ऑफिस में किसी भी ऐप को ब्लॉक करें

जानें कि वास्तव में क्या स्थापित है

एंडपॉइंट सेंट्रल कंसोल खोलें और डिस्कवरी से शुरू करें, ब्लॉकिंग से नहीं: प्रत्येक प्रबंधित पीसी पर एजेंट उन एप्लिकेशन को स्कैन और सूचीबद्ध करता है जो वास्तव में कार्यालय में इंस्टॉल किए गए हैं, जिसमें सॉफ्टवेयर भी शामिल है जिसे आईटी में किसी ने भी मंजूरी नहीं दी है। किसी भी चीज को ब्लॉक करने से पहले उस सूची को पढ़ें। आश्चर्य की अपेक्षा करें - यहां एक व्यक्तिगत वीपीएन, वहां एक पुराना स्क्रीन रिकॉर्डर, एक ही काम करने वाले तीन पीडीएफ उपकरण। यह खोज रिपोर्ट बाद में आपका साक्ष्य भी है: जब कोई पूछता है कि किसी ऐप को क्यों ब्लॉक किया गया था, तो यह दिखाता है कि ऐप किसी भी नीति के अस्तित्व में आने से पहले कार्यालय मशीनों पर चल रहा था।

प्रथम ब्लॉक से पहले नीति लिखें

पहले कागज पर नियम तय कर लें। श्रेणियां लिखें, ऐप के नाम नहीं: गेम, टोरेंट और पीयर-टू-पीयर क्लाइंट, व्यक्तिगत वीपीएन, रिमोट-एक्सेस टूल जिन्हें किसी ने मंजूरी नहीं दी, क्रिप्टो खनिक, और बिना किसी व्यावसायिक उद्देश्य के कुछ भी। श्रेणियाँ अगले महीने के नए गेम में जीवित रहेंगी; नामों की सूची नहीं है. उस व्यक्ति या भूमिका का नाम बताएं जो अपवादों को मंजूरी देता है, मार्ग कर्मचारी पूछने के लिए उपयोग करते हैं, और एक वादा किया गया उत्तर समय - एक कार्य दिवस एक अच्छा वादा है। अस्थायी जरूरतों को अस्थायी, समयबद्ध पहुंच मिलती है, कभी भी जल्दबाज़ी में स्थायी छेद नहीं खुलता।

ब्लॉकलिस्ट को एक एप्लिकेशन समूह के रूप में बनाएं

कंसोल में, एप्लिकेशन कंट्रोल पर जाएं, फिर एप्लिकेशन ग्रुप पर जाएं और ब्लॉकलिस्ट बनाएं चुनें। कंसोल द्वारा प्रदान किए जाने वाले फ़िल्टर के साथ एप्लिकेशन जोड़ें: <कोड>विक्रेता, <कोड>उत्पाद नाम, <कोड>सत्यापित निष्पादन योग्य, <कोड>फ़ाइल हैश, <कोड>फ़ोल्डर पथ और <कोड>स्टोर ऐप्स। ब्लॉक किया गया ऐप पीसी पर इंस्टॉल रहता है - यह चल ही नहीं सकता। कुछ पीसी पर एक एकल फ़ाइल के लिए, एंडपॉइंट सेंट्रल में इन्वेंटरी के तहत एक सरल ब्लॉक निष्पादन योग्य विकल्प भी है, जो पथ या हैश से मेल खाता है; जब नियम को पूरे कार्यालय में एक नीति के रूप में लागू किया जाना चाहिए तो एप्लिकेशन समूह उचित मार्ग है।

ऐसे नियम चुनें जो नाम बदलने से बचे रहें

आप किसी ऐप की पहचान कैसे करते हैं, यह तय करता है कि ब्लॉक कायम है या नहीं। फ़ाइल-नाम नियम सबसे कमज़ोर है: यह केवल लेबल को पढ़ता है, और game.exe का नाम बदलकर report.exe करने से यह पूरी तरह से ख़राब हो जाता है। एक फ़ोल्डर-पथ नियम नाम बदलने से बच जाता है लेकिन किसी अन्य फ़ोल्डर में स्थानांतरित नहीं होता है। फ़ाइल हैश फ़ाइल की सटीक सामग्री का फ़िंगरप्रिंट है, इसलिए पुनर्नामित या स्थानांतरित प्रतिलिपि अभी भी मेल खाती है - लेकिन हर अपडेट हैश को बदलता है, इसलिए हैश सूचियों को रखरखाव की आवश्यकता होती है। विक्रेता और सत्यापित-निष्पादन योग्य नियम प्रकाशक के डिजिटल हस्ताक्षर का पालन करते हैं: वे नाम बदलने, स्थानांतरण और सामान्य अपडेट से बचे रहते हैं, जो उन्हें व्यावहारिक डिफ़ॉल्ट बनाता है। एक ज्ञात-खराब फ़ाइल के लिए हैश प्राप्त करने के लिए, किसी भी विंडोज़ पीसी पर इसकी गणना करें:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

उदाहरण पथ को वास्तविक फ़ाइल के पथ से बदलें। कमांड आपके द्वारा फ़ाइल हैश नियम में पेस्ट किए गए SHA256 हैश को प्रिंट करता है।

ऑडिट मोड में एक पायलट समूह में तैनात करें

परिनियोजन के अंतर्गत, परिनियोजन नीति खोलें और ब्लॉकलिस्ट को कंप्यूटर के एक कस्टम समूह में संलग्न करें - अपने स्वयं के विभाग जैसे एक छोटे पायलट समूह से शुरू करें, भले ही अंतिम लक्ष्य प्रत्येक कार्यालय पीसी हो। तैनाती करते समय दो काम करें. सबसे पहले, कस्टम अधिसूचना संदेश सेट करें जिसे उपयोगकर्ता किसी ऐप के ब्लॉक होने पर देखेंगे: पॉलिसी को नाम दें और बताएं कि किससे संपर्क करना है। दूसरा, उस विकल्प पर स्विच करें जो उपयोगकर्ताओं को एप्लिकेशन का अनुरोध करने देता है - इसे अभी चालू करें, पहले संकट के बाद नहीं, ताकि अवरुद्ध उपयोगकर्ता को डेड एंड के बजाय अनुरोध मार्ग मिल सके। पॉलिसी को ऑडिट मोड में परिनियोजित करें: अभी तक कुछ भी अवरुद्ध नहीं हुआ है, लेकिन प्रत्येक एप्लिकेशन प्रारंभ रिकॉर्ड किया गया है।

लागू करने से पहले प्रत्येक अप्रबंधित ऐप का समाधान करें

कम से कम एक पूर्ण कार्य चक्र के लिए ऑडिट मोड चलाएं - एक महीना जिसमें महीने का अंत भी शामिल है, जब शायद ही कभी उपयोग किए जाने वाले समापन और रिपोर्टिंग उपकरण सामने आते हैं। फिर अप्रबंधित ऐप्स दृश्य के माध्यम से काम करें और प्रत्येक प्रविष्टि को एक निर्णय दें: इसे अनुमति सूची में जोड़ें, इसे ब्लॉकलिस्ट में जोड़ें, या इसे एक एप्लिकेशन समूह में ले जाएं। एक पीसी पर वास्तव में अज्ञात फ़ाइल के लिए, निर्णय लेने से पहले उसके उपयोगकर्ता से पूछें - आधे डरावने नाम खराब ब्रांडिंग वाले उबाऊ उपकरण हैं। प्रवर्तन से पहले का लक्ष्य एक छोटी, समझी जाने वाली अप्रबंधित सूची है, इसलिए स्ट्रिक्ट मोड में कोई आश्चर्य नहीं है।

स्ट्रिक्ट मोड पर स्विच करें - और अपवाद द्वार को ठीक से चलाएं

पायलट समूह को पहले स्ट्रिक्ट मोड पर स्विच करें, इसे एक सप्ताह तक चलाएं, और उसके बाद ही समूह दर समूह रोल आउट करें। स्ट्रिक्ट मोड में ब्लॉक वास्तविक होता है: एक फ़िल्टर हर प्रोग्राम को उसी समय जांचता है जब वह शुरू करने का प्रयास करता है, इसलिए नियम नीति से बहुत पहले इंस्टॉल किए गए ऐप्स और पोर्टेबल प्रतियों के लिए भी लागू होता है जो कभी भी इंस्टॉल नहीं होते हैं। जब कोई अवरुद्ध ऐप वास्तविक कार्य के लिए आवश्यक हो जाता है, तो कुछ घंटों या एक दिन के लिए समय-समय पर पहुंच स्वीकृत करें - यह अपने आप समाप्त हो जाता है। यदि एक ही विभाग एक ही ऐप का अनुरोध करता रहता है, तो उसे उस समूह की अनुमति सूची में ठीक से ले जाएं और निर्णय को ऑडिट लॉग में रखें।