企业内网数据泄露的重灾区不是网络边界，而是USB接口。传统组策略（gpedit.msc → 可移动存储访问）只能做粗粒度开关，无法按设备、按用户、按时间维度授权，且容易通过注册表或PE系统绕过。本文记录一套基于迪康终端安全管理系统的落地方案。
1. 管控原理
与工作在应用层的管控工具不同，该系统的策略引擎位于驱动层。设备接入时，在操作系统完成设备枚举（即设备被系统"认出"）之前，策略已匹配并下发处置动作：
plain
U盘插入 → 驱动层捕获PnP事件 → 读取设备硬件标识
→ 匹配管控策略（允许/只读/只写/禁止）
→ 放行 / 只读挂载 / 写保护 / 阻断+弹窗提示关键：绕过注册表、组策略修改均无效，因为决策点发生在更底层。
2. 设备标识与授权模型
-
每块U盘绑定唯一身份标识（硬件标识 + 软件标识），非单纯依赖卷序列号（可伪造）；
-
授权维度：按用户 / 按部门 / 按时间段，支持到期自动回收权限；
-
未备案U盘统一走"禁止"或"只读"默认策略。
3. 加密U盘机制
外发场景启用加密U盘功能：文件以密文写入，外部打开需授权+密码。设备丢失或人员离职，密文不可解。
4. 审计与离线终端
-
全量记录：插拔事件、拷贝文件清单、操作人、时间戳；
-
终端离线期间策略本地生效，联网后日志自动回传，不丢审计数据；
-
支持 Windows / 信创 / Linux / macOS / Android 统一策略下发。
5. 部署建议（灰度）
先以"仅审计不拦截"模式运行7~14天，收集各部门真实U盘使用画像，再分部门下发差异化策略。实测这一步能避免90%的业务冲突工单。