统信UOS中USB管控需分场景实施：临时禁用用rmmod usb_storage；永久禁用需黑名单配置+update-initramfs；按端口禁用通过/sys/bus/usb/devices/xxx/authorized控制；白名单则用udev规则匹配vendor/product/serial实现精准授权。

为防止员工通过U盘、移动硬盘等USB存储设备拷贝敏感图纸、客户资料或报价单导致数据泄露，需在统信UOS系统中对USB端口实施精准管控，而不是简单关闭全部USB功能——否则键盘、鼠标、扫描仪等办公必需外设也会失效。

临时禁用USB存储（当前会话生效）

这一步适合安全审计、临时会议等短期场景，操作后立即阻断所有U盘识别，但重启即恢复。

打开终端，执行命令确认usb_storage模块是否正在运行：lsmod | grep usb_storage

若输出中含usb_storage字样，说明模块已加载，执行卸载：【sudo rmmod usb_storage】

再次运行lsmod | grep usb_storage，应无任何输出；此时插入U盘，dmesg | tail -10里不再出现“usb-storage”或“scsi add-single-device”日志。

永久禁用USB存储（重启后仍有效）

该方法从内核加载阶段拦截，适用于财务、研发等高保密岗位的终端批量部署。

创建黑名单配置文件：sudo nano /etc/modprobe.d/usb-storage-blacklist.conf

写入两行内容：

blacklist usb-storage

install usb-storage /bin/false

保存退出后，必须更新initramfs才能让新规则在启动时生效：【sudo update-initramfs -u】

重启系统，再插入U盘，lsmod | grep usb_storage将始终无返回结果。

按物理端口禁用（只封特定USB口）

适用于保留后置USB口给打印机、扫描仪，仅禁用前置面板USB口供员工插拔U盘的混合办公环境。

第一步：插入U盘，执行dmesg | grep -i 'usb.*new device' | tail -1，从输出中提取类似2-1的总线-设备编号

第二步：禁用该端口授权：echo 0 | sudo tee /sys/bus/usb/devices/2-1/authorized

第三步：拔出U盘，更换至同一端口重新插入，系统将完全无响应；换到其他未禁用端口则仍可识别

如需恢复该端口，只需把命令中的0改为1即可。

用udev规则实现白名单管控（只允许指定U盘）

这是企业最实用的方案——既防泄密又保效率，只有登记备案的公司U盘能读写，私人U盘插入即被拦截。

方法一：获取目标U盘唯一标识

插入待授权U盘，执行udevadm info --attribute-walk --name=/dev/sdb | grep -E "(idVendor|idProduct|serial)"（注意将sdb替换为实际设备名）

方法二：编写白名单规则

创建规则文件：sudo nano /etc/udev/rules.d/99-usb-whitelist.rules

写入内容（示例中vendor=0781、product=5583、serial=4C530001150107116165）：

ACTION=="add", SUBSYSTEM=="usb", ATTR{idVendor}=="0781", ATTR{idProduct}=="5583", ATTR{serial}=="4C530001150107116165", ENV{ID_USB_INTERFACES}=="*:080650:*", RUN+="/bin/sh -c 'echo 1 > /sys$devpath/authorized'"

方法三：屏蔽其余所有USB存储设备

在同个文件末尾追加一行通用拦截规则：

ACTION=="add", SUBSYSTEM=="usb", ENV{ID_USB_INTERFACES}=="*:080650:*", RUN+="/bin/sh -c 'echo 0 > /sys$devpath/authorized'"

保存后重载规则：sudo udevadm control --reload-rules && sudo udevadm trigger --subsystem-match=usb