Нормально настроенные политики работают гораздо эффективнее, чем эти вонючие и вечно тормозящие антивирусные.Добавляем documents&settings, флешки и %systemroot%\temp в список директорий из которых запрещен запуск ПО. На desktop и start menu разрешаем запускать только *.lnk. Можно еще более жестко все прикрыть, но сложнее и значительно дольше, плюс к этому настройки не портируемы окажутся. Работает куча секретуток и бухгалтеров с такими правилами, до сих пор все компьютеры чистые. Проверял через Drweb LiveCD. Естественно про роутер/прокси на котором стоит не венда не забываем.
Зато любители антивирусных начинают распадаться на метан со всякими предложениями просто поставить антивирус и сходить в бар, боулинг, бильярд. Неадекватные предложения короче.