本文介绍如何使用 DLP Endpoint 阻止所有 USB 驱动器，以及如何使其他 USB 类型的硬件（如键盘和鼠标）不受影响。 同时还说明了如何为已授权的 USB 驱动器设置排除项。
使用 DLP Endpoint 阻止所有 USB 驱动器的步骤：
- 登录到 ePO 控制台。
- 单击菜单、数据保护、DLP 策略管理器。
- 在定义中，单击设备控制、设备模板。
- 单击操作、新建项目、可移动存储设备模板。
- 将阻止 USB 驱动器添加到定义的名称。
- 添加总线类型属性并将值更改为 USB。 将比较设置为等于。
- 单击保存。
- 创建一个规则集或打开现有规则集。
- 在选定规则集中，单击设备控制、操作、新建规则、可移动存储设备规则。
- 为规则阻止所有 USB 驱动器可移动存储设备规则命名。
- 将状态更改为已启用。
- 选择相应的用户来分配规则。
- 在可移动存储中，在上下文菜单中选择 Block USB Drives。
- 单击反应选项卡并在防止操作下拉列表下选择阻止。
- 根据需要配置用户通知和报告事件。
- 在计算机与公司网络断开连接部分中，将防止操作设置为反应，其方式与连接的系统相同。
- 单击保存。
- 如果已创建新规则集，请在策略目录中选择激活 DLP 策略中的规则集。
- 如果未创建任何新规则集，则导航至DLP 策略管理器中的策略分配选项卡并应用适当的策略。
为授权使用的特定 USB 驱动器添加排除项的步骤：
- 单击开始、运行，键入 explorer，然后单击确定。
- 右键单击我的计算机，然后选择管理。
- 在系统工具中，单击设备管理器。
- 在计算机管理窗口顶部，单击视图菜单选项并选择显示隐藏的设备。
- 插入要排除的 USB 驱动器。
- 查找显示在计算机管理清单中的任何添加项。 通常，添加项会显示在存储卷下方，但它们也可以显示在磁盘驱动器或类似位置。
- 右键单击在计算机管理列表中找到的设备，然后单击属性。
- 单击详细信息选项卡，然后在下拉列表中查找以下条目之一：
- 设备实例 ID
- 设备序列号
- 供应商 ID/产品 ID
- 复制（CTRL + C）显示的条目。 此条目会在以下过程的步骤 8 中再次使用。
返回 ePO 控制台中的 DLP 策略管理器，以执行以下步骤：
- 登录到 ePO 控制台。
- 单击菜单、DLP 策略管理器。
- 在 DLP 策略管理器中，单击定义选项卡。
- 扩展设备控制并选择设备模板。
- 单击操作、新建项目、可移动存储设备模板。
- 为定义命名：排除的驱动器。
- 添加 USB （VID/PID 代码）属性。
- 将比较设置为等于，并添加在前面步骤中收集的供应商 ID (VID)和产品 ID (PID)。
- 单击保存。
- 返回到DLP 策略管理器，请单击规则集选项卡，然后单击在解决方案 1 步骤 18 中创建的规则集。
- 在 Device Control 选项卡上，选择在解决方案 1 中创建的 Block All USB Drives Removable Storage Device Rule。
- 单击例外选项卡，然后单击可移动存储是其中之一(或)旁边的排除的设备模板部分，再单击选择框（带3点的灰框）按钮，然后选择排除的驱动器。
- 单击保存。
- 单击 DLP 规则集中的关闭。
- 单击策略管理。
- 通过单击操作、应用选定的策略应用策略，并选择适当的策略。
为驻留在 USB 驱动器上的加密应用程序添加排除项的步骤：
- 登录到 ePO 控制台。
- 单击菜单、DLP 策略管理器。
- 在 DLP 策略管理器中，单击定义选项卡。
- 扩展来源/目标并选择进程名称。
- 单击操作、新建。
- 为进程名称定义 USB 排除的进程命名。
- 将对应于 USB 驱动器上的加密应用程序的相应进程名称添加到进程名称字段。
- 单击添加、保存
- 单击保存。
- 打开在解决方案 1 中创建的 Block All USB Drives Removable Storage Device Rule。
- 在进程名称部分，单击is none of (NOT)旁边的上下文菜单，然后选择USB 排除的进程。
- 单击 DLP 规则集中的关闭。
- 单击策略管理。
- 应用策略。 单击操作、应用选定的策略并选择适当的策略。
