Ein Mitarbeiter-PC mit einem Torrent-Client oder einem Spiel ist nie nur ein PC – es ist eine Sicherheitslücke und ein Zeitverlust für das gesamte Büro. ManageEngine Endpoint Central verfügt über ein Anwendungskontrollmodul, das jede Anwendung auf jedem verwalteten Computer von einer einzigen Konsole aus blockiert. Dieser Leitfaden vermittelt Ihnen den gesamten Ablauf in einer Reihenfolge, die niemanden bei seiner Arbeit unterbricht.
Seien wir ehrlich, was dieses Tool ist. Die Anwendungskontrolle von Endpoint Central erkennt die auf Ihren verwalteten PCs installierten Anwendungen, ermöglicht Ihnen die Erstellung von Zulassungs- und Sperrlisten und verteilt sie als Richtlinie. Ein Filter auf Kernelebene überprüft dann jedes neue Programm, sobald es zu starten versucht, und stoppt diejenigen, die Ihre Richtlinie verbietet. Das Blockieren selbst dauert zwei Minuten. Die wahre Kunst liegt in der Reihenfolge: Zuerst entdecken, die Richtlinie schriftlich festhalten, im Prüfmodus beobachten und erst dann durchsetzen. Wenn Sie diese Bestellung überspringen, blockieren Sie als Erstes die App, die das Buchhaltungsteam am Monatsende benötigt.
Application Control beginnt mit der agentenbasierten Erkennung: Der Endpoint Central-Agent scannt jeden verwalteten PC und listet auf, was tatsächlich installiert ist, einschließlich Software, die niemand in der IT jemals genehmigt hat. Lesen Sie diese Liste, bevor Sie etwas blockieren. Die meisten Administratoren erleben Überraschungen – ein Bildschirmrekorder hier, ein persönliches VPN dort, drei verschiedene PDF-Tools, die den gleichen Job erledigen.
Diese Liste ist auch Ihr Beweis. Wenn jemand später fragt, warum eine App blockiert wurde, zeigt der Entdeckungsbericht, dass sie zur Bürozeit auf Bürocomputern ausgeführt wurde, bevor jemand eine Richtlinie berührte.
Legen Sie die Kategorien zunächst auf dem Papier fest: Spiele, Torrent- und Peer-to-Peer-Clients, persönliche VPNs, Fernzugriffstools, die niemand genehmigt hat, Krypto-Miner und alles ohne geschäftlichen Zweck. Schreiben Sie auf, wer eine Ausnahme genehmigt und wie schnell – und teilen Sie dies den Mitarbeitern mit, bevor die Richtlinie in Kraft tritt, und nicht erst nach dem ersten wütenden Anruf.
Eine schriftliche, angekündigte Richtlinie macht das Blockieren zu einer Regel, die jeder kennt. Eine stille Blockade führt zu einem persönlichen Streit zwischen der IT-Abteilung und einem überraschten Mitarbeiter.
Gehen Sie in der Konsole zu Anwendungssteuerung, dann zu Anwendungsgruppen und wählen Sie Blockliste erstellen. Fügen Sie Anwendungen mithilfe von Filtern hinzu – Vendor, Product Name, Verified Executable, File Hash, Folder Path und Store Apps. Bevorzugen Sie Hersteller- und verifiziert ausführbare Regeln gegenüber einer einfachen Dateinamensregel: Eine Namensregel wird ungültig, sobald jemand die Datei umbenennt, während sich die signierte Identität der Datei nicht ändert.
Eine ehrliche Anmerkung: Für einen einzelnen schnellen Block hält Endpoint Central auch eine einfachere Option Ausführbare Datei blockieren unter Inventar bereit, die nach Pfad oder Hash abgeglichen wird. Für eine Datei auf mehreren PCs reicht es völlig aus. Anwendungsgruppen sind der richtige Weg, wenn die Regel im gesamten Büro als Richtlinie gelten muss.
Öffnen Sie unter Bereitstellung die Bereitstellungsrichtlinie und verknüpfen Sie Ihre Sperrliste mit einer benutzerdefinierten Gruppe von Computern. Beginnen Sie mit einer kleinen Pilotgruppe – Ihrer eigenen Abteilung oder ein paar befreundeten Benutzern – auch wenn das Endziel die Standardgruppe „Alle Computer“ ist. Die Richtlinien werden pro Gruppe angehängt, so dass das Planungsbüro und das Rechnungsbüro ohne Streit unterschiedliche Listen führen können.
Legen Sie bei der Bereitstellung auch die benutzerdefinierte Benachrichtigung fest, die Benutzern angezeigt wird, wenn eine App blockiert wird. Eine Nachricht, die besagt, welche Richtlinie es blockiert hat und an wen Sie sich wenden müssen, erspart Ihnen ein Dutzend Supportanrufe.
Endpoint Central bietet zwei Durchsetzungsmodi. Im Überwachungsmodus werden auf der Zulassungsliste stehende und nicht verwaltete Anwendungen weiterhin ausgeführt, aber jedes Ereignis wird erfasst: Sie sehen genau, was wo und von wem blockiert worden wäre. Führen Sie die Richtlinie mindestens einen vollständigen Arbeitszyklus lang im Überwachungsmodus aus – einschließlich des Monatsendes, wenn die selten genutzten Apps herauskommen.
Arbeiten Sie die Ansicht Nicht verwaltete Apps und die Zugriffsberichte über blockierte Anwendungen durch und lösen Sie jeden Eintrag auf: Fügen Sie ihn zur Zulassungsliste hinzu, fügen Sie ihn zur Sperrliste hinzu oder verschieben Sie ihn in eine Anwendungsgruppe. Das Ziel vor der Durchsetzung ist eine kurze, verständliche, nicht verwaltete Liste – kein Vertrauensvorschuss.
Im Strengen Modus wird die Richtlinie durchgesetzt: Apps auf der Sperrliste können nicht gestartet werden, Schluss damit. Dies ist der Modus, den das Video demonstriert, und er funktioniert – ein Treiber auf Kernel-Ebene filtert jeden neu erstellten Prozess, sodass die Regel auch für eine App gilt, die lange vor der Existenz der Richtlinie installiert wurde.
Nun der Teil, der es human hält: Aktivieren Sie die Option, mit der Benutzer Zugriff auf nicht verwaltete Anwendungen anfordern können. Eine genehmigte Anfrage kann als Just-in-Time-Zugriff gewährt werden – eine vorübergehende, zeitgebundene Berechtigung, die von selbst abläuft und in das Prüfprotokoll geschrieben wird. Das Blockieren mit einer funktionierenden Anforderungstür führt zu Compliance. Das Blockieren ohne Tür bietet Problemumgehungen.
Durch Blockieren und Deinstallieren werden unterschiedliche Probleme gelöst. Deinstallieren, wenn die Software überhaupt nicht auf Bürocomputern vorhanden sein sollte – nicht lizenzierte Kopien, bekanntermaßen fehlerhafte Tools. Blockieren, wenn die App legitim, aber für einige Leute oder einige Stunden falsch ist: das Design-Tool, das das Verkaufsteam nicht braucht, das Spiel, das zu Hause in Ordnung ist und nicht hier. Eine blockierte App bleibt installiert und wird erneut ausgeführt, sobald sich die Richtlinie ändert. Dies ist genau das, was Sie für Ausnahmen und Rollenänderungen wünschen.
Denken Sie an die Grenzen beider: Die Deinstallation ist ein einmaliger Vorgang, den ein bestimmter Benutzer durch eine Neuinstallation rückgängig machen kann, während eine Blockierungsrichtlinie bei jedem Agenten-Check-in erneut angewendet wird. Bei allem, was wirklich zählt, gewinnt die Politik.
Jeder Klick wird live in der ManageEngine-Konsole angezeigt – Anwendungsgruppen, Richtlinienbereitstellung und der Wechsel von Audit zu Strict.
▶️ Watch Full VideoNein. Eine blockierte Anwendung bleibt genau so installiert, wie sie war – sie kann einfach nicht gestartet werden, während die Richtlinie gilt. Entfernen Sie die App von der Sperrliste oder entfernen Sie die Richtlinie, und sie wird ohne Neuinstallation erneut ausgeführt. Deshalb ist das Blockieren das richtige Werkzeug für rollenbasierte Regeln und die Deinstallation das richtige Werkzeug für Software, die überhaupt nicht auf dem Computer vorhanden sein sollte.
Nein, und das sollten Sie prüfen, bevor Sie einen Rollout planen. Application Control ist ein lizenziertes Zusatzmodul für Endpoint Central und wird von ManageEngine auch als eigenständiges Produkt namens Application Control Plus verkauft. Ob Ihre Konsole das Application Control-Menü anzeigt, hängt von der von Ihnen erworbenen Lizenz ab. Wenn das Menü fehlt, handelt es sich um eine Lizenzfrage und nicht um eine fehlerhafte Installation.
Ja. Die Regeln stimmen mit der Identität überein – Anbieter, verifizierte ausführbare Datei, Datei-Hash oder Pfad – und nicht mit einem Installationsdatensatz. Wenn jemand später eine auf der Sperrliste stehende Anwendung installiert oder kopiert, stoppt der strikte Modus sie in dem Moment, in dem sie versucht, auszuführen. Bei der Einrichtung einer Zulassungsliste ist der Schutz sogar noch umfassender: Alles, was nicht auf der Zulassungsliste steht, wird im strengen Modus als nicht verwaltet und blockiert behandelt.