consulta por orientacion

saludos amigos

se que a veces existen preguntas que tienen respuestas relativas y muchas
de ellas muy largas, pero el caso es que me interesa mas una orientacion
que un explicacion exacta de lo que deberia hacer.
mi organizacion tiene w2k como domain controller y un 2wk como domain
controller de replica, este ultimo tiene exchange 2000 con todos los
parches para el sistema operativo como los parches para exchange; he
configurado el server para evitar el relay, segun articulos que aparecen
en internet, pero no logro evitar que en las sesiones del conector SMTP,
aparezcan una serie de ip que no son de equipos dentro de mi red, es decir
que hay intrusos dentro de mi server haciendo relay, extra tengo este
servidor tras un ISA server y no veo como pasan estas intrusiones, les
rogaria me orienten sobre lo que debo hacer para evitar definitivamente
estas intrusiones.