Office의 모든 앱 차단

실제로 설치된 것이 무엇인지 알아보십시오.

Endpoint Central 콘솔을 열고 차단이 아닌 검색부터 시작하세요. 각 관리 PC의 에이전트는 IT 부서에서 아무도 승인하지 않은 소프트웨어를 포함하여 사무실 전체에 실제로 설치된 애플리케이션을 검색하고 나열합니다. 무엇이든 차단하기 전에 해당 목록을 읽어보세요. 놀라움을 기대하세요. 여기에는 개인 VPN이 있고, 저기에는 오래된 스크린 레코더가 있으며, 동일한 작업을 수행하는 세 가지 PDF 도구가 있습니다. 이 발견 보고서는 나중에 증거가 될 수도 있습니다. 누군가 앱이 차단된 이유를 묻는 경우 정책이 존재하기 전에 앱이 사무실 컴퓨터에서 실행 중이었음을 보여줍니다.

첫 번째 블록 전에 정책 작성

먼저 종이에 대한 규칙을 결정하십시오. 앱 이름이 아닌 카테고리를 작성하세요. 게임, 토렌트 및 P2P 클라이언트, 개인 VPN, 아무도 승인하지 않은 원격 액세스 도구, 암호화폐 채굴기 및 비즈니스 목적이 없는 모든 것. 카테고리는 다음 달 새 게임에서도 살아남습니다. 이름 목록은 그렇지 않습니다. 예외를 승인하는 사람이나 역할, 직원이 질문하는 데 사용하는 경로, 약속된 응답 시간을 지정하세요. 근무일 기준으로 하루 정도가 좋습니다. 일시적인 필요는 일시적이고 시간 제한이 있는 접근 권한을 가지게 되며 결코 서둘러서 영구적인 구멍이 열리지 않습니다.

애플리케이션 그룹으로 차단 목록 작성

콘솔에서 애플리케이션 제어, 애플리케이션 그룹으로 이동하고 차단 목록 생성을 선택합니다. 콘솔이 제공하는 필터(공급업체, 제품 이름, 검증된 실행 파일, 파일 해시, 폴더 경로 및 스토어 앱))를 사용하여 애플리케이션을 추가합니다. 차단된 앱은 PC에 설치된 상태로 유지되며 실행할 수 없습니다. 몇 대의 PC에 있는 단일 파일의 경우 Endpoint Central에는 경로나 해시와 일치하는 Inventory 아래에 더 간단한 Block Executable 옵션이 있습니다. 응용 프로그램 그룹은 규칙이 전체 사무실에 걸쳐 정책으로 존재해야 하는 경우 적절한 경로입니다.

이름 변경 후에도 유지되는 규칙 선택

앱을 식별하는 방법에 따라 차단이 유지되는지 여부가 결정됩니다. 파일 이름 규칙은 가장 약합니다. 레이블만 읽고 game.exe의 이름을 report.exe로 바꾸면 레이블이 완전히 무효화됩니다. 폴더 경로 규칙은 이름을 바꿔도 유지되지만 다른 폴더로 이동해도 유지되지 않습니다. 파일 해시는 파일의 정확한 내용에 대한 지문이므로 이름이 바뀌거나 이동된 복사본은 여전히 ​​일치합니다. 하지만 업데이트할 때마다 해시가 변경되므로 해시 목록을 유지 관리해야 합니다. 공급업체 및 검증된 실행 가능 규칙은 게시자의 디지털 서명을 따릅니다. 이름 변경, 이동 및 일반 업데이트 후에도 유지되므로 실질적인 기본값이 됩니다. 알려진 불량 파일 하나에 대한 해시를 얻으려면 Windows PC에서 해시를 계산하세요.

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

예제 경로를 실제 파일 경로로 바꿉니다. 이 명령은 파일 해시 규칙에 붙여넣은 SHA256 해시를 인쇄합니다.

감사 모드에서 파일럿 그룹에 배포

배포에서 정책 배포를 열고 차단 목록을 사용자 지정 컴퓨터 그룹에 연결합니다. 최종 대상이 모든 사무실 PC인 경우에도 자신의 부서와 같은 소규모 파일럿 그룹으로 시작합니다. 배포하는 동안 두 가지 작업을 수행합니다. 먼저, 앱이 차단될 때 사용자에게 표시될 사용자 정의 알림 메시지를 설정합니다. 즉, 정책 이름을 지정하고 연락할 사람을 지정합니다. 둘째, 사용자가 애플리케이션을 요청할 수 있는 옵션을 켜십시오. 첫 번째 위기 이후가 아니라 지금 켜서 차단된 사용자가 막다른 골목 대신 요청 경로를 얻을 수 있도록 하십시오. 감사 모드에서 정책을 배포합니다. 아직 차단된 것은 없지만 모든 애플리케이션 시작이 기록됩니다.

시행하기 전에 관리되지 않는 모든 앱을 해결하세요.

거의 사용되지 않는 마감 및 보고 도구가 나오는 월말을 포함하는 한 달(한 달) 동안 전체 작업 주기 동안 감사 모드를 실행합니다. 그런 다음 관리되지 않는 앱 보기를 통해 작업하고 모든 항목에 대한 판정을 내립니다. 허용 목록에 추가하거나 차단 목록에 추가하거나 애플리케이션 그룹으로 이동합니다. 한 대의 PC에 실제로 알려지지 않은 파일이 있는 경우 판단하기 전에 해당 사용자에게 물어보십시오. 무서운 이름의 절반은 브랜딩이 좋지 않은 지루한 도구입니다. 적용 전 목표는 짧고 이해하기 쉬운 관리되지 않는 목록이므로 엄격 모드에서는 놀랄 일이 아닙니다.

엄격 모드로 전환하고 예외 도어를 올바르게 실행하세요.

먼저 파일럿 그룹을 엄격 모드로 전환하고 일주일 동안 실행한 후 그룹별로 롤아웃합니다. 엄격 모드에서는 차단이 실제입니다. 필터는 시작을 시도하는 순간 모든 프로그램을 확인하므로 정책이 적용되기 오래 전에 설치된 앱과 전혀 설치되지 않은 휴대용 복사본에 대해서도 규칙이 적용됩니다. 차단된 앱이 실제 업무에 필요한 것으로 판명되면 몇 시간 또는 하루 동안 Just-In-Time 액세스를 승인하세요. 앱은 저절로 만료됩니다. 같은 부서에서 같은 앱을 계속 요청하는 경우 해당 앱을 해당 그룹의 허용 목록으로 적절하게 이동하고 감사 로그에 결정을 유지하세요.