Office 内のすべてのアプリをブロックする

実際にインストールされているものを確認する

Endpoint Central コンソールを開いて、ブロックするのではなく検出から始めます。管理されている各 PC 上のエージェントが、IT 部門の誰も承認したことのないソフトウェアを含む、オフィス全体に実際にインストールされているアプリケーションをスキャンしてリストします。何かをブロックする前に、そのリストを読んでください。ここには個人用 VPN、そこには古いスクリーン レコーダー、同じ仕事をする 3 つの PDF ツールなど、驚きが期待できます。この検出レポートは、後で証拠にもなります。誰かがアプリがブロックされた理由を尋ねると、ポリシーが存在する前にアプリがオフィスのマシンで実行されていたことがわかります。

最初のブロックの前にポリシーを書きます

まずは紙の上でルールを決めます。アプリ名ではなくカテゴリを書きます。ゲーム、トレントおよびピアツーピア クライアント、個人用 VPN、誰も承認していないリモート アクセス ツール、暗号通貨採掘者、その他ビジネス目的のないもの。カテゴリは来月の新しいゲームでも存続します。名前のリストにはありません。例外を承認する人または役割、スタッフが問い合わせに使用するルート、および約束された返信時間の名前を指定します。1 営業日が適切な約束です。一時的なニーズに対しては、一時的かつ期限付きのアクセスが提供されるため、急いで永久的な穴が開くことはありません。

アプリケーション グループとしてブロックリストを構築する

コンソールで、[Application Control]、[Application Groups] の順に移動し、[Create Blocklist] を選択します。コンソールが提供するフィルターを使用してアプリケーションを追加します: ベンダー、製品名、検証済み実行可能ファイル、ファイル ハッシュ、フォルダー パス、ストア アプリ。ブロックされたアプリは PC にインストールされたままになります。単に実行することができません。少数の PC 上の 1 つのファイルの場合、Endpoint Central には、パスまたはハッシュで一致する、インベントリの下のよりシンプルな実行可能ファイルのブロック オプションもあります。アプリケーション グループは、ルールをオフィス全体にわたるポリシーとして適用する必要がある場合に適切なルートです。

名前変更後も存続するルールを選択する

アプリをどのように識別するかによって、ブロックが適用されるかどうかが決まります。ファイル名ルールは最も弱いものです。ラベルのみを読み取り、game.exe の名前を report.exe に変更すると、このルールは完全に無効になります。フォルダー パス ルールは名前変更後も存続しますが、別のフォルダーへの移動後は存続しません。ファイル ハッシュはファイルの正確な内容のフィンガープリントであるため、名前変更または移動されたコピーは引き続き一致します。ただし、更新のたびにハッシュが変更されるため、ハッシュ リストのメンテナンスが必要です。ベンダーおよび検証済みの実行可能ルールは、発行者のデジタル署名に従います。名前の変更、移動、通常の更新が行われても存続するため、実質的なデフォルトとなります。既知の不正なファイルのハッシュを取得するには、任意の Windows PC で計算します。

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

例のパスを実際のファイルのパスに置き換えます。このコマンドは、ファイル ハッシュ ルールに貼り付けた SHA256 ハッシュを出力します。

監査モードでパイロット グループに展開する

[展開] で、[展開ポリシー] を開き、コンピュータのカスタム グループにブロックリストを添付します。最終ターゲットがオフィスのすべての PC であっても、自分の部門などの小さなパイロット グループから始めます。デプロイ中に 2 つのことを行います。まず、アプリがブロックされたときにユーザーに表示されるカスタム通知メッセージを設定します。ポリシーに名前を付け、連絡先を指定します。次に、ユーザーがアプリケーションをリクエストできるようにするオプションをオンにします。最初の危機の後ではなく、今すぐオンにします。これにより、ブロックされたユーザーは行き止まりではなくリクエスト ルートを取得できるようになります。監査モードでポリシーを展開します。まだ何もブロックされていませんが、すべてのアプリケーションの起動が記録されます。

強制する前にすべての管理対象外アプリを解決する

少なくとも 1 つの完全な作業サイクル (めったに使用されない決算ツールやレポート ツールが公開される月末を含む月) で監査モードを実行します。次に、[管理対象外のアプリ] ビューを操作して、すべてのエントリに判定を与えます。許可リストに追加するか、ブロックリストに追加するか、アプリケーション グループに移動します。ある PC 上にある本当に未知のファイルについては、判断する前にユーザーに尋ねてください。恐ろしい名前の半分は、悪いブランド名が付いた退屈なツールです。施行前の目標は、短く理解された管理されていないリストであるため、厳密モードには何の不思議もありません。

厳密モードに切り替えて、例外ドアを適切に実行します

まずパイロット グループを Strict モードに切り替え、1 週間実行してから、グループごとにロールアウトします。厳密モードでは、ブロックは実際に行われます。フィルターは、すべてのプログラムが起動しようとする瞬間にチェックするため、ポリシーよりずっと前にインストールされたアプリや、まったくインストールされなかったポータブル コピーにもルールが適用されます。ブロックされたアプリが実際の作業に必要であることが判明した場合は、数時間または 1 日のジャストインタイム アクセスを承認します。このアクセスは自動的に期限切れになります。同じ部門が同じアプリを要求し続ける場合は、そのアプリをそのグループの許可リストに適切に移動し、決定を監査ログに記録します。