Bloqueie qualquer aplicativo no Office

Descubra o que está realmente instalado

Abra o console do Endpoint Central e comece com a descoberta, não com o bloqueio: o agente em cada PC gerenciado verifica e lista os aplicativos que estão realmente instalados no escritório, incluindo software que ninguém da área de TI jamais aprovou. Leia essa lista antes de bloquear qualquer coisa. Espere surpresas – uma VPN pessoal aqui, um gravador de tela antigo ali, três ferramentas PDF fazendo o mesmo trabalho. Este relatório de descoberta também é sua prova posterior: quando alguém pergunta por que um aplicativo foi bloqueado, ele mostra que o aplicativo estava sendo executado em máquinas de escritório antes de qualquer política existir.

Escreva a política antes do primeiro bloco

Decida primeiro as regras no papel. Escreva categorias, não nomes de aplicativos: jogos, clientes torrent e ponto a ponto, VPNs pessoais, ferramentas de acesso remoto que ninguém aprovou, mineradores de criptografia e qualquer coisa sem finalidade comercial. Categorias sobrevivem ao novo jogo do próximo mês; uma lista de nomes não. Nomeie a pessoa ou função que aprova as exceções, o caminho que a equipe usa para perguntar e o tempo de resposta prometido – um dia útil é uma boa promessa. As necessidades temporárias obtêm acesso temporário e com prazo determinado, nunca um buraco permanente aberto às pressas.

Crie a lista de bloqueio como um grupo de aplicativos

No console, vá para Controle de aplicativos, Grupos de aplicativos e escolha Criar lista de bloqueio. Adicione aplicativos com os filtros que o console oferece: Fornecedor, Nome do produto, Executável verificado, Hash de arquivo, Caminho da pasta e Aplicativos da loja. O aplicativo bloqueado permanece instalado no PC – ele simplesmente não pode ser executado. Para um único arquivo em alguns PCs, o Endpoint Central também possui uma opção mais simples de Bloquear Executável em Inventário, correspondente por caminho ou hash; Os grupos de aplicativos são o caminho adequado quando a regra deve funcionar como uma política em todo o escritório.

Escolha regras que sobrevivam a uma renomeação

A maneira como você identifica um aplicativo decide se o bloqueio será válido. Uma regra de nome de arquivo é a mais fraca: ela lê apenas o rótulo e renomear game.exe para report.exe anula-a completamente. Uma regra de caminho de pasta sobrevive a uma renomeação, mas não a uma movimentação para outra pasta. Um hash de arquivo é uma impressão digital do conteúdo exato do arquivo, portanto, uma cópia renomeada ou movida ainda corresponde - mas cada atualização altera o hash, portanto, as listas de hash precisam de manutenção. As regras do fornecedor e executáveis ​​verificadas seguem a assinatura digital do editor: elas sobrevivem a renomeações, movimentações e atualizações comuns, o que as torna o padrão prático. Para obter um hash para um arquivo sabidamente inválido, calcule-o em qualquer PC com Windows:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Substitua o caminho do exemplo pelo caminho do arquivo real. O comando imprime o hash SHA256 que você cola em uma regra de hash de arquivo.

Implantar em um grupo piloto no modo de auditoria

Em Implantação, abra Política de Implantação e anexe a lista de bloqueio a um grupo personalizado de computadores – comece com um pequeno grupo piloto, como seu próprio departamento, mesmo que o alvo final seja todos os PCs do escritório. Durante a implantação, faça duas coisas. Primeiro, defina a mensagem de notificação personalizada que os usuários verão quando um aplicativo for bloqueado: dê um nome à política e diga quem contatar. Em segundo lugar, ative a opção que permite aos usuários solicitar aplicativos – ative-a agora, não após a primeira crise, para que um usuário bloqueado obtenha uma rota de solicitação em vez de um beco sem saída. Implante a política no modo de auditoria: nada está bloqueado ainda, mas cada início de aplicativo é registrado.

Resolva todos os aplicativos não gerenciados antes de aplicar

Execute o modo de auditoria por pelo menos um ciclo de trabalho completo - um mês que inclui o final do mês, quando as ferramentas de fechamento e relatórios raramente usadas são lançadas. Em seguida, analise a visualização Aplicativos não gerenciados e dê um veredicto a cada entrada: adicione-a à lista de permissões, adicione-a à lista de bloqueio ou mova-a para um grupo de aplicativos. Para um arquivo genuinamente desconhecido em um PC, pergunte ao usuário antes de julgar - metade dos nomes assustadores são ferramentas chatas com marcas ruins. O objetivo antes da aplicação é uma lista curta e não gerenciada, portanto, o Modo Estrito não traz surpresas.

Mude para o modo estrito - e execute a porta de exceção corretamente

Primeiro mude o grupo piloto para o Modo Estrito, execute-o por uma semana e só então implemente grupo por grupo. No Modo Estrito o bloqueio é real: um filtro verifica cada programa no momento em que ele tenta iniciar, então a regra vale mesmo para aplicativos instalados muito antes da política e para cópias portáteis que nunca foram instaladas. Quando um aplicativo bloqueado for necessário para um trabalho real, aprove o acesso just-in-time por algumas horas ou um dia - ele expira sozinho. Se o mesmo departamento continuar solicitando o mesmo aplicativo, mova-o adequadamente para a lista de permissões desse grupo e mantenha a decisão no registro de auditoria.