Szerintem vfs modult lehetne írni rá sambahoz.
Windows oldalt jó kérdés, gondolkodtam valami Applocker szerű megmozduláson Ariad forráskódja Public Domain, nem nagy kunszt átírni, hogy csak bizonyos path(ok)ról mehessen az execute de majdcsak minden program telepítője a user temp mappájába dobálja az installert, ha az whitelistre kerül akkor meg annyi mint halottnak a csók (a google meg azt mondta, hogy kernel modeban nincs lehetőség aláírást ellenőrizni). :)