WindowsServer安全组策略配置禁止可移动存储执行

Windows Server 环境中，可移动存储设备（如 U 盘、移动硬盘、手机 MTP 模式）往往是病毒入侵和数据泄露的主要突破口。仅仅通过修改注册表或依赖用户自觉是不够的，最彻底且易于集中管理的手段是通过组策略直接禁止可移动存储设备上的可执行文件运行。这并非简单的盘符隐藏，而是从文件系统层面拦截二进制文件的执行请求。

要实现这一目标，核心思路是利用 AppLocker 或软件限制策略。对于现代 Windows Server（2012 R2 及以上版本），AppLocker 是首选，因为它提供了更精细的控制，且微软已逐渐弃用旧版的“软件限制策略”。我们需要创建一个规则，明确拒绝所有可移动存储设备路径下的可执行文件启动。

打开“组策略管理控制台”，找到针对目标服务器或组织单元的 GPO 进行编辑。依次展开“计算机配置” -> “安全设置” -> “应用程序控制策略” -> “AppLocker”。首先要确保“应用程序标识服务”在目标服务器上设置为自动运行，否则规则不会生效。

在 AppLocker 下，右键点击“可执行规则”，选择“创建新规则”。在“权限”步骤选择“拒绝”，用户或组保持默认的“Everyone”。在“条件”步骤，选择“路径”。这里的关键在于路径的写法。可移动存储通常挂载在驱动器盘符下，但盘符不固定，因此不能直接写死如 D:\*。我们需要利用环境变量或通配符来覆盖所有可能的可移动驱动器。

方法一，使用注册表变量。Windows 通过 "RemovableMedia" 变量来指代可移动存储。在 AppLocker 路径规则中，你可以直接输入 "%RemovableMedia%" 作为路径前缀。但为了更精确，建议使用 "%RemovableMedia%\*\*"，这代表可移动存储根目录下所有子文件夹及文件。如果要完全禁止，路径应设为 "%RemovableMedia%\*"。然而，"%RemovableMedia%" 在某些旧版系统或特定配置下可能解析不稳定。

方法二，也是更稳妥的方法，利用“基于路径的规则”结合通配符。由于 Windows 通常从 A: 到 Z: 分配盘符，我们可以创建一条拒绝规则，路径填写为 "?:\*"。这里的 "?" 是单字符通配符，代表任意一个盘符。这条规则会禁止所有盘符根目录下任何文件的执行。但这样做会误伤本地固定硬盘。因此，我们需要结合“例外”规则，或者更精准地，利用 AppLocker 的“发布者”规则作为辅助，但纯路径拦截最干净的做法是：先创建一条拒绝所有可移动盘符的规则，再创建允许本地硬盘的规则。不过 AppLocker 默认是“允许”优先于“拒绝”，除非显式设置了拒绝规则。最直接的办法是，不创建全局拒绝，而是针对可移动存储的典型文件系统特征下手。

更高级的配置是结合组策略的“文件系统”安全设置。在“计算机配置” -> “安全设置” -> “文件系统”中，你可以对特定路径设置 NTFS 权限。但这里我们聚焦于 AppLocker 的进阶用法。回到 AppLocker，创建拒绝规则时，路径条件可以写为：

%HOT%

但 "%HOT%" 并非系统原生变量。实际上，在 AppLocker 路径中，你可以使用 "[Removable]" 这种驱动器类型标识吗？不行。AppLocker 的路径规则只认盘符和环境变量。所以，最有效的实战手段是：

在 AppLocker 的“可执行规则”上右键，选择“创建默认规则”。这会自动生成三条规则：允许所有位于“Program Files”下的文件、允许所有位于“Windows”文件夹下的文件，以及允许 Administrators 组运行所有文件。这是安全的基准线，确保系统本身和受信任路径不受影响。

再次右键“创建新规则”，权限选择“拒绝”，用户选择“Everyone”。条件选择“路径”，输入以下内容：

%RemovableMedia%\*

点击确定。这条规则会拦截任何试图从被系统识别为可移动存储的设备上启动的 .exe 和 .com 文件。但这还不够，因为恶意软件常以 .dll 形式加载，或者通过脚本启动。

在 AppLocker 中，你还需要对“脚本规则”和“DLL 规则”创建类似的拒绝规则。右键“脚本规则”，创建新规则，拒绝 Everyone，路径同样设为 "%RemovableMedia%\*"。注意，启用 DLL 规则集会显著增加系统审核负担，因为每个 DLL 加载都要检查。如果仅为了防 U 盘病毒，建议只启用可执行规则和脚本规则，DLL 规则集保持默认不强制，除非有极高的安全需求。

对于脚本规则，路径条件中的通配符要覆盖 .ps1、.vbs、.bat、.cmd、.js 等。AppLocker 的脚本规则默认就包含这些扩展名。

规则创建后，必须确保“应用程序标识服务”正在运行。在目标服务器的 PowerShell 中执行：

Set-Service AppIDSvc -StartupType Automatic
Start-Service AppIDSvc

然后运行 "gpupdate /force" 刷新策略。可以通过 "Get-AppLockerPolicy -Effective | fl" 查看合并后的策略是否包含你的拒绝规则。

常见问题：规则未生效。首先检查 GPO 是否链接到了正确的 OU，且未被“强制”或“阻止继承”干扰。其次，确认可移动存储的盘符是否真的被系统归类为“可移动”。有些#某些 U 盘可能被识别为“本地磁盘”，这时 "%RemovableMedia%" 变量将无法覆盖。对于这种情况，需要手动添加针对该盘符的路径规则，或者通过硬件 ID 限制，但这超出了组策略的范畴，属于设备安装限制。

如果服务器是 Windows Server 2008 R2 或更早，没有 AppLocker，则使用“软件限制策略”。路径：“计算机配置” -> “安全设置” -> “软件限制策略”。首次使用需右键新建策略。在“其他规则”中，新建路径规则。路径填写 "?:\*"，安全级别设为“不允许”。但如前所述，这会禁止所有盘符。为了区分，软件限制策略支持“注册表路径”规则。你可以创建一条注册表路径规则，指向 "HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\USBSTOR"，但这仅能禁止 USB 存储设备驱动，而非执行文件。所以纯路径拦截在旧策略中很难完美区分本地和可移动磁盘。

一种折中方案是，通过组策略首选项，在用户登录时运行一个脚本来动态识别可移动磁盘，并修改其盘符上的 NTFS 权限，拒绝“执行文件”权限。这比 AppLocker 更底层，但维护复杂。

仅仅禁止执行还不够，因为数据仍可被复制。最坚固的配置是组合拳：先用 AppLocker 禁止执行，再通过设备安装限制禁止写入或完全禁止可移动存储。在同一个 GPO 中，进入“计算机配置” -> “管理模板” -> “系统” -> “设备安装” -> “设备安装限制”。启用“禁止安装可移动设备”，这会直接让系统不加载驱动。但这对生产环境可能过于严厉。更温和的做法是，在“设备安装限制”中，允许安装但通过“可移动存储访问”策略（位于“系统” -> “可移动存储访问”）来禁止“可移动磁盘：拒绝执行访问”。

在“可移动存储访问”中，有专门的“可移动磁盘：拒绝执行访问”策略。启用后，任何试图从可移动磁盘运行程序的操作都会被拦截。这实际上是比 AppLocker 更简单直接的方案，因为它不依赖路径变量，而是由系统内核根据设备类型直接拦截。强烈建议优先测试此策略。如果此策略已满足需求，甚至无需配置复杂的 AppLocker 规则。

但要注意，“可移动磁盘：拒绝执行访问”仅针对被正确识别为“可移动”的媒体。对于识别为“本地磁盘”的 U 盘无效。因此，终极方案是将“可移动存储访问”策略与 AppLocker 的 "%RemovableMedia%" 规则同时部署，形成双保险。

安全策略部署后，必须验证有效性。在 AppLocker 中，可以配置“仅审核”模式来观察一段时间。在 AppLocker 属性中，将“可执行规则”的强制模式改为“仅审核”。事件查看器中，在“应用程序和服务日志” -> “Microsoft” -> “Windows” -> “AppLocker”下，会记录本应被阻止的事件。确认规则无误后，再切换回“强制规则”。

对于合规性要求，可以通过 PowerShell 定期导出有效策略：

$policy = Get-AppLockerPolicy -Effective
$policy.RuleCollections | ForEach-Object { $_.Rule | Export-Csv -Path "C:\AppLockerAudit.csv" }

这能生成详细的规则清单，供审计人员检查。

总结来说，禁止可移动存储执行并非单一动作，而是需要根据服务器操作系统版本、U 盘识别行为以及管理粒度，在 AppLocker 路径拒绝、可移动存储访问策略和 NTFS 权限之间做出组合选择。最推荐的做法是：优先启用“可移动磁盘：拒绝执行访问”管理模板策略，并辅以 AppLocker 的 "%RemovableMedia%\*" 拒绝规则，同时确保 Application Identity 服务运行。这样既能覆盖绝大多数场景，又保持了管理的简洁性。