Bloquer n'importe quelle application dans Office

Découvrez ce qui est réellement installé

Ouvrez la console Endpoint Central et commencez par la découverte, sans bloquer : l'agent sur chaque PC géré analyse et répertorie les applications réellement installées dans le bureau, y compris les logiciels que personne dans le service informatique n'a jamais approuvés. Lisez cette liste avant de bloquer quoi que ce soit. Attendez-vous à des surprises : un VPN personnel par-ci, un vieil enregistreur d'écran par-là, trois outils PDF faisant le même travail. Ce rapport de découverte constitue également votre preuve ultérieure : lorsque quelqu'un demande pourquoi une application a été bloquée, il montre que l'application était exécutée sur des ordinateurs de bureau avant qu'une politique n'existe.

Rédigez la politique avant le premier bloc

Décidez d’abord des règles sur papier. Écrivez des catégories, pas des noms d'applications : jeux, clients torrent et peer-to-peer, VPN personnels, outils d'accès à distance que personne n'a approuvés, mineurs de crypto et tout ce qui n'a aucun but commercial. Les catégories survivent au nouveau jeu du mois prochain ; ce n'est pas le cas d'une liste de noms. Nommez la personne ou le rôle qui approuve les exceptions, l'itinéraire utilisé par le personnel pour demander et le délai de réponse promis - un jour ouvrable est une bonne promesse. Les besoins temporaires bénéficient d’un accès temporaire et limité dans le temps, jamais d’un trou permanent ouvert à la hâte.

Créer la liste de blocage en tant que groupe d'applications

Dans la console, accédez à Application Control, puis à Groupes d'applications et choisissez Créer une liste de blocage. Ajoutez des applications avec les filtres proposés par la console : Vendeur, Nom du produit, Exécutable vérifié, Hash de fichier, Chemin du dossier et Applications du magasin. L’application bloquée reste installée sur le PC – elle ne peut tout simplement pas s’exécuter. Pour un seul fichier sur quelques PC, Endpoint Central propose également une option Bloquer l'exécutable plus simple sous Inventaire, correspondant à un chemin ou à un hachage ; Les groupes d’applications constituent la voie appropriée lorsque la règle doit être considérée comme une politique dans l’ensemble du bureau.

Choisissez des règles qui survivent à un changement de nom

La façon dont vous identifiez une application détermine si le blocage est maintenu. Une règle de nom de fichier est la plus faible : elle lit uniquement l'étiquette, et renommer game.exe en report.exe l'annule complètement. Une règle de chemin de dossier survit à un changement de nom mais pas à un déplacement vers un autre dossier. Un hachage de fichier est une empreinte digitale du contenu exact du fichier, donc une copie renommée ou déplacée correspond toujours - mais chaque mise à jour modifie le hachage, les listes de hachage nécessitent donc une maintenance. Les règles du fournisseur et les règles exécutables vérifiées suivent la signature numérique de l'éditeur : elles survivent aux renommages, aux déplacements et aux mises à jour ordinaires, ce qui en fait la valeur par défaut pratique. Pour obtenir un hachage pour un fichier connu comme étant défectueux, calculez-le sur n'importe quel PC Windows :

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Remplacez l'exemple de chemin par le chemin du fichier réel. La commande imprime le hachage SHA256 que vous collez dans une règle de hachage de fichier.

Déployer sur un groupe pilote en mode audit

Sous Déploiement, ouvrez la stratégie de déploiement et attachez la liste de blocage à un groupe d'ordinateurs personnalisé. Commencez par un petit groupe pilote tel que votre propre service, même si la cible finale est chaque ordinateur de bureau. Lors du déploiement, faites deux choses. Tout d’abord, définissez le message de notification personnalisé que les utilisateurs verront lorsqu’une application est bloquée : nommez la politique et indiquez qui contacter. Deuxièmement, activez l'option qui permet aux utilisateurs de demander des applications - activez-la maintenant, pas après la première crise, afin qu'un utilisateur bloqué obtienne un itinéraire de demande au lieu d'une impasse. Déployez la politique en Mode Audit : rien n'est encore bloqué, mais chaque démarrage d'application est enregistré.

Résolvez chaque application non gérée avant de l'appliquer

Exécutez le mode Audit pendant au moins un cycle de travail complet - un mois qui inclut la fin du mois, lorsque les outils de clôture et de reporting rarement utilisés sortent. Parcourez ensuite la vue Applications non gérées et donnez un verdict à chaque entrée : ajoutez-la à la liste autorisée, ajoutez-la à la liste de blocage ou déplacez-la dans un groupe d'applications. Pour un fichier véritablement inconnu sur un PC, demandez à son utilisateur avant de juger : la moitié des noms effrayants sont des outils ennuyeux avec une mauvaise image de marque. L’objectif avant l’application est une liste courte et non gérée, le mode strict ne réserve donc aucune surprise.

Passez en mode strict et exécutez correctement la porte d'exception

Basculez d'abord le groupe pilote en mode strict, exécutez-le pendant une semaine, puis déployez-le groupe par groupe. En mode strict, le blocage est réel : un filtre vérifie chaque programme au moment où il tente de démarrer, de sorte que la règle s'applique même aux applications installées bien avant la politique et aux copies portables qui n'ont jamais été installées du tout. Lorsqu'une application bloquée s'avère nécessaire pour un travail réel, autorisez l'accès juste à temps pendant quelques heures ou une journée - elle expire d'elle-même. Si le même service continue de demander la même application, déplacez-la correctement vers la liste verte de ce groupe et conservez la décision dans le journal d'audit.