Un ordinateur personnel doté d'un client torrent ou d'un jeu n'est jamais qu'un seul ordinateur : c'est une faille de sécurité et une fuite de temps pour l'ensemble du bureau. ManageEngine Endpoint Central dispose d'un module de contrôle des applications qui bloque toute application sur chaque ordinateur géré à partir d'une seule console. Ce guide vous donne le déroulement complet, dans un ordre qui n'interrompt le travail de personne.
Soyons honnêtes sur ce qu'est cet outil. Le Application Control d'Endpoint Central découvre les applications installées sur vos PC gérés, vous permet de créer des listes autorisées et des listes de blocage et les diffuse en tant que stratégie. Un filtre au niveau du noyau vérifie ensuite chaque nouveau programme au moment où il tente de démarrer et arrête ceux que votre politique interdit. Le blocage prend deux minutes. La véritable compétence est l'ordre : découvrez d'abord, mettez la politique par écrit, surveillez en mode audit, et ensuite seulement appliquez-la. Ignorez cette commande et la première chose que vous bloquerez sera l'application dont l'équipe des comptes a besoin le jour de fin du mois.
Application Control commence par une découverte basée sur un agent : l'agent Endpoint Central analyse chaque PC géré et répertorie ce qui est réellement installé, y compris les logiciels que personne dans le service informatique n'a jamais approuvés. Lisez cette liste avant de bloquer quoi que ce soit. La plupart des administrateurs trouvent des surprises : un enregistreur d'écran par-ci, un VPN personnel par-là, trois outils PDF différents faisant le même travail.
Cette liste constitue également votre preuve. Lorsque quelqu'un demande plus tard pourquoi une application a été bloquée, le rapport de découverte montre qu'elle fonctionnait sur des ordinateurs de bureau, pendant les heures de bureau, avant que quiconque ne touche à une politique.
Décidez d'abord des catégories sur papier : jeux, clients torrent et peer-to-peer, VPN personnels, outils d'accès à distance que personne n'a approuvés, mineurs de crypto et tout ce qui n'a aucun objectif commercial. Notez qui approuve une exception et à quelle vitesse – et informez-en le personnel avant que la politique n'arrive, et non après le premier appel téléphonique en colère.
Une politique écrite et annoncée fait du blocage une règle connue de tous. Un bloc silencieux transforme la situation en un combat personnel entre le service informatique et un employé surpris.
Dans la console, accédez à Contrôle des applications, puis à Groupes d'applications et choisissez Créer une liste de blocage. Ajoutez des applications à l'aide de filtres : Vendor, Product Name, Verified Executable, File Hash, Folder Path et Store Apps. Préférez les règles du fournisseur et des exécutables vérifiés à une règle de nom de fichier simple : une règle de nom disparaît dès que quelqu'un renomme le fichier, tandis que l'identité signée du fichier ne change pas.
Une remarque honnête : pour un seul bloc rapide, Endpoint Central conserve également une option Bloquer l'exécutable plus simple sous Inventaire, correspondant à un chemin ou à un hachage. C'est bien pour un fichier sur quelques PC. Les groupes d’applications constituent la voie appropriée lorsque la règle doit être considérée comme une politique dans l’ensemble du bureau.
Sous Déploiement, ouvrez Déployer la stratégie et associez votre liste de blocage à un groupe personnalisé d'ordinateurs. Commencez par un petit groupe pilote – votre propre service ou quelques utilisateurs sympathiques – même si la cible finale est le groupe Tous les ordinateurs par défaut. Les polices sont attachées par groupe, de sorte que le bureau d'études et le bureau comptable peuvent porter des listes différentes sans aucun combat.
Lors du déploiement, définissez également le message de notification personnalisé que les utilisateurs verront lorsqu'une application est bloquée. Un message indiquant quelle politique l'a bloqué et qui contacter vous évite une douzaine d'appels d'assistance.
Endpoint Central propose deux modes d'application. En Mode Audit, les applications sur liste blanche et non gérées s'exécutent toujours, mais chaque événement est collecté : vous voyez exactement ce qui aurait été bloqué, où et par qui. Exécutez la stratégie en mode audit pendant au moins un cycle de travail complet, y compris la fin du mois, lorsque les applications rarement utilisées sortent.
Parcourez la vue Applications non gérées et les rapports d'accès aux applications bloquées, et résolvez chaque entrée : ajoutez-la à la liste verte, ajoutez-la à la liste de blocage ou déplacez-la dans un groupe d'applications. L’objectif avant l’application est une liste courte et comprise, non gérée – et non un acte de foi.
En Mode strict, la politique est appliquée : les applications bloquées ne peuvent pas démarrer, point final. C'est le mode présenté dans la vidéo, et il fonctionne : un pilote au niveau du noyau filtre chaque processus nouvellement créé, de sorte que la règle s'applique même à une application installée bien avant que la politique n'existe.
Maintenant, la partie qui reste humaine : activez l'option qui permet aux utilisateurs de demander l'accès aux applications non gérées. Une demande approuvée peut être accordée sous la forme d'un accès juste à temps : une autorisation temporaire et limitée dans le temps qui expire d'elle-même et est consignée dans le journal d'audit. Le blocage avec une porte de demande de travail obtient la conformité. Le blocage sans porte permet d'obtenir des solutions de contournement.
Le blocage et la désinstallation résolvent différents problèmes. Désinstallez lorsque le logiciel ne devrait pas du tout exister sur les ordinateurs de bureau : copies sans licence, outils réputés mauvais. Bloquer lorsque l'application est légitime mais erronée pour certaines personnes ou certaines heures : l'outil de conception dont l'équipe commerciale n'a pas besoin, le jeu qui convient bien à la maison et pas ici. Une application bloquée reste installée et s'exécute à nouveau dès que la politique change, ce qui est exactement ce que vous souhaitez pour les exceptions et les changements de rôle.
N'oubliez pas la limite des deux : la désinstallation est un événement ponctuel qu'un utilisateur déterminé peut annuler en réinstallant, tandis qu'une politique de blocage se réapplique à chaque enregistrement d'agent. Pour tout ce qui compte vraiment, la politique l’emporte.
Chaque clic est affiché en direct dans la console ManageEngine : groupes d'applications, déploiement de politiques et commutateur d'audit vers strict.
▶️ Watch Full VideoNon. Une application bloquée reste installée exactement telle qu’elle était : elle ne peut tout simplement pas démarrer tant que la stratégie s’applique. Supprimez l'application de la liste de blocage ou supprimez la stratégie, et elle s'exécutera à nouveau sans réinstallation. C'est pourquoi le blocage est le bon outil pour les règles basées sur les rôles, et la désinstallation est le bon outil pour les logiciels qui ne devraient pas du tout exister sur la machine.
Non, et cela vaut la peine de vérifier avant de planifier un déploiement. Application Control est un module complémentaire sous licence pour Endpoint Central, et ManageEngine le vend également en tant que produit autonome appelé Application Control Plus. Le fait que votre console affiche le menu Application Control dépend de la licence que vous avez achetée. Si le menu est manquant, il s'agit d'une question de licence et non d'une installation interrompue.
Oui. Les règles correspondent sur l'identité (fournisseur, exécutable vérifié, hachage ou chemin d'accès du fichier) et non sur un enregistrement d'installation. Si quelqu'un installe ou copie ultérieurement une application sur liste noire, le mode strict l'arrête dès qu'elle tente de s'exécuter. Dans une configuration de liste verte, la protection est encore plus large : tout ce qui ne figure pas sur la liste verte est traité comme non géré et bloqué en mode strict.