[ShaddyR]

запретит только интерактивный запуск консоли, а batch-файлы разрешит вообще, не ограничиваясь logon/logoff. Т.е. ставишь палки в колёса пользователю, который может и не сунуться? и даёшь зелёный свет всему запущенному от его имени. »

не понимание концепции не противоречит ее жизнеспособности. Твой случай. Еще раз, надеюсь последний: юзер НЕ должен САМ что-либо запускать. Большая часть вредоносов использует командную строку как таковую, а НЕ bat'ники. Юзер может запускать только ТЕ BAT'ники, входят в состав разрешенного ПО или написаны\положены администратором. Прекращайте рисовать непонимание очевидных вещей.