Всё запихнуть в разные VLAN, пользователей в отдельный поддомен, на IDS настроить реакцию на любой сетевой трафик, отличающийся от разрешённого, и появление активности от этих учётных записей. Ха-ха-ха.

Достаточно будет просто отделить эти компьютеры от интернета и других сетевых устройств, имеющих доступ без ограничений (больше для защиты от случайной хрени в локальной сети). Если же у тебя там такие ценные данные, что их реально кто-то будет пытаться спиздить (те же лицензионные программы за миллион денег), то надо не прямо к серверам доступ давать, а к отдельной локальной системе с прокси или чем-то аналогичным, которая будет контролировать соединения и объём данных и сама иметь доступ только к белому списку. После этого можно будет рассуждать, доступ какого уровня должен быть получен, чтобы достучаться до этих устройств и утащить с них что-то. В отличие от установки тотальной системы контроля сети и роутеров, каждый чих отправляющих в неё, прокси можно сделать на коленке и обвесить внешними проверками.