How to block some internal IPs

Are you trying to block all external networks (websites, windows updates, email) or from ALL networks including internal? 
Are you using just NAT to get users online, or Web Protection?

If you want to block from everything, go to your managed switch and disable the ports these PCs are plugged into.

There is no best practice, as the configuration needed would be situationally based.

Yes i am using NAT and Web protection (IP Based) as well.

Disabling managed switch port doesn't solves purpose as some of the client is on wireless too.

and users are so wise that they can change IP too , so i am hunting to block its internet by their MAC address.

Please suggest if any.

You can create a MAC address list at Definitions & Users > Network Definitions > MAC Address Definitions.  You can then use this in a blocking firewall rule and in a Wireless Network definition Wireless Protection > Wireless Networks.  

Neither Application Control nor the Web Filtering are MAC aware, so you would need to block in these areas by IP, which you could do by creating Static Mappings for these clients.

Hey scott thanks for update. but we are not using sophos wireless feature.

I have also tried to drop their traffic directly from firewall rule , it doesnt worked out..[:(]