五种禁用USB存储方法：一、卸载usb_storage模块（临时）；二、sysfs禁用指定端口（精准）；三、udev规则屏蔽（持久策略）；四、内核参数黑名单（全局不可绕过）；五、BIOS/UEFI关闭USB控制器（物理级隔离）。
一、通过内核模块卸载禁用USB存储功能
该方法通过卸载内核中负责USB存储识别的usb_storage模块，使系统在当前会话中无法识别U盘、移动硬盘等USB Mass Storage类设备。操作即时生效，无需重启，但系统重启后自动恢复，适用于临时性安全管控场景。
1、打开终端，切换至root权限：sudo -i
2、确认usb_storage模块当前是否已加载：lsmod | grep usb_storage
3、若输出包含usb_storage行，则执行卸载命令：rmmod usb_storage
4、验证卸载效果：lsmod | grep usb_storage，应无任何输出
5、插入U盘测试：文件管理器不再识别设备，dmesg | tail -10中不出现“usb-storage”或“scsi add”相关日志
二、通过sysfs接口动态禁用指定USB端口
该方法作用于物理USB控制器节点，可精确控制某一个USB端口（如前置面板）的设备授权状态，不影响其他端口及键盘、鼠标等HID设备运行，适合需保留部分USB功能的内网终端。
1、插入U盘后，执行命令定位对应设备路径：dmesg | grep -i 'usb.*new device' | tail -1
2、从输出中提取总线-设备编号（如“2-1”），该编号即为/sys/bus/usb/devices/下的子目录名
3、禁用该端口的设备接入权限：echo 0 | tee /sys/bus/usb/devices/2-1/authorized
4、验证效果：再次插入U盘至该端口，系统无响应；更换至其他端口则仍可识别（若未同步禁用）
5、如需恢复，执行：echo 1 | tee /sys/bus/usb/devices/2-1/authorized
三、通过udev规则永久屏蔽USB存储设备
该方法在设备发现阶段即拦截USB存储类设备的初始化流程，所有符合匹配条件的设备均无法完成驱动绑定与设备节点创建，具备持久性、策略化特征，适用于内网终端批量部署的安全基线加固。
1、创建udev规则文件：sudo nano /etc/udev/rules.d/99-disable-usb-storage.rules
2、写入以下内容（禁止所有USB存储设备）：SUBSYSTEM=="usb", ATTR{idVendor}=="*", ATTR{idProduct}=="*", ENV{ID_USB_INTERFACES}=="*:080650:*", RUN+="/bin/sh -c 'echo 0 > /sys$devpath/authorized'"
3、或使用更通用的模块拦截方式（推荐）：ACTION=="add", SUBSYSTEM=="usb", ATTR{bDeviceClass}=="00", ATTR{bDeviceSubClass}=="00", ATTR{bDeviceProtocol}=="00", RUN+="/bin/sh -c 'echo 0 > /sys$devpath/authorized'"
4、重载udev规则：sudo udevadm control --reload-rules && sudo udevadm trigger
5、插入U盘验证：/dev/sdX设备节点不生成，ls /sys/class/scsi_host/中无新增host条目
四、通过内核启动参数彻底禁用USB存储支持
该方法在系统启动早期即阻止usb_storage模块被内核加载，属于最底层的禁用机制，对所有USB存储设备具有全局不可绕过性，适用于高敏感内网环境的终端固化配置。
1、编辑GRUB配置文件：sudo nano /etc/default/grub
2、在GRUB_CMDLINE_LINUX行末尾添加参数：usbcore.autosuspend=-1 modprobe.blacklist=usb_storage,uas,ums_realtek
3、更新GRUB引导配置：sudo update-grub（UOS Desktop）或sudo grub2-mkconfig -o /boot/grub2/grub.cfg（UOS Server）
4、重启系统：sudo reboot
5、验证启动后状态：lsmod | grep -E "(usb_storage|uas|ums_realtek)"应完全无输出
五、通过BIOS/UEFI固件级禁用USB控制器
该方法直接关闭主板南桥中的xHCI或EHCI主控制器，使操作系统完全无法感知USB总线存在，不仅禁用U盘，也同时禁用USB键盘、鼠标、网卡等全部USB外设，适用于物理隔离的涉密单机环境。
1、重启计算机，在开机自检阶段反复按Del/F2/F12键进入BIOS/UEFI设置界面
2、导航至“Advanced” → “USB Configuration”或“Integrated Peripherals”菜单
3、将以下选项设置为Disabled：XHCI Hand-off、EHCI Hand-off、USB Legacy Support、USB Controller
4、保存并退出（通常为F10），系统重启
5、验证效果：开机后无USB设备枚举日志，lsusb命令报错“unable to initialize libusb: -99”，且外接USB键盘鼠标完全失灵
