用途：在终端实施 USB 设备控制策略，限制未授权可移动介质访问，防止数据外泄与恶意软件引入，并满足 PCI DSS、HIPAA 等可移动介质管控合规要求。不适用于基于网络的 DLP 或云存储限制。
主要能力：清点当前 USB 使用情况；通过 GPO 配置可移动存储访问与设备安装限制；通过 Microsoft Defender for Endpoint 部署设备控制策略；建立授权 USB 白名单并阻止其他设备；审计与监控 USB 事件。
使用方式：先清点设备，例如 Get-PnpDevice -Class USB | Select-Object InstanceId, FriendlyName, Status，并查询注册表 HKLM:\SYSTEM\CurrentControlSet\Enum\USBSTOR**。GPO 路径为 Computer Configuration → Administrative Templates → System → Removable Storage Access，可整体拒绝所有可移动存储访问，或按 CD/DVD、可移动磁盘、磁带、WPD 设备细分；白名单通过 Device Installation Restrictions 添加已批准 Device ID，如 USB\VID_0781&PID_5583。MDE 使用 XML 策略，以 VID_PID 匹配授权设备，并对 RemovableMediaDevices 设置 Deny、AccessMask 63、Options 4。监控可关注 Windows 事件 ID 6416、4663，以及 MDE DeviceEvents 中 ActionType 含 Usb 的记录。
适用场景：限制 USB 存储以防外泄或恶意软件；通过 GPO、Intune 或 EDR 实施设备控制；为授权设备建立白名单；满足可移动介质合规要求。
限制与注意：不要阻止所有 USB，键盘鼠标属于 HID 设备，应只阻止大容量存储类；需向用户显示通知，否则易产生工单；需区分 USB-C 与 Thunderbolt 的存储和外设用途；合法 USB 需求应走例外流程并使用已批准加密设备。前置条件包括 Active Directory GPO 或 Intune、授权设备 Device Instance ID、带设备控制模块的 EDR，以及理解 USB 设备类。其他细节暂未提供。