บล็อกแอปใดๆ ใน Office

ค้นหาสิ่งที่ติดตั้งจริง

เปิดคอนโซล Endpoint Central และเริ่มต้นด้วยการค้นพบ ไม่ใช่การบล็อก: เอเจนต์บนพีซีที่ได้รับการจัดการแต่ละเครื่องจะสแกนและแสดงรายการแอปพลิเคชันที่ติดตั้งจริงทั่วทั้งสำนักงาน รวมถึงซอฟต์แวร์ที่ฝ่ายไอทีไม่เคยอนุมัติ อ่านรายการนั้นก่อนที่คุณจะบล็อกสิ่งใด คาดหวังความประหลาดใจ - VPN ส่วนตัวที่นี่ เครื่องบันทึกหน้าจอเก่า เครื่องมือ PDF สามเครื่องมือที่ทำงานเหมือนกัน รายงานการค้นพบนี้ยังเป็นหลักฐานของคุณในภายหลังอีกด้วย เมื่อมีคนถามว่าทำไมแอปจึงถูกบล็อก จะแสดงว่าแอปนั้นทำงานบนเครื่องในสำนักงานก่อนที่จะมีนโยบายใดๆ

เขียนนโยบายก่อนบล็อกแรก

ตัดสินใจกฎบนกระดาษก่อน เขียนหมวดหมู่ ไม่ใช่ชื่อแอป: เกม ไคลเอนต์ทอร์เรนต์และเพียร์ทูเพียร์ VPN ส่วนตัว เครื่องมือเข้าถึงระยะไกลที่ไม่ได้รับการอนุมัติ นักขุดคริปโต และอะไรก็ตามที่ไม่มีวัตถุประสงค์ทางธุรกิจ หมวดหมู่จะอยู่รอดในเกมใหม่ของเดือนหน้า รายชื่อไม่ได้ ตั้งชื่อบุคคลหรือบทบาทที่อนุมัติข้อยกเว้น เส้นทางที่เจ้าหน้าที่ใช้ในการถาม และเวลาตอบกลับที่สัญญาไว้ หนึ่งวันทำการถือเป็นสัญญาที่ดี ความต้องการชั่วคราวได้รับการเข้าถึงชั่วคราวและมีกำหนดเวลา ไม่เคยมีการเปิดหลุมถาวรอย่างเร่งด่วน

สร้าง Blocklist เป็นกลุ่มแอปพลิเคชัน

ในคอนโซล ให้ไปที่การควบคุมแอปพลิเคชัน จากนั้นเลือกกลุ่มแอปพลิเคชัน แล้วเลือกสร้างรายการบล็อก เพิ่มแอปพลิเคชันด้วยตัวกรองที่คอนโซลนำเสนอ: ผู้ขาย, ชื่อผลิตภัณฑ์, ปฏิบัติการที่ได้รับการยืนยัน, แฮชของไฟล์, เส้นทางโฟลเดอร์ และ แอปร้านค้า แอพที่ถูกบล็อกยังคงติดตั้งอยู่บนพีซี - มันไม่สามารถทำงานได้ สำหรับไฟล์เดียวบนพีซีไม่กี่เครื่อง Endpoint Central ยังมีตัวเลือก Block Executable ที่ง่ายกว่าภายใต้ Inventory ซึ่งจับคู่ตามเส้นทางหรือแฮช กลุ่มแอปพลิเคชันเป็นเส้นทางที่เหมาะสมเมื่อกฎต้องใช้เป็นนโยบายทั่วทั้งสำนักงาน

เลือกกฎที่รอดจากการเปลี่ยนชื่อ

วิธีที่คุณระบุแอปจะตัดสินใจว่าจะมีการบล็อกหรือไม่ กฎชื่อไฟล์นั้นอ่อนแอที่สุด โดยจะอ่านเฉพาะป้ายกำกับ และการเปลี่ยนชื่อ game.exe เป็น report.exe จะเอาชนะกฎดังกล่าวโดยสิ้นเชิง กฎเส้นทางโฟลเดอร์จะคงอยู่เมื่อมีการเปลี่ยนชื่อแต่ไม่สามารถย้ายไปยังโฟลเดอร์อื่นได้ แฮชของไฟล์คือลายนิ้วมือของเนื้อหาที่แน่นอนของไฟล์ ดังนั้นสำเนาที่เปลี่ยนชื่อหรือย้ายจะยังคงตรงกัน แต่การอัปเดตทุกครั้งจะเปลี่ยนแฮช ดังนั้นรายการแฮชจึงจำเป็นต้องบำรุงรักษา ผู้จัดจำหน่ายและกฎการดำเนินการที่ได้รับการตรวจสอบจะเป็นไปตามลายเซ็นดิจิทัลของผู้จัดพิมพ์: กฎเหล่านี้จะยังคงอยู่จากการเปลี่ยนชื่อ การย้าย และการอัปเดตตามปกติ ซึ่งทำให้เป็นค่าเริ่มต้นในทางปฏิบัติ หากต้องการรับแฮชสำหรับไฟล์ที่รู้จักที่ไม่ดี ให้คำนวณบนพีซี Windows เครื่องใดก็ได้:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

แทนที่เส้นทางตัวอย่างด้วยเส้นทางของไฟล์จริง คำสั่งจะพิมพ์แฮช SHA256 ที่คุณวางลงในกฎแฮชไฟล์

ปรับใช้กับกลุ่มนำร่องในโหมดตรวจสอบ

ภายใต้ Deployment ให้เปิด Deploy Policy และแนบรายการบล็อกเข้ากับกลุ่มคอมพิวเตอร์ที่กำหนดเอง โดยเริ่มจากกลุ่มนำร่องเล็กๆ เช่น แผนกของคุณเอง แม้ว่าเป้าหมายสุดท้ายคือพีซีในสำนักงานทุกเครื่องก็ตาม ขณะปรับใช้ ให้ทำสองสิ่ง ขั้นแรก ตั้งค่าข้อความแจ้งเตือนแบบกำหนดเองที่ผู้ใช้จะเห็นเมื่อแอปถูกบล็อก: ตั้งชื่อนโยบายและบอกว่าจะติดต่อใคร ประการที่สอง เปิดตัวเลือกที่อนุญาตให้ผู้ใช้ร้องขอแอปพลิเคชัน โดยเปิดใช้งานทันที ไม่ใช่หลังจากเกิดวิกฤติครั้งแรก ดังนั้นผู้ใช้ที่ถูกบล็อกจะได้รับเส้นทางคำขอแทนที่จะเป็นทางตัน ปรับใช้นโยบายในโหมดการตรวจสอบ: ยังไม่มีสิ่งใดถูกบล็อก แต่การเริ่มต้นแอปพลิเคชันทุกครั้งจะถูกบันทึกไว้

แก้ไขแอปที่ไม่มีการจัดการทุกแอปก่อนบังคับใช้

ใช้งานโหมดการตรวจสอบเป็นเวลาอย่างน้อยหนึ่งรอบการทำงาน - เดือนที่มีสิ้นเดือน ซึ่งเป็นช่วงที่เครื่องมือการปิดบัญชีและการรายงานที่ไม่ค่อยได้ใช้ออกมา จากนั้นดำเนินการผ่านมุมมองแอปที่ไม่มีการจัดการและตัดสินให้ทุกรายการ: เพิ่มลงในรายการที่อนุญาต เพิ่มลงในรายการที่บล็อก หรือย้ายไปยังกลุ่มแอปพลิเคชัน สำหรับไฟล์ที่ไม่รู้จักจริงๆ บนพีซีเครื่องหนึ่ง ให้ถามผู้ใช้ก่อนตัดสิน - ครึ่งหนึ่งของชื่อที่น่ากลัวนั้นเป็นเครื่องมือที่น่าเบื่อและมีแบรนด์ที่ไม่ดี เป้าหมายก่อนการบังคับใช้เป็นเพียงรายการสั้นๆ ที่ไม่มีการจัดการที่เข้าใจ ดังนั้น Strict Mode จึงไม่น่าประหลาดใจ

สลับไปที่โหมดเข้มงวด - และเรียกใช้ประตูข้อยกเว้นอย่างเหมาะสม

เปลี่ยนกลุ่มนำร่องเป็นโหมดเข้มงวดก่อน ใช้งานเป็นเวลาหนึ่งสัปดาห์ จากนั้นจึงค่อยเปิดตัวทีละกลุ่ม ในโหมดเข้มงวด การบล็อกจะเกิดขึ้นจริง: ตัวกรองจะตรวจสอบทุกโปรแกรมในขณะที่พยายามเริ่มทำงาน ดังนั้นกฎจะคงไว้แม้กระทั่งแอปที่ติดตั้งนานก่อนนโยบายนี้ และสำหรับสำเนาแบบพกพาที่ไม่เคยติดตั้งเลย เมื่อจำเป็นต้องใช้แอปที่ถูกบล็อกในการทำงานจริง ให้อนุมัติการเข้าถึงแบบทันเวลาเพียงไม่กี่ชั่วโมงหรือหนึ่งวัน - แอปจะหมดอายุเอง หากแผนกเดียวกันยังขอแอปเดิมอยู่ ให้ย้ายไปยังรายการที่อนุญาตของกลุ่มนั้นอย่างเหมาะสม และเก็บการตัดสินใจไว้ในบันทึกการตรวจสอบ