[Iska]

Iska, а ты все сообщения подряд читаешь или по какому-то другому принципу? »

Я читал. И не могу понять. Пакетные файлы мы ему разрешаем исполнять — ну, и смысл запрета тогда в чём был?

пользователь может и не сунуться. А запущенное от его имени - вполне. Или ты свято веруешь в то, что все дыры по получению\смене привилегий под пользователем в серверных ОС давно заделаны? Оставлять дырку в заборе со словами "та тут никто обычно не ходит" - ну-ну. »

Я свято верую в то, что либо мы используем существующую парадигму, либо меняем профессию. Дырки в заборе используют ошибки в существующем легальном программном обеспечении, в том числе и самой ОС, как, например, это было с обработчиком изображений в библиотеке WIA, как это было с обработчиком lnk-файлов, с обработчиком иконок и т.п. Понимаете? Не требовалось для этого ни пакетных файлов, ни скриптов, ни исполняемых файлов — достаточно было просто зайти в Проводнике в каталог с включённым отображением иконок, с включённым отображением превьюшек, просто попытаться запустить ярлык — и этого было достаточно.

Большая часть вредоносов использует командную строку как таковую, а НЕ bat'ники. »

Поясните. Мне таковые не попадались.

Юзер может запускать только ТЕ BAT'ники, входят в состав разрешенного ПО или написаны\положены администратором. »

Так описанная Вами политика никак не поможет отличить «ТЕ BAT'ники, входят в состав разрешенного ПО или написаны\положены администратором» от созданных пользователем. Она просто разрешает исполнение любых пакетных файлов и запрещает открытие интерпретатора команд.