Blokker enhver app i Office

Oppdag hva som faktisk er installert

Åpne Endpoint Central-konsollen og begynn med oppdagelse, ikke blokkering: Agenten på hver administrerte PC skanner og lister opp programmene som virkelig er installert på kontoret, inkludert programvare som ingen innen IT har godkjent. Les den listen før du blokkerer noe. Forvent overraskelser - en personlig VPN her, en gammel skjermopptaker der, tre PDF-verktøy som gjør samme jobben. Denne oppdagelsesrapporten er også ditt bevis senere: når noen spør hvorfor en app ble blokkert, viser den at appen kjørte på kontormaskiner før noen policy eksisterte.

Skriv policyen før den første blokkeringen

Bestem reglene på papir først. Skriv kategorier, ikke appnavn: spill, torrent- og peer-to-peer-klienter, personlige VPN-er, fjerntilgangsverktøy som ingen har godkjent, kryptogruvearbeidere og alt uten forretningsformål. Kategorier overlever neste måneds nye spill; en navneliste gjør det ikke. Nevn personen eller rollen som godkjenner unntak, rutepersonalet bruker til å spørre, og en lovet svartid – én arbeidsdag er et godt løfte. Midlertidige behov får midlertidig, tidsbestemt tilgang, aldri et permanent hull åpnes i all hast.

Bygg blokkeringslisten som en applikasjonsgruppe

Gå til applikasjonskontroll i konsollen, deretter applikasjonsgrupper, og velg Opprett blokkeringsliste. Legg til applikasjoner med filtrene konsollen tilbyr: Leverandør, Produktnavn, Verifisert kjørbar, Filhash, Mappebane og Store-apper. Den blokkerte appen forblir installert på PC-en – den kan rett og slett ikke kjøre. For én enkelt fil på noen få PC-er har Endpoint Central også et enklere alternativ for blokkkjøring under Inventory, matchet av bane eller hash; Applikasjonsgrupper er den riktige ruten når regelen må leve som en policy på tvers av hele kontoret.

Velg regler som overlever et nytt navn

Hvordan du identifiserer en app avgjør om blokkeringen holder. En filnavnregel er den svakeste: den leser bare etiketten, og å gi nytt navn til game.exe til report.exe slår den fullstendig. En mappe-baneregel overlever et nytt navn, men ikke en flytting til en annen mappe. En filhash er et fingeravtrykk av filens eksakte innhold, så en omdøpt eller flyttet kopi samsvarer fortsatt - men hver oppdatering endrer hash, så hashlister trenger vedlikehold. Leverandør- og verifisert-kjørbare regler følger utgiverens digitale signatur: de overlever omdøpninger, flyttinger og vanlige oppdateringer, noe som gjør dem til den praktiske standarden. For å få en hash for en kjent dårlig fil, beregne den på en hvilken som helst Windows-PC:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Erstatt eksempelbanen med banen til den virkelige filen. Kommandoen skriver ut SHA256-hashen du limer inn i en File Hash-regel.

Distribuer til en pilotgruppe i revisjonsmodus

Under Deployment, åpne Deploy Policy og fest blokkeringslisten til en egendefinert gruppe med datamaskiner – start med en liten pilotgruppe, for eksempel din egen avdeling, selv om det endelige målet er hver kontor-PC. Gjør to ting mens du distribuerer. Angi først den tilpassede varslingsmeldingen brukere skal se når en app er blokkert: navngi policyen og si hvem de skal kontakte. For det andre, slå på alternativet som lar brukere be om applikasjoner – slå det på nå, ikke etter den første krisen, slik at en blokkert bruker får en forespørselsrute i stedet for en blindvei. Distribuer policyen i revisjonsmodus: ingenting er blokkert ennå, men hver applikasjonsstart blir registrert.

Løs alle uadministrerte apper før håndheving

Kjør revisjonsmodus i minst én hel arbeidssyklus – en måned som inkluderer månedsavslutning, når de sjelden brukte avslutnings- og rapporteringsverktøyene kommer ut. Deretter går du gjennom Uadministrerte apper-visningen og gir hver oppføring en dom: legg den til godkjenningslisten, legg den til blokkeringslisten eller flytt den til en applikasjonsgruppe. For en genuint ukjent fil på én PC, spør brukeren før du dømmer – halvparten av de skumle navnene er kjedelige verktøy med dårlig merkevarebygging. Målet før håndhevelse er en kort, forstått uadministrert liste, så Strict Mode har ingen overraskelser.

Bytt til streng modus - og kjør unntaksdøren på riktig måte

Bytt pilotgruppen til streng modus først, kjør den i en uke, og rull deretter ut gruppe for gruppe. I streng modus er blokkeringen reell: et filter sjekker hvert program i det øyeblikket det prøver å starte, så regelen gjelder selv for apper installert lenge før policyen og for bærbare kopier som aldri ble installert i det hele tatt. Når en blokkert app viser seg å være nødvendig for virkelig arbeid, godkjenn just-in-time tilgang for noen timer eller en dag – den utløper av seg selv. Hvis den samme avdelingen fortsetter å be om den samme appen, flytt den til gruppens godkjenningsliste på riktig måte og hold avgjørelsen i revisjonsloggen.