Как заблокировать все USB кроме одного порта?
выпилить физически. военка так и делает.
выдирают порты, напрямую подключают мышу с клавой и заливают эпоксидкой. и опечатывают корпус.
вар2: полностью прячут комп в железный ящик под замок.
дешево и серъезно, вскрытие замечается наглядно.
Политика AD + политика KES + запрет в BIOS грузиться с чего либо кроме HDD + пароль на BIOS + стикер-пломба на крышку системника
Ну и пара приказов под роспись что нельзя пользоваться флешками и что за это будет при квартальном мониторинге логов.