Blocca qualsiasi app in Office

Scopri cosa è effettivamente installato

Apri la console Endpoint Central e inizia con l'individuazione, non con il blocco: l'agente su ogni PC gestito esegue la scansione ed elenca le applicazioni realmente installate in tutto l'ufficio, incluso il software che nessuno nell'IT ha mai approvato. Leggi l'elenco prima di bloccare qualsiasi cosa. Aspettatevi sorprese: una VPN personale qui, un vecchio registratore dello schermo là, tre strumenti PDF che fanno lo stesso lavoro. Questo rapporto di scoperta è anche la tua prova in seguito: quando qualcuno chiede perché un'app è stata bloccata, mostra che l'app era in esecuzione sui computer dell'ufficio prima che esistessero qualsiasi politica.

Scrivi la policy prima del primo blocco

Decidi prima le regole sulla carta. Scrivi categorie, non nomi di app: giochi, client torrent e peer-to-peer, VPN personali, strumenti di accesso remoto approvati da nessuno, minatori di criptovalute e qualsiasi cosa senza scopo commerciale. Le categorie sopravvivono al nuovo gioco del mese prossimo; un elenco di nomi no. Indica la persona o il ruolo che approva le eccezioni, il percorso utilizzato dal personale per chiedere e il tempo di risposta promesso: un giorno lavorativo è una buona promessa. I bisogni temporanei ottengono un accesso temporaneo e limitato nel tempo, mai un buco permanente aperto in fretta.

Costruisci la Blocklist come gruppo di applicazioni

Nella console, vai su Controllo applicazioni, quindi Gruppi di applicazioni e scegli Crea blocklist. Aggiungi applicazioni con i filtri offerti dalla console: Fornitore, Nome prodotto, Eseguibile verificato, Hash file, Percorso cartella e App Store. L'app bloccata rimane installata sul PC: semplicemente non può essere eseguita. Per un singolo file su alcuni PC, Endpoint Central dispone anche di un'opzione più semplice di blocco eseguibile in Inventario, abbinata al percorso o all'hash; I gruppi di applicazioni rappresentano la strada giusta quando la regola deve vivere come una policy in tutto l'ufficio.

Scegli regole che sopravvivono a una ridenominazione

Il modo in cui identifichi un'app determina se il blocco è valido. Una regola relativa ai nomi dei file è la più debole: legge solo l'etichetta e rinominare game.exe in report.exe la sconfigge completamente. Una regola del percorso della cartella sopravvive alla ridenominazione ma non allo spostamento in un'altra cartella. Un hash di file è un'impronta digitale del contenuto esatto del file, quindi una copia rinominata o spostata corrisponde ancora, ma ogni aggiornamento modifica l'hash, quindi gli elenchi di hash necessitano di manutenzione. Le regole del fornitore e dell'eseguibile verificato seguono la firma digitale dell'editore: sopravvivono alle ridenominazioni, agli spostamenti e agli aggiornamenti ordinari, il che le rende l'impostazione predefinita pratica. Per ottenere un hash per un file noto come dannoso, calcolalo su qualsiasi PC Windows:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Sostituisci il percorso di esempio con il percorso del file reale. Il comando stampa l'hash SHA256 incollato in una regola Hash file.

Distribuisci a un gruppo pilota in modalità di controllo

In Distribuzione, apri Deploy Policy e allega la blocklist a un gruppo personalizzato di computer: inizia con un piccolo gruppo pilota come il tuo dipartimento, anche se l'obiettivo finale è ogni PC dell'ufficio. Durante la distribuzione, fai due cose. Innanzitutto, imposta il messaggio di notifica personalizzato che gli utenti vedranno quando un'app viene bloccata: dai un nome al criterio e indica chi contattare. In secondo luogo, attiva l'opzione che consente agli utenti di richiedere applicazioni: attivala ora, non dopo la prima crisi, in modo che un utente bloccato riceva un percorso di richiesta anziché un vicolo cieco. Distribuisci la policy in modalità di controllo: nulla è ancora bloccato, ma ogni avvio dell'applicazione viene registrato.

Risolvi ogni app non gestita prima di applicarla

Esegui la modalità di controllo per almeno un ciclo di lavoro completo, un mese che include la fine del mese, quando escono gli strumenti di chiusura e reporting utilizzati raramente. Quindi lavora attraverso la visualizzazione App non gestite e dai un verdetto a ogni voce: aggiungila alla lista consentita, aggiungila alla lista bloccata o spostala in un gruppo di applicazioni. Per un file veramente sconosciuto su un PC, chiedi all'utente prima di giudicare: metà dei nomi spaventosi sono strumenti noiosi con un marchio scadente. L'obiettivo prima dell'applicazione è un elenco breve e comprensibile non gestito, quindi la modalità rigorosa non riserva sorprese.

Passa alla modalità rigorosa ed esegui correttamente la porta delle eccezioni

Passa prima il gruppo pilota alla modalità rigorosa, eseguilo per una settimana e solo dopo distribuiscilo gruppo per gruppo. In Strict Mode il blocco è reale: un filtro controlla ogni programma nel momento in cui tenta di avviarsi, quindi la regola vale anche per le app installate molto prima della policy e per le copie portatili mai installate. Quando un'app bloccata risulta essere necessaria per un lavoro reale, approva l'accesso just-in-time per alcune ore o un giorno: scade da solo. Se lo stesso dipartimento continua a richiedere la stessa app, spostala correttamente nella lista consentita di quel gruppo e conserva la decisione nel registro di controllo.