Blockera valfri app i Office

Upptäck vad som faktiskt är installerat

Öppna Endpoint Central-konsolen och börja med upptäckt, inte blockering: agenten på varje hanterad PC skannar och listar de program som verkligen är installerade på kontoret, inklusive programvara som ingen inom IT någonsin har godkänt. Läs den listan innan du blockerar något. Räkna med överraskningar - en personlig VPN här, en gammal skärminspelning där, tre PDF-verktyg som gör samma jobb. Denna upptäcktsrapport är också ditt bevis senare: när någon frågar varför en app blockerades visar den att appen kördes på kontorsmaskiner innan någon policy fanns.

Skriv policyn före det första blocket

Bestäm reglerna på papper först. Skriv kategorier, inte appnamn: spel, torrent- och peer-to-peer-klienter, personliga VPN, fjärråtkomstverktyg som ingen har godkänt, kryptogruvarbetare och allt utan affärssyfte. Kategorier överlever nästa månads nya spel; en namnlista gör det inte. Namnge den person eller roll som godkänner undantag, ruttpersonalen använder för att fråga och en utlovad svarstid - en arbetsdag är ett gott löfte. Tillfälliga behov får tillfällig, tidsbunden åtkomst, aldrig ett permanent hål öppnas i all hast.

Bygg blocklistan som en applikationsgrupp

I konsolen, gå till Application Control, sedan Application Groups, och välj Create Blocklist. Lägg till applikationer med de filter som konsolen erbjuder: Leverant, Produktnamn, Verifierad körbar, File Hash, Mappsökväg och Store Apps. Den blockerade appen förblir installerad på datorn – den kan helt enkelt inte köras. För en enskild fil på ett fåtal datorer har Endpoint Central också ett enklare blockkörbart alternativ under Inventering, matchat av sökväg eller hash; Applikationsgrupper är rätt väg när regeln måste leva som en policy över hela kontoret.

Välj regler som överlever ett namnbyte

Hur du identifierar en app avgör om blockeringen håller. En filnamnsregel är den svagaste: den läser bara etiketten, och om du byter namn på game.exe till report.exe försvinner den helt. En mappsökvägsregel överlever ett byte av namn men inte en flytt till en annan mapp. En filhash är ett fingeravtryck av filens exakta innehåll, så en omdöpt eller flyttad kopia matchar fortfarande - men varje uppdatering ändrar hash, så hashlistor behöver underhåll. Leverantörsregler och verifierade körbara regler följer utgivarens digitala signatur: de överlever byten av namn, flyttningar och vanliga uppdateringar, vilket gör dem till den praktiska standarden. För att få en hash för en känd-dålig fil, beräkna den på valfri Windows-dator:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Ersätt exempelsökvägen med den riktiga filens sökväg. Kommandot skriver ut SHA256-hash som du klistrar in i en File Hash-regel.

Distribuera till en pilotgrupp i granskningsläge

Under Deployment, öppna Deploy Policy och bifoga blockeringslistan till en anpassad grupp av datorer - börja med en liten pilotgrupp som din egen avdelning, även om det slutliga målet är varje kontorsdator. När du distribuerar, gör två saker. Ställ först in det anpassade aviseringsmeddelande som användare ska se när en app blockeras: namnge policyn och säg vem de ska kontakta. För det andra, slå på alternativet som låter användare begära applikationer - aktivera det nu, inte efter den första krisen, så att en blockerad användare får en förfrågningsväg istället för en återvändsgränd. Implementera policyn i granskningsläge: ingenting är blockerat ännu, men varje programstart registreras.

Lös alla ohanterade appar innan de tillämpas

Kör granskningsläge under minst en hel arbetscykel - en månad som inkluderar månadsslut, när de sällan använda stängnings- och rapporteringsverktygen kommer ut. Arbeta sedan igenom vyn Ohanterade appar och ge varje post ett omdöme: lägg till det på godkännandelistan, lägg till det i blockeringslistan eller flytta det till en applikationsgrupp. För en genuint okänd fil på en PC, fråga användaren innan du dömer - hälften av de läskiga namnen är tråkiga verktyg med dåligt varumärke. Målet innan verkställighet är en kort, förstådd ohanterad lista, så strikt läge har inga överraskningar.

Byt till strikt läge - och kör undantagsdörren på rätt sätt

Byt pilotgruppen till strikt läge först, kör den i en vecka och rulla först sedan ut grupp för grupp. I strikt läge är blockeringen verklig: ett filter kontrollerar varje program i det ögonblick det försöker starta, så regeln gäller även för appar installerade långt före policyn och för bärbara kopior som aldrig installerats alls. När en blockerad app visar sig behövas för riktigt arbete, godkänn just-in-time-åtkomst för några timmar eller en dag – den förfaller av sig själv. Om samma avdelning fortsätter att begära samma app, flytta den till den gruppens godkännandelista korrekt och behåll beslutet i granskningsloggen.