Estä kaikki sovellukset Officessa

Selvitä, mitä todella on asennettu

Avaa Endpoint Central -konsoli ja aloita etsinnästä, ei estämisestä: kunkin hallitun PC:n agentti tarkistaa ja luettelee sovellukset, jotka on todella asennettu kaikkialle toimistoon, mukaan lukien ohjelmistot, joita kukaan IT-alalla ei ole koskaan hyväksynyt. Lue tämä lista ennen kuin estät mitään. Odota yllätyksiä - henkilökohtainen VPN täällä, vanha näytöntallennin siellä, kolme PDF-työkalua tekevät samaa työtä. Tämä löytöraportti on myös todisteesi myöhemmin: kun joku kysyy, miksi sovellus estettiin, se osoittaa, että sovellus oli käynnissä toimistokoneissa ennen kuin käytäntöä oli olemassa.

Kirjoita käytäntö ennen ensimmäistä lohkoa

Päätä säännöt ensin paperilla. Kirjoita luokkia, älä sovellusten nimiä: pelit, torrent- ja vertaisasiakkaat, henkilökohtaiset VPN-verkot, etäkäyttötyökalut, joita kukaan ei ole hyväksynyt, krypto-kaivostyöt ja kaikkea, jolla ei ole liiketoimintaa. Kategoriat selviävät ensi kuun uudesta pelistä; nimiluettelo ei. Nimeä henkilö tai rooli, joka hyväksyy poikkeukset, reitit, jota henkilökunta kysyy, ja luvattu vastausaika - yksi työpäivä on hyvä lupaus. Tilapäiset tarpeet saavat tilapäisen, aikasidonnaisen pääsyn, ei koskaan pysyvää aukkoa avaudu kiireessä.

Luo estolista sovellusryhmänä

Siirry konsolissa Sovellusten hallintaan, sitten Sovellusryhmät ja valitse Luo estolista. Lisää sovelluksia konsolin tarjoamilla suodattimilla: Toimittaja, Tuotteen nimi, Vahvistettu suoritettava, Tiedostotiiviste, Kansion polku ja Kauppasovellukset. Estetty sovellus pysyy asennettuna tietokoneeseen - se ei yksinkertaisesti voi toimia. Yhdelle yksittäiselle tiedostolle muutamalla tietokoneella Endpoint Centralilla on myös yksinkertaisempi Block Executable -vaihtoehto Inventory-kohdassa, joka yhdistetään polun tai hajautusarvon mukaan. Sovellusryhmät ovat oikea reitti, kun säännön on toimittava käytäntönä koko toimistossa.

Valitse säännöt, jotka kestävät uudelleennimeämisen

Se, miten tunnistat sovelluksen, ratkaisee, onko esto voimassa. Tiedoston nimisääntö on heikoin: se lukee vain otsikon, ja game.exe:n uudelleennimeäminen muotoon report.exe kumoaa sen kokonaan. Kansion polkusääntö säilyy uudelleennimeämisen jälkeen, mutta ei siirtämistä toiseen kansioon. Tiedoston tiiviste on sormenjälki tiedoston tarkasta sisällöstä, joten uudelleennimetty tai siirretty kopio vastaa silti - mutta jokainen päivitys muuttaa tiivistettä, joten tiivisteluettelot tarvitsevat ylläpitoa. Toimittaja- ja varmennetut-suoritettavat säännöt noudattavat julkaisijan digitaalista allekirjoitusta: ne kestävät uudelleennimeämisen, siirrot ja tavalliset päivitykset, mikä tekee niistä käytännön oletuksena. Jos haluat saada hajautusarvon yhdelle tunnetulle huonolle tiedostolle, laske se millä tahansa Windows-tietokoneella:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Korvaa esimerkkipolku oikean tiedoston polulla. Komento tulostaa SHA256-tiivisteen, jonka liität File Hash -sääntöön.

Ota käyttöön pilottiryhmässä tarkastustilassa

Avaa Käyttöönotto-kohdassa Käyttöönottokäytäntö ja liitä estolista mukautettuun tietokoneryhmään – aloita pienestä pilottiryhmästä, kuten omasta osastostasi, vaikka lopullinen kohde olisi jokainen toimistotietokone. Tee kaksi asiaa käyttöönoton aikana. Aseta ensin mukautettu ilmoitusviesti, jonka käyttäjät näkevät, kun sovellus on estetty: nimeä käytäntö ja sano, keneen ottaa yhteyttä. Toiseksi, ota käyttöön vaihtoehto, jonka avulla käyttäjät voivat pyytää sovelluksia - ota se käyttöön nyt, ei ensimmäisen kriisin jälkeen, jotta estetty käyttäjä saa pyyntöreitin umpikujan sijaan. Ota käytäntö käyttöön valvontatilassa: mitään ei ole vielä estetty, mutta jokainen sovelluksen käynnistys tallennetaan.

Ratkaise jokainen hallitsematon sovellus ennen pakottamista

Suorita tarkastustila vähintään yhden täyden työjakson ajan – kuukausi, joka sisältää kuukauden lopun, jolloin harvoin käytetyt sulkemis- ja raportointityökalut tulevat ulos. Käy sitten läpi Unmanaged Apps -näkymän ja anna jokaiselle merkinnälle tuomio: lisää se sallittujen luetteloon, lisää se estoluetteloon tai siirrä se sovellusryhmään. Jos sinulla on aidosti tuntematon tiedosto yhdellä tietokoneella, kysy sen käyttäjältä ennen tuomitsemista - puolet pelottavista nimistä ovat tylsiä työkaluja, joissa on huono tuotemerkki. Tavoite ennen täytäntöönpanoa on lyhyt, ymmärrettävä ja hallitsematon luettelo, joten Strict Mode ei sisällä yllätyksiä.

Vaihda tiukkaan tilaan - ja suorita poikkeusovi oikein

Vaihda pilottiryhmä ensin tiukkaan tilaan, käytä sitä viikon ajan ja ota käyttöön vasta sitten ryhmä ryhmältä. Tiukassa tilassa lohko on todellinen: suodatin tarkistaa jokaisen ohjelman sillä hetkellä, kun se yrittää käynnistyä, joten sääntö pätee jopa kauan ennen käytäntöä asennetuille sovelluksille ja kannettaville kopioille, joita ei ole asennettu ollenkaan. Kun estetty sovellus osoittautuu tarpeelliseksi oikeaan työhön, hyväksy juuri-in-time-käyttö muutamaksi tunniksi tai päiväksi - se vanhenee itsestään. Jos sama osasto pyytää jatkuvasti samaa sovellusta, siirrä se kyseisen ryhmän sallittujen luetteloon oikein ja säilytä päätös tarkastuslokissa.