Você pode bloquear portas USB por meio da Diretiva de Grupo para Usuários.
Observe que, se tiverem credenciais de administrador, enquanto a Diretiva de grupo ainda puder bloqueá-las, elas poderão ser bloqueadas instalando um programa simples que bloqueia as atualizações da Diretiva de Grupo do DC.
Existem alguns programas por aí que fornecerão sua solicitação de senha. Um rápido google traz MyUSBOnly.