Eu posso criar a funcionalidade "whitelist" para bloquear todos os sites e permitir alguns através da configuração GP: User Configuration > Windows Settings > Internet Explorer Maintenance > Connection/Proxy Settings > Exceptions - Do not use proxy server for addresses beginning with .
Posso criar também uma opção de lista negra como esta (ou similar) na Diretiva de Grupo?
Uma ótima maneira de gerenciar isso seria com o seu servidor DNS interno. Você pode configurar o DNS BlackHoles. Que você pode definir para ir para 127.0.0.1 ou qualquer outro endereço IP que você deseja.
Isso é muito mais gerenciável e escalável.
Você pode ler um pouco mais sobre isso aqui:
link
Uma maneira de fazer isso seria manter um arquivo HOSTS no seu compartilhamento Netlogon e ter uma Política de Grupo executando um script de logon para os usuários copiarem o arquivo HOSTS para sua pasta C:\Windows\System32\drivers\etc .
O conteúdo do arquivo HOSTS conterá uma lista de domínios e endereços IP falsos:
google.com 127.0.0.1
youtube.com 127.0.0.1
Naturalmente, um método muito melhor seria implementar um servidor proxy em sua rede (há inúmeros gratuitos por aí)