【IT168 评论】在USB设备存储了重要数据的情况下，我们需要对该设备进行严格管理、控制，避免因USB设备使用或管理不当，引起重要数据丢失或泄密事件发生。
注册表控制法
控制写入权限
为了防止他人随意修改保存在USB设备中的重要数据，我们可以修改系统注册表的相关键值，让普通用户只能访问USB设备中的数据内容，而不能随意改动其中的内容。
使用“Win+R”快捷键，打开系统“运行”文本框，输入“Regedit”命令，单击“确定”按钮后，开启注册表编辑器的运行状态。依次展开注册表编辑界面左侧的“HEKY_LOCAL_MACHINE\System\CurrentControlSet\Control\StorageDevicePolices”分支。
在目标分支下手工创建一个双字节键值“WriteProtect”，同时将其数值调整为“1”，重新启动Windows系统，这样用户日后只能对接入的USB设备进行读取操作，而不能进行写入操作。当有用户悄悄修改USB设备中的重要数据时，系统会弹出“磁盘有写保护”之类的提示。
控制病毒运行
考虑到USB设备感染病毒、木马的现象十分普遍，为了防止保存有重要数据的USB设备，在插入计算机系统后，自动激活运行病毒、木马程序，从而引起泄密事件发生，我们必须主动出击，想办法控制USB设备中的病毒、木马程序自动发作运行，下面就是具体的控制步骤：
首先按照前面的操作，打开本地系统的注册表编辑窗口，在该窗口左侧显示区域，依次展开注册表分支HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2，用鼠标右键单击该分支选项，执行快捷菜单中的“权限”命令，切换到权限编辑对话框。
其次将这里所有用户账号的访问权限都调整为拒绝，再按F5功能键，刷新系统注册表，这样USB设备日后即使不小心感染了病毒、木马程序，它们在插入计算机时，其中的病毒、木马程序也会由于操作权限不足，而不能激活运行，那么保存在USB设备中的重要数据，也就不容易被病毒、木马程序破坏或泄露出去了。
倘若想控制USB设备中AutoRun病毒的自动运行时，只要打开系统注册表编辑界面，将鼠标定位到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer节点上，打开NoDriveTypeAutoRun键值的设置对话框，选中“十六进制”选项，并输入数值“4”，确认后保存设置操作，再刷新系统注册表即可。
隐藏设备分区
如果不希望用户访问USB设备中的重要数据时，可以尝试将本地硬盘分区之外的盘符全部隐藏起来，这样日后有人即使偷偷插入了USB设备，他们也不能从“我的电脑”或“计算机”窗口中，看到USB设备对应分区的“身影”。
首先执行“Regedit”命令，打开注册表编辑界面，找到该界面左侧中的HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer节点选项，用鼠标右键单击目标节点，执行快捷菜单中的“新建”|“二进制值”命令，将新创建的键值取名为“NoDrives”，该键值默认数值为“00 00 00 00”，该数值表示不隐藏任何磁盘分区。
“NoDrives”的数值包含四个字节，每个字节的每一位数值控制着从“A”盘到“Z”盘的显示隐藏状态，当某个位数数值为“1”时，对应 磁盘分区就会被禁止显示。要是本地计算机硬盘包括C、D、E、F、G、H这几个分区，那么我们将“NoDrives”的数值设置为“02 ff ff ff”时，就能将B分区、I到Z分区隐藏起来，重新启动Windows系统，再插入USB设备时，我们将无法在“计算机”或“我的电脑”窗口中，找到USB设备所使用的磁盘分区，这样就不能访问到保存在该设备中的数据内容了。当然，通过计算机窗口的地址栏，输入USB设备的磁盘分区符号，还是能够访问到该设备中的内容，为此，我们还应该在HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer节点选项下面，手工创建一个“NoViewOnDrive”二进制键值，同时将该键值数值也设置为“02 ff ff ff”，这样任何方式也不能访问到USB设备中的内容了。
组策略控制法
停用自动播放
当USB设备连接到本地计算机中时，Windows系统会自动打开对应设备窗口，以利于用户快速访问其中的文件。而USB设备自动打开窗口的过程，很容易被网络病毒利用，那么带毒的USB设备插入计算机时，既会将病毒传染给Windows系统，又容易引起重要数据泄密事件。所以，为了保护系统和重要数据的安全，我们可以停用所有磁盘分区的自动播放功能：
首先逐一点选“开始”|“运行”选项，切换到系统运行对话框，输入“gpedit.msc”命令并回车，弹出系统组策略编辑界面，找到该界面下的“本地计算机策略”|“计算机配置”|“管理模板”|“系统”节点，用鼠标双击目标节点下的“关闭自动播放”选项，展开组策略属性对话框。
其次选中这里的“已启用”选项，打开“关闭自动播放”下拉列表，将其中的“所有驱动器”选项选中，单击“确定”按钮保存设置操作，这样USB设备日后插入到本地计算机后，对应设备窗口就不会自动打开了，那么即使该设备中隐藏有病毒、木马程序，它们也没机会激活运行了。
限制样本病毒
很多病毒在恶意传播之前，一般都是先激活样本病毒程序，之后才会进行病毒传播扩散。根据这种病毒传播原则，我们可以上网查询病毒公告，及时获取那些利用USB设备传播的病毒程序样本，并下载获取对应病毒样本文件，再利用系统组策略设置，来限制样本病毒程序在本地计算机中自动运行，下面就是具体的操作步骤：
首先按照前面的操作步骤，展开系统组策略编辑界面，找到该界面左侧的“本地计算机策略”|“计算机配置”|“Windows设置”|“安全设置”|“软件限制策略”|“其他规则”节点，用鼠标右键单击目标节点选项，点击右键菜单中的“新散列规则”命令，弹出设置界面。
其次按下设置界面中的“浏览”按钮，切换到文件选择对话框，导入之前获取得到的样本病毒程序文件，这样Windows系统会智能生成文件散列号码，并且还会自动显示相关样本病毒文件的版本信息以及其他方面的状态信息，接着将样本病毒程序文件“安全级别”选择为“不允许”，确认后本地计算机就能自动预防新型的通过USB设备传播的病毒了，日后即使USB设备感染了样本病毒，也不会在本地系统中造成安全威胁，更不会发生由样本病毒引起的数据泄密现象。
隐藏访问分区
USB设备插入到计算机系统后，Windows系统分配给它的分区符号往往是固定的，如果能让特定的磁盘分区隐藏起来，那么普通用户就不能随意访问到对应设备中的数据内容了。要做到这一点，可以进行如下设置操作：
首先执行“gpedit.msc”命令，打开系统组策略编辑界面，找到该界面中的“本地计算机策略”|“用户配置”|“管理模板”|“Windows组件”|“Windows资源管理器”节点，用鼠标双击目标节点下的“防止从我的电脑访问驱动器”选项，展开组策略属性对话框。
其次选中“已启用”选项，点击“选择下列组合中的一个”位置处的下拉按钮，从下拉列表中选择特定磁盘分区，那么保存设置操作后，Windows系统虽然可以正确识别并安装USB设备驱动，但是在计算机窗口或我的电脑窗口却不能访问它们的内容。如果希望隐藏USB设备分区时，还要在“本地计算机策略”|“用户配置”|“管理模板”|“Windows组件”|“Windows资源管理器”节点下，启用并设置好“隐藏我的电脑中的这些指定的驱动器”组策略，这样用户就不能看到它们的“身影”了。
权限控制法
授权特定用户
保护USB设备重要数据的目的是防止外人访问，而不是防止自己使用，所以我们不妨利用NTFS的权限管理功能，来限制他人随意访问USB设备。首先检查系统分区的格式，倘若发现是FAT32格式时，那么可以依次点击“开始”|“运行”命令，打开系统运行对话框，输入“Convert c： /FS：NTFS”命令，单击“确定”按钮后，将系统分区C盘转换成NTFS格式。接着进入本地计算机的用户管理界面，在这里为可信任用户账户设置一个复杂的登录密码
完成上面的准备工作后，打开系统资源管理器窗口，逐一展开“Windows”|“Inf”文件夹，找到其中的“Usbstor.pnf”文件，用鼠标右键单击该文件，执行快捷菜单中的“属性”命令，切换到对应文件属性界面，选择“安全”标签，在对应标签页面中将可信用户账户添加进来，并授予完全访问权限。
之后，将其它需要访问本地计算机，但是不允许使用USB设备的用户账户导入进来，同时将它们的访问权限都调整为“拒绝”，确认后执行设置保存操作，这样其他用户日后在尝试访问USB设备时，由于访问Usbstor.pnf文件时权限不足而受拒，从而保证了USB设备重要数据的安全。
控制访问权限
只要USB设备被格式化成NTFS格式，我们就能按照实际需要，随意控制其中数据的访问权限，禁止无关人员私下改动或删除重要数据。例如，要想禁止普通用户改动或删除USB设备中的重要数据时，可以先将USB设备插入到本地计算机，进入计算机或我的电脑窗口，找到对应设备分区图标，并用鼠标右键单击之，执行快捷菜单中的“属性”命令，打开该设备属性对话框。选择“安全”选项卡，在对应标签页面中，删除所有陌生用户账号，再将everyone账号的读取权限设置为“允许”，其他权限设置为“拒绝”，单击“确定”按钮保存设置操作即可。
