpydisk，Sfloppy）运行（使用注册表项HKLM \\ SYSTEM \\ CurrentControlSet \\ Services \\中的参数Start的值0。但是，自2014年以来，[Windows XP支持已经终止][Windows XP]，今天在公司网络中已很少见。

配置GPO以阻止USB驱动器和其他外部存储设备

我们将限制在某个AD容器（OU）中的所有计算机使用USB驱动器。您可以将USB阻止策略应用于整个域，但这会影响服务器和其他技术设备。假设我们要将策略应用于名为**Workstations****的** OU 。为此，请打开GPO管理控制台（**gpmc.msc**），右键单击OU Workstations并创建一个新策略（**在此域中创建一个****GPO****并在此处链接。**）

**提示**。如果是独立计算机，则可以使用本地组策略编辑器**gpedit.msc**编辑USB设备限制策略。在Windows Home版本中，缺少本地组编辑器，但是您可以像这样安装它：[如何在Windows 10 Home上启用gpedit.msc][Windows 10 Home_gpedit.msc]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70][]

将策略命名为“ **禁用****USB****访问****”**。

![20200128101505801.jpeg][]

之后，编辑其设置（**编辑**）。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 1][]

外部存储设备阻止设置位于GPO的用户和计算机部分中：

1.  用户配置\->策略\->管理模板\->系统\->可移动存储访问。
2.  计算机配置\->策略\->管理模板\->系统\->可移动存储访问。

在“ **可移动存储访问****”**部分中，有几种策略允许您禁用对不同类型的存储类别的使用\-CD / DVD，FDD，USB设备，磁带等。

*  CD和DVD：拒绝执行访问。
 *  CD和DVD：拒绝读取访问。
 *  CD和DVD：拒绝写访问。
 *  自定义类：拒绝读取访问。
 *  自定义类：拒绝写访问。
 *  软盘驱动器：拒绝执行访问。
 *  软盘驱动器：拒绝读取访问。
 *  软盘驱动器：拒绝写访问。
 *  可移动磁盘：拒绝执行访问。
 *  可移动磁盘：拒绝读取访问。
 *  可移动磁盘：拒绝写访问。
 *  所有可移动存储类：拒绝所有访问。
 *  所有可移动存储：允许在远程会话中直接访问。
 *  磁带机：拒绝执行访问。
 *  磁带机：拒绝读取访问。
 *  磁带机：拒绝写访问。
 *  Windows便携式设备–此类包括智能手机，平板电脑，播放器等。
 *  WPD设备：拒绝写访问。

如您所见，您可以拒绝启动每种设备类的可执行文件（保护计算机免受病毒感染），禁止读取数据以及在外部媒体上写入/编辑文件。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 2][]

“最严格”的限制策略\- **所有可移动存储类：拒绝所有访问** \-允许拒绝对所有类型的外部存储设备的访问。要打开该策略，请打开它，然后选中“ **启用****”**。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 3][]

在客户端计算机（*gpupdate / force*）上启用并更新策略后，系统会检测到已连接的外部设备（不仅是USB设备，而且还包括任何外部驱动器），并且在用户尝试打开它们时返回以下错误消息：

位置不可用

无法访问驱动器。拒绝访问

![20200128101502186.jpeg][]

**提示**。可以通过在注册表项*HKEY\_CURRENT\_USER \\ Software \\ Policies \\ Microsoft \\ Windows \\ RemovableStorageDevices**中*创建值**00000001****的** DWORD参数**Deny\_All**来使用注册表设置相同的限制。

在此策略部分中，可以配置使用外部USB驱动器的更灵活的限制。

例如，为防止将数据写入USB闪存驱动器和其他类型的USB驱动器，应启用策略**可移动磁盘：拒绝写入访问**。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 4][]

在这种情况下，用户将能够读取USB闪存驱动器上存储的数据，但是当他们尝试向其中写入信息时，将会收到访问错误：

目标文件夹访问被拒绝

需要权限来执行此操作

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 5][]

您可以使用**可移动磁盘拒绝**运行存储在USB驱动器上的可执行文件和脚本文件**：拒绝执行访问**策略。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 6][]

**注意**。在某些情况下，使用gpupdate / force命令更新客户端上的策略后，不会立即阻止对可移动USB设备的访问。要应用USB阻止策略，您必须重新启动计算机，并在同一GPO部分中启用策略“ **设置时间（以秒为单位）以强制重新启动** ”。然后，计算机将强制重新启动。

GPO为某些用户禁用USB驱动器

通常，有必要为域中的所有用户（管理员除外）禁止USB驱动器。

最简单的方法是通过在GPO中使用**安全筛选**。例如，为防止将USB阻止策略应用于Domain Admins组，请执行以下操作：

1.  在组策略管理控制台中，选择“ **禁用****USB****访问****”**策略。
2.  在“ **安全筛选****”**部分中，添加“ **域管理员****”**组。![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 7][]
3.  转到“ **委派****”**选项卡，然后在安全设置编辑器中单击“ **高级** ”，指定不允许Domain Admins组应用此GPO（“ **应用组策略****–****拒绝****”**）。![2020012810145726.jpeg][]

如果任务不同：您需要允许除特定用户组之外的所有用户使用USB驱动器，则需要在策略的安全性设置中添加具有读取和应用GPO权限的用户组，而仅保留读取已验证用户或域计算机组的权限（取消选中“ **应用组策略****”**选项）。![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 8][]

通过注册表和组策略首选项阻止USB和可移动设备

您可以通过配置注册表设置来更灵活地控制对外部设备的访问，这些设置是由上述策略通过组策略首选项（GPP）设置的。上述所有策略均与HKLM（或HKCU）\\ SOFTWARE \\ Policies \\ Microsoft \\ Windows \\ RemovableStorageDevices中的某些注册表项相对应（默认情况下，此注册表项丢失）。

要启用这些策略之一，必须在指定的密钥中创建一个新的子密钥，该子密钥具有要阻止访问的设备类的名称（第2列）以及约束类型（Deny\_Read或Deny\_Write）的REG\_DWORD参数。如果此参数的值等于1，则限制处于活动状态；如果为0，则禁止使用此类设备。

<table> 
 <tbody> 
 <tr> 
 <td style="width:127.5pt;"> 政策名称 </td> 
 <td style="width:170.25pt;"> 设备类GUID </td> 
 <td style="width:127.5pt;"> 注册表参数名称 </td> 
 </tr> 
 <tr> 
 <td style="width:127.5pt;"> 软盘驱动器： 拒绝读取访问 </td> 
 <td style="width:170.25pt;"> {53f56311-b6bf-11d0-94f2-00a0c91efb8b} </td> 
 <td style="width:127.5pt;"> 拒绝读取 </td> 
 </tr> 
 <tr> 
 <td style="width:127.5pt;"> 软盘驱动器： 拒绝写访问 </td> 
 <td style="width:170.25pt;"> {53f56311-b6bf-11d0-94f2-00a0c91efb8b} </td> 
 <td style="width:127.5pt;"> 拒绝写 </td> 
 </tr> 
 <tr> 
 <td style="width:127.5pt;"> CD和DVD： 拒绝读取访问 </td> 
 <td style="width:170.25pt;"> {53f56308-b6bf-11d0-94f2-00a0c91efb8b} </td> 
 <td style="width:127.5pt;"> 拒绝读取 </td> 
 </tr> 
 <tr> 
 <td style="width:127.5pt;"> CD和DVD： 拒绝写访问 </td> 
 <td style="width:170.25pt;"> {53f56308-b6bf-11d0-94f2-00a0c91efb8b} </td> 
 <td style="width:127.5pt;"> 拒绝写 </td> 
 </tr> 
 <tr> 
 <td style="width:127.5pt;"> 可移动磁盘： 拒绝读取访问 </td> 
 <td style="width:170.25pt;"> {53f5630d-b6bf-11d0-94f2-00a0c91efb8b} </td> 
 <td style="width:127.5pt;"> 拒绝读取 </td> 
 </tr> 
 <tr> 
 <td style="width:127.5pt;"> 可移动磁盘： 拒绝写访问 </td> 
 <td style="width:170.25pt;"> {53f5630d-b6bf-11d0-94f2-00a0c91efb8b} </td> 
 <td style="width:127.5pt;"> 拒绝写 </td> 
 </tr> 
 <tr> 
 <td style="width:127.5pt;"> 磁带机： 拒绝读取访问 </td> 
 <td style="width:170.25pt;"> {53f5630b-b6bf-11d0-94f2-00a0c91efb8b} </td> 
 <td style="width:127.5pt;"> 拒绝读取 </td> 
 </tr> 
 <tr> 
 <td style="width:127.5pt;"> 磁带机： 拒绝写访问 </td> 
 <td style="width:170.25pt;"> {53f5630b-b6bf-11d0-94f2-00a0c91efb8b} </td> 
 <td style="width:127.5pt;"> 拒绝写 </td> 
 </tr> 
 <tr> 
 <td style="width:127.5pt;"> WPD设备： 拒绝读取访问 </td> 
 <td style="width:170.25pt;"> {6AC27878-A6FA-4155-BA85-F98F491D4F33} {F33FDC04-D1AC-4E8E-9A30-19BBD4B108AE} </td> 
 <td style="width:127.5pt;"> 拒绝读取 </td> 
 </tr> 
 <tr> 
 <td style="width:127.5pt;"> WPD设备： 拒绝写访问 </td> 
 <td style="width:170.25pt;"> {6AC27878-A6FA-4155-BA85-F98F491D4F33} {F33FDC04-D1AC-4E8E-9A30-19BBD4B108AE} </td> 
 <td style="width:127.5pt;"> 拒绝写 </td> 
 </tr> 
 </tbody> 
</table>

因此，借助这些注册表项以及通过项级别目标定位GPP策略的能力，您可以灵活地将限制外部存储设备使用的策略应用于某些AD安全组，站点，操作系统版本，OU和其他计算机。特性（甚至可以使用WMI查询）。这样，您可以确保USB阻止策略仅应用于特定AD组中包含（或不包含）的计算机（用户）。

**注意**。同样，您可以为未在此列表中列出的设备类创建自己的策略。您可以在**设备类****GUID**属性的值的驱动程序属性中找到设备类ID 。

[GPO_USB]: http://woshub.com/how-to-disable-usb-drives-using-group-policy/#h2_1
[GPO_USB 1]: http://woshub.com/how-to-disable-usb-drives-using-group-policy/#h2_2
[USB]: http://woshub.com/how-to-disable-usb-drives-using-group-policy/#h2_3
[Windows XP]: http://woshub.com/windows-xp-end-of-support-notification/
[Windows 10 Home_gpedit.msc]: http://woshub.com/group-policy-editor-gpedit-msc-for-windows-10-home/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20200128101505789.jpeg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI=,size_16,color_FFFFFF,t_70
[20200128101505801.jpeg]: https://img-blog.csdnimg.cn/20200128101505801.jpeg
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20200128101505817.jpeg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20200128101505898.jpeg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20200128101502320.jpeg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI=,size_16,color_FFFFFF,t_70
[20200128101502186.jpeg]: https://img-blog.csdnimg.cn/20200128101502186.jpeg
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 4]: https://img-blog.csdnimg.cn/20200128101458788.jpeg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 5]: https://img-blog.csdnimg.cn/20200128101505868.jpeg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 6]: https://img-blog.csdnimg.cn/20200128101505907.jpeg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 7]: https://img-blog.csdnimg.cn/20200128101505957.jpeg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI=,size_16,color_FFFFFF,t_70
[2020012810145726.jpeg]: https://img-blog.csdnimg.cn/2020012810145726.jpeg
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 8]: https://img-blog.csdnimg.cn/20200128101505961.jpeg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI=,size_16,color_FFFFFF,t_70