Ein Workaround wäre, den Win-Boxen Zugriff auf, und nur auf, den für sie wichtigen Teil des Internet zu geben (also wohl HTTPS auf die Seite des AV-Herstellers).
Ein kurzer Gedankenblitz: Wäre es nicht auch möglich die Update-Services per DNS auf einen im Netzwerk stehenden Server umzubiegen? Sollte doch gehen, falls alles nur per HTTP ausgeliefert wird.
Gruß
Norman