Bloker enhver app i Office

Opdag, hvad der faktisk er installeret

Åbn Endpoint Central-konsollen, og start med opdagelse, ikke blokering: Agenten på hver administreret pc scanner og viser de programmer, der virkelig er installeret på tværs af kontoret, inklusive software, som ingen i IT nogensinde har godkendt. Læs den liste, før du blokerer noget. Forvent overraskelser - en personlig VPN her, en gammel skærmoptager der, tre PDF-værktøjer, der udfører det samme job. Denne opdagelsesrapport er også dit bevis senere: Når nogen spørger, hvorfor en app blev blokeret, viser den, at appen kørte på kontormaskiner, før der eksisterede nogen politik.

Skriv politikken før den første blokering

Bestem reglerne på papir først. Skriv kategorier, ikke appnavne: spil, torrent- og peer-to-peer-klienter, personlige VPN'er, fjernadgangsværktøjer, som ingen godkendte, kryptominearbejdere og alt uden forretningsformål. Kategorier overlever næste måneds nye spil; en navneliste gør det ikke. Navngiv den person eller rolle, der godkender undtagelser, rutepersonalet bruger til at spørge, og en lovet svartid - en arbejdsdag er et godt løfte. Midlertidige behov får midlertidig, tidsbestemt adgang, aldrig et permanent hul åbnet i en fart.

Byg bloklisten som en applikationsgruppe

Gå til applikationskontrol i konsollen, derefter applikationsgrupper, og vælg Opret blokeringsliste. Tilføj applikationer med de filtre, som konsollen tilbyder: Leverandør, Produktnavn, Verified Executable, File Hash, Folder Path og Store Apps. Den blokerede app forbliver installeret på pc'en - den kan simpelthen ikke køre. For en enkelt fil på nogle få pc'er har Endpoint Central også en enklere blokeksekverbar mulighed under Inventory, matchet af sti eller hash; Applikationsgrupper er den rigtige vej, når reglen skal leve som en politik på tværs af hele kontoret.

Vælg regler, der overlever et omdøbning

Hvordan du identificerer en app afgør, om blokeringen holder. En filnavnregel er den svageste: den læser kun etiketten, og omdøbning af game.exe til report.exe besejrer den fuldstændigt. En mappestiregel overlever et omdøb, men ikke en flytning til en anden mappe. En fil-hash er et fingeraftryk af filens nøjagtige indhold, så en omdøbt eller flyttet kopi matcher stadig - men hver opdatering ændrer hashen, så hash-lister skal vedligeholdes. Regler for leverandører og verificerede eksekverbare følger udgiverens digitale signatur: de overlever omdøbninger, flytninger og almindelige opdateringer, hvilket gør dem til den praktiske standard. For at få en hash for en kendt, dårlig fil, skal du beregne den på en hvilken som helst Windows-pc:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Erstat eksempelstien med den rigtige fils sti. Kommandoen udskriver den SHA256-hash, du indsætter i en File Hash-regel.

Implementer til en pilotgruppe i revisionstilstand

Under Implementering skal du åbne Deploy Policy og vedhæfte blokeringslisten til en brugerdefineret gruppe af computere - start med en lille pilotgruppe, såsom din egen afdeling, selvom det endelige mål er hver kontor-pc. Gør to ting, mens du implementerer. Indstil først den brugerdefinerede meddelelse, som brugerne vil se, når en app er blokeret: navngiv politikken, og sig, hvem de skal kontakte. For det andet skal du slå indstillingen til, der lader brugere anmode om applikationer - slå den til nu, ikke efter den første krise, så en blokeret bruger får en anmodningsrute i stedet for en blindgyde. Implementer politikken i revisionstilstand: intet er blokeret endnu, men hver applikationsstart registreres.

Løs enhver ikke-administreret app før håndhævelse

Kør revisionstilstand i mindst én fuld arbejdscyklus - en måned, der inkluderer månedsafslutning, når de sjældent brugte lukke- og rapporteringsværktøjer kommer ud. Arbejd derefter gennem visningen Uadministrerede apps og giv hver post en dom: føj den til tilladelseslisten, føj den til blokeringslisten, eller flyt den til en applikationsgruppe. For en virkelig ukendt fil på én pc, spørg dens bruger, før du dømmer - halvdelen af ​​de skræmmende navne er kedelige værktøjer med dårlig branding. Målet før håndhævelse er en kort, forstået uadministreret liste, så Strict Mode rummer ingen overraskelser.

Skift til streng tilstand - og kør undtagelsesdøren korrekt

Skift pilotgruppen til Strict Mode først, kør den i en uge, og udrul først derefter gruppe for gruppe. I Strict Mode er blokeringen reel: Et filter tjekker hvert program i det øjeblik, det forsøger at starte, så reglen gælder selv for apps, der er installeret længe før politikken, og for bærbare kopier, der aldrig er installeret overhovedet. Når en blokeret app viser sig at være nødvendig for rigtigt arbejde, godkend just-in-time adgang i et par timer eller en dag – den udløber af sig selv. Hvis den samme afdeling bliver ved med at anmode om den samme app, skal du flytte den til den pågældende gruppes tilladelsesliste korrekt og beholde beslutningen i revisionsloggen.