在Linux系统中，禁用USB设备是一项常见的安全与管理需求，既能防止数据泄露风险，也能避免员工随意连接外部设备影响系统稳定性，本文将从禁用USB的多种方法、适用场景及注意事项展开说明,帮助用户根据实际需求选择合适的解决方案。
通过内核模块禁用USB功能
Linux系统通过内核模块（Kernel Module）管理硬件设备，禁用USB相关的模块是最直接的方法之一。
查看当前已加载的USB模块
执行命令 lsmod | grep usb 可列出系统中已加载的USB模块，常见模块包括 usbcore（USB核心模块）、usb_storage（存储设备模块）、uhci_hcd 或 ehci_hcd（USB主机控制器模块）等。
临时禁用USB模块
使用 rmmod 命令可临时移除指定模块，禁用存储设备模块需执行：
sudo rmmod usb_storage
若需完全禁用USB功能，可依次移除 usbcore 及其他USB相关模块，但需注意，usbcore 是核心模块，移除后可能导致系统无法识别其他USB设备。
永久禁用USB模块
通过编辑 /etc/modprobe.d/ 目录下的配置文件可实现永久禁用，创建新文件（如 usb-blacklist.conf），添加以下内容：
blacklist usb_storage
blacklist usbcore保存后执行 update-initramfs -u 更新初始内存盘，使配置生效，重启系统后，USB模块将不会被加载。
通过udev规则禁用特定USB设备
若需仅禁用部分USB设备（如U盘但保留键盘鼠标），可通过udev（设备管理器）实现精准控制。
获取设备ID
连接目标USB设备后，执行 lsusb 命令查看设备信息，
Bus 001 Device 003: ID 0951:1666 Kingston Technology DataTraveler 100 0951:1666 为厂商ID和产品ID。
创建udev规则
在 /etc/udev/rules.d/ 目录下创建规则文件（如 99-disable-usb-storage.rules），添加以下内容：
ACTION=="add", SUBSYSTEM=="usb", ATTR{idVendor}=="0951", ATTR{idProduct}=="1666", RUN+="/bin/sh -c 'echo $id > /sys/bus/usb/drivers/usb/unbind'" 该规则会在设备接入时自动解绑驱动，若需彻底禁用，可添加 RUN+="/bin/rmmod usb_storage"。
重启udev服务
执行 sudo udevadm control --reload-rules 和 sudo udevadm trigger 使规则立即生效。
通过BIOS/UEFI设置禁用USB
从硬件层面禁用USB是最彻底的方法，适用于需要严格管控的场景。
进入BIOS/UEFI界面
重启电脑时按特定键（如Del、F2、F10）进入BIOS设置，不同品牌主板按键可能不同。
禁用USB控制器
在“Advanced”（高级）或“Integrated Peripherals”（集成外设）菜单中，找到“USB Configuration”选项，将“USB Controller”设置为“Disabled”，部分BIOS还支持单独禁用USB存储设备或保留键盘鼠标功能。
保存设置并退出
修改后按F10保存并重启，系统将无法检测到任何USB设备。
注意：此方法需谨慎操作，禁用后可能无法通过USB键盘鼠标操作界面，建议提前准备PS/2接口设备。
通过系统策略管理工具（适用于企业环境）
在企业级Linux系统中（如RHEL、Ubuntu Server），可使用systemd或security profiles（如AppArmor、SELinux）统一管理USB访问权限。
使用systemd-logind控制
编辑 /etc/systemd/logind.conf，添加以下配置：
IdleAction=ignore
IdleActionSec=0重启systemd-logind服务后，系统将不会响应USB设备的空闲事件。
结合SELinux策略
若启用SELinux，可通过自定义策略禁止USB访问，创建策略文件 /etc/selinux/local/usb.te，添加：
policy_module(usb, 1.0)
allow user_t usb_device_t:dir search;
deny user_t usb_device_t:file { read write }; 通过checkmodule和semodule编译加载策略，即可限制用户对USB设备的读写权限。
注意事项与最佳实践
- 测试验证：禁用USB前，建议在测试环境中验证配置，避免影响系统正常使用（如无法识别USB键盘）。
- 保留必要设备：若需使用USB鼠标或键盘，可通过udev规则或BIOS设置保留特定设备的驱动加载。
- 日志监控：启用系统日志（如
/var/log/syslog），记录USB设备接入事件，便于排查问题。 - 权限管理：对于多用户系统，可通过用户组权限限制普通用户使用USB设备，而非全局禁用。
- 应急方案：若禁用后需临时恢复USB，可通过
modprobe重新加载模块，或在BIOS中重新启用USB控制器。
通过以上方法，用户可根据安全需求和管理场景灵活选择Linux系统下禁用USB设备的方案，无论是个人用户还是企业环境,合理的USB管控都能有效提升系统安全性与稳定性。
