插入後批准USB設備

Question

在Windows上，是否有任何方法在插入後以編程方式批准USB設備，如果它是某種類型的（如可移動驅動器）允許它使用，否則不會？還不允許運行驅動程序，只允許以認可的方式使用設備？

I.E.我們希望允許插入USB驅動器，但不必擔心病毒的安裝。

編輯對不起，我對這個問題的發佈不是很清楚。是的，這是Windows，但我並不擔心自動運行的程序，這當然是關閉的。用戶將無法訪問任何可執行文件，只會從驅動器讀取數據。除了我們允許的內容之外，他們無法訪問任何用戶界面（這是一個Kiosk）。我所關心的是設備驅動程序的運行和安裝軟件（ala U3以及其他插入USB驅動器時自行安裝的USB軟件）。有很多病毒可以通過將USB驅動器插入系統來運行。我們已經將組策略的內容限制到了我們可以達到的水平，但是我找不到一種方法來在不創建基於預裝的USB驅動器的白名單的情況下不允許安裝驅動程序（即。不允許安裝驅動程序）。

Answer 1

如果這是你自己的自助服務應用程序，請確保您的Kiosk的驅動器號A-Z分配。要訪問USB驅動器，您需要一個\ ?? \ Volume {GUID} \ Filename格式的路徑。但是通過將其保留在正常的文件系統之外，您可以抵禦大部分攻擊。

你永遠不會完全安全。正如Raymond Chen指出的那樣，如果你不贊成叉子，這並沒有什麼幫助。 （物理）傷害已經完成。

Answer 2

不可以。您可以使用GPO限制對可移動媒體的訪問，但不能指定可移動媒體上允許的文件類型，或者它們是否可以執行。

編輯：upvoting托馬斯。比我的答案更好。

Answer 3

（既然你擔心病毒，我會假設我們正在談論的Windows。）

有制約這樣的用戶是沒有意義的。確保用戶沒有管理員權限。並安裝最新的病毒掃描程序。

理由：如果你不打算允許讀取文件，那麼允許USB驅動器無用。所以你將允許從USB驅動器讀取文件。但之後有人可能已經通過將其複製到本地硬盤並從那裏運行來安裝病毒。

Answer 4

此外，在Windows上，禁用USB驅動器上的自動播放/自動運行。

使用組策略： http://www.howtogeek.com/howto/windows/disable-autoplay-of-audio-cds-and-usb-drives/

也有在的TweakUI實用程序選項： http://www.microsoft.com/windowsxp/Downloads/powertoys/Xppowertoys.mspx