Bloquear cualquier aplicación en Office

Descubra lo que realmente está instalado

Abra la consola de Endpoint Central y comience con el descubrimiento, no con el bloqueo: el agente en cada PC administrada escanea y enumera las aplicaciones que realmente están instaladas en la oficina, incluido el software que nadie en TI aprobó nunca. Lea esa lista antes de bloquear cualquier cosa. Espere sorpresas: una VPN personal por aquí, un antiguo grabador de pantalla por allá, tres herramientas PDF que hacen el mismo trabajo. Este informe de descubrimiento también será su evidencia posterior: cuando alguien pregunta por qué se bloqueó una aplicación, muestra que la aplicación se estaba ejecutando en máquinas de oficina antes de que existiera alguna política.

Escriba la política antes del primer bloque

Primero decida las reglas en papel. Escriba categorías, no nombres de aplicaciones: juegos, clientes torrent y peer-to-peer, VPN personales, herramientas de acceso remoto que nadie aprobó, criptomineros y cualquier cosa que no tenga un propósito comercial. Las categorías sobreviven al nuevo juego del próximo mes; una lista de nombres no. Nombre la persona o función que aprueba las excepciones, la ruta que utiliza el personal para preguntar y el tiempo de respuesta prometido: un día hábil es una buena promesa. Las necesidades temporales obtienen acceso temporal y con plazos determinados, nunca se abre un agujero permanente con prisa.

Cree la lista de bloqueo como un grupo de aplicaciones

En la consola, vaya a Control de aplicaciones, luego a Grupos de aplicaciones y elija Crear lista de bloqueo. Agregue aplicaciones con los filtros que ofrece la consola: Proveedor, Nombre del producto, Ejecutable verificado, File Hash, Ruta de carpeta y Tienda de aplicaciones. La aplicación bloqueada permanece instalada en la PC; simplemente no puede ejecutarse. Para un solo archivo en algunas PC, Endpoint Central también tiene una opción Bloquear ejecutable más simple en Inventario, que coincide por ruta o hash; Los grupos de aplicaciones son la ruta adecuada cuando la regla debe vivir como una política en toda la oficina.

Elija reglas que sobrevivan a un cambio de nombre

La forma en que identificas una aplicación decide si el bloqueo se mantiene. Una regla de nombre de archivo es la más débil: solo lee la etiqueta y cambiar el nombre de game.exe a report.exe la anula por completo. Una regla de ruta de carpeta sobrevive a un cambio de nombre, pero no a un movimiento a otra carpeta. Un hash de archivo es una huella digital del contenido exacto del archivo, por lo que una copia movida o renombrada aún coincide, pero cada actualización cambia el hash, por lo que las listas de hash necesitan mantenimiento. Las reglas de proveedores y ejecutables verificados siguen la firma digital del editor: sobreviven a cambios de nombre, movimientos y actualizaciones ordinarias, lo que las convierte en prácticas predeterminadas. Para obtener un hash para un archivo defectuoso, calculelo en cualquier PC con Windows:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Reemplace la ruta del ejemplo con la ruta del archivo real. El comando imprime el hash SHA256 que pega en una regla File Hash.

Implementar en un grupo piloto en modo auditoría

En Implementación, abra Implementar política y adjunte la lista de bloqueo a un grupo personalizado de computadoras; comience con un pequeño grupo piloto, como su propio departamento, incluso si el objetivo final son todas las PC de la oficina. Mientras realiza la implementación, haga dos cosas. Primero, configure el mensaje de notificación personalizado que los usuarios verán cuando se bloquee una aplicación: nombre la política y diga a quién contactar. En segundo lugar, active la opción que permite a los usuarios solicitar aplicaciones; actívela ahora, no después de la primera crisis, para que un usuario bloqueado obtenga una ruta de solicitud en lugar de un callejón sin salida. Implemente la política en modo auditoría: todavía no hay nada bloqueado, pero se registra cada inicio de aplicación.

Resuelva todas las aplicaciones no administradas antes de aplicarlas

Ejecute el modo de auditoría durante al menos un ciclo de trabajo completo: un mes que incluye el final del mes, cuando salen las herramientas de informes y cierre que rara vez se utilizan. Luego, trabaje en la vista Aplicaciones no administradas y dé un veredicto a cada entrada: agréguela a la lista de permitidas, agréguela a la lista de bloqueo o muévala a un grupo de aplicaciones. Para un archivo realmente desconocido en una PC, pregunte a su usuario antes de juzgar: la mitad de los nombres aterradores son herramientas aburridas con mala marca. El objetivo antes de la aplicación de la ley es una lista breve, comprensible y no administrada, por lo que el modo estricto no depara sorpresas.

Cambie al modo estricto y ejecute la puerta de excepción correctamente

Primero cambie el grupo piloto al modo estricto, ejecútelo durante una semana y solo luego implementelo grupo por grupo. En el modo estricto, el bloqueo es real: un filtro verifica cada programa en el momento en que intenta iniciarse, por lo que la regla se aplica incluso para aplicaciones instaladas mucho antes de la política y para copias portátiles que nunca se instalaron. Cuando resulta que una aplicación bloqueada es necesaria para un trabajo real, apruebe el acceso justo a tiempo durante unas horas o un día; caduca por sí solo. Si el mismo departamento sigue solicitando la misma aplicación, muévala correctamente a la lista de permitidos de ese grupo y mantenga la decisión en el registro de auditoría.