PowerShellでWindows 11のUSBポートを無効化しセキュリティリスクを低減する方法

導入文章

Windows 11では、セキュリティ対策としてUSBポートを無効化することが有効な手段となります。USBポートを悪用することで、外部からの不正アクセスやデータの持ち出し、マルウェアの感染などのリスクが高まるため、特に企業環境や機密情報を扱う場合には、これを制限することが推奨されます。
本記事では、PowerShellを使ってWindows 11のUSBポートを無効化する方法を詳しく解説します。手順を追って学ぶことで、シンプルかつ効果的にセキュリティリスクを低減できるようになります。

USBポート無効化の重要性

USBポートを無効化することは、物理的なセキュリティ対策の一環として非常に重要です。特に企業や政府機関など、機密情報を扱う環境では、外部からの不正アクセスを防ぐために、USBポートを管理することが求められます。以下に、USBポート無効化がなぜ重要なのかをいくつかの観点から説明します。

不正デバイスの接続を防止

USBポートは、外部デバイス（USBメモリ、外付けハードディスク、携帯電話など）を接続するためのインターフェースです。攻撃者が物理的にアクセスできる場合、USBポートを通じてマルウェアを感染させたり、データを不正にコピーしたりする可能性があります。USBポートを無効化することで、これらのリスクを大幅に減少させることができます。

データ漏洩の防止

USBメモリなどの外部記録媒体は、簡単にデータを持ち出す手段となります。特にセキュリティが不十分な場合、機密情報が漏洩する危険性があります。USBポートを無効化することにより、物理的にデータの持ち出しを防ぐことが可能です。

マルウェアの拡散を防ぐ

USB経由で感染するマルウェアは依然として大きな脅威です。感染したUSBメモリをPCに接続するだけで、ウイルスやランサムウェアがシステム内に拡散してしまう可能性があります。USBポートを無効化することで、こうした攻撃を未然に防ぐことができます。

PowerShellを使ったUSBポート無効化の基本

PowerShellは、Windows環境でシステム管理や自動化を行うための強力なツールです。USBポートの無効化も、PowerShellを用いることで簡単に実行できます。ここでは、PowerShellを使った基本的なUSBポート無効化の手順を紹介します。

USBストレージの無効化

まずは、USBストレージデバイス（USBメモリや外付けHDDなど）を無効化する方法を説明します。PowerShellを管理者権限で実行し、以下のコマンドを入力します。

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies" -Name "WriteProtect" -Value 1

このコマンドは、USBストレージデバイスの書き込みを禁止する設定です。これにより、USBストレージデバイスをPCに接続しても、データを書き込むことができなくなります。読み取り専用状態であれば、デバイスの接続は許可されますが、データの改ざんやコピーを防ぐことができます。

USBポート全体の無効化

次に、USBポートそのものを無効化する方法です。以下の手順で、USBホストコントローラーを無効にすることができます。

Get-WmiObject -Query "SELECT * FROM Win32_USBHub" | ForEach-Object { $_.Disable() }

このコマンドを実行すると、すべてのUSBポートが無効化されます。これにより、すべてのUSBデバイス（マウス、キーボード、USBメモリなど）の接続が禁止されます。セキュリティを強化したい場合に有効な手段です。

実行時の確認

コマンド実行後、実際にUSBポートが無効化されているかを確認するには、デバイスマネージャーでUSBホストコントローラーの状態をチェックします。無効化したポートが正しく反映されていれば、接続したUSBデバイスが認識されないことを確認できます。

デバイスマネージャーからの確認方法

PowerShellでUSBポートを無効化した後、デバイスマネージャーを使ってその変更が正しく反映されているか確認することが重要です。以下では、デバイスマネージャーを使って無効化したUSBポートが反映されているかどうかを確認する手順を説明します。

デバイスマネージャーの開き方

デバイスマネージャーは、Windows 11のデバイスやドライバの設定を管理するツールです。以下の手順でデバイスマネージャーを開きます。

スタートメニューを右クリックし、「デバイスマネージャー」を選択します。
または、Windowsキー + Xを押して、メニューから「デバイスマネージャー」を選ぶこともできます。

USBポートの状態確認

デバイスマネージャーを開いたら、次の手順でUSBポートが無効化されているか確認します。

デバイスマネージャー内で、「ユニバーサルシリアルバスコントローラー」という項目を展開します。
そこにリストされているUSBホストコントローラーやUSBルートハブの状態を確認します。無効化した場合、これらのデバイスに「無効」と表示されているか、接続したUSBデバイスが表示されていないことが確認できるはずです。

無効化されているデバイスの確認

もし、無効化したはずのUSBデバイスが依然として表示されている場合、PowerShellコマンドが正しく実行されていない可能性があります。再度、PowerShellを管理者として実行し、コマンドが正確に入力されたか確認してください。コマンドの実行後にPCを再起動することで、設定が確実に反映されることもあります。

デバイスの無効化解除

デバイスマネージャーで、無効化したUSBポートを再度有効にしたい場合は、無効化されたデバイスを右クリックし、「デバイスを有効にする」を選択します。これにより、無効化したポートが再び利用可能になります。

特定のUSBポートを無効化する方法

複数のUSBポートがあるPCで、特定のポートだけを無効化することができるのもPowerShellの強力な機能です。全てのUSBポートを無効化するのではなく、特定のポートのみを無効化することで、選択的にセキュリティを強化できます。ここでは、特定のUSBポートを無効化する方法について詳しく解説します。

USBポートの識別方法

特定のUSBポートを無効化するには、まずそのポートを識別する必要があります。USBポートは、デバイスマネージャー内で個別に表示されていますが、PowerShellでは各ポートに対応するデバイスIDを確認することができます。

PowerShellを管理者権限で開きます。
以下のコマンドを入力して、システムに接続されているUSBデバイスの詳細情報を取得します。

Get-WmiObject -Query "SELECT * FROM Win32_USBHub" | Select-Object DeviceID, Description

このコマンドは、接続されているUSBデバイスのDeviceID（ポートの識別子）やDescription（ポートの詳細）を表示します。ここで、無効化したい特定のポートを特定することができます。

特定のUSBポートを無効化するコマンド

特定のUSBポートを無効化するには、上記で取得したDeviceIDを使って、そのポートを無効化します。例えば、以下のコマンドを実行して、特定のデバイス（ここではDeviceIDがUSB\VID_1234&PID_5678のポート）を無効化します。

$DeviceID = "USB\VID_1234&PID_5678"
$usbDevice = Get-WmiObject -Query "SELECT * FROM Win32_USBHub WHERE DeviceID = '$DeviceID'"
$usbDevice.Disable()

これにより、指定したUSBポートが無効化され、他のポートに影響を与えることなく特定のポートだけが使用できなくなります。

無効化したポートの確認

特定のポートを無効化した後、デバイスマネージャーでそのポートが無効化されているかどうかを確認することができます。無効化したポートがリストに表示されなくなったり、無効として表示されることを確認しましょう。

無効化を解除する方法

無効化した特定のUSBポートを再度有効化したい場合は、以下のPowerShellコマンドを使用して、無効化を解除します。

$usbDevice.Enable()

これにより、無効化したUSBポートが再び有効になります。

PowerShellスクリプトの実行方法

PowerShellスクリプトを使用してUSBポートの無効化や有効化を自動化することができます。スクリプトとして保存し、必要に応じて実行することで、手動でコマンドを入力する手間を省け、効率的に設定を行うことができます。ここでは、PowerShellスクリプトを実行する手順と、実行時の注意点について説明します。

PowerShellスクリプトの作成

まず、USBポートを無効化または有効化するためのPowerShellスクリプトを作成します。以下は、USBポートを無効化する基本的なスクリプトの例です。

# USBストレージデバイスの書き込みを禁止
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies" -Name "WriteProtect" -Value 1

# USBポート全体を無効化
Get-WmiObject -Query "SELECT * FROM Win32_USBHub" | ForEach-Object { $_.Disable() }

Write-Output "USBポートが無効化されました。"

このスクリプトをテキストエディタ（例：メモ帳）で作成し、「DisableUSB.ps1」という名前で保存します。ファイルの拡張子は「.ps1」にする必要があります。

スクリプトの実行手順

作成したPowerShellスクリプトを実行するためには、以下の手順を踏んでください。

PowerShellを管理者権限で実行します。スタートメニューで「PowerShell」と検索し、「管理者として実行」を選択します。
スクリプトを実行する前に、スクリプト実行ポリシーを変更する必要がある場合があります。デフォルトでは、セキュリティ上の理由からスクリプトの実行が制限されています。以下のコマンドで実行ポリシーを変更します。

Set-ExecutionPolicy RemoteSigned -Scope CurrentUser

このコマンドは、ローカルで作成したスクリプトの実行を許可します。

次に、スクリプトが保存されているフォルダに移動します。cdコマンドを使って、スクリプトが保存されているディレクトリに移動します。

cd "C:\path\to\your\script"

最後に、スクリプトを実行します。

.\DisableUSB.ps1

これで、スクリプトが実行され、USBポートの無効化が行われます。

スクリプト実行後の確認

スクリプト実行後、USBポートが無効化されているかどうかを確認するために、デバイスマネージャーを再度開いて、USBホストコントローラーの状態をチェックします。無効化されていることが確認できれば、スクリプトが正常に動作したことになります。

スクリプトの再実行と自動化

スクリプトを再実行することで、無効化した設定を復元することができます。また、定期的にUSBポートの無効化を行いたい場合、タスクスケジューラを使用してスクリプトを自動的に実行することも可能です。

無効化を元に戻す方法

USBポートを無効化した後、必要に応じてその設定を解除し、元に戻すことができます。以下では、PowerShellを使ってUSBポートの無効化を解除する方法を説明します。特に、USBポートを再度有効にしたい場合や、特定のデバイスを再接続したい場合に役立ちます。

USBストレージデバイスの書き込み禁止を解除する

まず、USBストレージデバイスの書き込み禁止設定を解除する方法です。無効化したUSBストレージデバイスの書き込みを再度許可するには、以下のコマンドを実行します。

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies" -Name "WriteProtect" -Value 0

このコマンドを実行することで、USBメモリや外付けHDDなどの書き込み制限が解除され、通常通りデータを書き込むことができるようになります。

全USBポートの無効化を解除する

USBポート全体を無効化している場合は、以下のPowerShellコマンドを使って無効化を解除し、ポートを再度有効にすることができます。

Get-WmiObject -Query "SELECT * FROM Win32_USBHub" | ForEach-Object { $_.Enable() }

このコマンドを実行すると、無効化したすべてのUSBポートが再度有効になります。再度、USBデバイスを接続して、正常に動作するか確認してください。

特定のUSBポートを有効にする

特定のUSBポートだけを有効にする場合、前述の手順で取得したDeviceIDを使用して、特定のデバイスを有効にできます。以下のコマンドを使用します。

$DeviceID = "USB\VID_1234&PID_5678"  # ここに対象のDeviceIDを入力
$usbDevice = Get-WmiObject -Query "SELECT * FROM Win32_USBHub WHERE DeviceID = '$DeviceID'"
$usbDevice.Enable()

このコマンドを実行することで、特定のUSBポートが再度有効になり、デバイスを接続できるようになります。

設定変更後の確認

無効化したポートを再度有効にした後、デバイスマネージャーを開き、ポートが正しく有効化されているか確認します。無効化されたポートが「有効」状態に戻り、接続したUSBデバイスが正常に動作することを確認してください。

セキュリティ強化のための追加設定

USBポートを無効化することは重要なセキュリティ対策ですが、さらに強固なセキュリティを実現するためには、いくつかの追加設定や予防策を講じることが効果的です。ここでは、USBポートの無効化を補完するために役立つ設定や、セキュリティを強化するための方法をいくつか紹介します。

グループポリシーによるUSBポート管理

Windowsには、グループポリシーエディターを使用して、USBポートを細かく制御する方法があります。これにより、USBポートの利用を一部のユーザーに制限することが可能です。以下の手順で、USBポートのアクセス制御を強化できます。

Windowsキー + Rを押し、「gpedit.msc」と入力してグループポリシーエディターを開きます。
次に、以下のパスをたどります。

   コンピュータの構成 > 管理用テンプレート > システム > USBストレージデバイスのアクセスを制御

ここで、「USBストレージデバイスのアクセスを制御」を「無効」に設定します。これにより、USBストレージデバイスを利用できないように制限できます。

グループポリシーを活用することで、特定のユーザーグループやコンピュータに対してUSBポートの利用制限を強化できます。

BIOS設定でUSBポートを無効化する

USBポートを無効化する最も強力な方法の一つは、BIOS（またはUEFI）設定でUSBポートを無効化することです。これは、OSの起動前にUSBポートの利用を制限するため、OS側での設定を回避することができます。以下の手順でBIOS設定を変更できます。

PCの電源を入れた直後に、BIOS/UEFI設定画面にアクセスするためのキー（通常は「F2」や「Del」）を押します。
BIOS設定画面内で「Advanced」や「Integrated Peripherals」などのセクションを探します。
「USB Configuration」または「USB Port」設定を見つけ、「Disabled」に変更します。
設定を保存して、PCを再起動します。

BIOSでUSBポートを無効にすることで、OSが立ち上がる前にポートの利用を制限でき、物理的なアクセスからのセキュリティ強化が可能です。

USBデバイスにパスワードや暗号化をかける

USBポートの無効化だけでなく、接続されたUSBデバイスに対するセキュリティを強化するために、暗号化やパスワード保護を施すことも有効です。特に、機密情報を扱う環境では、外部デバイスに対するアクセス制限を設けることが重要です。

BitLockerやVeraCryptなどのツールを使用して、USBメモリや外付けハードディスクを暗号化します。
パスワードを設定して、物理的にUSBデバイスを取り外しても、データにアクセスできないようにします。

これにより、万が一USBデバイスが盗難にあっても、暗号化されているためデータ漏洩のリスクを低減できます。

USBポート無効化後の監視とログ管理

USBポートの無効化設定後は、その変更が正しく行われているか、またポートが再び使用されていないかを監視することも重要です。イベントビューアを使用して、USBポートに関するログをチェックすることで、無効化が解除された場合や不正アクセスがあった場合に早期に発見できます。

イベントビューアを開き、「Windowsログ」>「セキュリティ」を選択します。
USBデバイスが接続されたり、デバイスの認識に関するイベントが記録される場合があります。これらのイベントを確認して、不正なアクセスや接続がないかをチェックします。

定期的な監視を行うことで、セキュリティを維持しやすくなります。

セキュリティパッチとアップデートの適用

USBポートの管理に関連するセキュリティ脆弱性を防ぐために、Windowsのセキュリティパッチやドライバのアップデートを定期的に行うことも重要です。これにより、USBポートを介した攻撃を未然に防ぐことができます。

定期的なシステムアップデートとセキュリティパッチの適用は、USBポートに関連するセキュリティ強化に欠かせないステップです。

実際の運用と注意点

PowerShellを用いてUSBポートの無効化を行う際には、いくつかの運用上の注意点を守ることが重要です。誤って必要なポートを無効にしてしまったり、設定が不十分であるとセキュリティ効果が薄れてしまうため、以下の点に注意して運用を行いましょう。

無効化前のバックアップ

USBポートを無効化する前に、システムのバックアップを取っておくことが強く推奨されます。特に、無効化したポートを再度有効にする場合に何らかのトラブルが発生する可能性もあるため、バックアップをとっておくことで万一の際に復旧が可能です。
バックアップ方法としては、Windowsのシステムイメージバックアップを利用するか、重要なデータを外部ストレージにコピーしておくことが有効です。

管理者権限の必要性

PowerShellを使用してUSBポートを無効化する際は、管理者権限が必要です。管理者としてPowerShellを実行しなければ、デバイスの無効化や設定変更はできません。操作ミスや悪意のある変更を防ぐためにも、管理者権限を持つユーザーで実行するようにしましょう。

また、スクリプトや設定を行う際に誤って重要なシステム設定を変更しないように、十分な理解をもって操作を行うことが重要です。

USBポート無効化後の再接続時の確認

USBポートを無効化した後、再度有効にする際は、デバイスの再接続を確認し、正常に動作するかどうかをチェックしてください。特に、デバイスがドライバを再インストールしたり、新たな設定が必要になる場合があるため、適切に動作するかの確認を怠らないようにしましょう。

無効化されたUSBポートに再度デバイスを接続すると、自動的にドライバがインストールされることがありますが、問題が発生した場合には、デバイスマネージャーからドライバを再インストールする手順を踏むこともあります。

セキュリティと業務効率のバランス

USBポートの無効化はセキュリティを強化するための有効な手段ですが、業務効率とのバランスを取ることも重要です。例えば、業務でUSBメモリを頻繁に使用する場合、そのポートを無効化してしまうと、業務が支障をきたす可能性があります。そのため、業務で使用する必要があるポートは慎重に選別し、必要なポートのみを無効化することをお勧めします。

また、外部デバイスを使わずにネットワーク経由でファイルを共有するなど、USBポートを使わない方法に切り替えることも業務効率を維持しつつセキュリティを強化する手段となります。

定期的な監視とメンテナンス

USBポートの無効化は一度設定したら終わりではなく、定期的な監視とメンテナンスが必要です。システムに新たなアップデートが適用されたり、USBポートに関する設定が変更されることもあるため、定期的に設定内容を確認し、セキュリティ状態を保つために必要な変更を行うことが大切です。

また、ポートの状態やアクセス状況をログで管理することで、不正アクセスの兆候を早期に発見できる場合があります。

他のセキュリティ対策との組み合わせ

USBポートの無効化に加え、ウイルス対策ソフトの導入や、ファイアウォールの設定強化、ユーザーアクセス制御の強化など、他のセキュリティ対策と組み合わせることで、より強固なセキュリティ環境を構築することができます。特に、USBポートを無効化しても、悪意のあるソフトウェアがUSB経由でシステムに侵入するリスクは残ります。これらを複合的に対策することで、セキュリティレベルを一層引き上げることができます。

この記事を書いた人

佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。