如何使用 GiliSoft USB Lock

阻止 USB 存储的读取和写入

1. 打开存储控制页面

   登录 USB Lock 并打开 Control Center > USB & CD Lock。请检查 Trusted Devices White-list ，在测试默认阻止规则之前先了解获准设备的例外权限。

2. 启用两项 USB 磁盘限制

   选择 Disable Reading USB Disk 和 Disable Writing to USB Disk。请保持 Block Non-System Drives 不变，除非确实需要扩大存储限制范围。按已安装版本显示的提示进行确认。

3. 重新连接并测试未获批准的存储设备

   使用未获白名单批准、可用于测试的存储设备。尝试打开示例文件并保存一个新示例文件；两项操作均应符合所配置的限制。请单独测试获准设备，不要假定所有磁盘都应被阻止。

图中的 USB 磁盘读取和写入限制均未选中，因此截图仅说明控件位置，并不代表已启用读写阻止。请参阅 阻止 USB 存储设备 ，了解该特定场景。

允许 USB 读取，但阻止写入

1. 选择仅限制写入的选项

   打开 Control Center > USB & CD Lock。选择 Disable Writing to USB Disk ，并保持 Disable Reading USB Disk 未选中。

2. 检查存储例外并重新连接

   检查所有相关 Trusted Devices White-list 条目的权限，然后重新连接测试设备。保持无关的手机、光盘介质和网络控制不变。

3. 分别测试读取和写入

   从测试存储设备打开示例文件，再尝试将一个新示例文件从电脑复制到该设备。读取应正常进行，写入则应受到限制。能够读取文件并不表示仅限制写入的规则失效。

请通过 USB & CD Lock 截图 定位这两个独立选项。请阅读 防止将文件复制到 USB 存储设备 ，了解电脑向 USB 设备传输的场景。

允许获准的 USB 存储设备

1. 识别获准的实际设备

   连接已审核的公司存储设备。打开 USB & CD Lock ，然后选择 Add ，其所在位置为 Trusted Devices White-list.

2. 检查设备和权限

   在 Select USB Drive，选择目标 USB Drive，检查 Permission 和 Label name，然后选择以下按钮确认： OK。示意图显示 Read - Write 条目；请在已安装版本提供的权限中选择符合策略的一项。

3. 比较获准和未知存储设备

   重新连接两个设备，在相同默认规则下测试实际文件读取和写入。重新连接后检查已保存的条目；不要仅因为卷标相同就批准陌生设备。

使用 导出和导入存储白名单 ，以复用列表。请参阅 USB 白名单操作教程 ，了解多台电脑的设置方法。

使用计算机取证模式

1. 在不连接源介质的情况下准备检查电脑

   保持源 USB 设备断开，记录初始策略，并为复制的文件和报告准备独立的目标位置。首次测试请使用可用于测试的存储设备。

2. 启用并检查只读配置

   打开 USB & CD Lock ，并启用 Computer forensics mode。检查目标 USB 设备是否允许读取且禁止写入，同时考虑受信任设备权限的影响。

3. 连接源介质前验证限制

   从测试设备读取示例文件并复制到独立目标位置，再尝试向该设备写入新测试文件。如果仍可写入，请停止操作并修正配置，然后再检查源介质。

此模式显示在 存储控制截图中。请参照 只读检查指南 记录设备、测试写入限制，并将检查输出保存在源设备之外。这是本地软件策略，并不代表通用硬件写保护，也不声称内置取证哈希功能。

导出和导入存储白名单

1. 检查第一台电脑上的列表

   在以下位置添加并测试获准设备： Trusted Devices White-list。准备复用列表前，请移除过期条目。

2. 导出和导入存储列表

   选择 Export 在 USB & CD Lock，安全保存导出的列表，然后在目标电脑上使用 Import 。检查导入后的设备条目和权限。

3. 单独配置目标电脑的限制

   为该电脑设置读写规则、手机和介质限制、管理员安全选项以及所需的 USB Ethernet 例外。导入存储列表 不等于完整策略备份 ，也不会建立集中管理服务。

4. 重复测试获准和未知设备

   使用目标电脑上的实际使用账户测试设备。在继续设置另一台电脑前，验证读取、写入和管理员恢复途径。

请参阅 完整的多电脑白名单指南.

仅允许获准的 USB 网络适配器

1. 打开专用 USB 网络页面

   打开 Control Center > USB Ethernet Lock ，需使用提供此功能的已安装版本。准备首次测试时，请保留可用的管理连接。

2. 先添加获准适配器，再启用阻止

   连接已审核的适配器，然后选择 Add ，其所在位置为 USB Ethernet Whitelist。在 Select USB Ethernet中选择目标适配器，并用以下按钮确认： OK.

3. 检查记录的设备标识并启用规则

   检查 USB Ethernet Name 和 USB Ethernet ID 在列表中的记录，然后选择 Disable USB Ethernet。存储白名单条目并不会同时批准网络适配器。

4. 比较获准和未列入名单的适配器

   重新连接并测试获准的 USB Wi-Fi 或以太网适配器，再测试未列入名单的适配器。检查实际网络连接。使用 Delete 移除过期条目；使用 Clear 时，应确定是要移除整个适配器列表。

策略示意图中的 Disable USB Ethernet 未选中；启用限制时请将其选中。请参阅 USB 网络适配器白名单 ，了解具体流程。

阻止 Android 和 iPhone 数据传输

1. 打开手机数据控制

   登录并打开 Control Center > USB & CD Lock。找到 Disable Android & iPhone，该选项显示在 存储与介质截图中.

2. 启用手机限制

   选择 Disable Android & iPhone ，然后重新连接手机。请将独立的 Disable Mobile USB Tethering 选项设置为符合网络策略的状态，不要将其视为同一项控制。

3. 分别测试文件传输和充电

   在此电脑上尝试正常的手机文件传输或同步流程，并单独观察充电情况。数据访问控制并不是物理 USB 电源开关；传输受到限制时，充电仍可能继续。

阻止手机 USB 网络共享

1. 找到 USB 热点控制

   打开 Control Center > USB & CD Lock 并找到 Disable Mobile USB Tethering。为测试准备备用管理连接。

2. 启用限制并重新连接手机

   选择 Disable Mobile USB Tethering，重新连接手机并尝试平时的 USB 网络共享流程。此功能与手机文件传输相互独立。

3. 检查实际网络路径

   验证手机的 USB 连接无法提供被限制的网络访问。不要将其他活动的 Wi-Fi 或以太网连接误认为 USB 网络共享成功。当该连接重新获准时，仅撤销此设置。

在以下截图中定位此控件： USB & CD Lock 截图.

限制 SD 读卡器

1. 找到读卡器控制

   打开 Control Center > USB & CD Lock ，然后查看 Disable SD Card Reader。更改访问设置前，请关闭存储卡上已打开的文件。

2. 在目标电脑上启用限制

   选择 Disable SD Card Reader。保持 USB 磁盘和其他介质选项不变，除非也需要限制这些通道。

3. 重新连接读卡器并测试存储卡

   使用可用于测试的存储卡和工作中实际使用的读卡器或插槽。检查规则生效时能否打开或传输文件。需要恢复读卡器访问时，清除此项限制并重新测试。

独立的读卡器选项请见 存储与介质截图中.

控制 CD/DVD 读取和刻录

1. 确定光盘介质控制目标

   打开 Control Center > USB & CD Lock ，找到靠近底部的光驱选项。确定电脑应停止读取光盘、刻录光盘，还是两者都停止。

2. 启用对应限制

   选择 Disable Reading DVD/CD 用于限制读取， Disable Burning DVD/CD 用于限制写入；如果两项操作都需停止，则同时启用。仅限制刻录不必禁用读取。

3. 测试实际光驱和应用程序

   使用非重要测试介质、实际光驱和刻录软件。分别验证读取和刻录；不能仅因未放入光盘或光驱不可用，就认定写入限制成功。

这些控件位于 USB & CD Lock 截图中。请阅读 阻止 CD 和 DVD 写入 ，了解这项具体任务。

限制其他外设类别

1. 打开 Devices Lock

   转到 Control Center > Devices Lock。检查此工作站可用的打印机、调制解调器、COM & LPT、红外、蓝牙和 1394 类别。

2. 仅选择需要的设备类别

   启用对应的 Disable 选项，例如 Disable Printer 或 Disable COM & LPT。某类别显示 Device not found ，并不证明已启用且测试过阻止规则。

3. 测试受影响的工作流程和必需外设

   使用实际设备尝试目标操作，然后确认必需输入设备和管理访问仍然可用。撤销时仅清除相应类别限制。手机和光盘介质控制仍在 USB & CD Lock 中。

安装 USB Lock 并更改密码

1. 安装并打开程序

   请使用官方的 USB Lock 下载 ，并以管理员权限完成安装。按程序要求设置管理密码，并由负责策略更改的人员妥善保管。

2. 通过 General > Password 更改密码

   打开 General > Password。输入 New password 和 Confirm password，然后选择 Change Password。满足已安装版本显示的最小长度要求；请检查 Notify to email （视需要而定）。

3. 检查管理和恢复访问

   通过程序的正常流程验证新密码可以登录，并完成 恢复邮箱设置任务。应用大范围设备限制前，请记录初始设置。

设置或更新恢复邮箱

1. 打开密码和邮箱页面

   以管理员身份登录并打开 General > Password。找到独立的 Change Email 区域，位于密码更改控件下方。

2. 更新管理邮箱地址

   评价 Old Email address，输入目标 New Email address，然后选择 Change Email。按照已安装程序的要求完成确认，并确保该邮箱始终可访问。

3. 验证并记录恢复途径

   检查保存的地址，并将恢复说明与管理记录一同保留。不要因为选中了密码更改通知复选框，就认定邮箱地址已经配置。

两个区域都可在以下截图中看到： Password 页面截图.

恢复遗忘的管理员访问凭据

1. 确定受管电脑和恢复邮箱地址

   确认涉及的是哪台电脑上的 USB Lock 安装，并使用此前为其配置的恢复邮箱。如果设备由组织管理，请先咨询负责的管理员。

2. 使用已配置的恢复途径

   按照与该邮箱关联的程序密码恢复流程操作。如果邮箱或恢复途径不可用，请联系 GiliSoft 支持 ，提供版本、电脑和恢复问题信息，不要删除保护文件。

3. 恢复并验证管理访问

   恢复后，通过以下页面更新管理密码和恢复邮箱： General > Password，然后正常登录。更改或恢复设备访问前，请检查相关设备策略。

请参阅 Password 截图 展示的是设置页面，并非独立的恢复对话框操作流程。恢复取决于已配置的途径，并不保证所有遗忘的密码都能重置。

配置密码安全选项

1. 打开 General > Security

   检查密码错误处理选项，以及独立的 USB 磁盘密码对话框选项。图示界面说明，错误输入超过五次后会报警，并临时禁止登录十分钟。

2. 选择密码错误防护措施

   启用符合策略的邮件报警和临时禁止登录选项。确认已配置的管理邮箱，并保留可用的恢复途径；不要将这些密码错误报警与每次设备连接通知混淆。

3. 选择并检查 USB 密码提示

   评价 Auto pop-up the check password dialog box whenever you plug-in USB disk。重新连接测试存储设备，并用已知管理密码检查所选提示行为。不要仅为测试登录禁用而故意锁住生产环境管理员。

此标准版密码提示不同于 企业版按设备临时密码授权.

查看 USB Activity 和访问记录

1. 启用所需的使用情况监控

   打开 Reports & Logs > USB Activity ，并启用 Monitor USB ，适用于需要使用历史记录的情况。请检查 Advanced Settings ，了解您当前版本可用的监控选项。

2. 执行一次小规模、易识别的测试

   重新连接可用于测试的存储设备，执行策略涉及的读取或写入操作。记录测试时间和设备，以便识别相关历史记录。

3. 刷新正确的报告

   使用 Refresh 以刷新 USB Activity。调查获准或被阻止的访问时，请打开独立的 Allow Access 或 Deny Access 条目，它们位于 Reports & Logs 下。

4. 保留可用记录

   使用 Export ，需已启用所需记录功能，并同时保留版本、设备、时间和观察到的访问结果。仅凭日志为空，不能证明设备已被阻止。

Activity White List 并不是存储设备批准列表。 请在以下位置批准存储设备： Trusted Devices White-list ，它位于 USB & CD Lock 中，并将记录与设备实际行为进行比较。

限制网站

1. 打开网站列表

   转到 Control Center > Website Lock。使用 Add ，其所在位置为 Restricting Access to specific Web sites ，通过显示的对话框输入目标网站。

2. 检查并维护条目

   检查列表，并使用电脑上实际使用的浏览器测试目标网站。使用 Delete 移除选中的不需要条目， Clear 仅用于移除整个列表，而 Import 或 Export 用于复用网站列表。

3. 将更广泛的网络控制分开管理

   评价 Restricting changing IP address 和 Disable Network Adapter 应独立设置。如果目标只是限制指定网站或未获批准的 USB 适配器，请保持它们不变，尤其是在技术支持依赖该连接时。

限制程序

1. 打开 Program Lock

   转到 Control Center > Program Lock ，找到 Restricting running specific programs.

2. 添加并测试目标应用程序

   选择 Add，通过显示的对话框登记程序，并尝试其常规启动方式。使用 Delete 处理选中的条目，或使用 Import 和 Export 维护该列表。

3. 单独检查管理工具限制

   该页面还提供 Disable Registry Editor, Disable Task Manger，以及 Disable Remote Desktop Connection。如果维护电脑需要这些工具，不要仅为限制一个普通应用就启用这些限制。

恢复访问或移除例外

1. 确定限制来源

   以管理员身份登录，找到相关的存储、USB Ethernet、手机、光盘介质、网站或程序设置。检查对应白名单，不要清除无关保护。

2. 仅撤销目标规则或条目

   当该类别应恢复工作时，清除指定限制；如果只有某个设备需要访问，则添加已审核的设备例外。需要让设备重新遵循默认规则时，从对应列表移除不再需要的例外。

3. 重新连接并测试所需行为

   按需重复读取、写入或网络测试，并确认其他限制仍有效。如果访问仍被拒绝，请检查独立的 Windows 或终端策略，不要删除 USB Lock 保护文件。

如需管理员签发、绑定单个设备的临时密码，请参阅 企业临时 USB 访问。此流程需要企业定制；更改标准白名单条目并不会自动形成限时授权。

验证获准设备和未知设备

1. 根据默认规则测试未知存储设备

   重新连接未获批准、可用于测试的存储设备，尝试打开示例文件并保存一个新示例文件。将结果与所选读取和写入选项进行比较。

2. 测试获准存储设备和 USB 适配器

   在已审核的存储设备上检查两项操作，包括重新连接和重启后的情况。对于网络规则，请使用实际网络连接比较获准适配器和未列入名单的适配器。

3. 检查每个附加通道和必需外设

   对已限制的手机数据、网络共享、读卡器和光盘介质操作分别测试。确认键盘、鼠标、必需扩展坞和管理连接仍能支持正常工作。

4. 验证管理员恢复途径和记录

   登录并确认可以撤销指定限制。检查相关 USB Activity 或访问记录，在将策略应用到其他电脑前保留设备、时间、设置和结果。