Блокируйте любое приложение в Office

Узнайте, что на самом деле установлено

Откройте консоль Endpoint Central и начните с обнаружения, а не с блокировки: агент на каждом управляемом компьютере сканирует и составляет список приложений, которые действительно установлены в офисе, включая программное обеспечение, которое никто из ИТ-специалистов никогда не одобрял. Прочтите этот список, прежде чем что-либо блокировать. Ожидайте сюрпризов — личный VPN здесь, старый рекордер экрана там, три инструмента PDF, выполняющие одну и ту же работу. Этот отчет об обнаружении также станет вашим доказательством в дальнейшем: когда кто-то спрашивает, почему приложение было заблокировано, он показывает, что приложение работало на офисных компьютерах до того, как существовала какая-либо политика.

Напишите политику перед первым блоком

Сначала определите правила на бумаге. Пишите категории, а не названия приложений: игры, торрент- и одноранговые клиенты, персональные VPN, никто не одобренные инструменты удаленного доступа, криптомайнеры и все, что не имеет коммерческой цели. Категории выживут в новой игре в следующем месяце; списка имен нет. Назовите человека или должность, которая утверждает исключения, укажите маршрут, по которому сотрудники задают вопросы, и обещанное время ответа — один рабочий день — хорошее обещание. Временные потребности получают временный, ограниченный по времени доступ, а не постоянную дыру, открывающуюся в спешке.

Создайте черный список как группу приложений.

В консоли перейдите в «Контроль приложений», затем «Группы приложений» и выберите «Создать черный список». Добавляйте приложения с помощью фильтров, предлагаемых консолью: Поставщик, Название продукта, Проверенный исполняемый файл, Хеш файла, Путь к папке и Магазин приложений. Заблокированное приложение остается установленным на ПК — его просто невозможно запустить. Для одного файла на нескольких компьютерах Endpoint Central также имеет более простую опцию «Блокировать исполняемый файл» в разделе «Инвентаризация», сопоставленную по пути или хешу; Группы приложений — это правильный путь, когда правило должно действовать как политика по всему офису.

Выбирайте правила, которые выдержат переименование

От того, как вы идентифицируете приложение, зависит, сохранится ли блокировка. Правило имени файла является самым слабым: оно считывает только метку, а переименование game.exe в report.exe полностью отменяет его. Правило пути к папке сохраняется при переименовании, но не при перемещении в другую папку. Хэш файла — это отпечаток точного содержимого файла, поэтому переименованная или перемещенная копия по-прежнему соответствует, но каждое обновление меняет хэш, поэтому списки хэшей требуют обслуживания. Правила поставщика и проверенного исполнения следуют цифровой подписи издателя: они выдерживают переименования, перемещения и обычные обновления, что делает их практически стандартными. Чтобы получить хеш для одного заведомо плохого файла, вычислите его на любом ПК с Windows:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Замените примерный путь реальным путем к файлу. Команда печатает хэш SHA256, который вы вставляете в правило хэша файла.

Развертывание в пилотной группе в режиме аудита

В разделе «Развертывание» откройте «Политику развертывания» и прикрепите черный список к специальной группе компьютеров — начните с небольшой пилотной группы, например вашего собственного отдела, даже если конечной целью является каждый офисный компьютер. Во время развертывания сделайте две вещи. Сначала установите пользовательское уведомление, которое пользователи будут видеть, когда приложение заблокировано: назовите политику и скажите, к кому обращаться. Во-вторых, включите опцию, позволяющую пользователям запрашивать приложения — включите ее сейчас, а не после первого кризиса, чтобы заблокированный пользователь получил маршрут запроса, а не тупик. Разверните политику в режиме аудита: пока ничего не блокируется, но каждый запуск приложения фиксируется.

Устраните проблемы с каждым неуправляемым приложением перед применением

Запустите режим аудита хотя бы на один полный рабочий цикл — месяц, включающий конец месяца, когда выходят редко используемые инструменты закрытия и отчетности. Затем просмотрите представление «Неуправляемые приложения» и вынесите вердикт каждой записи: добавьте ее в список разрешенных, добавьте в черный список или переместите в группу приложений. Если вы используете действительно неизвестный файл на одном компьютере, прежде чем судить, спросите его пользователя: половина страшных названий — это скучные инструменты с плохим брендом. Целью перед применением является короткий, понятный неуправляемый список, поэтому строгий режим не преподносит сюрпризов.

Переключитесь в строгий режим — и правильно запустите дверь исключений

Сначала переведите пилотную группу в строгий режим, поработайте с ней неделю и только потом развертывайте группу за группой. В строгом режиме блокировка реальна: фильтр проверяет каждую программу в момент ее запуска, поэтому правило действует даже для приложений, установленных задолго до политики, и для портативных копий, которые вообще не устанавливались. Когда заблокированное приложение оказывается необходимым для реальной работы, разрешите своевременный доступ на несколько часов или на день — срок его действия истекает сам по себе. Если один и тот же отдел продолжает запрашивать одно и то же приложение, правильно переместите его в белый список этой группы и сохраните решение в журнале аудита.