Eu acho que são os aplicativos do metrô que fazem isso; quase 100 regras de firewall são criadas por usuário. Mas eu não sei como você pode pará-lo, exceto desativando completamente todos os aplicativos do metrô. Contanto que você não tenha uma tonelada de usuários que continuem criando novos perfis, isso não deve ser um problema. Caso contrário, você pode ver a indexação do svchost.exe a 25% da CPU, depois que um novo usuário faz o login.
EDITAR:
contando as regras do firewall com o powershell:
get-netfirewallrule | measure-object
get-netfirewallrule -policystore configurableservicestore | measure-object
Muitos deles você não consegue ver no painel de controle. Eu só os excluiria se eles pertencessem a um sid que não tenha mais um perfil.