[xoxmodav]

1. Software Restriction Policies / Applocker
2-3-4. Нужно точно понимать что надо запрещать/разрешать, какие логи вести и что защищать. Можно попробовать внедрить DLP-систему типа DeviceLock / ZLock / Dallas Lock, или от производителей антивирусов попробовать комплексную защиту - Касперский и Симантек многое умеют.