w047

★如何鎖 電腦 的usb ，防止資料外洩   來自下列網站

http://forum.slime.com.tw/post1667666-5.html 

也提供些  
Disable Floppy USB隨身碟於WINDOWS XP內建燒錄功能之Registry設定
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Flpydisk]
"Start"=dword:00000004
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR]
"Start"=dword:00000004
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\imapiservice]
"Start"=dword:00000004
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer]
"NoCDBurning"=dword:00000001
Windows XP USB Mass Storage Device Security FAQ
Q：
我們單位是個安全單位，對於數據的安全有很高的要求。我們單位的計算機上均裝有Windows XP但我們單位有不少些同事使用USB FlashDisk（閃盤）接在我們單位的計算機上。領導很擔心數據的外洩，也挺擔心個別同事的閃盤上帶有間諜軟件進入計算機系統來，怎麼辦呢？
A：
1、給所有用戶設上非管理員權限的帳戶
a、點擊『開始』菜單中的「運行」並鍵入"control userpasswords2"（不包括雙引號）後確定
b、在「用戶帳戶」中添加用戶時注意選擇何種級別的訪問權限時選擇受限用戶或更改現有用戶 的屬性時在其「屬性」頁中的「組成員」標籤頁中選擇「受限用戶」
2、將系統以及數據所在分區使用 convert 命令轉換為NTFS文件格式分區
a、點擊『開始』菜單中的「運行」並鍵入"cmd"（不包括雙引號）後確定
b、在CMD命令行下鍵入"convert x: /FS:NTFS"(不包括雙引號且其中的x表示欲轉換的盤符）
3、為%SystemRoot%\Inf下的Usbstor.pnf和Usbstor.inf這兩個文件設置用戶權限
a、右擊這兩個文件，點擊「屬性」，在其「屬性」頁中點「安全」標籤
b、將Users組的「完全控制」中選擇「拒絕」復選項
c、點擊「高級」按鈕，在打開的「權限」頁中去掉「從父項繼承那些可以應用到子對象的權限項目，包括那些在此明確定義的項目」復選項後確定
[註：欲看到文件屬性的「安全」標籤，需要先在「文件夾選項」中的「查看」頁中去掉「使用簡單文件共享(推薦)」之後才可見。並且Home版需要進入安全模式下進行了前面文件夾選項設置後才可見]
Q：
上面的辦法確實有效果，不過有不少機子已經裝過USB Mass Storage Device了，好像已經加載過上面提到的兩個文件了，對於那些機子似乎就沒什麼作用了，對於這一類的機子該怎麼辦呢？
A：
對於已經加載過上面提到的Usbstor.pnf和Usbstor.inf這兩個文件的系統使用上面提到的辦法確實無效了，那麼請使用下面方法
1、卸載所有掛載著的USB 存儲設備
2、修改註冊表
a、點擊『開始』菜單中的「運行」並鍵入"regedit"（不包括雙引號）後確定
b、在「註冊表編輯器」中依次展開
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR
將名為 Start 的DWORD鍵鍵值修改為十六進制的 4 
[註：此法達到的效果為插入USB 存儲設備無任何反應，並且盤符也不會出現，在「磁盤管理」中也看不到該移動存儲設備。達到無處外洩數據和病毒無法被讀取的目的]

********************************************************************************************
如果是floppy的話，則
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Flpydisk
將名為 Start 的DWORD鍵鍵值修改為十六進制的 4，重新開機則軟碟機不見了。
**********************************************************************
Q：
確實，按照上面的方法去做，沒有任何反應了，也不會有盤符彈出，在「磁盤管理」中也看不到該移動存儲設備了，不過不少同事可是一般把要完成的在家完成後存到閃盤裡再帶到單位來提交，如果按照上面的辦法的話，連閃盤上的東西都無法保存轉移到計算機上來。我們這邊有病毒實時監控，而且給用戶設上了受限權限，即使有病毒也是沒什麼大礙的，而且還升到了SP2了，應該不用擔心太多安全方面的問題，所以該怎麼辦呢？
A：
如果有病毒實時監控，可要注意經常更新病毒定義庫。如果是Windows XP with SP2的話，那就好辦了，可以通過下面辦法達到，可以讀取閃盤上的數據，但卻無法將計算機上的數據保存到閃盤上，從而保證了數據的不外洩。
1、卸載所有掛載著的USB 存儲設備
2、修改註冊表
a、點擊『開始』菜單中的「運行」並鍵入"regedit"（不包括雙引號）後確定
b、在「註冊表編輯器」中依次展開
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies
如果在註冊表項 Control下找不到名為 StorageDevicePolicies 的註冊表項，那麼則手動建立即可
c、在 StorageDevicePolicies 註冊表項下建立名為 WriteProtect 的DWORD值，並將其鍵值定義為 1 即生效
[註：此法的效果為使用閃盤時插入閃盤，系統會如常顯示出盤符，但是只能讀出閃盤中的數據文件，而無法往閃盤中寫入數據，從而達到防止數據外洩的目的。此法僅對Windows XP SP2有效，考慮到2003Server SP1其本質和XP SP2很像，故而大膽預測2003Server SP1應用此法一樣有效。]
Q：
看來當初升級到SP2確實沒白裝啊，用了上面的辦法到Windows XP RTM上居然是無效的。上面的方法似乎已經是最完美的了，不過發現有些同事不知道用了什麼辦法好像突破了這個限制，而往他的MP3上拷貝了MP3，雖然他沒拷貝重要數據文件，但說明是有漏洞的啊，這該怎麼辦呢？
A：
估計是該用戶的權限太高，要麼更改為受限用戶，要麼去掉他對該註冊表鍵值的控制權限即可。
如果該用戶確實需要有足夠的權限來完成某些任務，那麼只有去掉他對該註冊表鍵值的控制權限了
a、點擊『開始』菜單中的「運行」並鍵入"regedit"（不包括雙引號）後確定
b、在「註冊表編輯器」中依次展開
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies
在該StorageDevicePolicies註冊表項上右擊菜單後點「權限」
c、在 「StorageDevicePolicies 的權限」中點擊該用戶後在「完全控制」後勾選「拒絕」復選項
d、點擊「高級」按鈕後去掉從父項繼承那些可以應用到子對象的權限項目，包括那些在此明確定義的項目」復選項後確定兩次即可
自我編後總結：
該FAQ以一個安全單位的管理員的疑問角度來撰寫，並且就WinXP的USB存儲設備的這方面的應用提出幾個安全相關的疑問和解決辦法。但實際上還有不少其它的數據外移手段如軟盤、刻錄光盤、網絡等手段。所以要做好數據的防外洩有關工作光在這個USB閃盤上還不夠，USB閃盤或移動硬盤只是因為普及且易攜帶，所以應該著重於這方面的防外洩工作。上面都是有關於技術防外洩的，實際操作中還應配合著制度等的規定來達到防外洩的目的以保護單位數據安全。
How to Prevent Users from Using USB Storage Devices 
USB flash memory drives are handy, but they can also be used to upload malicious code to your computer or to copy confidential information from your computer and take it away. You can disable the use of USB storage devices. Here's how: 
1/ In Windows Explorer, navigate to the systemroot folder (usually named WINDOWS) and then to the Inf folder.
2/ In the Inf folder, right click the file named Usbstor.pnf and select Properties. 
3/ Click the Security tab. 
4/ Find the name of the user you want to prevent from using USB storage devices in the list labeled Group Or User Names. 
5/ In the Permissions list, check the Deny checkbox next to Full Control. 
6/ Click OK. 
7/ Repeat the above steps for the file named Usbstor.inf. 
Now the user(s) you selected will not be able to install USB storage devices to the computer. If one is already installed, you'll need to edit the registry to prevent USB devices from working. In your registry editor, navigate to:
HKEY LOCAL MACHINE\SYSTEM\CurrentControlSet\Services\UsbStor 
In the right pane, double click the item labeled Start and in the Value Data field, enter 4 (make sure Hexadecimal is selected as the data type). Click OK and close the registry editor.