企业需在新组装电脑上分两步禁用USB存储设备：先在BIOS中禁用USB Storage Support、USB 2.0 Controller和USB 3.0/xHCI Mode三项，确保U盘无反应但键鼠正常；再通过组策略或注册表（设USBSTOR的Start值为4）在Windows层强化管控，并用设备管理器验证前板USB供电及HID设备状态。
企业需要在新组装的电脑上预设USB接口禁用策略，防止员工擅自接入U盘拷贝资料或引入病毒，同时保留键盘鼠标等必要外设功能。
BIOS层面硬件级禁用（适合批量预装）
新组装电脑尚未进入Windows系统，此时直接在固件层关闭USB控制器，最彻底且无法被系统内操作绕过。
开机时反复按Del键（部分品牌为F2/F10/ESC）进入BIOS/UEFI界面。
使用方向键切换到“Advanced”或“Integrated Peripherals”选项卡，不同主板厂商命名略有差异，常见路径为：Advanced → USB Configuration 或 Chipset → South Bridge Configuration。
找到“USB Storage Support”“USB 2.0 Controller”“USB 3.0/xHCI Mode”三项，【必须全部设为Disabled】——仅关其中一项，U盘仍可能通过另一协议识别。
按F10保存退出，系统自动重启。此时插入U盘、移动硬盘均无反应，但USB键鼠仍可正常使用（因BIOS不控制HID类设备）。
Windows系统层精准管控（组装后首次进系统必做）
BIOS设置仅防U盘，但无法区分设备类型；需在Windows中补上细粒度策略，确保键盘鼠标不受影响。
方法一：组策略强制拦截存储类设备
按Win+R输入gpedit.msc回车→依次展开“计算机配置→管理模板→系统→可移动存储访问”→双击“所有可移动存储类：拒绝所有权限”→勾选“已启用”→确定。
方法二：注册表深度屏蔽驱动
Win+R输入regedit回车→定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR→双击右侧Start值→将数值数据改为【4】→确定。此操作禁用usbstor.sys驱动，重启后生效。
注意：组策略设置无需重启立即生效，但注册表修改必须重启才起作用；两者叠加使用，防绕过能力更强。
设备管理器临时验证与微调
完成上述两步后，需快速验证是否误禁关键外设，并对前板USB口单独处理。
第一步：右键“此电脑”→“管理”→“设备管理器”→展开“通用串行总线控制器”。
第二步：查找含“USB Root Hub”字样的条目，逐个右键→“属性”→“电源管理”→取消勾选“允许计算机关闭此设备以节约电源”。【这一步防止前板USB口因节能策略意外断电】
第三步：展开“人体学输入设备”，确认“HID-compliant keyboard”和“HID-compliant mouse”状态为正常，无黄色感叹号。
第四步：将U盘插入机箱前面板USB口，观察设备管理器是否有新设备提示——若无任何反应，说明禁用成功；若有黄色感叹号，返回BIOS检查USB 2.0/3.0是否全部关闭。
