Windows系统下使用PowerShell限制USB存储设备

在Windows企业环境中，USB存储设备是最常见的数据泄露和病毒传播途径之一。与其依赖第三方加密软件或物理封堵USB接口，系统管理员完全可以通过Windows内置的PowerShell配合组策略或本地安全策略，实现精细化的USB读写控制。这里直接讲操作逻辑：核心思路是利用组策略中的“设备安装限制”策略，结合设备类别GUID或设备硬件ID，通过PowerShell脚本批量部署和实时切换限制状态。

Windows从Vista开始就在组策略中提供了“设备安装限制”功能，路径位于“计算机配置→管理模板→系统→设备安装→设备安装限制”。这里有两条关键策略：“禁止安装可移动设备”和“允许安装与下列设备ID相匹配的设备”。前者是全局开关，后者是白名单机制。当启用“禁止安装可移动设备”时，系统会阻止任何可移动存储设备的驱动程序安装，已经安装过的设备也会被阻止更新驱动，但不会影响已正常工作的设备。要实现已插入设备的即时禁用，需要结合设备类别GUID进行“阻止安装”操作。USB大容量存储设备的类别GUID是{53f56307-b6bf-11d0-94f2-00a0c91efb8b}，这是所有USB存储设备的通用标识。

组策略的本质是修改注册表。设备安装限制对应的注册表路径在HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions。手动创建这些键值并配合gpupdate刷新策略，可以绕过组策略编辑器直接生效。下面这段PowerShell脚本会立即阻止所有USB存储设备的安装和使用，包括已经连接但尚未安装驱动的设备：

# 以管理员身份运行
$regPath = "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions"
# 创建注册表路径（如果不存在）
if (-not (Test-Path $regPath)) {
    New-Item -Path $regPath -Force | Out-Null
}
# 启用设备安装限制
Set-ItemProperty -Path $regPath -Name "DenyUnspecified" -Value 1 -Type DWord
Set-ItemProperty -Path $regPath -Name "DenyUnspecifiedUndocked" -Value 1 -Type DWord
# 阻止USB存储设备类别
$denyPath = "$regPath\DenyDeviceClasses"
if (-not (Test-Path $denyPath)) {
    New-Item -Path $denyPath -Force | Out-Null
}
# USB大容量存储设备类别GUID
$usbClassGuid = "{53f56307-b6bf-11d0-94f2-00a0c91efb8b}"
Set-ItemProperty -Path $denyPath -Name "1" -Value $usbClassGuid -Type String
# 强制刷新组策略
gpupdate /force

执行完毕后，任何新插入的U盘、移动硬盘都会在设备管理器中显示黄色感叹号，提示“系统策略禁止安装此设备”。已连接并正常工作的设备会在下次插拔后失效。如果需要立即让当前已连接的设备也失效，可以额外调用设备管理器的API强制禁用设备，后面会详细说明。

完全禁止USB存储有时会影响必要的工作流程，比如公司配发的加密U盘或特定型号的移动硬盘需要放行。这时需要启用白名单策略，只允许具有特定硬件ID或兼容ID的设备安装。硬件ID可以从设备管理器中获取：找到目标USB设备，右键属性→详细信息→硬件ID，复制最具体的那个值。然后修改注册表允许该设备：

$allowPath = "$regPath\AllowDeviceIDs"
if (-not (Test-Path $allowPath)) {
    New-Item -Path $allowPath -Force | Out-Null
}
# 示例：允许特定硬件ID的USB设备
$allowedHardwareID = "USB\VID_0781&PID_5591&REV_0100"
Set-ItemProperty -Path $allowPath -Name "1" -Value $allowedHardwareID -Type String
# 同时需要关闭全局禁止，或确保DenyUnspecified策略不覆盖白名单
Set-ItemProperty -Path $regPath -Name "AllowAdministrators" -Value 1 -Type DWord
gpupdate /force

这里有个关键细节：DenyUnspecified策略的优先级高于AllowDeviceIDs白名单。如果启用了DenyUnspecified，即使设备在白名单中也会被阻止。正确的做法是：要么关闭DenyUnspecified，只依靠DenyDeviceClasses来阻止USB存储类别，然后在AllowDeviceIDs中添加例外；要么使用“允许安装与下列设备ID相匹配的设备”策略，同时启用“禁止安装其他策略未描述的设备”。在注册表层面，这意味着设置DenyUnspecified为1，同时确保AllowDeviceIDs中包含目标设备的硬件ID。Windows会按照“先检查允许列表，再检查阻止列表”的顺序处理，但DenyUnspecified是一个全局拒绝标志，会覆盖允许列表。经过实际测试，最可靠的方法是：不设置DenyUnspecified，而是通过DenyDeviceClasses阻止整个USB存储类别，然后在AllowDeviceIDs中添加例外设备。这样类别阻止生效，但白名单设备可以绕过类别限制。

注册表策略只影响设备驱动安装过程，对于已经连接并正常工作的USB设备，策略变更不会立即生效。要强制禁用当前已连接的设备，需要使用WMI或PnP设备管理接口。下面这段脚本会遍历所有USB大容量存储设备并直接禁用：

$usbClassGuid = "{53f56307-b6bf-11d0-94f2-00a0c91efb8b}"
# 使用WMI查询所有USB存储设备
$devices = Get-WmiObject Win32_PnPEntity | Where-Object { $_.ClassGuid -eq $usbClassGuid }
foreach ($device in $devices) {
    # 禁用设备
    $device.Disable() | Out-Null
    Write-Output "已禁用设备: $($device.Name)"
}

这段代码会立即切断所有USB存储设备的连接，效果等同于在设备管理器中右键禁用。如果需要恢复，将Disable方法替换为Enable即可。更精细的控制可以通过SetupAPI实现，PowerShell调用P/Invoke操作底层API，但上述WMI方法已经足够满足绝大多数管理需求。

实际运维中经常需要临时开放USB权限，比如IT人员需要拷贝日志或部署补丁。手动修改注册表再刷新策略效率太低，可以封装成带参数切换的函数：

function Set-USBStoragePolicy {
    param(
        [Parameter(Mandatory=$true)]
        [ValidateSet("Block", "Allow", "WhiteList")]
        [string]$Mode,
        [string[]]$AllowedDeviceIDs
    )
    
    $regPath = "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions"
    $denyPath = "$regPath\DenyDeviceClasses"
    $allowPath = "$regPath\AllowDeviceIDs"
    $usbClassGuid = "{53f56307-b6bf-11d0-94f2-00a0c91efb8b}"
    
    # 确保基础路径存在
    if (-not (Test-Path $regPath)) {
        New-Item -Path $regPath -Force | Out-Null
    }
    
    switch ($Mode) {
        "Block" {
            # 清除白名单
            if (Test-Path $allowPath) { Remove-Item -Path $allowPath -Recurse -Force }
            # 创建阻止类别
            if (-not (Test-Path $denyPath)) { New-Item -Path $denyPath -Force | Out-Null }
            Set-ItemProperty -Path $denyPath -Name "1" -Value $usbClassGuid -Type String
            Set-ItemProperty -Path $regPath -Name "DenyUnspecified" -Value 0 -Type DWord
        }
        "Allow" {
            # 移除阻止类别
            if (Test-Path $denyPath) { Remove-Item -Path $denyPath -Recurse -Force }
            Set-ItemProperty -Path $regPath -Name "DenyUnspecified" -Value 0 -Type DWord
        }
        "WhiteList" {
            # 清除旧白名单
            if (Test-Path $allowPath) { Remove-Item -Path $allowPath -Recurse -Force }
            if (-not (Test-Path $allowPath)) { New-Item -Path $allowPath -Force | Out-Null }
            # 添加允许的设备ID
            for ($i = 0; $i -lt $AllowedDeviceIDs.Count; $i++) {
                Set-ItemProperty -Path $allowPath -Name "$($i+1)" -Value $AllowedDeviceIDs[$i] -Type String
            }
            # 确保类别阻止生效
            if (-not (Test-Path $denyPath)) { New-Item -Path $denyPath -Force | Out-Null }
            Set-ItemProperty -Path $denyPath -Name "1" -Value $usbClassGuid -Type String
            Set-ItemProperty -Path $regPath -Name "DenyUnspecified" -Value 0 -Type DWord
        }
    }
    
    gpupdate /force
    Write-Output "USB存储策略已切换为: $Mode"
}

使用方式非常简单：Set-USBStoragePolicy -Mode Block 立即阻止所有USB存储；Set-USBStoragePolicy -Mode Allow 恢复允许；Set-USBStoragePolicy -Mode WhiteList -AllowedDeviceIDs "USB\VID_0781&PID_5591" 只允许指定设备。这个函数可以直接部署到所有域计算机的启动脚本中，或者通过远程PowerShell批量执行。

某些场景需要工作时间禁止USB、非工作时间自动开放，比如防止员工在工作时段拷贝数据，但允许夜间的自动备份作业使用USB硬盘。可以创建两个计划任务，分别执行阻止和允许脚本：

# 创建工作时间禁止USB的任务（每天8:00执行）
$action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-Command `"Set-USBStoragePolicy -Mode Block`""
$trigger = New-ScheduledTaskTrigger -Daily -At "08:00"
Register-ScheduledTask -TaskName "BlockUSB" -Action $action -Trigger $trigger -RunLevel Highest -Force

# 创建非工作时间允许USB的任务（每天18:00执行）
$action2 = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-Command `"Set-USBStoragePolicy -Mode Allow`""
$trigger2 = New-ScheduledTaskTrigger -Daily -At "18:00"
Register-ScheduledTask -TaskName "AllowUSB" -Action $action2 -Trigger $trigger2 -RunLevel Highest -Force

这两个任务都需要以最高权限运行，因为修改注册表HKLM分支需要管理员权限。如果计算机加入了域，建议通过组策略首选项部署计划任务，这样可以在整个域范围内统一管理。

限制USB访问的同时，通常还需要记录谁在什么时候尝试插入USB设备。Windows事件日志中的“Microsoft-Windows-DriverFrameworks-UserMode/Operational”日志会记录设备连接事件，事件ID 2003表示设备安装成功，2004表示设备安装失败。通过PowerShell可以集中收集这些日志：

# 查询最近24小时USB存储设备相关事件
$startTime = (Get-Date).AddDays(-1)
Get-WinEvent -LogName "Microsoft-Windows-DriverFrameworks-UserMode/Operational" |
    Where-Object { $_.TimeCreated -ge $startTime -and $_.Id -in @(2003, 2004) } |
    ForEach-Object {
        [PSCustomObject]@{
            Time = $_.TimeCreated
            EventID = $_.Id
            Message = $_.Message
        }
    } | Export-Csv -Path "C:\Logs\USB_Audit.csv" -NoTypeInformation -Append

更详细的审计需要启用“设备安装”相关的高级审核策略。在secpol.msc中，导航到“高级审核策略配置→详细跟踪→审核即插即用活动”，启用成功和失败审核。这样每次设备安装尝试都会在安全日志中留下记录，包含设备类别GUID、硬件ID和用户信息。

USB集线器、USB键盘鼠标等非存储设备不受上述策略影响，因为它们的设备类别GUID不同。但某些复合设备（比如带USB Hub功能的显示器）可能会被误伤，需要单独添加到AllowDeviceIDs。另外，通过修改注册表实现的策略在Windows更新或策略刷新后可能被覆盖，建议将脚本部署为组策略启动脚本或登录脚本，确保持续生效。如果计算机脱离了域环境，本地管理员可以手动删除这些注册表项恢复USB功能，因此对于高安全需求的环境，还需要配合BIOS层面的USB端口禁用或物理封堵。还有一个值得注意的细节：Windows To Go工作区使用的USB设备被视为固定磁盘而非可移动存储，其设备类别GUID不同，需要单独处理。

单纯的USB访问控制解决了“能不能用”的问题，但没有解决“数据泄露后怎么办”的问题。建议同时启用BitLocker To Go策略，要求所有写入USB存储设备的数据必须加密。通过组策略“计算机配置→管理模板→Windows组件→BitLocker驱动器加密→可移动数据驱动器”，可以强制要求可移动驱动器使用BitLocker保护，并拒绝写入未加密的驱动器。PowerShell可以辅助查询USB设备的BitLocker状态：

Get-BitLockerVolume | Where-Object { $_.VolumeType -eq "Removable" } |
    Select-Object MountPoint, ProtectionStatus, EncryptionPercentage

将USB访问限制与加密策略结合，即使攻击者通过社会工程学手段获得了白名单USB设备，数据仍然是加密的。这是纵深防御的典型实践。

通过PowerShell管理USB存储设备限制，本质上是对Windows设备安装策略的自动化封装。相比第三方端点安全软件，这种方法零额外成本、无需安装客户端、与Windows无缝集成，且可以通过组策略或配置管理工具大规模部署。掌握上述技术后，系统管理员可以在几分钟内为整个组织建立USB存储设备管控体系，并具备实时切换和审计能力。