A maneira mais fácil de pensar é em usar a Política de Grupo.
Configurações do computador > Modelos Administrativos > Componentes do Windows > Windows Installer.
Desative o Windows Installer e os usuários não poderão mais instalar software ou aplicativos suspeitos.