Оснастка "Active Directory Users and Computers" ->Ваш Домен->правая кнопка мышы->свойства->Group Policy->Политика для поражённых юзеров->Edit->User Configuration->Administrative templates->System->Run only allowed Windows application -введите приложеия, с которыми Вы разрешаете работать. С остальными обломаются.
PS. Заадванченные юзеры могут попытаться переименовать исполняемые файлы. Способ борьбы: запретите им это делать правами на папку + не пускайте на запись никуда, кроме действительно нужных каталогов (с документами), чтобы не скопировали с другим именем.
Удачи!