Blokujte jakoukoli aplikaci v Office

Zjistěte, co je skutečně nainstalováno

Otevřete konzolu Endpoint Central a začněte zjišťováním, nikoli blokováním: agent na každém spravovaném počítači skenuje a uvádí aplikace, které jsou skutečně nainstalovány v kanceláři, včetně softwaru, který nikdo z IT nikdy neschválil. Než něco zablokujete, přečtěte si tento seznam. Očekávejte překvapení – zde osobní VPN, tam starý záznamník obrazovky, tři nástroje PDF dělají stejnou práci. Tato zpráva o zjištění je také vaším důkazem později: když se někdo zeptá, proč byla aplikace zablokována, ukáže, že aplikace běžela na kancelářských strojích předtím, než existovaly nějaké zásady.

Napište zásady před prvním blokem

Nejprve si stanovte pravidla na papíře. Pište kategorie, nikoli názvy aplikací: hry, torrent a peer-to-peer klienti, osobní VPN, nikdo neschválené nástroje pro vzdálený přístup, těžaři kryptoměn a cokoli bez obchodního účelu. Kategorie přežijí novou hru příští měsíc; seznam jmen ne. Jmenujte osobu nebo roli, která schvaluje výjimky, pracovníky na trase, na které se ptá, a slíbený čas odpovědi – jeden pracovní den je dobrý příslib. Dočasné potřeby mají dočasný, časově omezený přístup, nikdy se ve spěchu neotevře trvalá díra.

Sestavte seznam blokovaných jako aplikační skupinu

V konzole přejděte na Řízení aplikací, poté na Skupiny aplikací a zvolte Vytvořit seznam blokovaných. Přidejte aplikace pomocí filtrů, které konzola nabízí: Vendor, Název produktu, Verified Executable, File Hash, Cesta ke složce a Store Apps. Zablokovaná aplikace zůstane nainstalovaná v počítači – jednoduše ji nelze spustit. Pro jeden jediný soubor na několika počítačích má Endpoint Central také jednodušší možnost Block Executable pod Inventory, odpovídající cestou nebo hashem; Skupiny aplikací jsou správnou cestou, když pravidlo musí fungovat jako politika v celé kanceláři.

Vyberte Pravidla, která přežijí přejmenování

O tom, zda blokování platí, rozhoduje způsob identifikace aplikace. Pravidlo pro název souboru je nejslabší: čte pouze štítek a přejmenováním game.exe na report.exe je zcela zruší. Pravidlo cesty ke složce přežije přejmenování, ale ne přesun do jiné složky. Hash souboru je otisk přesného obsahu souboru, takže přejmenovaná nebo přesunutá kopie se stále shoduje – ale každá aktualizace změní hash, takže seznamy hash potřebují údržbu. Pravidla pro dodavatele a ověřená spustitelná pravidla se řídí digitálním podpisem vydavatele: přežívají přejmenování, přesuny a běžné aktualizace, což z nich dělá praktické výchozí nastavení. Chcete-li získat hash pro jeden známý špatný soubor, spočítejte jej na libovolném počítači se systémem Windows:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Nahraďte ukázkovou cestu skutečnou cestou k souboru. Příkaz vytiskne hash SHA256, který vložíte do pravidla pro hash souboru.

Nasazení do pilotní skupiny v režimu auditu

V části Deployment otevřete Deploy Policy a připojte blokovaný seznam k vlastní skupině počítačů – začněte s malou pilotní skupinou, jako je vaše vlastní oddělení, i když konečným cílem je každý kancelářský počítač. Při nasazování udělejte dvě věci. Nejprve nastavte vlastní oznámení, které uživatelé uvidí, když je aplikace zablokována: pojmenujte zásady a řekněte, koho mají kontaktovat. Zadruhé, zapněte možnost, která uživatelům umožňuje žádat o aplikace – zapněte ji hned, ne po první krizi, takže zablokovaný uživatel dostane cestu požadavku místo slepé uličky. Nasaďte zásadu v režimu auditu: zatím není nic blokováno, ale zaznamenává se každé spuštění aplikace.

Před vynucením vyřešte každou nespravovanou aplikaci

Spusťte režim auditu alespoň na jeden celý pracovní cyklus – měsíc, který zahrnuje konec měsíce, kdy se objeví zřídka používané nástroje pro uzavírání a výkaznictví. Poté projděte zobrazením Nespravované aplikace a určete každý záznam: přidejte jej do seznamu povolených, přidejte jej do seznamu blokovaných aplikací nebo jej přesuňte do skupiny aplikací. Na skutečně neznámý soubor na jednom počítači se před soudem zeptejte jeho uživatele – polovina děsivých jmen jsou nudné nástroje se špatnou značkou. Cílem před prosazením je krátký, srozumitelný, nespravovaný seznam, takže Strict Mode nepřináší žádná překvapení.

Přepněte do přísného režimu - a správně spusťte dveře výjimky

Nejprve přepněte pilotní skupinu do přísného režimu, spusťte ji po dobu jednoho týdne a teprve poté zavádějte skupinu po skupině. V přísném režimu je blokování skutečné: filtr kontroluje každý program ve chvíli, kdy se pokouší spustit, takže pravidlo platí i pro aplikace nainstalované dlouho před zásadou a pro přenosné kopie, které se nikdy nenainstalovaly. Když se ukáže, že je zablokovaná aplikace potřebná pro skutečnou práci, schvalte přístup just-in-time na několik hodin nebo na den – platnost vyprší sama. Pokud stejné oddělení stále požaduje stejnou aplikaci, přesuňte ji správně na seznam povolených této skupiny a ponechte si rozhodnutí v protokolu auditu.