Может ли SCCM или WSUS активно инициировать новое TCP-соединение с клиентом?

У меня есть компьютеры, подключенные к корпоративной доменной сети с SCCM (+WSUS?), работающим на общих TCP-портах (8531, 443, 80, я полагаю). Компьютеры находятся под брандмауэром hw и новые исходящие соединения к этим портам отключены, разрешены только несколько TCP портов назначения на новых исходящих TCP соединениях, например 123, 53 и 5938, а также разрешен ping.

Но недавно некоторые компьютеры начали загружать обновления windows, что нежелательно. Мне интересно, как это стало возможным, возможно ли, что WSUS или SCCM сервер активно инициирует новое TCP соединение с клиентом, так что набор правил брандмауэра WAN_IN будет рассматриваться вместо WAN_OUT?