Blokkeer elke app in Office

Ontdek wat er feitelijk is geïnstalleerd

Open de Endpoint Central-console en begin met ontdekken, niet met blokkeren: de agent op elke beheerde pc scant en vermeldt de applicaties die daadwerkelijk op kantoor zijn geïnstalleerd, inclusief software die niemand bij de IT-afdeling ooit heeft goedgekeurd. Lees die lijst voordat je iets blokkeert. Verwacht verrassingen: een persoonlijke VPN hier, een oude schermrecorder daar, drie PDF-tools die hetzelfde werk doen. Dit ontdekkingsrapport is later ook uw bewijs: wanneer iemand vraagt ​​waarom een ​​app is geblokkeerd, blijkt dat de app op kantoormachines draaide voordat er enig beleid bestond.

Schrijf het beleid vóór het eerste blok

Bepaal eerst de regels op papier. Schrijf categorieën, geen app-namen: games, torrent- en peer-to-peer-clients, persoonlijke VPN's, tools voor externe toegang die niemand heeft goedgekeurd, cryptominers en alles zonder zakelijk doel. Categorieën overleven het nieuwe spel van volgende maand; een lijst met namen niet. Noem de persoon of rol die uitzonderingen goedkeurt, de route die medewerkers gebruiken om vragen te stellen en een beloofde antwoordtijd: één werkdag is een goede belofte. Tijdelijke behoeften krijgen tijdelijke, tijdgebonden toegang, nooit wordt er in één keer een permanent gat geopend.

Bouw de blokkeerlijst als een applicatiegroep

Ga in de console naar Applicatiebeheer, vervolgens Applicatiegroepen en kies Blokkeerlijst maken. Voeg applicaties toe met de filters die de console biedt: Leverancier, Productnaam, Geverifieerd uitvoerbaar bestand, Bestandshash, Mappad en Store-apps. De geblokkeerde app blijft op de pc geïnstalleerd en kan eenvoudigweg niet worden uitgevoerd. Voor één enkel bestand op een paar pc's heeft Endpoint Central ook een eenvoudiger Block Executable-optie onder Inventory, gekoppeld aan pad of hash; Applicatiegroepen zijn de juiste route wanneer de regel als beleid voor het hele kantoor moet gelden.

Kies regels die een naamswijziging overleven

Hoe u een app identificeert, bepaalt of de blokkering standhoudt. Een bestandsnaamregel is het zwakst: deze leest alleen het label, en het hernoemen van game.exe naar report.exe vernietigt deze volledig. Een mappadregel overleeft een hernoeming, maar niet een verplaatsing naar een andere map. Een bestandshash is een vingerafdruk van de exacte inhoud van het bestand, dus een hernoemde of verplaatste kopie komt nog steeds overeen, maar elke update verandert de hash, dus hashlijsten hebben onderhoud nodig. Regels voor leveranciers en geverifieerde uitvoerbare regels volgen de digitale handtekening van de uitgever: ze overleven hernoemingen, verplaatsingen en gewone updates, waardoor ze de praktische standaard zijn. Om een hash te krijgen voor één bekend slecht bestand, berekent u deze op elke Windows-pc:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Vervang het voorbeeldpad door het pad van het echte bestand. Met de opdracht wordt de SHA256-hash afgedrukt die u in een bestandshashregel plakt.

Implementeer in een pilotgroep in de auditmodus

Open onder Implementatie het implementatiebeleid en koppel de blokkeerlijst aan een aangepaste groep computers. Begin met een kleine pilotgroep, zoals uw eigen afdeling, zelfs als het uiteindelijke doel elke kantoor-pc is. Doe tijdens het implementeren twee dingen. Stel eerst het aangepaste meldingsbericht in dat gebruikers te zien krijgen wanneer een app wordt geblokkeerd: geef het beleid een naam en zeg met wie ze contact moeten opnemen. Ten tweede: schakel de optie in waarmee gebruikers applicaties kunnen aanvragen. Schakel deze nu in, niet na de eerste crisis, zodat een geblokkeerde gebruiker een aanvraagroute krijgt in plaats van een doodlopende weg. Implementeer het beleid in de auditmodus: er is nog niets geblokkeerd, maar elke start van de applicatie wordt geregistreerd.

Los elke onbeheerde app op voordat u deze afdwingt

Voer de auditmodus uit gedurende ten minste één volledige werkcyclus - een maand inclusief het einde van de maand, wanneer de zelden gebruikte afsluitings- en rapportagetools verschijnen. Werk vervolgens door de weergave Onbeheerde apps en geef elk item een ​​oordeel: voeg het toe aan de toelatingslijst, voeg het toe aan de blokkeerlijst of verplaats het naar een applicatiegroep. Als u een echt onbekend bestand op één pc wilt hebben, vraag het dan aan de gebruiker voordat u oordeelt: de helft van de enge namen zijn saaie tools met een slechte branding. Het doel vóór handhaving is een korte, begrijpelijke, onbeheerde lijst, dus de Strict Mode kent geen verrassingen.

Schakel over naar de strikte modus - en voer de uitzonderingsdeur correct uit

Schakel de pilotgroep eerst over naar de Strict Mode, laat deze een week draaien en rol dan pas groep voor groep uit. In de strikte modus is de blokkering reëel: een filter controleert elk programma op het moment dat het probeert te starten, dus de regel geldt zelfs voor apps die lang vóór het beleid zijn geïnstalleerd en voor draagbare kopieën die helemaal nooit zijn geïnstalleerd. Wanneer een geblokkeerde app nodig blijkt te zijn voor echt werk, kunt u just-in-time-toegang voor een paar uur of een dag goedkeuren - deze verloopt vanzelf. Als dezelfde afdeling dezelfde app blijft aanvragen, verplaats deze dan naar de toelatingslijst van die groep en bewaar de beslissing in het auditlogboek.