Se você não deseja bloquear máquinas clientes, você precisa controlar isso na borda através de seu firewall ou proxy. Você afirmou que está usando o Squid - portanto, se todos os clientes precisarem passar tráfego, você deve estar bem. Não tenho muita experiência com o Squid, mas acredito que você possa criar uma ACL que possa bloquear o acesso com base na URL. Se você quiser algo que bloqueia por categoria e usar o filtro inteligente, você precisará de um dispositivo ou serviço diferente (WebSense, Sophos, etc).
Se você tiver controle total sobre as estações de trabalho, poderá fazer isso por meio da Política de Grupo e restringir o uso de navegadores de terceiros. No entanto, é exatamente como acima e você precisa ter os URLs para bloquear ou aprovar.
Se você estiver usando um pacote de malware de terceiros gerenciado centralmente - alguns deles também oferecem métodos para bloqueio por categorias - e funcionará para todos os navegadores e aplicativos da máquina. O benefício disso é que as regras viajam com as máquinas.
Você também pode procurar um serviço como o OpenDNS, que oferece filtragem de conteúdo, ou proxies de cliente de código aberto, como o DansGaurdian.