用途：在企业终端实施 USB 设备控制策略，限制未授权可移动存储访问，防止数据外泄与通过 USB 引入恶意软件，可满足 PCI DSS、HIPAA 等可移动介质控制合规要求。不适用于网络 DLP 或云存储限制。
主要能力：盘点现有 USB 使用情况；通过组策略、Microsoft Intune 或 EDR 设备控制模块配置设备控制策略；为授权设备建立白名单并阻止其他设备；按 USB 设备类（大容量存储、HID、打印机等）进行差异化限制；审计与监控 USB 事件。
前置条件：需 Active Directory GPO 或 Microsoft Intune 部署策略；需授权 USB 设备的 Device Instance ID；需带设备控制模块的 EDR（如 CrowdStrike、Microsoft Defender for Endpoint）；需了解 USB 设备类。
使用方式：步骤一盘点当前 USB 使用，可用 Get-PnpDevice -Class USB 枚举设备，或查询注册表 HKLM:\SYSTEM\CurrentControlSet\Enum\USBSTOR**，也可通过 EDR 收集全机队数据。步骤二配置 GPO 设备控制，在计算机配置→管理模板→系统→可移动存储访问中设置拒绝访问，或按 CD/DVD、可移动磁盘、磁带、WPD 设备分别设置；如需放行特定设备，在设备安装限制中禁止未描述设备并添加授权 Device ID（如 USB\VID_0781&PID_5583）。步骤三可通过 MDE 以 XML 策略部署，按 VID_PID 匹配授权组并对可移动介质设备设 Deny。步骤四通过 SIEM 监控 Windows 事件 ID 6416、4663 或 MDE DeviceEvents 中 Usb 相关事件，并每月生成报告。
关键概念：VID/PID 唯一标识设备型号；Device Instance ID 标识特定物理设备；设备控制按类型、厂商或序列号限制访问；USB 类中 08h 为大容量存储、03h 为 HID、07h 为打印机。
工具：Microsoft Defender Device Control、CrowdStrike Falcon Device Control、组策略可移动存储访问、Endpoint Protector。
限制与注意：不要不加区分地封锁全部 USB，键盘鼠标属于 HID，应仅阻止大容量存储类；需向用户提示策略，否则会增加工单；须区分 USB 存储与 USB 外设，考虑 USB-C 与 Thunderbolt 的扩展坞、充电与存储用途；应为有合法需求的用户建立例外流程，使用已批准的加密设备。