I-block ang Anumang App sa Opisina

Tuklasin Kung Ano Ang Tunay na Naka-install

Buksan ang Endpoint Central console at magsimula sa pagtuklas, hindi pagharang: ang ahente sa bawat pinamamahalaang PC ay nag-scan at naglilista ng mga application na talagang naka-install sa buong opisina, kabilang ang software na walang sinuman sa IT na naaprubahan. Basahin ang listahang iyon bago ka mag-block ng anuman. Asahan ang mga sorpresa - isang personal na VPN dito, isang lumang screen recorder doon, tatlong PDF tool na gumagawa ng parehong trabaho. Ang ulat ng pagtuklas na ito ay ang iyong ebidensya din sa ibang pagkakataon: kapag may nagtanong kung bakit na-block ang isang app, ipinapakita nito na tumatakbo ang app sa mga machine ng opisina bago umiral ang anumang patakaran.

Isulat ang Patakaran Bago ang Unang Pag-block

Magpasya muna sa mga patakaran sa papel. Sumulat ng mga kategorya, hindi mga pangalan ng app: mga laro, torrent at peer-to-peer na kliyente, mga personal na VPN, remote-access na tool na walang naaprubahan, crypto miners, at anumang bagay na walang layunin sa negosyo. Nakaligtas ang mga kategorya sa bagong laro sa susunod na buwan; isang listahan ng mga pangalan ay hindi. Pangalanan ang tao o tungkulin na nag-aapruba ng mga pagbubukod, ang rutang ginagamit ng mga tauhan sa pagtatanong, at isang ipinangakong oras ng pagtugon - isang araw ng trabaho ay isang magandang pangako. Ang mga pansamantalang pangangailangan ay nakakakuha ng pansamantalang pag-access sa oras, walang permanenteng butas na nabuksan nang nagmamadali.

Buuin ang Blocklist bilang isang Application Group

Sa console, pumunta sa Application Control, pagkatapos ay Application Groups, at piliin ang Lumikha ng Blocklist. Magdagdag ng mga application na may mga filter na inaalok ng console: Vendor, Pangalan ng Produkto, Na-verify na Executable, File Hash, Folder Path at Store Apps. Ang naka-block na app ay nananatiling naka-install sa PC - hindi ito maaaring tumakbo. Para sa isang solong file sa ilang PC, ang Endpoint Central ay mayroon ding mas simpleng opsyon na Block Executable sa ilalim ng Imbentaryo, na tumutugma sa path o hash; Ang mga Application Group ay ang tamang ruta kapag ang panuntunan ay dapat mabuhay bilang isang patakaran sa buong opisina.

Pumili ng Mga Panuntunan na Nakaligtas sa isang Palitan ng Pangalan

Kung paano mo matukoy ang isang app ay magpapasya kung ang block ay humahawak. Ang panuntunan ng file-name ang pinakamahina: binabasa lang nito ang label, at ang pagpapalit ng pangalan sa game.exe sa report.exe ay ganap na natalo. Ang isang panuntunan sa folder-path ay nananatili sa pagpapalit ng pangalan ngunit hindi sa paglipat sa isa pang folder. Ang isang file hash ay isang fingerprint ng mga eksaktong nilalaman ng file, kaya ang isang pinalitan ng pangalan o inilipat na kopya ay tumutugma pa rin - ngunit ang bawat pag-update ay nagbabago ng hash, kaya ang mga listahan ng hash ay nangangailangan ng pagpapanatili. Ang mga panuntunan ng vendor at na-verify na maipapatupad ay sumusunod sa digital na lagda ng publisher: nabubuhay ang mga ito sa pagpapalit ng pangalan, paglipat at mga ordinaryong update, na ginagawang praktikal na default ang mga ito. Upang makakuha ng hash para sa isang kilalang hindi magandang file, kalkulahin ito sa anumang Windows PC:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Palitan ang halimbawang landas ng landas ng totoong file. Ang command ay nagpi-print ng SHA256 hash na iyong i-paste sa isang File Hash na panuntunan.

I-deploy sa isang Pilot Group sa Audit Mode

Sa ilalim ng Deployment, buksan ang Deploy Policy at ilakip ang blocklist sa isang custom na grupo ng mga computer - magsimula sa isang maliit na pilot group gaya ng sarili mong departamento, kahit na ang huling target ay ang bawat office PC. Habang nagde-deploy, gawin ang dalawang bagay. Una, itakda ang custom na mensahe ng notification na makikita ng mga user kapag na-block ang isang app: pangalanan ang patakaran at sabihin kung sino ang dapat kontakin. Pangalawa, i-on ang opsyon na nagbibigay-daan sa mga user na humiling ng mga application - i-on ito ngayon, hindi pagkatapos ng unang krisis, upang ang isang naka-block na user ay makakakuha ng ruta ng kahilingan sa halip na isang dead end. I-deploy ang patakaran sa Audit Mode: wala pang naka-block, ngunit naitala ang bawat pagsisimula ng application.

Lutasin ang Bawat Hindi Pinamamahalaang App Bago Ipatupad

Patakbuhin ang Audit Mode para sa hindi bababa sa isang buong ikot ng trabaho - isang buwan na kinabibilangan ng katapusan ng buwan, kapag lumabas ang mga bihirang ginagamit na tool sa pagsasara at pag-uulat. Pagkatapos ay magtrabaho sa view ng Unmanaged Apps at bigyan ang bawat entry ng hatol: idagdag ito sa allowlist, idagdag ito sa blocklist, o ilipat ito sa isang application group. Para sa isang tunay na hindi kilalang file sa isang PC, tanungin ang gumagamit nito bago husgahan - kalahati ng mga nakakatakot na pangalan ay nakakainip na mga tool na may masamang pagba-brand. Ang layunin bago ang pagpapatupad ay isang maikli, nauunawaang hindi pinamamahalaang listahan, kaya ang Strict Mode ay walang mga sorpresa.

Lumipat sa Strict Mode - at Patakbuhin nang Tama ang Exception Door

Ilipat muna ang pilot group sa Strict Mode, patakbuhin ito sa loob ng isang linggo, at pagkatapos ay ilunsad ang pangkat ayon sa grupo. Sa Strict Mode, totoo ang block: sinusuri ng filter ang bawat program sa sandaling sinusubukan nitong magsimula, kaya nananatili ang panuntunan kahit na para sa mga app na naka-install nang matagal bago ang patakaran at para sa mga portable na kopya na hindi kailanman na-install. Kapag ang isang naka-block na app ay lumabas na kailangan para sa totoong trabaho, aprubahan ang just-in-time na pag-access sa loob ng ilang oras o isang araw - mag-e-expire ito nang mag-isa. Kung ang parehong departamento ay patuloy na humihiling ng parehong app, ilipat ito sa allowlist ng pangkat na iyon nang maayos at panatilihin ang desisyon sa log ng pag-audit.