חסום כל אפליקציה ב-Office

גלה מה מותקן בפועל

פתח את קונסולת Endpoint Central והתחל בגילוי, לא בחסימה: הסוכן בכל מחשב מנוהל סורק ומפרט את היישומים שבאמת מותקנים ברחבי המשרד, כולל תוכנות שאף אחד ב-IT לא אישר מעולם. קרא את הרשימה לפני שאתה חוסם משהו. צפו להפתעות - VPN אישי כאן, מקליט מסך ישן שם, שלושה כלי PDF שעושים את אותה העבודה. דוח הגילוי הזה הוא גם העדות שלך מאוחר יותר: כשמישהו שואל מדוע אפליקציה נחסמה, הוא מראה שהאפליקציה פעלה על מחשבים משרדיים לפני שהייתה קיימת מדיניות כלשהי.

כתוב את המדיניות לפני החסימה הראשונה

תחילה החליטו על הכללים על הנייר. כתוב קטגוריות, לא שמות אפליקציות: משחקים, טורנטים ולקוחות עמית לעמית, VPNs אישיים, כלי גישה מרחוק שאיש לא אישר, כורי קריפטו וכל דבר ללא מטרה עסקית. קטגוריות שורדות את המשחק החדש של החודש הבא; רשימת שמות לא. תן שם לאדם או לתפקיד שמאשר חריגים, צוות המסלול נוהג לשאול, וזמן תשובה מובטח - יום עבודה אחד הוא הבטחה טובה. צרכים זמניים מקבלים גישה זמנית, מוגבלת בזמן, אף פעם לא נפער חור קבוע בחיפזון.

בנה את רשימת החסימה כקבוצת יישומים

במסוף, עבור אל בקרת יישומים, ולאחר מכן קבוצות יישומים ובחר צור רשימת חסימות. הוסף יישומים עם המסננים שהקונסולה מציעה: ספק, שם מוצר, קובץ הפעלה מאומת, File Hash, Folder Path ו-store Apps. האפליקציה החסומה נשארת מותקנת במחשב - היא פשוט לא יכולה לפעול. עבור קובץ בודד אחד במספר מחשבים אישיים, ל-Endpoint Central יש גם אפשרות פשוטה יותר לביצוע חסימה תחת Inventory, מותאמת לפי נתיב או hash; קבוצות יישומים הן המסלול הנכון כאשר הכלל חייב לחיות כמדיניות בכל המשרד.

בחר כללים ששרדו שינוי שם

איך אתה מזהה אפליקציה מחליט אם החסימה מחזיקה. כלל שם קובץ הוא החלש ביותר: הוא קורא רק את התווית, ושינוי שם game.exe ל-report.exe מביס אותו לחלוטין. כלל נתיב תיקיות שורד שינוי שם אך לא מעבר לתיקיה אחרת. Hash של קובץ הוא טביעת אצבע של התוכן המדויק של הקובץ, ולכן עותק ששונה או הועבר עדיין תואם - אבל כל עדכון משנה את ה-hash, כך שרשימות hash זקוקות לתחזוקה. כללים של ספקים וכללי הפעלה מאומתים פועלים לפי החתימה הדיגיטלית של המוציא לאור: הם שורדים שינויי שמות, מהלכים ועדכונים רגילים, מה שהופך אותם לברירת המחדל המעשית. כדי לקבל hash עבור קובץ אחד שידוע רע, חשב אותו בכל מחשב Windows:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

החלף את הנתיב לדוגמה בנתיב של הקובץ האמיתי. הפקודה מדפיסה את ה-hash SHA256 שאתה מדביק לתוך כלל File Hash.

פרוס לקבוצת טייס במצב ביקורת

תחת Deployment, פתח את Deploy Policy וצרף את רשימת החסימות לקבוצה מותאמת אישית של מחשבים - התחל עם קבוצת פיילוט קטנה כמו המחלקה שלך, גם אם היעד הסופי הוא כל מחשב משרדי. בזמן הפריסה, עשה שני דברים. ראשית, הגדר את הודעת ההתראה המותאמת שמשתמשים יראו כאשר אפליקציה חסומה: תן שם למדיניות ואמור למי לפנות. שנית, הפעל את האפשרות שמאפשרת למשתמשים לבקש אפליקציות - הפעל אותה עכשיו, לא לאחר המשבר הראשון, כך שמשתמש חסום מקבל מסלול בקשה במקום מבוי סתום. פרוס את המדיניות במצב ביקורת: שום דבר עדיין לא חסום, אבל כל התחלת אפליקציה מתועדת.

פתרון כל אפליקציה לא מנוהלת לפני האכיפה

הפעל את מצב הביקורת למשך מחזור עבודה שלם אחד לפחות - חודש הכולל סוף חודש, כאשר כלי הסגירה והדיווח הנדירים בשימוש יוצאים החוצה. לאחר מכן עבדו על תצוגת האפליקציות הבלתי מנוהלות ותן לכל ערך פסק דין: הוסף אותה לרשימת ההיתרים, הוסף אותה לרשימת החסימות או העבר אותה לקבוצת יישומים. עבור קובץ לא ידוע באמת במחשב אחד, שאל את המשתמש שלו לפני שאתה שופט - חצי מהשמות המפחידים הם כלים משעממים עם מיתוג גרוע. המטרה לפני האכיפה היא רשימה לא מנוהלת קצרה ומובנת, כך שמצב קפדני אינו טומן בחובו הפתעות.

עבור למצב קפדני - והפעל את דלת החריגים כהלכה

תחילה העבר את קבוצת הפיילוט למצב קפדני, הפעל אותה למשך שבוע, ורק לאחר מכן הפעל קבוצה אחר קבוצה. במצב קפדני החסימה אמיתית: מסנן בודק כל תוכנית ברגע שהיא מנסה להפעיל, כך שהכלל תקף גם עבור אפליקציות שהותקנו הרבה לפני המדיניות ועבור עותקים ניידים שמעולם לא הותקנו כלל. כשמתברר שאפליקציה חסומה נחוצה לעבודה אמיתית, אשרו גישה בדיוק בזמן לכמה שעות או יום - היא פג מעצמה. אם אותה מחלקה ממשיכה לבקש את אותה אפליקציה, העבר אותה לרשימת ההיתרים של אותה קבוצה כראוי ושמור את ההחלטה ביומן הביקורת.