[Anton04]

и в Мониторинге ничего об этом не показывает и не говорит. »

Вот в этом я сомневаюсь. Почему см. ниже.

Трафик смог обнаружить только через Microsoft Network Monitor, что он действительно проходит через внутренний интерфейс ISA »

Я уж не знаю как Вы смотрите логи исы, но если к исе попадает запрос то он отражается в её логах (логов несколько в зависимости от типов клиентов, SecureNAT , Webproxy и Firewall). Ведать вы не там смотрите или не то.

Информации для анализа недостаточно. Первое что не понятно это стоят ли какие либо другие программы на исе (антивирусник, шейпер или что-то другое). Второе исходя из описания вы используете Firewall клиент на клиентах, надеюсь на серверах они не стоят? Третье не понятно как у Вас настроены интерфейсы на исе, что бы долго не выяснять почитайте Настройка сетевых интерфейсов для ISA сервера и скажите всё ли у Вас так.