做终端安全的项目，最常见的一种"补漏"场景是这样的：U 盘封了、外发审批上了、网盘也拦了，可季度盘账的时候还是发现一批资料流到了外面。追下去会发现，文件根本没经过网络——有人用 U 盘拷的，有人把手机插在电脑上"充电"时拷的，还有人刻了张光盘带走的。
三条通道的共同点是：它们走的是物理接口，不产生文件流，也不经过任何网关，邮件、IM、网盘这些检测点全在它们上游。所以这类问题只能在终端侧解决，而且要解决两件事——让拷贝做不了，和让做过的拷贝查得到。
这篇按配置顺序，把外设管控这一层拆开讲。这套配置在迪康端点安全一体化管理系统（迪康大成软件）里属于终端安全策略的一类，和文档加密、外发管控共用同一个控制台。
一、先看清这张策略面板管的是什么
很多人以为"外设管控"就是禁 U 盘，实际打开策略面板会发现，它管的是一整排物理接口：光驱、蓝牙、红外、串口、并口、1394、PCMCIA、无线网卡、USB 无线网卡（含随身 WiFi）、USB 网络共享、USB 对拷线。
图 1 一张面板管住所有物理接口：刻录、便携设备、蓝牙、红外、串并口、1394、无线网卡、USB 网络共享与对拷线逐项可禁，底部还有无线网络白名单
这张面板的设计逻辑是"默认关、按需开"：绝大多数企业用不到串口、并口、红外、1394，直接禁掉没有副作用；蓝牙留一个开关，禁用的同时可以放行蓝牙键盘鼠标，避免影响无线外设；USB 网络共享和 USB 对拷线这两项最容易被忽略，它们能让两台电脑在没有任何网络配置的情况下互传文件，等于绕开了全部网络侧管控。
面板最下面还有一块无线网络管理，工作模式可以选"仅允许连接以下网络"，下面按 SSID 加 MAC 地址做白名单，支持通配符。这一项解决的是另一个常见问题：员工用手机开热点，把办公电脑接到自己网络上，或者带一台随身 WiFi 进来，内网边界就漏了。
二、U 盘：不要一禁了事，分四档
最粗暴的配置是"禁用所有 U 盘"。上线一周，财务、行政、车间的投诉就会堆满工单——报销单要拷、设备参数要拷、会议材料要拷，全都走不通。
更实用的是按用途分档。U 盘策略里有四档默认处理方式：
处理方式员工能做什么典型场景允许使用读和写都可以确实需要频繁带出的岗位，配合申请审批仅读取只能从 U 盘往电脑里读，不能往里写大多数办公终端的默认档仅写入只能往里写，不能读单向收集材料（如车间报工、巡检记录）禁止使用插入后直接不可用高密级终端、研发与财务关键岗位
多数企业的落点在第一档和第二档之间：日常给"仅读取"，员工要看外部资料没问题，但拷不走东西；确需往外带的，走申请。这个组合的好处是把"防拷贝"和"不影响业务"分开了——限制的是方向，不是设备。
面板上还有几个细节开关，实际项目里很好用：
允许提交 U 盘使用申请：被拦截时给员工一条合规出路，而不是让他去找破解工具；
写入 U 盘需要提交申请：只卡写入方向，读取不拦；
忽略小于 1G 的 U 盘：把加密狗、某些设备的随机小容量存储排除掉，减少误拦；
以下 USB 存储特殊处理：按标识给个别设备单独定策略，比如某台检测仪自带的存储。
图 2 四档处理方式在同一处切换，右侧可按 U 盘标识单独指定处理方式，底部是加密 U 盘白名单
三、白名单：只认公司发的盘
分档解决的是"能不能拷"，白名单解决的是"用谁的盘拷"。
策略里有一块"允许使用以下加密 U 盘"，按软件标识登记，配上 U 盘昵称和描述。登记过的加密盘插上就能用，没登记的一律按默认档处理。这个机制的价值在于：即使员工把默认档开到"允许使用"，能被认的也只有公司配发的那几只盘，个人 U 盘插上去照样拦。
拦截时的终端提示做得比较完整：弹窗告诉员工"USB 存储被安全策略禁止使用"，同时列出盘符、卷标、软件序列号、硬件序列号，并给一个"申请使用"按钮。员工点申请，管理端收到审批，通过后这只盘才被放行。
图 3 拦截弹窗：禁用原因、盘符卷标、软硬件序列号都写在界面上，"申请使用"是唯一的合规出口
这里有个工程上的细节值得说：判断依据用的是序列号而不是盘符。盘符会变，U 盘换个口就是另一个盘符；序列号跟着硬件走，把一只盘拷给另一个人，日志里照样能对上是同一只。
四、三份日志：插拔、拷贝、刻录各记一份
管控解决"做不了"，审计解决"查得到"。迪康端点安全一体化管理系统的本地审计模块把这三份日志分成了三个页签——U 盘使用、USB 文件操作、刻录操作，分工很明确。
U 盘使用日志记的是"插拔"这个动作：客户端、用户、所属部门、挂载点、卷标、容量、标识、序列号、USB 实例、磁盘驱动器实例、昵称、描述、动作（允许使用或禁止使用）、审计时间。它回答的问题是：谁在什么时候，把哪只盘插到了哪台机器上，系统放行了还是拦了。
图 4 插拔记录：盘符、卷标、容量、标识、序列号与动作逐列排开，一眼能看出哪台机器频繁插外盘
USB 文件操作日志记的是"拷了什么"：操作（复制、移动、打开、修改）、源路径、目的路径、U 盘标识、U 盘序列号、USB 实例、磁盘驱动器实例、文件大小、附件、审计时间。它回答的是：这次插盘之后，具体哪些文件被复制到了盘上，从哪个目录出去的。
图 5 拷贝明细：操作类型加源路径与目的路径，等于把"从哪来到哪去"写清楚了
刻录操作日志记的是光盘这条线：文件名、类型（文件或目录）、文件大小、附件、审计时间。刻录这个动作在纸质时代很常见，现在虽然少了，但一旦发生，往往是"整包带走"——一张 DVD 装得下几 G 的资料。
图 6 刻录记录：文件名、类型、大小与时间，配合终端与人员信息形成完整追溯
三份日志一起用，才有意义。真实复盘时的顺序通常是：先在 U 盘使用日志里筛出某台终端、某个时间段的插盘记录，再进 USB 文件操作日志看这次插盘期间复制了哪些文件，最后用刻录日志排除光盘这条线。三份对不上，说明还有别的通道没管住。
五、手机：比 U 盘更隐蔽的那条线
手机插电脑这件事，难在它看起来完全无害。员工把数据线往 USB 口一插，界面弹出来的是"正在充电"，实际上手机已经作为一个 MTP 或存储设备挂载上去了，拖拽文件就能拷。
管控点其实在上面的策略面板里已经覆盖：禁用便携式设备、禁用 USB 网络共享、禁用 USB 对拷线。再加上禁用蓝牙设备（保留蓝牙键鼠放行），手机这条通道基本就剩下"能充电、不能传文件"。
需要提醒的是：手机厂商的驱动和助手软件经常自带"文件传输"入口，某些安卓机型插上就自动弹出传输选项。策略层面禁的是设备类型，不是某个软件，所以即便助手软件装了，设备本身也被拦在外设层。
六、落地顺序：别一次全禁
这套配置不建议一次全开，尤其不要第一天就"全部禁止"。比较稳的顺序：
一、先只上"仅读取"档，覆盖全员。员工能看不能拷，投诉量最小。
二、跑一周后上加密 U 盘白名单。把需要外带的岗位逐一登记，配合申请审批。
三、日志先放开看一周。U 盘使用日志和 USB 文件操作日志不用来追责，先用来摸清真实的插盘频率和拷贝规模，再决定哪些部门要收紧。
四、再做手机和刻录这两条线。禁用便携式设备和刻录，同时保留"允许提交刻录申请"，给行政、财务留出口。
五、最后收无线。无线网络白名单涉及办公网络环境，要和 IT 网络组一起确认 SSID 与 MAC，避免把正常办公的无线投屏、无线打印机拦掉。
最后
外设管控这件事，技术含量不在"禁"字上，在三个判断：哪些设备该禁、哪些该分档、拦下来之后给不给合规出路。禁得太死，员工会想办法绕（比如用手机热点、用私人网盘）；留一条申请通道，反而能把行为收进日志里。
判断一套外设管控是否真的落地，可以问一句：现在能不能查出上周三下午，谁在哪台机器上，把哪些文件拷到了哪只 U 盘。答得出来，这套配置才算有效；答不出来，日志就只是摆设。
这套外设管控与审计能力在迪康端点安全一体化管理系统（迪康大成软件）里属于同一套终端安全策略，策略下发、申请审批、日志检索都在一个控制台完成，落地时不需要再为 U 盘、手机、光盘各搭一套。
