防止孩子插入不明 SD 卡/U 碟帶入病毒，可用群組原則限制僅允許特定硬體 ID 的裝置：

1. 插入自用 SD 卡/U 碟 → 裝置管理員 → 對應裝置右鍵「內容」→「詳細資料」→「屬性」選「硬體 ID」→ 複製值（如 `SD\Gendisk`、`USB\VID_xxxx&PID_xxxx`）。
2. `gpedit.msc` → 電腦設定 → 管理範本 → 系統 → 裝置安裝 → 裝置安裝限制。
3. 啟用「防止安裝未由其他原則設定描述的裝置」。
4. 啟用「允許安裝符合下列裝置 ID 的裝置」→ 「顯示」→ 逐行貼上剛複製的硬體 ID。

進階：搭配 `Lenovo Port Locker` 給 USB 介面加密碼，雙重保護。亦可用「不要執行指定的 Windows 應用程式」原則封鎖 QQ 遊戲等特定程式。