軟盤已經成為（wéi）塵封的曆史，現如沒使用過 U 盤（pán）的計算機用戶恐怕真的鳳毛麟角了。U 盤以其日漸小巧的體積，快（kuài）速擴張（zhāng）的容量，越來越便宜的（de）價格成（chéng）功的（de）替代了軟（ruǎn）盤，成為主流的移（yí）動（dòng）存儲介質。

　　方便的同時帶來的是巨大的安全隱患。U 盤已經成為除了網絡之外傳（chuán）播（bō）數量最大的病毒（dú）和惡意程序傳播途徑。在不經意的一插之（zhī）間，病毒或者惡意程序就已經感染了您的計算（suàn）機。

　　難道永遠都隻能被動的借助殺毒（dú）軟件來防禦嗎?就像汽車安全技術一樣，Windows 7 除了被動防禦，還提供了主動防禦的技術——限製（zhì）移動存儲上的程序運行。

　　要啟（qǐ）動此功（gōng）能也（yě）非常方便，直接運行 gpedit.msc，打開“本地組策略編（biān）輯器”，找到“計算機配置”，然後展開找到“管理模板”，然後點開“係統”，找到並點擊“可移動（dòng）存（cún）儲訪問”。在右邊會（huì）顯示所有可設置的可移動存（cún）儲訪問相關的策略。

　　U 盤屬於可移動磁盤（pán），因此我們就看看怎樣設置可移動磁（cí）盤的（de）訪問策略。

　　自 Windows Vista 開始（shǐ），係統就已（yǐ）經可以限製可移動磁盤的讀（dú）寫，大家對這個應該已經不陌生了。而且，僅僅限製 U 盤的讀（dú）寫，並不能滿足我們的（de）需求。不能讀自然不會感染病毒，可也失（shī）去了（le） U 盤的意義。不能寫（xiě）可（kě）以防止信息（xī）外流，卻無法防止病毒入侵。

　　我們需要的，是從 Windows 7 開始提（tí）供的新功能，拒絕執行權限。

　　點擊該策略，選擇“已啟用”，即可打開該策略。啟用此策略（luè）設置，將拒（jù）絕對可移動存儲類（lèi）的執行權限。如果禁用或（huò）未配置此策略設置，將允許對此可移動存儲類的執行權限。

　　設置完該策略，我（wǒ）們來運行一下 U 盤上的（de）程序看看。係統（tǒng）直接給出不允（yǔn）許運行的提示：

　　別看這個提示跟 UAC 有點像，但（dàn）卻（què）無法通過改變（biàn）運行帳號來執行。除非策略被更改為允許執（zhí）行權（quán）限。

　　如果設置的（de）是拒絕讀取權限的策略（luè），那麽將無法（fǎ）訪問 U 盤（pán）上的信息。

　　如果設置的是拒絕寫入權限的策略，那麽（me）無法將信息寫入（rù） U 盤。

　　展開來討論一下。對於 CD/DVD 介質，同樣可以如（rú） U 盤一樣（yàng）做出限（xiàn）製（zhì）。防止光盤（pán）自動運（yùn）行傳播（bō）病毒。

　　那麽讀卡器，MP3/MP4，數碼相機甚至移（yí）動電（diàn）話呢?這些都可以通過 USB 接口連接讀寫啊（ā）。在係統裏，這些設備歸入 WPD 類，可以限（xiàn）製其讀取（qǔ）或者寫入。

　　總會非標準的設備存在的吧?對於這種情況，係統同樣也提供了“自定義類”的設置，隻要寫入設備的 GUID，就能限製其讀取（qǔ）和寫入。

　　如果你是企業的管理員，完全沒必要跑（pǎo）到（dào）每台機器上去設置，可（kě）以通過組策略快速的實現策略的實（shí）施。

　　好了，這（zhè）下再也不怕借給同事的 U 盤帶著病（bìng）毒回來了。