Плохая идея закрывать исполняемые файлы. Времена софта с единственным исполняемым файлом давно канули в лету. под истерики юзеров и громы с молниями от руководства сдашься не пройдя и половины пути формирования белого списка.
Сделай в домене группу подопытных кроликов (по одному безобидному человеку от подразделения) и через gp на максималку UAC - сможешь ощутить на 1 % то, что ожидает.
Закрой лучше почту от исполняемых файлов и rar-архивов.