impedir ejecutables

Buenos dias, Una consulta, trabajando en un dominio W2k3 con GPOs, ¿como se puede impedir la instalaciòn de cualquier aplicacion desde sesiones de usuarios que únicamente pertenecen al grupo de usuarios avanzados en el equipo ...

Para ayudar a proteger el equipo, Windows cerro este programa. Pues el caso es que ya creia que me havia librado de las pantallas de errores al incio de mi sistema operativo, un Windows XP Pro con el SP2, por lo visto esto de DEP es algo que viene ...