Как сделать защиту от подмены msi файла установщика GPO?
Положить его в место, в котором не будет прав на запись для тех, кого подозреваете в подмене.
Alexey Dmitriev или сам файл поставить в "только чтение"