Запускаем regedit на ветке HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR открываем контекстное меню и выбираем пункт Разрешения... и у пользователей SYSTEM , Все снять галочку на права Полный доступ затем жмём кнопку Дополнительно ставим галочку на пункте Заменить разрешения для всех дочерних объектов... и жмём кнопки Применить Ок Применить Ок .
Таже последовательность с веткой HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB и теперь любое новое USB устройство фиг установишь, будут доступны в системе только установленные ранее, до проведения описанной выше манипуляции.

Очень просто. Почистить внутри обе указанные ветки, перегрузить систему, установить все легальные USB-устройства, скажем принтеры, сканеры штрих-кода, повтыкать по очереди легальные флешки, фотики, телефоны и т.д.. Всё это добро пропишется, а затем сделать ограничение прав на ветки и всё что в них. Если со временем надо что-то подключить, значит вернуть отобранное право Полного доступа обязательно с заменой разрешения для всех дочерних объектов... , подключить устройство, установить дровишки и отобрать права взад так-же с заменой разрешения для всех дочерних объектов.... ВСЁ.