应该不是难事。我之前在自己电脑上安装了个黑苹果+win10的双系统。黑苹果系统是淘宝找人做的，对方要了我电脑的bios系统，然后自己不知道写了些啥，之后我正常双系统是可以使用的，但是在我更换声卡后再进双系统就进不去了，我换回声卡就可以了。我觉得大概跟这个道理一样吧，添加了系统硬件识别码？。也许是我太菜了，没看懂这个扫操作。

前几年去一个厂家，他们那里电脑有加密软件，拷贝出来的文件在自己电脑上打不开，后来是直接U盘开Ghost把它硬盘整个都复制了出来。。
弄回来之后把Ghost文件写进虚拟机，各种文件可以直接打开（前提是需要把虚拟机时间改到制作Ghost的日期附近，否则加密软件会过期）。
一直觉得没人会发现。。
直到看到楼主的帖子。。 iOS fly ~

回复101#ledwinka

今天才知道有这玩意儿，吓死了

這個是intel的bios amt遠控實現的，那玩意有專門管usb啟動記錄的。

都在说硬件和软件 搞不好是最简单的监考录像

我司机密都躺着让你拷贝。

回复18#nike449
拷贝资料为什么要走pe？呵呵 iOS fly ~

主机先输出到视频采集器，然后正常浏览文件，所有浏览过程都被录下来，回家后打印就行了

现在的bios如果给主板放电（把电池拿掉）能消除记录和设置吗？

回复108#jadeyang
那怎么弄 iOS fly ~

现在的uefi bios就是个小系统啊，要能记录引导启动log在隐藏分区，上传不正常引导的log出去应该也能办到。
可能是只抓到用pe启动，然后就都说了 我肯定不是一个人

开启wsl，在wsl里面启动docker，在docker里面copy后用私人邮箱发邮件出去。。。。发完邮件删除docker，看看还能不能找到痕迹

都没有权限安装docker吧！

用网盘上传试试小尾巴~

那不是更清楚，走公司网络，网盘登录帐号，清清楚楚

以前用过qq自带的qq硬盘，没问题小尾巴~

竟然可以用U盘启动？这IT的水平简直了。

擦，这么说windows to go也一样了。另外我W2G启动后好像看不到公司电脑硬盘。

技术上能实现但是成本呢。一般都是自己嘴贱和其他人说了

回复110#fttod

你打开机箱不 关闭机箱不 机箱上有开关的 另外这个记录清除 刷新BIOS无效，另外商用机IT会统一部署策略，刷新BIOS要密码 进入BIOS要密码 劝你别动这心思 有这心思多搬两块砖挣钱呢

看到最后就你回答的准确，只要不断ac，me是一直在工作的，插上ac不开机，me是第一个启动的的，BIOS清除后它是第一个初始化的，me配合amt能做很多事情。。。。很多普通人想不到的事情。

回复77#nike449


我还以为是封锁了usb端口

这还用问 并不难 你同事都已证明

有量化投资公司，机器做保安带质量感应，往上插个U盘，多那么几克立刻报警。

既然电脑端口全封，那怎么还能用u盘启动pe呢 iOS fly ~

之前给银行实施的时候用pe这么干过

吓尿了。。。
我就用pe从公司电脑拷贝过东西。。。

电脑插了卡，接管BIOS了。

我们公司已经全虚拟化了，资料只进不出。你这个同事用PE拷贝东西出去还能打开？？？

win下面用endpoint或者类似的软件都可以封掉的，只允许鼠标键盘，usb接口的各种调试器工作，其它设备全部禁掉

就看磁盘有没有加密了，如果没加密是OK的，加密了脱离环境是打不开的

应该是amt ……

有些公司连usb传了多少数据都能看到

公司有要求，就不要瞎搞，包括拷贝东西和乱上网

回复134#草竹


USB口都封了，一般都加密啊

USB封了跟加密没有直接关系，这是不同软件干的事情，钱多可以都搞，钱少可以搞一部分

是的，我们监控网卡，USB的所有数据，硬盘加密，所以就老老实实干活吧

一点都不冤，明知故犯，还故意用PE系统去拷文件。

我觉得你们都想多了
提出技术方案的几个楼层你们有没有想过
有这样技术的公司
为什么会给员工用u盘启动的机会？

我们单位干这个事情的人被罚了8000，然后严重警告，后来被国安带走了

就像菜刀可以可以切菜，又能砍人一样的道理啊，有法律约束，公司有公司制度约束

回复124#草竹

这玩意就是防止别人干坏事的，但是很多人还是老思维，我U盘启动，没从本机硬盘启动应该没人知道，殊不知，另外一个mini系统在加电的时候已经启动了。

？啥意思
我意思既然会使用intel me amt什么的来做记录了
把启动改成本地硬盘
员工不掌握管理员密码
不更简单？

中国法律就是不允许持枪啊
菜刀是因为要做饭
正常非it员工
没事改bios干嘛
用pe干嘛？

能监控到U盘和启动行为就够了，为啥要花更多的钱和人力去阻止pe启动？

我那个回帖的主要观点就是
阻止pe启动
比监控u盘启动
简单的多的多的多
没什么成本吧？
一个bios设置+主机锁而已

所以感觉楼主同事并不是从技术上被抓
而是其他原因

做这种事情第一步就是加机箱锁
IT通常不会改BIOS的配置，也不会设置BIOS管理员密码的

可能涉密电脑安装有安全固件呢。

商务机有机箱盖开关，硬盘也可以通过tpm做aes加密，拆下来读不出的。

貌似美亚柏科之类做取证的公司可以做到不留记录的拷东西，需要专业设备，。因为取证不能在原电脑上留下记录，不然对方可以认为你有篡改证据的嫌疑

没做过it
不太理解
加锁表示对硬件的控制
却不锁buos？