禁用电脑 USB 接口、防止 U 盘泄密，可按 “软件管控（细粒度）→ BIOS / 硬件（彻底）→ 管理兜底” 三步落地，优先用软件分场景限制，兼顾安全与办公刚需。以下是 Windows/Mac 的具体操作与企业级举措。
一、Windows 禁用 USB/U 盘的核心方法（按优先级排序）
1. 本地组策略（专业 / 企业版，推荐）
适合批量管控，仅禁存储不影响键鼠 / 加密狗。
- Win+R 输入 gpedit.msc，打开本地组策略编辑器。
- 路径：计算机配置→管理模板→系统→可移动存储访问。
- 启用 “所有可移动存储类：拒绝所有访问”，或单独限制 “可移动磁盘：拒绝读取 / 写入”。
- 命令行执行 gpupdate /force 立即生效。恢复：设为 “未配置” 或 “已禁用”，再执行 gpupdate /force。
2. 注册表（全 Windows 版本通用）
禁用 USB 存储驱动，重启生效。
- Win+R 输入 regedit，打开注册表编辑器。
- 路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR。
- 双击右侧 Start，数值改为 4（禁用）；恢复改为 3（手动）或 2（自动）。
- 可导出.reg 文件批量部署：
plaintext
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR] "Start"=dword:00000004
恢复：导入 Start=3 的.reg，或手动改回。
3. 设备管理器（临时禁用）
适合单台临时操作，重启可能失效。
- Win+X→设备管理器，展开通用串行总线控制器 / 磁盘驱动器。
- 右键 “USB 大容量存储设备” 或 “USB Root Hub”，选择禁用设备。恢复：右键启用设备；卸载的需重新扫描硬件。
4. BIOS/UEFI（彻底硬件级禁用）
适合高安全场景，注意预留 PS/2 键鼠或 USB 例外。
- 开机按 Del/F2/F10（品牌不同）进入 BIOS。
- 进入 Advanced/Integrated Peripherals→USB Configuration。
- 禁用 USB Controller/USB Ports，保存（F10）退出。恢复：重新进入 BIOS 开启对应选项。
二、Mac 禁用 USB/U 盘方法
1. 系统配置（Ventura 及以上）
通过系统完整性保护（SIP）与权限管控，需管理员权限。
- 关闭 SIP（重启按住 Command+R，实用工具→终端，输入 csrutil disable，重启）。
- 打开终端，执行：sudo chmod 0000 /System/Library/Extensions/IOUSBMassStorageClass.kext（10.15 及以下）。
- 重启后 SIP 可重新开启（csrutil enable）。注意：macOS 11 + 系统卷只读，需借助第三方工具。
2. 第三方工具（推荐）
如 Mac USB Blocker、Endpoint Security 软件，支持例外设置与审计，操作更安全。
同时，国内有一些专门的禁用电脑U口、屏蔽USB接口使用的方法。如，目前使用较为普遍的“大势至电脑文件防泄密系统”（dashizhi.com），通过在电脑上安装之后，就可以完全禁用U口、禁用U盘、禁用USB口的使用；同时，还可以禁用网盘、邮件附件、聊天软件等各种途径泄密电脑文件的行为，有效的保护了公司机密数据的安全。如下图：
图：大势至电脑文件防泄密系统
三、企业级防泄密补充举措
权限与审计
- 员工仅获最小权限，文件操作留痕（拷贝 / 外发 / 打印）。
- 域环境通过组策略统一推送 USB 限制，离职即时回收权限。
物理管控
- USB 接口锁 / 封条 / 封口塞，防止物理接入。
- 机房电脑断开主板 USB 排线（专业人员操作）。
制度与流程
- 签署保密协议，明确 USB 使用违规后果。
- 特殊需求走审批流程，临时开通 USB 权限并记录。
四、不同场景最佳方案选型表
表格
| 场景 | 推荐方法 | 优点 | 缺点 |
|---|---|---|---|
| 企业域环境 | 组策略 + 注册表 + 审计 | 批量部署、细粒度控制 | 仅 Windows 专业 / 企业版 |
| 个人 / 家庭版 Windows | 注册表 + 设备管理器 | 操作简单、无需额外软件 | 需手动改注册表 |
| 高安全机房 | BIOS + 物理锁 | 彻底禁用、防绕过 | 影响外设使用 |
| Mac 办公环境 | 第三方工具 + 权限管控 | 适配新系统、支持例外 | 需付费 / 配置复杂 |
五、避坑指南
- 禁用前预留键鼠 / 加密狗等例外，避免无法操作。
- 注册表 / BIOS 操作前备份配置，防止误操作。
- 企业批量部署优先用组策略 / MDM，减少人工成本。
- 定期审计 USB 使用日志，及时发现违规行为。
