Запретить Default-Gateway изменение прав локального администратора

Есть ли способ отменить изменение IP-адреса шлюза по умолчанию для локального администратора?

У меня есть около 10 Helpdesk Engineer для лучшего устранения неполадок на клиентском ПК, я включил там имя пользователя домена в Local Administrator.

Теперь когда-нибудь они меняют сетевой IP-адрес, особенно Default - Gateway своего ПК, чтобы обойти брандмауэр.

Есть ли какой-либо журнал или обходной путь, с помощью которого я могу отслеживать, кто изменил IP-адрес шлюза по умолчанию?