noexec для wine

стандартными инструментами нельзя.

до 1.2 (или около того), можно было удалить все диски кроме ЦЭ, но теперь оно умеет все равно вылезать оттуда, зараза.

apparmor

winetricks sandbox

не помогает ? Или имеется ввиду что-то другое ?

Не, это не то. Вот у юзера есть профиль, там должен быть разрешен на запуск каталог с:\windows* c:\app\*. То что пользователь может запустить с флэшки или любого другого каталога - noexec.
Юзкейс - некоторые индивидуумы умудряются юзать свякие яндекс-браузеры, мэйл-агенты и тоб-бандлы под вайном.

rm -r ~/.wine
winetricks sandbox
cd ~/.wine/dosdevices
rm `ls | grep -v c:`
for i in {a..z}; do ln -s /dev/null "$i:";ln -s /dev/null "$i::"; done
chmod 555 ~/.wine/dosdevices
chown root:root ~/.wine/dosdevices

за пределы drive_c ничего не вылезет. usb флешки, cd/dvd приводы не видны. пока их кто-то явно не добавит.

Правильно выставленными правами внутри ~/.wine/drive_c можно ограничить запись внутри префикса.

Вообще если нужно контролировать чего творит wine внутри его drive_c, что-то не так в постановке задачи.

Немного не так. За пределы песочницы блокировать выход нет задачи. Нужно просто запретить запуск ехе

ну и попробуй с флешки что-то запустить типа

wine text.exe

или через ассоциацию с ехе в FM

wine расскажет, что не знает где найти сей файл. это описано в моём посте, на который сударь имеет честь отвечать.