حظر أي تطبيق في Office

اكتشف ما تم تثبيته بالفعل

افتح وحدة التحكم Endpoint Central وابدأ بالاكتشاف، وليس بالحظر: يقوم الوكيل الموجود على كل جهاز كمبيوتر مُدار بفحص التطبيقات المثبتة بالفعل في جميع أنحاء المكتب وإدراجها، بما في ذلك البرامج التي لم تتم الموافقة عليها من قبل في قسم تكنولوجيا المعلومات على الإطلاق. اقرأ تلك القائمة قبل حظر أي شيء. توقع المفاجآت - شبكة VPN شخصية هنا، ومسجل شاشة قديم هناك، وثلاث أدوات PDF تقوم بنفس المهمة. تقرير الاكتشاف هذا هو أيضًا دليلك لاحقًا: عندما يسأل شخص ما عن سبب حظر تطبيق ما، فإنه يوضح أن التطبيق كان يعمل على الأجهزة المكتبية قبل وجود أي سياسة.

اكتب السياسة قبل الكتلة الأولى

قرر القواعد على الورق أولاً. اكتب الفئات، وليس أسماء التطبيقات: الألعاب، وعملاء التورنت ونظير إلى نظير، وشبكات VPN الشخصية، وأدوات الوصول عن بعد التي لم تتم الموافقة عليها من قبل أحد، وعمال المناجم المشفرين، وأي شيء ليس له أي غرض تجاري. الفئات تبقى على قيد الحياة في اللعبة الجديدة الشهر المقبل؛ قائمة الأسماء لا. قم بتسمية الشخص أو الدور الذي يوافق على الاستثناءات، والطريق الذي يستخدمه الموظفون للسؤال، ووقت الرد الموعود - يوم عمل واحد هو وعد جيد. تحصل الاحتياجات المؤقتة على وصول مؤقت ومحدود، ولا يتم فتح فجوة دائمة على عجل.

أنشئ قائمة الحظر كمجموعة تطبيقات

في وحدة التحكم، انتقل إلى التحكم في التطبيق، ثم مجموعات التطبيقات، واختر إنشاء قائمة الحظر. أضف التطبيقات باستخدام المرشحات التي توفرها وحدة التحكم: المورد، اسم المنتج، الملف القابل للتنفيذ الذي تم التحقق منه، تجزئة الملف، مسار المجلد وتطبيقات المتجر. يظل التطبيق المحظور مثبتًا على جهاز الكمبيوتر - ولا يمكن تشغيله ببساطة. بالنسبة لملف واحد على عدد قليل من أجهزة الكمبيوتر، يحتوي Endpoint Central أيضًا على خيار أبسط للكتلة القابلة للتنفيذ ضمن المخزون، والذي يتطابق مع المسار أو التجزئة؛ تعتبر مجموعات التطبيقات هي المسار الصحيح عندما يجب أن تكون القاعدة موجودة كسياسة عبر المكتب بأكمله.

اختر القواعد التي تبقى بعد إعادة التسمية

إن كيفية تحديد التطبيق تحدد ما إذا كانت الكتلة ستصمد أم لا. قاعدة اسم الملف هي الأضعف: فهي تقرأ الملصق فقط، وإعادة تسمية game.exe إلى report.exe تؤدي إلى إبطالها تمامًا. تظل قاعدة مسار المجلد قابلة لإعادة التسمية ولكن ليس النقل إلى مجلد آخر. تجزئة الملف هي بصمة لمحتويات الملف بالضبط، لذلك تظل النسخة المعاد تسميتها أو المنقولة متطابقة - ولكن كل تحديث يغير التجزئة، لذا تحتاج قوائم التجزئة إلى الصيانة. تتبع قواعد البائع والقواعد القابلة للتنفيذ التي تم التحقق منها التوقيع الرقمي للناشر: فهي تظل قائمة بعد عمليات إعادة التسمية والتحركات والتحديثات العادية، مما يجعلها الافتراضية العملية. للحصول على تجزئة لملف واحد معروف أنه سيئ، قم بحسابه على أي جهاز كمبيوتر يعمل بنظام Windows:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

استبدل مسار المثال بمسار الملف الحقيقي. يقوم الأمر بطباعة تجزئة SHA256 التي قمت بلصقها في قاعدة تجزئة الملف.

النشر إلى مجموعة تجريبية في وضع التدقيق

ضمن النشر، افتح سياسة النشر وأرفق القائمة المحظورة بمجموعة مخصصة من أجهزة الكمبيوتر - ابدأ بمجموعة تجريبية صغيرة مثل القسم الخاص بك، حتى لو كان الهدف النهائي هو كل أجهزة الكمبيوتر المكتبية. أثناء النشر، قم بأمرين. أولاً، قم بتعيين رسالة الإشعارات المخصصة التي سيراها المستخدمون عند حظر أحد التطبيقات: قم بتسمية السياسة وحدد من يجب الاتصال به. ثانيًا، قم بتشغيل الخيار الذي يتيح للمستخدمين طلب التطبيقات - قم بتشغيله الآن، وليس بعد الأزمة الأولى، بحيث يحصل المستخدم المحظور على مسار طلب بدلاً من طريق مسدود. انشر السياسة في وضع التدقيق: لم يتم حظر أي شيء حتى الآن، ولكن يتم تسجيل كل بداية للتطبيق.

قم بحل كل التطبيقات غير المُدارة قبل فرضها

قم بتشغيل وضع التدقيق لدورة عمل كاملة واحدة على الأقل - شهر يتضمن نهاية الشهر، عندما تظهر أدوات الإغلاق وإعداد التقارير التي نادرًا ما تستخدم. ثم اعمل من خلال عرض التطبيقات غير المُدارة وحدد كل إدخال: أضفه إلى القائمة المسموح بها، أو أضفه إلى القائمة المحظورة، أو انقله إلى مجموعة تطبيقات. بالنسبة لملف غير معروف حقًا على جهاز كمبيوتر واحد، اسأل مستخدمه قبل الحكم - نصف الأسماء المخيفة هي أدوات مملة ذات علامات تجارية سيئة. الهدف قبل التنفيذ هو قائمة قصيرة ومفهومة غير مُدارة، لذا لا يحمل الوضع Strict أي مفاجآت.

قم بالتبديل إلى الوضع الصارم - وقم بتشغيل باب الاستثناء بشكل صحيح

قم بتبديل المجموعة التجريبية إلى الوضع الصارم أولاً، وقم بتشغيلها لمدة أسبوع، وبعد ذلك فقط قم بطرح مجموعة تلو الأخرى. في الوضع الصارم، يكون الحظر حقيقيًا: يقوم مرشح بفحص كل برنامج في اللحظة التي يحاول فيها تشغيله، وبالتالي فإن القاعدة تنطبق حتى على التطبيقات المثبتة قبل وقت طويل من السياسة وعلى النسخ المحمولة التي لم يتم تثبيتها على الإطلاق. عندما يتبين أن هناك حاجة إلى تطبيق محظور للعمل الحقيقي، قم بالموافقة على الوصول في الوقت المناسب لبضع ساعات أو يوم - تنتهي صلاحيته من تلقاء نفسه. إذا استمر القسم نفسه في طلب التطبيق نفسه، فانقله إلى القائمة المسموح بها لهذه المجموعة بشكل صحيح واحتفظ بالقرار في سجل التدقيق.