Blocați orice aplicație din Office

Descoperiți ce este instalat de fapt

Deschideți consola Endpoint Central și începeți cu descoperirea, nu cu blocarea: agentul de pe fiecare PC gestionat scanează și listează aplicațiile care sunt cu adevărat instalate în birou, inclusiv software pe care nimeni din IT nu l-a aprobat vreodată. Citiți acea listă înainte de a bloca ceva. Așteptați-vă la surprize - un VPN personal aici, un recorder de ecran vechi acolo, trei instrumente PDF care fac aceeași treabă. Acest raport de descoperire este, de asemenea, dovada ta mai târziu: când cineva întreabă de ce a fost blocată o aplicație, arată că aplicația rula pe mașini de birou înainte de a exista vreo politică.

Scrieți politica înainte de primul bloc

Decideți mai întâi regulile pe hârtie. Scrieți categorii, nu nume de aplicații: jocuri, torrent și clienți peer-to-peer, VPN-uri personale, instrumente de acces la distanță pe care nimeni nu le-a aprobat, criptomineri și orice fără scop comercial. Categoriile supraviețuiesc noului joc de luna viitoare; o listă de nume nu. Numiți persoana sau rolul care aprobă excepțiile, ruta pe care personalul îl întrebă și timpul promis de răspuns - o zi lucrătoare este o promisiune bună. Nevoile temporare au acces temporar, limitat în timp, niciodată o gaură permanentă deschisă în grabă.

Creați lista de blocuri ca un grup de aplicații

În consolă, accesați Controlul aplicațiilor, apoi Grupuri de aplicații și alegeți Creare listă blocată. Adăugați aplicații cu filtrele oferite de consolă: Vendor, Nume produs, Verified Executable, File Hash, Folder Path și Store Apps. Aplicația blocată rămâne instalată pe computer - pur și simplu nu poate rula. Pentru un singur fișier pe câteva PC-uri, Endpoint Central are și o opțiune mai simplă Block Executable sub Inventory, potrivită după cale sau hash; Grupurile de aplicații sunt calea potrivită atunci când regula trebuie să fie aplicată ca o politică în întregul birou.

Alegeți reguli care supraviețuiesc unei redenumiri

Modul în care identificați o aplicație decide dacă blocarea este valabilă. O regulă de nume de fișier este cea mai slabă: citește doar eticheta, iar redenumirea game.exe în report.exe o învinge complet. O regulă de cale de folder supraviețuiește unei redenumiri, dar nu unei mutari într-un alt dosar. Un hash de fișier este o amprentă a conținutului exact al fișierului, așa că o copie redenumită sau mutată se potrivește în continuare - dar fiecare actualizare schimbă hash-ul, așa că listele de hash necesită întreținere. Regulile vânzătorului și executabile verificate urmează semnătura digitală a editorului: supraviețuiesc redenumirilor, mișcărilor și actualizărilor obișnuite, ceea ce le face implicit practic. Pentru a obține un hash pentru un fișier cunoscut rău, calculați-l pe orice computer Windows:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Înlocuiți calea exemplu cu calea fișierului real. Comanda imprimă hash-ul SHA256 pe care îl inserați într-o regulă File Hash.

Implementați într-un grup pilot în modul de audit

Sub Implementare, deschideți Politica de implementare și atașați lista blocată la un grup personalizat de computere - începeți cu un grup pilot mic, cum ar fi propriul departament, chiar dacă ținta finală este fiecare PC de birou. În timpul implementării, faceți două lucruri. Mai întâi, setați mesajul de notificare personalizat pe care îl vor vedea utilizatorii când o aplicație este blocată: denumiți politica și spuneți pe cine să contacteze. În al doilea rând, activați opțiunea care le permite utilizatorilor să solicite aplicații - porniți-o acum, nu după prima criză, astfel încât un utilizator blocat să primească o rută de solicitare în loc de o fundătură. Implementați politica în modul de audit: nimic nu este blocat încă, dar fiecare pornire a aplicației este înregistrată.

Rezolvați fiecare aplicație negestionată înainte de aplicare

Rulați Modul Audit pentru cel puțin un ciclu de lucru complet - o lună care include sfârșitul lunii, când apar instrumentele de închidere și raportare rar utilizate. Apoi lucrați prin vizualizarea Aplicații negestionate și dați un verdict fiecărei intrări: adăugați-o la lista permisă, adăugați-o la lista blocată sau mutați-o într-un grup de aplicații. Pentru un fișier cu adevărat necunoscut pe un singur computer, întreabă-l pe utilizatorul său înainte de a judeca - jumătate dintre numele înfricoșătoare sunt instrumente plictisitoare cu o marcă proastă. Scopul înainte de aplicare este o listă scurtă, înțeleasă, negestionată, așa că Modul strict nu are surprize.

Treceți la modul strict - și rulați ușa de excepție corect

Comutați mai întâi grupul pilot în modul strict, rulați-l timp de o săptămână și abia apoi lansați grup cu grup. În modul Strict, blocajul este real: un filtru verifică fiecare program în momentul în care încearcă să pornească, astfel încât regula este valabilă chiar și pentru aplicațiile instalate cu mult înainte de politică și pentru copiile portabile care nu s-au instalat deloc. Când o aplicație blocată se dovedește a fi necesară pentru munca reală, aprobați accesul la timp pentru câteva ore sau o zi - expiră de la sine. Dacă același departament continuă să solicite aceeași aplicație, mutați-o în lista de permisiuni a grupului respectiv și păstrați decizia în jurnalul de audit.