Blokuj dowolną aplikację w pakiecie Office

Odkryj, co jest faktycznie zainstalowane

Otwórz konsolę Endpoint Central i zacznij od wykrywania, a nie blokowania: agent na każdym zarządzanym komputerze skanuje i wyświetla listę aplikacji, które rzeczywiście są zainstalowane w całym biurze, w tym oprogramowanie, którego nikt z działu IT nigdy nie zatwierdził. Przeczytaj tę listę, zanim cokolwiek zablokujesz. Spodziewaj się niespodzianek – tutaj osobista sieć VPN, tam stary rejestrator ekranu, trzy narzędzia PDF wykonujące tę samą pracę. Ten raport o odkryciu stanie się także Twoim później dowodem: gdy ktoś zapyta, dlaczego aplikacja została zablokowana, okazuje się, że aplikacja działała na komputerach biurowych, zanim obowiązywały jakiekolwiek zasady.

Napisz politykę przed pierwszym blokiem

Najpierw ustal zasady na papierze. Pisz kategorie, a nie nazwy aplikacji: gry, klienci torrent i peer-to-peer, osobiste sieci VPN, narzędzia zdalnego dostępu, których nikt nie zatwierdził, kopacze kryptowalut i wszystko, co nie ma celu biznesowego. Kategorie przetrwają nową grę, która pojawi się w przyszłym miesiącu; lista nazwisk nie. Podaj nazwę osoby lub roli, która zatwierdza wyjątki, personel trasy, o który pyta, i obiecany czas odpowiedzi – jeden dzień roboczy to dobra obietnica. Tymczasowe potrzeby uzyskują tymczasowy, określony w czasie dostęp, a nie stałą dziurę otwieraną w pośpiechu.

Utwórz listę zablokowanych jako grupę aplikacji

W konsoli przejdź do Kontrola aplikacji, następnie Grupy aplikacji i wybierz Utwórz listę blokowanych. Dodaj aplikacje za pomocą filtrów dostępnych w konsoli: Dostawca, Nazwa produktu, Zweryfikowany plik wykonywalny, Skrót pliku, Ścieżka folderu i Aplikacje ze sklepu. Zablokowana aplikacja pozostaje zainstalowana na komputerze - po prostu nie może działać. W przypadku jednego pliku na kilku komputerach Endpoint Central ma również prostszą opcję Blokuj plik wykonywalny w obszarze Zapasy, dopasowaną ścieżką lub skrótem; Grupy aplikacji są właściwym rozwiązaniem, gdy reguła musi obowiązywać jako zasada w całym biurze.

Wybierz reguły, które przetrwają zmianę nazwy

Sposób identyfikacji aplikacji decyduje o tym, czy blokada zostanie utrzymana. Reguła nazwy pliku jest najsłabsza: czyta tylko etykietę, a zmiana nazwy game.exe na report.exe całkowicie ją eliminuje. Reguła ścieżki folderu przetrwa zmianę nazwy, ale nie przeniesienie do innego folderu. Skrót pliku to odcisk palca dokładnej zawartości pliku, więc kopia o zmienionej nazwie lub przeniesiona nadal będzie zgodna - ale każda aktualizacja zmienia hash, więc listy skrótów wymagają konserwacji. Reguły dostawców i zweryfikowanych plików wykonywalnych są zgodne z cyfrowym podpisem wydawcy: przetrwają zmiany nazw, przeniesienia i zwykłe aktualizacje, co czyni je praktycznym ustawieniem domyślnym. Aby uzyskać skrót dla jednego znanego złego pliku, oblicz go na dowolnym komputerze z systemem Windows:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Zamień przykładową ścieżkę na rzeczywistą ścieżkę pliku. Polecenie wypisuje skrót SHA256, który wkleisz do reguły skrótu pliku.

Wdróż w grupie pilotażowej w trybie audytu

W obszarze Wdrożenie otwórz Zasady wdrażania i dołącz listę blokowania do niestandardowej grupy komputerów — zacznij od małej grupy pilotażowej, takiej jak Twój własny dział, nawet jeśli ostatecznym celem są wszystkie komputery w biurze. Podczas wdrażania wykonaj dwie rzeczy. Najpierw ustaw niestandardowe powiadomienie, które użytkownicy będą widzieć, gdy aplikacja zostanie zablokowana: nazwij politykę i powiedz, z kim się skontaktować. Po drugie, włącz opcję pozwalającą użytkownikom żądać aplikacji - włącz ją teraz, a nie po pierwszym kryzysie, aby zablokowany użytkownik dostał drogę żądania zamiast ślepej uliczki. Wdróż politykę w trybie audytu: nic nie jest jeszcze blokowane, ale każde uruchomienie aplikacji jest rejestrowane.

Rozwiąż każdą niezarządzaną aplikację przed wymuszeniem

Uruchom Tryb Audytu przynajmniej na jeden pełny cykl pracy – miesiąc obejmujący koniec miesiąca, kiedy wychodzą rzadko używane narzędzia do zamykania i raportowania. Następnie przejrzyj widok Aplikacje niezarządzane i oceń każdy wpis: dodaj go do listy dozwolonych, dodaj do listy zablokowanych lub przenieś do grupy aplikacji. W przypadku naprawdę nieznanego pliku na jednym komputerze zapytaj użytkownika, zanim go ocenisz – połowa przerażających nazw to nudne narzędzia ze złym brandingiem. Celem przed egzekwowaniem jest krótka, zrozumiała lista niezarządzana, więc w trybie ścisłym nie ma żadnych niespodzianek.

Przejdź do trybu ścisłego i prawidłowo uruchom drzwi wyjątkowe

Najpierw przełącz grupę pilotażową na tryb ścisły, uruchom ją na tydzień, a dopiero potem wdrażaj grupę po grupie. W trybie ścisłym blokada jest realna: filtr sprawdza każdy program w momencie jego uruchomienia, zatem reguła obowiązuje nawet w przypadku aplikacji zainstalowanych na długo przed wprowadzeniem polityki oraz w przypadku kopii przenośnych, które w ogóle nie zostały zainstalowane. Gdy zablokowana aplikacja okaże się potrzebna do prawdziwej pracy, zatwierdź dostęp just-in-time na kilka godzin lub dzień - wygasa samoistnie. Jeśli ten sam dział wciąż żąda tej samej aplikacji, przenieś ją prawidłowo na listę dozwolonych tej grupy i zapisz decyzję w dzienniku kontrolnym.