Ik herhaal het nog maar weer eens: je kunt in Windows een Software Restriction Policy (in latere versies AppLocker policy genoemd) aanmaken. Deze bepaalt welke locaties executable software mogen bevatten. Dit gaat met allow en deny regels die je zo kunt opzetten dat de normale locaties zoals %windir% en %ProgramFiles% wel toegelaten zijn maar plekken als %USERPROFILE% niet. En %TEMP% (die is meestal een subdir van %USERPROFILE%) Dit richt je zo in dat er geen software kan worden uitgevoerd vanaf een locatie waar de gebruiker mag schrijven. (dus %USERPROFILE% en zeker %TEMP% maar ook netwerkschijven e.d.) Als je software wilt installeren log je in als een administrator en plaats je de software op de goede plek. Als je het systeem gewoon gebruikt log je in als een gebruiker die geen administrator is, en als er dan een of andere vulnerability is waardoor iets als cryptolocker actief wordt dan lukt het niet om die software te runnen. (999 van de 1000 exploits beginnen zowizo met een .exe te downloaden naar ...