Una PC del personal con un cliente de torrents o un juego nunca es solo una PC: es un agujero de seguridad y una pérdida de tiempo para toda la oficina. ManageEngine Endpoint Central tiene un módulo de control de aplicaciones que bloquea cualquier aplicación en cada computadora administrada desde una única consola. Esta guía le brinda el flujo completo, en el orden que no interrumpe el trabajo de nadie.
Seamos honestos acerca de qué es esta herramienta. El Control de aplicaciones de Endpoint Central descubre las aplicaciones instaladas en sus PC administradas, le permite crear listas permitidas y listas de bloqueo y las implementa como una política. Luego, un filtro a nivel de kernel verifica cada programa nuevo en el momento en que intenta iniciarse y detiene los que su política prohíbe. El bloqueo en sí tarda dos minutos. La verdadera habilidad es el orden: descubrir primero, poner la política por escrito, observar en modo auditoría y solo después hacer cumplir. Omita ese pedido y lo primero que bloqueará será la aplicación que el equipo de cuentas necesita el día de fin de mes.
El control de aplicaciones comienza con el descubrimiento basado en agentes: el agente de Endpoint Central escanea cada PC administrada y enumera lo que realmente está instalado, incluido el software que nadie en TI aprobó. Lea esa lista antes de bloquear cualquier cosa. La mayoría de los administradores encuentran sorpresas: un grabador de pantalla por aquí, una VPN personal por allá, tres herramientas PDF diferentes que hacen el mismo trabajo.
Esta lista es también su evidencia. Cuando alguien pregunta más tarde por qué se bloqueó una aplicación, el informe de descubrimiento muestra que se estaba ejecutando en máquinas de oficina, en horario de oficina, antes de que alguien tocara una política.
Primero decida las categorías en papel: juegos, clientes torrent y peer-to-peer, VPN personales, herramientas de acceso remoto que nadie aprobó, criptomineros y cualquier cosa que no tenga un propósito comercial. Anote quién aprueba una excepción y con qué rapidez, e infórmeselo al personal antes de que entre en vigencia la política, no después de la primera llamada telefónica enojada.
Una política escrita y anunciada convierte el bloqueo en una regla que todo el mundo conocía. Un bloqueo silencioso lo convierte en una pelea personal entre TI y un empleado sorprendido.
En la consola, vaya a Control de aplicaciones, luego a Grupos de aplicaciones y elija Crear lista de bloqueo. Agregue aplicaciones usando filtros: Vendor, Product Name, Verified Executable, File Hash, Folder Path y Store Apps. Prefiera reglas de proveedor y ejecutables verificadas a una regla simple de nombre de archivo: una regla de nombre cae en el momento en que alguien cambia el nombre del archivo, mientras que la identidad firmada del archivo no cambia.
Una nota honesta: para un único bloqueo rápido, Endpoint Central también mantiene una opción Bloquear ejecutable más simple en Inventario, que coincide por ruta o hash. Está bien para un archivo en algunas PC. Los grupos de aplicaciones son la ruta adecuada cuando la regla debe vivir como una política en toda la oficina.
En Implementación, abra Política de implementación y asocie su lista de bloqueo con un grupo personalizado de computadoras. Comience con un pequeño grupo piloto (su propio departamento o algunos usuarios amigables) incluso si el objetivo final es el grupo predeterminado Todas las computadoras. Las políticas se adjuntan por grupo, por lo que la oficina de diseño y la oficina de cuentas pueden llevar listas diferentes sin peleas.
Durante la implementación, configure también el mensaje de notificación personalizado que los usuarios verán cuando se bloquee una aplicación. Un mensaje que dice qué política lo bloqueó y a quién contactar le ahorra una docena de llamadas de soporte.
Endpoint Central ofrece dos modos de cumplimiento. En el modo de auditoría, las aplicaciones incluidas en la lista permitida y no administradas aún se ejecutan, pero se recopilan todos los eventos: puede ver exactamente qué se habría bloqueado, dónde y quién. Ejecute la política en modo auditoría durante al menos un ciclo de trabajo completo, incluido el final de mes, cuando salen las aplicaciones que rara vez se utilizan.
Trabaje en la vista Aplicaciones no administradas y los informes de acceso a aplicaciones bloqueadas, y resuelva cada entrada: agréguela a la lista de permitidas, agréguela a la lista de bloqueadas o muévala a un grupo de aplicaciones. El objetivo antes de hacer cumplir la ley es una lista breve, entendida y no administrada, no un acto de fe.
En el modo estricto, se aplica la política: las aplicaciones bloqueadas no pueden iniciarse, punto. Este es el modo que muestra el vídeo y funciona: un controlador a nivel de kernel filtra cada proceso recién creado, por lo que la regla se aplica incluso para una aplicación que se instaló mucho antes de que existiera la política.
Ahora la parte que lo mantiene humano: habilite la opción que permite a los usuarios solicitar acceso a aplicaciones no administradas. Una solicitud aprobada se puede conceder como acceso justo a tiempo: un permiso temporal con límite de tiempo que caduca por sí solo y se escribe en el registro de auditoría. El bloqueo con una puerta de solicitud de trabajo obtiene cumplimiento. Bloquear sin puerta ofrece soluciones.
El bloqueo y la desinstalación resuelven diferentes problemas. Desinstalar cuando el software no debería existir en absoluto en las máquinas de oficina: copias sin licencia, herramientas conocidas como defectuosas. Bloquear cuando la aplicación es legítima pero incorrecta para algunas personas o para algunas horas: la herramienta de diseño que el equipo de ventas no necesita, el juego que está bien en casa y no aquí. Una aplicación bloqueada permanece instalada y se ejecuta nuevamente en el momento en que cambia la política, que es exactamente lo que desea para las excepciones y cambios de roles.
Recuerde el límite de ambos: la desinstalación es un evento único que un usuario determinado puede deshacer reinstalando, mientras que una política de bloqueo se vuelve a aplicar en cada registro de agente. Para cualquier cosa que realmente importe, la política gana.
Cada clic se muestra en vivo en la consola de ManageEngine: grupos de aplicaciones, implementación de políticas y cambio de auditoría a estricta.
▶️ Watch Full VideoNo. Una aplicación bloqueada permanece instalada exactamente como estaba; simplemente no puede iniciarse mientras se aplica la política. Elimine la aplicación de la lista de bloqueo o elimine la política y se ejecutará nuevamente sin reinstalarla. Es por eso que bloquear es la herramienta adecuada para reglas basadas en roles y desinstalar es la herramienta adecuada para software que no debería existir en la máquina en absoluto.
No, y vale la pena comprobarlo antes de planificar una implementación. Application Control es un módulo complementario con licencia para Endpoint Central y ManageEngine también lo vende como un producto independiente llamado Application Control Plus. Que su consola muestre el menú Control de aplicaciones depende de la licencia que compró; si falta el menú, es una cuestión de licencia, no una instalación defectuosa.
Sí. Las reglas coinciden con la identidad (proveedor, ejecutable verificado, hash de archivo o ruta), no con un registro de instalación. Si alguien instala o copia una aplicación bloqueada más tarde, el modo estricto la detiene en el momento en que intenta ejecutarse. En una configuración de lista de permitidos, la protección es aún más amplia: todo lo que no esté en la lista de permitidos se trata como no administrado y bloqueado en modo estricto.