嚴控USB設備，還我數據安全

黑云

USB設備的“身影”已經隨處可見，善于使用該設備，的確能給上班一族帶來文件交流上的方便。然而，在USB設備存儲了重要數據的情況下，我們需要對該設備進行嚴格管理、控制，避免因USB設備使用或管理不當，引起重要數據丟失或泄密事件發生。

注冊表控制法

控制寫入權限

為了防止他人隨意修改保存在USB設備中的重要數據，我們可以修改系統注冊表的相關鍵值，讓普通用戶只能訪問USB設備中的數據內容，而不能隨意改動其中的內容。

使用“Win+R”快捷鍵，打開系統“運行”文本框，輸入“Regedit”命令，單擊“確定”按鈕后，開啟注冊表編輯器的運行狀態。依次展開注冊表編輯界面左側的“HEKY_LOCAL_MACHINE＼System＼CurrentControlSet＼Control＼StorageDevicePolices”分支（如圖1所示）。

在目標分支下手工創建一個雙字節鍵值“WriteProtect”，同時將其數值調整為“1”，重新啟動Windows系統，這樣用戶日后只能對接入的USB設備進行讀取操作，而不能進行寫入操作。當有用戶悄悄修改USB設備中的重要數據時，系統會彈出“磁盤有寫保護”之類的提示。

控制病毒運行

考慮到USB設備感染病毒、木馬的現象十分普遍，為了防止保存有重要數據的USB設備，在插入計算機系統后，自動激活運行病毒、木馬程序，從而引起泄密事件發生，我們必須主動出擊，想辦法控制USB設備中的病毒、木馬程序自動發作運行，下面就是具體的控制步驟：

首先按照前面的操作，打開本地系統的注冊表編輯窗口，在該窗口左側顯示區域，依次展開注冊表分支HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Explorer＼MountPoints2，用鼠標右鍵單擊該分支選項，執行快捷菜單中的“權限”命令，切換到如圖2所示的權限編輯對話框。

其次將這里所有用戶賬號的訪問權限都調整為拒絕，再按F5功能鍵，刷新系統注冊表，這樣USB設備日后即使不小心感染了病毒、木馬程序，它們在插入計算機時，其中的病毒、木馬程序也會由于操作權限不足，而不能激活運行，那么保存在USB設備中的重要數據，也就不容易被病毒、木馬程序破壞或泄露出去了。

倘若想控制USB設備中AutoRun病毒的自動運行時，只要打開系統注冊表編輯界面，將鼠標定位到HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼Explorer節點上，打開NoDriveTypeAutoRun鍵值的設置對話框，選中“十六進制”選項，并輸入數值“4”，確認后保存設置操作，再刷新系統注冊表即可。

隱藏設備分區

如果不希望用戶訪問USB設備中的重要數據時，可以嘗試將本地硬盤分區之外的盤符全部隱藏起來，這樣日后有人即使偷偷插入了USB設備，他們也不能從“我的電腦”或“計算機”窗口中，看到USB設備對應分區的“身影”。

首先執行“Regedit”命令，打開注冊表編輯界面，找到該界面左側中的HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼Explorer節點選項，用鼠標右鍵單擊目標節點，執行快捷菜單中的“新建”|“二進制值”命令，將新創建的鍵值取名為“NoDrives”，該鍵值默認數值為“00 00 00 00”（如圖3所示），該數值表示不隱藏任何磁盤分區。

“NoDrives”的數值包含四個字節，每個字節的每一位數值控制著從“A”盤到“Z”盤的顯示隱藏狀態，當某個位數數值為“1”時，對應 磁盤分區就會被禁止顯示。要是本地計算機硬盤包括C、D、E、F、G、H這幾個分區，那么我們將“NoDrives”的數值設置為“02 ff ff ff”時，就能將B分區、I到Z分區隱藏起來，重新啟動Windows系統，再插入USB設備時，我們將無法在“計算機”或“我的電腦”窗口中，找到USB設備所使用的磁盤分區，這樣就不能訪問到保存在該設備中的數據內容了。當然，通過計算機窗口的地址欄，輸入USB設備的磁盤分區符號，還是能夠訪問到該設備中的內容，為此，我們還應該在HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼Explorer節點選項下面，手工創建一個“NoViewOnDrive”二進制鍵值，同時將該鍵值數值也設置為“02 ff ff ff”，這樣任何方式也不能訪問到USB設備中的內容了。

組策略控制法

停用自動播放

當USB設備連接到本地計算機中時，Windows系統會自動打開對應設備窗口，以利于用戶快速訪問其中的文件。而USB設備自動打開窗口的過程，很容易被網絡病毒利用，那么帶毒的USB設備插入計算機時，既會將病毒傳染給Windows系統，又容易引起重要數據泄密事件。所以，為了保護系統和重要數據的安全，我們可以停用所有磁盤分區的自動播放功能：

首先逐一點選“開始”|“運行”選項，切換到系統運行對話框，輸入“gpedit.msc”命令并回車，彈出系統組策略編輯界面，找到該界面下的“本地計算機策略”|“計算機配置”|“管理模板”|“系統”節點，用鼠標雙擊目標節點下的“關閉自動播放”選項，展開如圖4所示的組策略屬性對話框。

其次選中這里的“已啟用”選項，打開“關閉自動播放”下拉列表，將其中的“所有驅動器”選項選中，單擊“確定”按鈕保存設置操作，這樣USB設備日后插入到本地計算機后，對應設備窗口就不會自動打開了，那么即使該設備中隱藏有病毒、木馬程序，它們也沒機會激活運行了。

限制樣本病毒

很多病毒在惡意傳播之前，一般都是先激活樣本病毒程序，之后才會進行病毒傳播擴散。根據這種病毒傳播原則，我們可以上網查詢病毒公告，及時獲取那些利用USB設備傳播的病毒程序樣本，并下載獲取對應病毒樣本文件，再利用系統組策略設置，來限制樣本病毒程序在本地計算機中自動運行，下面就是具體的操作步驟：

首先按照前面的操作步驟，展開系統組策略編輯界面，找到該界面左側的“本地計算機策略”|“計算機配置”|“Windows設置”|“安全設置”|“軟件限制策略”|“其他規則”節點，用鼠標右鍵單擊目標節點選項，點擊右鍵菜單中的“新散列規則”命令，彈出如圖5所示的設置界面。

其次按下設置界面中的“瀏覽”按鈕，切換到文件選擇對話框，導入之前獲取得到的樣本病毒程序文件，這樣Windows系統會智能生成文件散列號碼，并且還會自動顯示相關樣本病毒文件的版本信息以及其他方面的狀態信息，接著將樣本病毒程序文件“安全級別”選擇為“不允許”，確認后本地計算機就能自動預防新型的通過USB設備傳播的病毒了，日后即使USB設備感染了樣本病毒，也不會在本地系統中造成安全威脅，更不會發生由樣本病毒引起的數據泄密現象。

隱藏訪問分區

USB設備插入到計算機系統后，Windows系統分配給它的分區符號往往是固定的，如果能讓特定的磁盤分區隱藏起來，那么普通用戶就不能隨意訪問到對應設備中的數據內容了。要做到這一點，可以進行如下設置操作：

首先執行“gpedit.msc”命令，打開系統組策略編輯界面，找到該界面中的“本地計算機策略”|“用戶配置”|“管理模板”|“Windows組件”|“Windows資源管理器”節點，用鼠標雙擊目標節點下的“防止從我的電腦訪問驅動器”選項，展開如圖6所示的組策略屬性對話框。

其次選中“已啟用”選項，點擊“選擇下列組合中的一個”位置處的下拉按鈕，從下拉列表中選擇特定磁盤分區，那么保存設置操作后，Windows系統雖然可以正確識別并安裝USB設備驅動，但是在計算機窗口或我的電腦窗口卻不能訪問它們的內容。如果希望隱藏USB設備分區時，還要在“本地計算機策略”|“用戶配置”|“管理模板”|“Windows組件”|“Windows資源管理器”節點下，啟用并設置好“隱藏我的電腦中的這些指定的驅動器”組策略，這樣用戶就不能看到它們的“身影”了。

隱藏文件法

隱藏設備數據

保存在USB設備中的重要數據文件，如果被設置成隱藏屬性，那么日后用戶即使能進入USB設備窗口，也不能看到其中的數據文件。在隱藏設備數據文件時，先將USB設備正確插入到本地計算機中，進入計算機或我的電腦窗口，獲取USB設備的分區名稱，假設該分區為“F：”。接著依次點擊“開始”|“運行”命令，彈出系統運行對話框，輸入字符串命令“attrib F： +r +s +h /d /s”，單擊“確定”按鈕后，USB設備中的所有數據文件都會被設置成隱藏屬性，普通用戶是不能隨意刪除、更改數據文件的。

限制隱藏文件

將重要數據文件設置成隱藏性質，還不能保證其安全性，因為一些專業用戶可以進入Windows系統的文件夾選項設置對話框，切換到查看標簽頁面，選中“顯示所有文件”功能，就能訪問到隱藏文件了。為了防止專業用戶查看隱藏文件，我們還需要控制Windows系統，不讓其顯示隱藏文件，以達到徹底隱藏重要數據的目的。

使用“Win+R”快捷鍵，打開系統“運行”文本框，輸入“Regedit”命令，單擊“確定”按鈕后，開啟注冊表編輯器的運行狀態。依次展開注冊表編輯界面左側的“HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Explorer＼Advanced＼Folder＼Hidden＼SHOWALL”分支（如圖7所示）。

找到目標分支下的“CheckedValue”雙字節鍵值，并用鼠標雙擊之，在其后界面中，將默認數值由“1”修改成“0”，刷新系統注冊表后，即使普通用戶進入查看選項設置頁面，選中“顯示所有文件”選項，Windows系統也不會將隱藏文件顯示出來。

偽裝數據文件夾

通過上面的隱藏方法，隱藏USB設備中的重要數據，會影響其他隱藏文件的讀取與訪問。其實，我們可以在USB設備根目錄下面，任意創建一個文件夾，假設該文件夾名稱為“aaa”，日后將所有重要數據全部保存到這里。之后通過修改擴展名，對“aaa”文件夾進行偽裝操作，讓其變成“我的電腦”之類的特殊文件夾，這樣其他人雙擊該文件夾圖標時，將無法看到隱藏在其中的重要數據內容，所以，這在某種程度上能保護USB設備中的數據內容。在進行偽裝操作時，只要在“aaa”文件夾名稱后面，手工添加“.{20D04FE0-3AEA-1069-A2D8-08002B30309D}”這樣的擴展名即可。

隱藏分區符號

每個USB設備插入本地計算機后，Windows系統都會為它自動分配一個分區符號，如果隱藏該設備分區符號，那么其他用戶打開計算機或我的電腦窗口后，就不能訪問到USB設備，這樣該設備中的數據也會很安全。在隱藏分區符號時，首先將USB設備插入到本地計算機中，當該設備被成功識別后，用鼠標右鍵系統桌面上的“計算機”圖標，執行快捷菜單中的“管理”命令，切換到計算機管理窗口，將鼠標定位到“存儲”|“磁盤管理”節點上，選中該節點下的USB設備圖標，點擊右鍵菜單中的“更改驅動器號和路徑”命令，打開如圖8所示的設置對話框，選中USB設備使用的分區符號，點擊“刪除”按鈕，最后進行確認操作，這樣就能將USB設備分區符號隱藏起來了。日后，如果我們自己想訪問USB設備中的內容時，只要重新進入“更改驅動器號和路徑”設置對話框，為USB設備分配好合適分區符號即可。

權限控制法

授權特定用戶

保護USB設備重要數據的目的是防止外人訪問，而不是防止自己使用，所以我們不妨利用NTFS的權限管理功能，來限制他人隨意訪問USB設備。首先檢查系統分區的格式，倘若發現是FAT32格式時，那么可以依次點擊“開始”|“運行”命令，打開系統運行對話框，輸入“Convert c： /FS：NTFS”命令，單擊“確定”按鈕后，將系統分區C盤轉換成NTFS格式。接著進入本地計算機的用戶管理界面，在這里為可信任用戶賬戶設置一個復雜的登錄密碼。

完成上面的準備工作后，打開系統資源管理器窗口，逐一展開“Windows”|“Inf”文件夾，找到其中的“Usbstor.pnf”文件，用鼠標右鍵單擊該文件，執行快捷菜單中的“屬性”命令，切換到對應文件屬性界面，選擇“安全”標簽，在對應標簽頁面中將可信用戶賬戶添加進來，并授予完全訪問權限。

之后，將其它需要訪問本地計算機，但是不允許使用USB設備的用戶賬戶導入進來，同時將它們的訪問權限都調整為“拒絕”，確認后執行設置保存操作，這樣其他用戶日后在嘗試訪問USB設備時，由于訪問Usbstor.pnf文件時權限不足而受拒，從而保證了USB設備重要數據的安全。

控制訪問權限

只要USB設備被格式化成NTFS格式，我們就能按照實際需要，隨意控制其中數據的訪問權限，禁止無關人員私下改動或刪除重要數據。例如，要想禁止普通用戶改動或刪除USB設備中的重要數據時，可以先將USB設備插入到本地計算機，進入計算機或我的電腦窗口，找到對應設備分區圖標，并用鼠標右鍵單擊之，執行快捷菜單中的“屬性”命令，打開該設備屬性對話框。選擇“安全”選項卡，在對應標簽頁面中（如圖9所示），刪除所有陌生用戶賬號，再將everyone賬號的讀取權限設置為“允許”，其他權限設置為“拒絕”，單擊“確定”按鈕保存設置操作即可。