Αποκλεισμός οποιασδήποτε εφαρμογής στο Office

Ανακαλύψτε τι είναι πραγματικά εγκατεστημένο

Ανοίξτε την Κεντρική κονσόλα Endpoint και ξεκινήστε με την ανακάλυψη, όχι με τον αποκλεισμό: ο πράκτορας σε κάθε διαχειριζόμενο υπολογιστή σαρώνει και παραθέτει τις εφαρμογές που είναι πραγματικά εγκατεστημένες σε όλο το γραφείο, συμπεριλαμβανομένου λογισμικού που δεν έχει εγκρίνει ποτέ κανείς στον τομέα της πληροφορικής. Διαβάστε αυτήν τη λίστα προτού αποκλείσετε οτιδήποτε. Αναμένετε εκπλήξεις - ένα προσωπικό VPN εδώ, μια παλιά συσκευή εγγραφής οθόνης εκεί, τρία εργαλεία PDF που κάνουν την ίδια δουλειά. Αυτή η αναφορά ανακάλυψης είναι επίσης η απόδειξη σας αργότερα: όταν κάποιος ρωτά γιατί αποκλείστηκε μια εφαρμογή, δείχνει ότι η εφαρμογή εκτελούνταν σε μηχανές γραφείου προτού υπάρξει οποιαδήποτε πολιτική.

Γράψτε την πολιτική πριν από το πρώτο μπλοκ

Αποφασίστε πρώτα τους κανόνες σε χαρτί. Γράψτε κατηγορίες, όχι ονόματα εφαρμογών: παιχνίδια, πελάτες torrent και peer-to-peer, προσωπικά VPN, εργαλεία απομακρυσμένης πρόσβασης που κανείς δεν ενέκρινε, εξορύκτες κρυπτογράφησης και οτιδήποτε δεν έχει επιχειρηματικό σκοπό. Οι κατηγορίες επιβιώνουν στο νέο παιχνίδι του επόμενου μήνα. μια λίστα ονομάτων όχι. Ονομάστε το άτομο ή το ρόλο που εγκρίνει τις εξαιρέσεις, το δρομολόγιο που χρησιμοποιεί το προσωπικό για να ρωτήσει και έναν υποσχόμενο χρόνο απάντησης - μια εργάσιμη ημέρα είναι μια καλή υπόσχεση. Οι προσωρινές ανάγκες αποκτούν προσωρινή, χρονικά περιορισμένη πρόσβαση, ποτέ δεν ανοίγει μια μόνιμη τρύπα βιαστικά.

Δημιουργήστε τη λίστα αποκλεισμού ως ομάδα εφαρμογών

Στην κονσόλα, μεταβείτε στον Έλεγχο εφαρμογών, μετά στις Ομάδες εφαρμογών και επιλέξτε Δημιουργία λίστας αποκλεισμού. Προσθέστε εφαρμογές με τα φίλτρα που προσφέρει η κονσόλα: Πωλητής, Όνομα προϊόντος, Επαληθευμένο εκτελέσιμο, Κατακερματισμός αρχείων, Διαδρομή φακέλου και Αποθήκευση εφαρμογών. Η αποκλεισμένη εφαρμογή παραμένει εγκατεστημένη στον υπολογιστή - απλά δεν μπορεί να εκτελεστεί. Για ένα μεμονωμένο αρχείο σε μερικούς υπολογιστές, το Endpoint Central διαθέτει επίσης μια απλούστερη επιλογή Block Executable στο Inventory, που αντιστοιχεί σε διαδρομή ή κατακερματισμό. Οι ομάδες εφαρμογών είναι η κατάλληλη διαδρομή όταν ο κανόνας πρέπει να ισχύει ως πολιτική σε ολόκληρο το γραφείο.

Επιλέξτε κανόνες που επιβιώνουν μετά από μετονομασία

Ο τρόπος με τον οποίο αναγνωρίζετε μια εφαρμογή καθορίζει εάν ισχύει το μπλοκ. Ένας κανόνας ονόματος αρχείου είναι ο πιο αδύναμος: διαβάζει μόνο την ετικέτα και η μετονομασία του game.exe σε report.exe τον αναιρεί εντελώς. Ένας κανόνας διαδρομής φακέλου επιβιώνει από μετονομασία αλλά όχι μετάβαση σε άλλο φάκελο. Ο κατακερματισμός αρχείου είναι ένα δακτυλικό αποτύπωμα του ακριβούς περιεχομένου του αρχείου, επομένως ένα αντίγραφο που μετονομάστηκε ή μετακινήθηκε εξακολουθεί να ταιριάζει - αλλά κάθε ενημέρωση αλλάζει τον κατακερματισμό, επομένως οι λίστες κατακερματισμού χρειάζονται συντήρηση. Οι κανόνες του προμηθευτή και των επαληθευμένων εκτελέσιμων κανόνων ακολουθούν την ψηφιακή υπογραφή του εκδότη: επιβιώνουν από μετονομασίες, μετακινήσεις και συνηθισμένες ενημερώσεις, γεγονός που τους καθιστά την πρακτική προεπιλογή. Για να λάβετε έναν κατακερματισμό για ένα γνωστό-κακό αρχείο, υπολογίστε το σε οποιονδήποτε υπολογιστή με Windows:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Αντικαταστήστε τη διαδρομή του παραδείγματος με τη διαδρομή του πραγματικού αρχείου. Η εντολή εκτυπώνει τον κατακερματισμό SHA256 που επικολλάτε σε έναν κανόνα κατακερματισμού αρχείων.

Αναπτύξτε σε μια πιλοτική ομάδα σε λειτουργία ελέγχου

Στην περιοχή Ανάπτυξη, ανοίξτε την Πολιτική ανάπτυξης και επισυνάψτε τη λίστα αποκλεισμού σε μια προσαρμοσμένη ομάδα υπολογιστών - ξεκινήστε με μια μικρή πιλοτική ομάδα, όπως το δικό σας τμήμα, ακόμα κι αν ο τελικός στόχος είναι κάθε υπολογιστής γραφείου. Κατά την ανάπτυξη, κάντε δύο πράγματα. Αρχικά, ορίστε το προσαρμοσμένο μήνυμα ειδοποίησης που θα βλέπουν οι χρήστες όταν μια εφαρμογή αποκλείεται: ονομάστε την πολιτική και πείτε με ποιον να επικοινωνήσουν. Δεύτερον, ενεργοποιήστε την επιλογή που επιτρέπει στους χρήστες να ζητούν εφαρμογές - ενεργοποιήστε την τώρα, όχι μετά την πρώτη κρίση, έτσι ώστε ένας αποκλεισμένος χρήστης να λάβει μια διαδρομή αιτήματος αντί για αδιέξοδο. Αναπτύξτε την πολιτική σε λειτουργία ελέγχου: τίποτα δεν έχει αποκλειστεί ακόμα, αλλά κάθε έναρξη εφαρμογής καταγράφεται.

Επιλύστε κάθε μη διαχειριζόμενη εφαρμογή πριν την επιβολή

Εκτελέστε τη λειτουργία ελέγχου για τουλάχιστον έναν πλήρη κύκλο εργασίας - έναν μήνα που περιλαμβάνει το τέλος του μήνα, όταν βγαίνουν τα σπάνια χρησιμοποιούμενα εργαλεία κλεισίματος και αναφοράς. Στη συνέχεια, εργαστείτε στην προβολή Μη διαχειριζόμενες εφαρμογές και δώστε σε κάθε καταχώριση μια ετυμηγορία: προσθέστε τη στη λίστα επιτρεπόμενων, προσθέστε τη στη λίστα αποκλεισμού ή μετακινήστε την σε μια ομάδα εφαρμογών. Για ένα πραγματικά άγνωστο αρχείο σε έναν υπολογιστή, ρωτήστε τον χρήστη του πριν το κρίνετε - τα μισά τρομακτικά ονόματα είναι βαρετά εργαλεία με κακή επωνυμία. Ο στόχος πριν από την επιβολή είναι μια σύντομη, κατανοητή, μη διαχειριζόμενη λίστα, επομένως η Αυστηρή λειτουργία δεν επιφυλάσσει εκπλήξεις.

Μεταβείτε σε αυστηρή λειτουργία - και ανοίξτε σωστά την πόρτα εξαίρεσης

Αλλάξτε πρώτα την πιλοτική ομάδα σε Αυστηρή λειτουργία, εκτελέστε την για μια εβδομάδα και μόνο στη συνέχεια ανοίξτε ομάδα προς ομάδα. Στην αυστηρή λειτουργία το μπλοκ είναι πραγματικό: ένα φίλτρο ελέγχει κάθε πρόγραμμα τη στιγμή που προσπαθεί να ξεκινήσει, επομένως ο κανόνας ισχύει ακόμη και για εφαρμογές που έχουν εγκατασταθεί πολύ πριν από την πολιτική και για φορητά αντίγραφα που δεν εγκαταστάθηκαν ποτέ. Όταν αποδειχθεί ότι μια αποκλεισμένη εφαρμογή είναι απαραίτητη για πραγματική εργασία, εγκρίνετε την άμεση πρόσβαση για λίγες ώρες ή μια ημέρα - λήγει από μόνη της. Εάν το ίδιο τμήμα συνεχίζει να ζητά την ίδια εφαρμογή, μετακινήστε τη σωστά στη λίστα επιτρεπόμενων της συγκεκριμένης ομάδας και διατηρήστε την απόφαση στο αρχείο καταγραφής ελέγχου.