Возможно ли средствами AD/GPO блокировать сайты?
Через GPO можно управлять встроенным фаерволом. Но лучше конечно эту задачу решать на пограничном устройстве.
Как вариант через политику можно добавить сайты в запрещенную зону. Пример можно посмотреть здесь.