myslím že by mohlo stačit sebrat uživateli "děti" právo k aplikaci iexplore.exe
dále vytvořit jiný - kvůli posílení bezpečnosti omezený účet "internet" s heslem - pro něj ověřit že aplikace funguje.
pak dát na plochu zástupce s příkazem runas, který spouští pod uživatelem "internet" msie nebo jiný prohlížeč - dotáže se při spuštění na heslo.

nežádoucí doinstalované prohlížeče jdou taky zablokovat na (aplikačním) firewallu.

mělo by to stejně blokovat i webovou adresu zadanou z příkazového řádku.