企业出于数据安全考虑，通常需要限制员工使用U盘等可移动存储设备。这里对比三种主流方法的实现方式、管理成本和适用场景，方便IT管理员根据实际情况选择。
方法一：组策略禁用可移动存储（适合域环境）
在域控制器上打开组策略管理器，新建GPO并配置：计算机配置→管理模板→系统→可移动存储访问→【所有可移动存储类：拒绝所有权限】设为已启用。域内计算机在下次策略刷新时（gpupdate /force立即生效）即禁止U盘读写。
优点：集中管理，批量生效，支持例外账户配置。缺点：依赖域环境，没有加入域的电脑无法覆盖。
方法二：修改注册表禁用USB存储驱动
定位到注册表HKLM\SYSTEM\CurrentControlSet\Services\USBSTOR，将Start值从3改为4（禁用驱动）。可以通过域组策略批量下发注册表修改，也可以写批处理脚本逐台执行。
优点：不依赖域，单机也能做，修改简单。缺点：技术用户可以自行改回去，防不住有管理员权限的人。
方法三：终端安全管理软件
如深信服终端检测、360天擎、绿盟等，提供U盘白名单管理（只允许指定SN码的U盘使用）、审计日志、违规告警等功能。管控粒度最细，可区分只读/禁止/允许。
优点：功能最全，有日志审计，支持白名单。缺点：有采购成本，需要安装客户端，部署周期较长。
选型建议
10台以内的小型公司：注册表方法够用；有域环境的中型企业：组策略方案成本最低；数据安全合规要求高的企业：建议采购专业终端管控软件。三种方法也可以叠加使用，形成纵深防御。