Como essas máquinas fazem parte de um domínio e serão conectadas à rede interna, você deve dar uma olhada nos Serviços de Atualização do Windows Server da Microsoft ( WSUS ). O WSUS é um aplicativo gratuito que permite gerenciar e implantar atualizações do MS em seu domínio. Não é tão versátil quanto alguns de seus produtos pagos, mas na verdade ainda é extremamente poderoso. Ele permitirá o download de atualizações do MS para o servidor, para que suas máquinas recebam patches localmente e não da Internet. Além disso, permite que você aprove / rejeite as atualizações como desejar e as implemente em grupos / individuais de máquinas / domínio inteiro. Ele lhe dá controle total sobre o processo de atualização do MS. O Windows Update nas máquinas individuais agora apontará para o servidor do WSUS e não para a Internet. Além disso, você pode tirar a habilidade dos usuários de instalar / ignorar atualizações. Você toma todas as decisões.
Eu sei que isso não é exatamente o que você pediu, mas acredito que seja uma solução melhor no geral.