USB 裝置雖方便但隱藏病毒傳播、資料竊取風險。透過群組原則限制僅允許已知硬體 ID 的可移動儲存裝置安裝驅動，達到白名單管控。

實作步驟

1. 插入自用 USB 裝置，開啟「裝置管理員」→「磁碟機」→ 右鍵該裝置 → 「內容」→「詳細資料」→ 屬性選「硬體識別碼」，複製數值字串備份。
2. 同樣複製「通用序列匯流排控制器」下「USB 大量儲存裝置」的硬體識別碼。（所有常用裝置皆記錄）

3. 執行 gpedit.msc → 電腦設定 → 管理範本 → 系統 → 裝置安裝 → 裝置安裝限制。
4. 啟用 「防止安裝未由其他原則設定描述的裝置」。
5. 啟用 「允許安裝符合這些裝置安裝類別的裝置」，加入上述複製的硬體 ID。
6. （可選）啟用 「防止安裝符合這些裝置設定 ID 的裝置」 針對特定裝置封鎖。

已安裝的裝置需在裝置管理員先解除安裝驅動，重插時將因驅動被阻擋而無法使用。新增裝置時同樣記錄硬體 ID 加入白名單。

原理：阻擋未知硬體 ID 的驅動安裝，從源頭杜絕陌生 USB 裝置運作。