Ser bom se você pode adicionar o filtro satisfeito no infra. Por exemplo bluecoat (têm um agente livre chamado k9) e lockdown o ajuste de proxy do cliente do usuário (supor são somente usuário e não mandam nenhuns privilégio do admin, shd não os conceder de qualquer maneira).
Você pode igualmente verific para fora minha resposta na identificação: 23295100, no uso de proxy.pac ou de wpad (mas daquele igualmente precisar a modalidade do usuário de restringir mudanças desautorizadas)
@
http://www.experts-exchange.com/Networking/Security/Q_24024960.html