Office'teki Herhangi Bir Uygulamayı Engelleyin

Gerçekte Neyin Kurulu Olduğunu Keşfedin

Endpoint Central konsolunu açın ve engellemeyle değil keşifle başlayın: yönetilen her bilgisayardaki aracı, BT'de hiç kimsenin onaylamadığı yazılımlar da dahil olmak üzere, ofis genelinde gerçekten yüklü olan uygulamaları tarar ve listeler. Herhangi bir şeyi engellemeden önce bu listeyi okuyun. Sürprizleri bekleyin; burada kişisel bir VPN, burada eski bir ekran kaydedici, aynı işi yapan üç PDF aracı var. Bu keşif raporu aynı zamanda daha sonra da kanıtınız olacaktır: Birisi bir uygulamanın neden engellendiğini sorduğunda, bu, uygulamanın herhangi bir politika mevcut olmadan önce ofis makinelerinde çalıştığını gösterir.

İlk Bloktan Önce Politikayı Yazın

İlk önce kurallara kağıt üzerinde karar verin. Uygulama adlarını değil, kategorileri yazın: oyunlar, torrent ve eşler arası istemciler, kişisel VPN'ler, kimsenin onaylamadığı uzaktan erişim araçları, kripto madencileri ve ticari amacı olmayan her şey. Kategoriler gelecek ayın yeni oyununda hayatta kalacak; bir isim listesi yoktur. İstisnaları onaylayan kişinin veya rolün adını, personelin soru sormak için kullandığı rotayı ve vaat edilen yanıt süresini belirtin; bir iş günü iyi bir sözdür. Geçici ihtiyaçlar geçici, zamana bağlı erişime kavuşur, asla kalıcı bir delik aceleyle açılmaz.

Engellenenler Listesini Uygulama Grubu Olarak Oluşturun

Konsolda Uygulama Denetimi'ne, ardından Uygulama Grupları'na gidin ve Engellenenler Listesi Oluştur'u seçin. Konsolun sunduğu filtrelerle uygulamalar ekleyin: Satıcı, Ürün Adı, Doğrulanmış Yürütülebilir Dosya, Dosya Karması, Klasör Yolu ve Mağaza Uygulamaları. Engellenen uygulama bilgisayarda yüklü kalır; çalıştırılamaz. Endpoint Central, birkaç bilgisayardaki tek bir dosya için Envanter altında yol veya karma ile eşleşen daha basit bir Yürütülebilir Dosyayı Engelle seçeneğine sahiptir; Uygulama Grupları, kuralın tüm ofis genelinde bir politika olarak yaşaması gerektiğinde doğru yoldur.

Yeniden Adlandırmadan Kurtulan Kuralları Seçin

Bir uygulamayı nasıl tanımladığınız, bloğun geçerli olup olmadığına karar verir. Dosya adı kuralı en zayıf olanıdır: yalnızca etiketi okur ve game.exe'yi report.exe olarak yeniden adlandırmak onu tamamen geçersiz kılar. Klasör yolu kuralı, yeniden adlandırma durumunda geçerliliğini korur ancak başka bir klasöre taşınma durumunda geçerli olmaz. Dosya karması, dosyanın tam içeriğinin parmak izidir; dolayısıyla, yeniden adlandırılmış veya taşınmış bir kopya hâlâ eşleşir; ancak her güncelleme, karma değerini değiştirir, bu nedenle karma listelerinin bakıma ihtiyacı vardır. Satıcı ve doğrulanmış yürütülebilir kurallar, yayıncının dijital imzasını takip eder: yeniden adlandırmalardan, taşımalardan ve sıradan güncellemelerden etkilenmezler, bu da onları pratikte varsayılan hale getirir. Bilinen hatalı bir dosyanın karma değerini almak için bunu herhangi bir Windows PC'de hesaplayın:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Örnek yolu gerçek dosyanın yolu ile değiştirin. Komut, yapıştırdığınız SHA256 karmasını bir Dosya Karması kuralına yazdırır.

Denetim Modunda Pilot Gruba Dağıtım

Dağıtım altında, Dağıtım İlkesi'ni açın ve engellenenler listesini özel bir bilgisayar grubuna ekleyin; nihai hedef tüm ofis bilgisayarları olsa bile, kendi departmanınız gibi küçük bir pilot grupla başlayın. Dağıtım sırasında iki şey yapın. Öncelikle, bir uygulama engellendiğinde kullanıcıların göreceği özel bildirim mesajını ayarlayın: politikaya bir ad verin ve kiminle iletişime geçileceğini söyleyin. İkinci olarak, kullanıcıların uygulama talep etmesine olanak tanıyan seçeneği açın; bu seçeneği ilk krizden sonra değil şimdi açın, böylece engellenen kullanıcı çıkmaz sokak yerine istek yoluna sahip olur. Politikayı Denetim Modunda dağıtın: henüz hiçbir şey engellenmedi, ancak her uygulama başlangıcı kaydedildi.

Yönetilmeyen Her Uygulamayı Zorunlu Hale Getirmeden Önce Çözümleyin

Denetim Modunu en az bir tam çalışma döngüsü boyunca çalıştırın; nadiren kullanılan kapanış ve raporlama araçlarının ortaya çıktığı ay sonunu da içeren bir ay. Daha sonra Yönetilmeyen Uygulamalar görünümü üzerinde çalışın ve her girişe bir karar verin: izin verilenler listesine ekleyin, engellenenler listesine ekleyin veya bir uygulama grubuna taşıyın. Bir bilgisayardaki gerçekten bilinmeyen bir dosya için yargılamadan önce kullanıcısına sorun; korkunç isimlerin yarısı, kötü markalama içeren sıkıcı araçlardır. Uygulamadan önceki hedef kısa ve anlaşılır, yönetilmeyen bir liste olduğundan, Katı Mod'da sürprizler yaşanmaz.

Katı Moda Geçin ve İstisna Kapısını Düzgün Çalıştırın

Önce pilot grubu Katı Mod'a geçirin, bir hafta boyunca çalıştırın ve ancak daha sonra grup grup kullanıma sunun. Katı Mod'da blok gerçektir: Bir filtre, her programı başlamaya çalıştığı anda kontrol eder, böylece kural, politikadan çok önce yüklenmiş uygulamalar ve hiç yüklenmemiş taşınabilir kopyalar için bile geçerlidir. Engellenen bir uygulamanın gerçek iş için gerekli olduğu ortaya çıktığında, birkaç saat veya bir gün için tam zamanında erişimi onaylayın; uygulamanın süresi kendiliğinden dolar. Aynı departman aynı uygulamayı talep etmeye devam ederse uygulamayı uygun şekilde o grubun izin verilenler listesine taşıyın ve kararı denetim günlüğünde tutun.