控制 Office 中的 USB 设备

在接触工具之前确定策略

USB 控制工具只能强制执行决策——它无法为您制定决策。在安装任何东西之前，在一页上写下三个简单的答案：哪些设备被阻止（未知的 USB 存储 - 笔式驱动器和无人拥有的外部驱动器），哪些设备保持允许（办公室自己的可信驱动器，加上日常工作所依赖的键盘、打印机和扫描仪），以及当紧急工作需要被阻止的驱动器时谁可以批准例外。

安装服务器并部署代理 - 首先进行试点

Device Control Plus 的工作方式与大多数 ManageEngine 产品类似：PC 上的一个中央服务器或持续运行的服务器，以及每台办公室计算机上的一个小型代理。代理实际上是阻止设备并报告的——控制台只向其发送指令。安装服务器，然后使用控制台部署代理，完全如视频中所示。

块存储，而不是 USB 本身

该视频构建的策略阻止了 USB 存储——可以携带数据的笔式驱动器和外部硬盘驱动器。它不会阻塞 USB 端口本身。这种区别就是整个游戏：键盘、鼠标、打印机和条形码扫描仪是不同的设备类别，并且在未知存储停止时它们仍继续工作。

该工具还支持一条中间路径：按文件类型和文件大小限制传输 - 例如，文档可能会移动，但大型存档和视频文件可能不会。

构建可信设备列表

仅当办公室合法使用的驱动器仍然有效时，阻止所有未知内容才有效。 Device Control Plus 保留受信任的设备列表：仅注册办公室拥有的笔式驱动器，这些驱动器可在办公室电脑上运行，而其他所有驱动器都保持受阻止状态。

为紧急工作保留快速例外路线

紧急工作将会发生 - 客户到达时，他自己的笔式驱动器上有文件，或者演示文稿位于不在受信任列表中的驱动器上。提前决定如何获得批准：谁可以授予临时访问权限、哪个驱动器以及多长时间。在视频的设置中，此例外路由是策略的一部分，而不是事后的想法。

如果没有快速的例外路由，人们就不会停止工作 - 他们会找到解决方法，通常是个人电子邮件和云上传，这些方法会泄漏相同的数据，而根本没有记录。

从第一天开始就开启审计跟踪

每个插件都应该留下记录：哪个用户、在哪台电脑上、插入哪个设备、复制了哪些文件。 Device Control Plus 从控制台报告此情况，并且视频会在设置过程中打开审核跟踪 - 而不是稍后，当事件让您希望它存在时。

定期查看报告。记录本身完成了大部分工作：一旦工作人员知道插件已被记录，未知的驱动器就会悄悄地停止出现。

分组推出并审查政策

一旦试点小组运行干净，就逐个部门扩大部署范围，并在新设备和新员工到来时不断审查受信任列表和例外路线。