Один из способов запретить пользователю запускать определенные команды - это убрать бит исполнения для всех, кроме владельца root.

Например, что бы запретить пользователям выполнять команду curl:

chmod o-x $(which curl)

параметр o - all others означает «все, кроме владельца».