Sekat Sebarang Apl dalam Office

Temui Perkara Yang Sebenarnya Dipasang

Buka konsol Pusat Titik Akhir dan mulakan dengan penemuan, bukan menyekat: ejen pada setiap PC terurus mengimbas dan menyenaraikan aplikasi yang benar-benar dipasang di seluruh pejabat, termasuk perisian yang tidak pernah diluluskan oleh sesiapa pun dalam IT. Baca senarai itu sebelum anda menyekat apa-apa. Jangkakan kejutan - VPN peribadi di sini, perakam skrin lama di sana, tiga alat PDF melakukan kerja yang sama. Laporan penemuan ini juga merupakan bukti anda kemudian: apabila seseorang bertanya mengapa apl disekat, ia menunjukkan apl itu berjalan pada mesin pejabat sebelum sebarang dasar wujud.

Tulis Polisi Sebelum Blok Pertama

Tentukan peraturan di atas kertas terlebih dahulu. Tulis kategori, bukan nama apl: permainan, klien torrent dan rakan sebaya, VPN peribadi, alat akses jauh yang tiada siapa yang diluluskan, pelombong kripto dan apa-apa sahaja tanpa tujuan perniagaan. Kategori bertahan dalam permainan baharu bulan depan; senarai nama tidak. Namakan orang atau peranan yang meluluskan pengecualian, laluan yang digunakan kakitangan untuk bertanya dan masa balasan yang dijanjikan - satu hari bekerja adalah janji yang baik. Keperluan sementara mendapat akses sementara, terikat masa, tidak pernah lubang kekal dibuka dengan tergesa-gesa.

Bina Senarai Sekat sebagai Kumpulan Aplikasi

Dalam konsol, pergi ke Kawalan Aplikasi, kemudian Kumpulan Aplikasi, dan pilih Cipta Senarai Sekat. Tambahkan aplikasi dengan penapis yang ditawarkan oleh konsol: Penjual, Nama Produk, Executable, Fail Hash, Folder Laluan dan Store Apps. Apl yang disekat kekal dipasang pada PC - ia tidak boleh dijalankan. Untuk satu fail tunggal pada beberapa PC, Pusat Titik Akhir juga mempunyai pilihan Boleh Laksana Blok yang lebih mudah di bawah Inventori, dipadankan dengan laluan atau cincang; Kumpulan Aplikasi ialah laluan yang betul apabila peraturan mesti dijalankan sebagai dasar di seluruh pejabat.

Pilih Peraturan yang Bertahan dalam Nama Semula

Cara anda mengenal pasti apl menentukan sama ada blok itu dipegang. Peraturan nama fail adalah yang paling lemah: ia hanya membaca label dan menamakan semula game.exe kepada report.exe mengalahkannya sepenuhnya. Peraturan laluan folder kekal dalam nama semula tetapi bukan pemindahan ke folder lain. Cincang fail ialah cap jari kandungan tepat fail, jadi salinan yang dinamakan semula atau dialihkan masih sepadan - tetapi setiap kemas kini menukar cincang, jadi senarai cincang memerlukan penyelenggaraan. Peraturan vendor dan boleh laksana yang disahkan mengikut tandatangan digital penerbit: peraturan itu kekal dalam nama semula, pergerakan dan kemas kini biasa, yang menjadikannya lalai praktikal. Untuk mendapatkan cincang untuk satu fail yang diketahui buruk, hitungkannya pada mana-mana PC Windows:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Gantikan laluan contoh dengan laluan fail sebenar. Perintah mencetak cincang SHA256 yang anda tampal ke dalam peraturan Cincang Fail.

Gunakan kepada Kumpulan Perintis dalam Mod Audit

Di bawah Deployment, buka Deploy Policy dan lampirkan senarai sekatan pada kumpulan tersuai komputer - mulakan dengan kumpulan perintis kecil seperti jabatan anda sendiri, walaupun sasaran akhir adalah setiap PC pejabat. Semasa menggunakan, lakukan dua perkara. Mula-mula, tetapkan mesej pemberitahuan tersuai yang akan dilihat pengguna apabila apl disekat: namakan dasar dan sebutkan siapa yang hendak dihubungi. Kedua, hidupkan pilihan yang membolehkan pengguna meminta aplikasi - hidupkannya sekarang, bukan selepas krisis pertama, jadi pengguna yang disekat mendapat laluan permintaan dan bukannya jalan buntu. Gunakan dasar dalam Mod Audit: tiada yang disekat lagi, tetapi setiap permulaan aplikasi direkodkan.

Selesaikan Setiap Apl Tidak Terurus Sebelum Menguatkuasakan

Jalankan Mod Audit untuk sekurang-kurangnya satu kitaran kerja penuh - sebulan yang termasuk akhir bulan, apabila alat penutup dan pelaporan yang jarang digunakan keluar. Kemudian kerjakan melalui paparan Apl Tidak Diurus dan berikan setiap entri keputusan: tambahkannya pada senarai yang dibenarkan, tambahkannya pada senarai sekat atau alihkannya ke dalam kumpulan aplikasi. Untuk fail yang benar-benar tidak diketahui pada satu PC, tanya penggunanya sebelum menilai - separuh daripada nama yang menakutkan adalah alat yang membosankan dengan penjenamaan yang buruk. Matlamat sebelum penguatkuasaan ialah senarai pendek dan tidak terurus yang difahami, jadi Mod Ketat tidak menimbulkan kejutan.

Tukar kepada Mod Ketat - dan Jalankan Pintu Pengecualian dengan Betul

Tukar kumpulan perintis kepada Mod Ketat dahulu, jalankannya selama seminggu, dan kemudian barulah melancarkan kumpulan mengikut kumpulan. Dalam Mod Ketat blok adalah nyata: penapis menyemak setiap program pada masa ia cuba dimulakan, jadi peraturan berlaku walaupun untuk apl yang dipasang jauh sebelum dasar dan untuk salinan mudah alih yang tidak pernah dipasang sama sekali. Apabila apl yang disekat ternyata diperlukan untuk kerja sebenar, luluskan akses tepat dalam masa selama beberapa jam atau sehari - apl itu tamat tempoh dengan sendirinya. Jika jabatan yang sama terus meminta apl yang sama, alihkannya ke senarai dibenarkan kumpulan itu dengan betul dan simpan keputusan itu dalam log audit.