nApoBo3

поменять ttl, но смысла в это не много, логичнее заплатить.

Настройте скорость перемещения указателя мыши. Она настраиваться.

Не путайте технические ограничения и лицензирование. То, что программа не препятствует пиратству не делает ее лицензионной или бесплатной.

Возможно энергосбережение какое-нибудь.

Если задачи типовые, то вероятно вы упёрлись или в процессоры или в память.
Рейтинг процессоров можно взять с passmark, выбрать субъективно минимально пригодный, все что ниже под замену.
Оперативку просто отсечь по объему, мин 4гб, желательно 8гб.
Тестировать все компы при таком подходе необходимости нет.

Самый правильный вариант, если у вас пользователи должны иметь доступы только на паре терминальный сервер и сетевой ресурс, это выполнить изоляцию на сетевом уровне.
Так же вы можете исключить пользователей из группы users и создать им полностью костомную конфигурацию безопасности. Но это все равно позволит им выполнять некоторые "обзорные" действия в домене, часть из них у них в любом случае сохраниться, поскольку они должны иметь права на чтения некоторых объектов домена.

Если вам нужна авторизация на уровне системы, то альтернатив у вас особо нет.
Альтернативный подход, авторизация на уровне сервисов. Например office 365 и Azure AD.

PKI + 802.1x. Оно все на сертификатах работает.
Там порт начинает полноценно работать только после авторизации.

Случайные bsod это чаще всего отказ оборудования.
Наиболее вероятные виновники, память, диск, матплата, статика. Иногда бывают экзотические варианты, например может коротить обратную сторону мат.платы на корпус.
Загрузиться с лайв диска, прогнать memtest, mhdd или подобный тест, запустить длительные общие стрестесты.
Если по результатам bsod не произошел и тесты прошли нормально, разобрать ПК в открытый стенд, обычно на коробке от матплаты, попробовать поработать так.

Похоже на телеметрию или попытку входа в Майкрософт аккаунт.
ИМХО самый простой вариант изменить механизм блокировки интернета, вероятно у вас блокировка идёт через drop пакетов. Можно её сделать, через reject, возможно это решит проблему.
Второй вариант, зарубить узлы на dns, win server может разным клиентам отдавать разные ответы.

Насколько я помню windows professional поддерживает максимум 20 конкурентных подключений.

Или у вас не корректно настроен ipsec или вас затронула проблема с обновлениями windows, возможно к роутеру у вас идет подключение без шифрования.
https://habr.com/ru/news/t/645131/

С высокой степенью вероятности это будет нарушать лицензию. Учитывая, что у aws будут ваши платежные данные вероятны значительные юридические последствия.

Azure. Если не ошибаюсь при первичной регистрации у них есть достаточно приличный баланс на счёте или для этого можно найти промо.

И это одна из причин почему надо 1000 раз подумать перед тем как давать права на отдельный файл, права на файл должны наследоваться от каталога. Системно это не решить никак, у вашей программы запросто может не быть разрешений на удаление исходного файла и даже на чтение его разрешений. Прописать требования к правам доступа в документации и пусть админы сами разбираются с их зоопарком.

Есть такая штука nps, она может проверять наличие антивируса, но может ли она проверить наличие Касперского не знаю, плюс вам потребуется соответствующий коммутатор и настройка radius.

Надо смотреть какие именно лицензии закупались.
Сама программа имеет ограничение по сроку, но это относится именно к программе лицензирования, т.е. вы в ее рамках сможете дополнительно заказывать лицензии, это не срок действия самих лицензии.