Você está executando o componente Proxy Server como parte da sua instalação do SBS? Se não, você provavelmente não será capaz de impedi-lo usando o SBS especificamente.
Ele realmente precisa ser feito em qualquer dispositivo ou programa que você esteja usando como firewall, e proíbem que o tráfego saia. Gostaria de configurá-los em um intervalo de IP específico, fazer com que um grupo e proibir o grupo de enviar qualquer tipo de tráfego IP (porta 80 pelo menos) de sair. A regra precisaria estar acima de qualquer regra que permitisse o tráfego. Então, você ainda precisa bloqueá-los, certificando-se de que eles não estejam nos grupos de administradores ou de usuários avançados, para que eles não possam alterar seu endereço IP.
Se isso não estiver nos cartões, você ainda pode lançar roadblocks que muitos usuários não conseguiriam obter: dê a eles um IP estático e não coloque em um gateway padrão ou adicione um servidor proxy inexistente ao navegador deles configurações.