Blokir Aplikasi Apa Pun di Office

Temukan Apa yang Sebenarnya Terpasang

Buka konsol Endpoint Central dan mulai dengan penemuan, bukan pemblokiran: agen di setiap PC yang dikelola memindai dan mencantumkan aplikasi yang benar-benar terinstal di kantor, termasuk perangkat lunak yang tidak pernah disetujui oleh siapa pun di TI. Baca daftar itu sebelum Anda memblokir apa pun. Harapkan kejutan - VPN pribadi di sini, perekam layar lama di sana, tiga alat PDF melakukan pekerjaan yang sama. Laporan penemuan ini juga menjadi bukti Anda nanti: ketika seseorang bertanya mengapa suatu aplikasi diblokir, laporan tersebut menunjukkan bahwa aplikasi tersebut berjalan di mesin kantor sebelum ada kebijakan apa pun.

Tulis Kebijakan Sebelum Blok Pertama

Putuskan aturan di atas kertas terlebih dahulu. Tulis kategori, bukan nama aplikasi: game, torrent dan klien peer-to-peer, VPN pribadi, alat akses jarak jauh yang tidak disetujui siapa pun, penambang kripto, dan apa pun yang tidak memiliki tujuan bisnis. Kategori bertahan dalam permainan baru bulan depan; daftar nama tidak. Sebutkan orang atau peran yang menyetujui pengecualian, rute yang digunakan staf untuk bertanya, dan waktu balasan yang dijanjikan - satu hari kerja adalah janji yang bagus. Kebutuhan-kebutuhan sementara mendapat akses sementara dan terikat waktu, tidak pernah menjadi lubang permanen yang dibuka secara terburu-buru.

Bangun Daftar Blokir sebagai Grup Aplikasi

Di konsol, buka Kontrol Aplikasi, lalu Grup Aplikasi, dan pilih Buat Daftar Blokir. Tambahkan aplikasi dengan filter yang ditawarkan konsol: Vendor, Product Name, Verified Executable, File Hash, Folder Path dan Store Apps. Aplikasi yang diblokir tetap terinstal di PC - aplikasi tidak dapat dijalankan. Untuk satu file di beberapa PC, Endpoint Central juga memiliki opsi Block Executable yang lebih sederhana di bawah Inventaris, dicocokkan berdasarkan jalur atau hash; Grup Aplikasi adalah cara yang tepat ketika aturan harus diterapkan sebagai kebijakan di seluruh kantor.

Pilih Aturan yang Bertahan dari Penggantian Nama

Cara Anda mengidentifikasi suatu aplikasi menentukan apakah pemblokiran tersebut berlaku. Aturan nama file adalah yang paling lemah: ia hanya membaca labelnya, dan mengganti nama game.exe menjadi report.exe akan mengalahkannya sepenuhnya. Aturan jalur folder akan bertahan jika diganti namanya, tetapi tidak akan dipindahkan ke folder lain. Hash file adalah sidik jari dari konten file yang sebenarnya, jadi salinan yang diganti namanya atau dipindahkan tetap cocok - tetapi setiap pembaruan mengubah hash, sehingga daftar hash memerlukan pemeliharaan. Aturan vendor dan terverifikasi yang dapat dijalankan mengikuti tanda tangan digital penerbit: aturan tersebut tetap bertahan dalam penggantian nama, pemindahan, dan pembaruan rutin, yang menjadikannya sebagai standar praktis. Untuk mendapatkan hash untuk satu file yang diketahui buruk, hitunglah di PC Windows mana pun:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Ganti jalur contoh dengan jalur file sebenarnya. Perintah ini mencetak hash SHA256 yang Anda tempelkan ke aturan File Hash.

Terapkan ke Grup Percontohan dalam Mode Audit

Di bawah Deployment, buka Deploy Policy dan lampirkan daftar blokir ke grup komputer khusus - mulailah dengan grup percontohan kecil seperti departemen Anda sendiri, meskipun target akhirnya adalah setiap PC kantor. Saat menerapkan, lakukan dua hal. Pertama, atur pesan notifikasi khusus yang akan dilihat pengguna ketika aplikasi diblokir: beri nama kebijakan dan sebutkan siapa yang harus dihubungi. Kedua, aktifkan opsi yang memungkinkan pengguna meminta aplikasi - aktifkan sekarang, bukan setelah krisis pertama, sehingga pengguna yang diblokir mendapatkan rute permintaan alih-alih jalan buntu. Terapkan kebijakan dalam Mode Audit: belum ada yang diblokir, namun setiap permulaan aplikasi dicatat.

Selesaikan Setiap Aplikasi yang Tidak Dikelola Sebelum Diterapkan

Jalankan Mode Audit setidaknya selama satu siklus kerja penuh - satu bulan yang mencakup akhir bulan, saat alat penutupan dan pelaporan yang jarang digunakan keluar. Kemudian kerjakan tampilan Aplikasi yang Tidak Dikelola dan berikan keputusan pada setiap entri: tambahkan ke daftar yang diizinkan, tambahkan ke daftar blokir, atau pindahkan ke grup aplikasi. Untuk file yang benar-benar tidak dikenal di satu PC, tanyakan kepada penggunanya sebelum menilai - setengah dari nama yang menakutkan tersebut adalah alat yang membosankan dengan branding yang buruk. Sasaran sebelum penerapannya adalah daftar singkat yang tidak dikelola dan dipahami, sehingga Mode Ketat tidak memberikan kejutan apa pun.

Beralih ke Mode Ketat - dan Jalankan Pintu Pengecualian dengan Benar

Alihkan grup percontohan ke Mode Ketat terlebih dahulu, jalankan selama seminggu, dan baru kemudian luncurkan grup demi grup. Dalam Mode Ketat, pemblokiran ini nyata: filter memeriksa setiap program pada saat ia mencoba memulai, sehingga aturan ini berlaku bahkan untuk aplikasi yang diinstal jauh sebelum kebijakan ini dan untuk salinan portabel yang tidak pernah diinstal sama sekali. Ketika aplikasi yang diblokir ternyata diperlukan untuk pekerjaan nyata, setujui akses just-in-time selama beberapa jam atau satu hari - aplikasi tersebut akan habis masa berlakunya dengan sendirinya. Jika departemen yang sama terus meminta aplikasi yang sama, pindahkan aplikasi tersebut ke daftar yang diizinkan grup tersebut dengan benar dan simpan keputusannya di log audit.