Забараніць усталяваныя праграмы?
Не дазваляйце ўсталяваць ідэнтыфікатар set-user або набор ідэнтыфікатараў групы.

варыянты мацавання: suid / nosuid