企業 USB 管控策略：驅動白名單 + MDM 實現僅允許自產手機調試

實現原理

1. 驅動級白名單：Windows 組策略/註冊表限制 USB 設備安裝，僅允許特定 VID/PID（廠商 ID/產品 ID）對應的 ADB 驅動安裝。非白名單設備插入時系統提示「找不到驅動」，ADB 無法識別。
2. MDM/端點管控軟件：部署移動設備管理 (MDM) 客戶端，配置 USB 配置文件：允許 USB 調試 = 僅授權設備。軟件層面攔截未授權設備的 ADB 連接請求。
3. 內部應用簽名驗證：企業自研調試工具（類似應用寶）在建立 ADB 會話前校驗設備簽名/證書，非自產設備拒絕服務。

部署步驟

• 收集自產手機 VID/PID，製作驅動安裝包簽名分發。
• 通過 GPO 推送 Device Installation Restrictions 策略至全網終端。
• MDM 控制台下發 USB 管控配置檔。
• 測試：非白名單手機插入 → 設備管理器顯示「未知設備」，ADB devices 為空。

補充防繞過

• 禁用 BIOS/UEFI USB 端口 → 防止物理繞過（需評估業務影響）。
• 審計 USB 設備插拔日誌（Sysmon/Windows Event ID 2003/2102）。