Isso é um pouco tangencial, mas talvez haja maneiras melhores de detectar comportamentos que violem a política (análise de registros de Snort / proxy da Web, etc.) ou, pelo menos, maneiras de reduzir a quantidade de supervisão manual executada por você?