2012年6月22日
2012年6月7日
禁止員工使用 USB 外接式儲存設備
一、在 Windows Server 2000 下
登錄檔如下
Enable USB
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\usbstor]
"Start"=dword:00000003
Disable USB
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\usbstor]
"Start"=dword:00000004
我們可寫成一 reg檔讓user自動執行，可是每次執行都會跑出詢問視窗實在是很討厭
可另外編寫一 bat 檔
ex: regedit -s \\192.168.1.1\usb$\disable_usb.reg
放在 GPO 裡的 電腦設定\windows設定\指令碼\啟動 去執行
此方式雖然可以讓 Client 無法安裝隨身碟,
但User 還是可以利用 .reg 的方式修改機碼.
可開啟群組原則/ [電腦設定] / [Windows設定] / [安全性設定] / [登入] / 右鍵 [新增機碼]
指定要控管的機碼後，即可編輯[安全性設定]加入 DomainAdmin 群組後，即可讓user無法修改機碼
設定USB 為唯讀狀態
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies]
"WriteProtect"=dword:00000001