注册表禁用USBSTOR驱动（设Start为4）可彻底屏蔽U盘识别；设WriteProtect为1启用写保护；BitLocker全盘加密防拆机读取；域智盾实现剪贴板、拖拽、截图等行为级精准拦截。

要防止他人通过U盘、剪贴板、拖拽等方式把电脑里的合同、源码、客户资料等敏感文件悄悄拷走，必须绕过表面权限设置，直击系统底层识别逻辑与数据流动路径——禁用设备只是第一步，真正起效的是让复制动作在操作系统内核层就被拦截。

注册表禁用USB存储设备（彻底屏蔽识别）

按 Win + R 打开运行框，输入 regedit → 回车进入注册表编辑器。

依次展开路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR。

在右侧双击 Start 项，将“数值数据”由默认的 3 改为 4 → 点击确定。

关闭注册表编辑器，重启电脑。插入U盘后，设备管理器中不显示USB大容量存储设备，资源管理器无新增盘符，说明系统已完全“失明”——这不是隐藏，是驱动根本不加载。

【修改前务必右键导出该键值备份】，若误设为0或1，可能导致系统启动失败；普通用户无管理员权限时，双击会提示“无法编辑该值”，需先以管理员身份运行regedit。

启用USB写保护模式（保留识别，阻断写入）

方法一：直接定位到 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies。

若该路径不存在，需手动创建：右键 Control → 新建 → 项 → 命名为 StorageDevicePolicies。

选中 StorageDevicePolicies → 右键 → 新建 → DWORD (32位)值 → 命名为 WriteProtect。

双击 WriteProtect，将数值数据设为 1（基数选十进制即可），点击确定。

无需重启，拔插任意U盘即生效：U盘能正常识别、读取文件，但所有复制粘贴、拖入操作均被系统拒绝，资源管理器弹出“媒体受写保护”提示。

【该设置对所有U盘统一生效】，解除时只需把1改回0，否则连你自己的加密工作盘也无法写入。

启用BitLocker全盘加密（防硬盘拆机读取）

第一步：右键点击系统盘（通常是C:）→ 选择“启用BitLocker”。

第二步：勾选“使用密码解锁驱动器”，输入高强度密码；务必点击“将恢复密钥保存到Microsoft账户”或“另存为文件”——漏掉这步等于白设。

第三步：选择“加密整个驱动器”→ 加密模式选“新加密模式”，加密算法选“XTS-AES 256位”→ 点击“开始加密”。

首次加密过程不可中断，耗时取决于磁盘大小和CPU性能；建议连接电源、关闭睡眠，保持电脑唤醒状态。

加密完成后，即使硬盘被拆下装入其他电脑，没有密码或恢复密钥，所有文件均为不可读乱码。

部署域智盾实现细粒度防拷贝（精准拦截行为）

① 下载安装域智盾客户端，使用管理员账号登录控制台。

② 创建加密策略：勾选需保护的文件类型（如 .xlsx、.pdf、.dwg、.sql），启用“禁止复制文本”“禁止拖拽至浏览器/微信/网盘上传框”“禁止剪贴板历史记录”。

③ 配置USB设备白名单：仅允许已登记序列号的加密U盘读写，其余U盘插入即拦截并写入审计日志。

④ 启用屏幕水印与截屏阻断：打开受保护文档时自动叠加动态水印，同时禁用Snipping Tool、QQ截图、微信截图、OBS录屏等全部本地截屏工具。

⑤ 提交策略并推送到终端——策略生效后，员工仍可正常编辑文档，但Ctrl+C/V、右键另存为、拖入邮件附件框等动作全部静默失败，无提示、无弹窗、无残留文件。