注册表修改法禁用USB存储设备：将HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR下的Start值由3改为4，重启后系统彻底不识别U盘，设备管理器无显示，资源管理器无盘符。
要防止电脑里的重要文件被随意拷贝到U盘、通过剪贴板粘贴、拖拽到浏览器上传框或截图外泄，必须在系统底层禁用硬件通道、对数据本身加密、并拦截用户级操作行为，三者缺一不可。
禁用USB存储设备（注册表法）
这一步让Windows彻底“失明”，插入U盘后设备管理器不显示、资源管理器无盘符、连系统日志都不记录——从根源上切断最常用的拷贝路径。
按Win + R打开运行框→ 输入regedit→ 回车确认。
依次展开注册表路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR。
在右侧找到名为Start的DWORD（32位）值，双击→ 将“数值数据”由默认的3改为4→ 点击确定。
关闭注册表编辑器，重启电脑。插入任意U盘验证：若资源管理器未出现新盘符、设备管理器中“磁盘驱动器”和“通用串行总线控制器”下均无对应设备条目，即已生效。
【修改前务必右键导出USBSTOR项备份】——误设为0或1可能导致系统无法识别键盘鼠标，甚至无法启动。
启用BitLocker全盘加密
仅禁用U盘还不够：硬盘一旦被拆下装到其他电脑，所有文件都能直接打开。BitLocker能确保物理介质丢失后，数据仍是一堆无法解析的密文。
右键点击系统盘（通常是C:）→ 选择“启用BitLocker”→ 按向导设置密码或插入USB密钥→ 勾选“加密整个驱动器”→ 点击“开始加密”。
务必勾选“将恢复密钥保存到Microsoft账户”或“另存为文件”，否则忘记密码时【数据将永久不可恢复】。
首次加密耗时较长，建议连接电源、保持电脑唤醒状态，中途不可强制关机或休眠。
部署域智盾实现细粒度防拷贝
这是唯一能同时封堵剪贴板、拖拽、截图、网盘上传、邮件附件等全部高发泄密路径的方案，适合需保留U盘读写但严禁外泄的办公场景。
① 下载安装域智盾客户端，使用管理员账号登录控制台；
② 创建加密策略：勾选需保护的文件类型（如.docx、.xlsx、.pdf、.dwg），启用“禁止复制”“禁止拖拽至桌面/U盘”“禁止剪贴板复制文本”；
③ 配置USB设备白名单：仅允许已登记序列号的加密U盘读写，其余一律拦截并记录日志；
④ 启用屏幕水印与截屏阻断：对打开加密文档的窗口自动叠加动态水印，同时禁用Snipping Tool、微信截图、QQ截图等全部本地截图工具；
⑤ 提交策略并推送到终端——策略下发后，员工打开受保护文件时仍可正常编辑，但复制粘贴、另存为、拖入浏览器上传框等动作全部失效。
