l7proto - jak zachytit windows update?

[Soptík]

Ahoj lidickove. Jiste se najde nekdo kdo mi poradi, jak definovat v L7
signaturu pro windows update.
1.) potrebuju zachytit provoz na portu http, ktery je vyvolan pomoci
updatea v IE
2.) zachytit update, ktery probiha na pozadi windows (možná je to
stejna signatura, nevim)

Zakazat primo URL "update.windows.cz" nechci, protože by to mohlo
vést k porušení nějaké svobody, ale vybraným klientum site bych
jen DROPoval pakety probihajiciho update windows.

Dekuji za pomoc.