Блокуйте будь-яку програму в Office

Дізнайтеся, що насправді встановлено

Відкрийте консоль Endpoint Central і почніть із виявлення, а не з блокування: агент на кожному керованому ПК сканує та перераховує програми, які справді встановлено в офісі, включно з програмним забезпеченням, яке ніхто з ІТ-спеціалістів ніколи не схвалював. Прочитайте цей список, перш ніж щось блокувати. Очікуйте сюрпризів – персональний VPN тут, старий записувач екрану там, три інструменти PDF, які виконують однакову роботу. Цей звіт про відкриття також стане вашим доказом пізніше: коли хтось запитує, чому програму було заблоковано, він показує, що програма працювала на офісних машинах до того, як існувала будь-яка політика.

Напишіть політику перед першим блоком

Спочатку визначте правила на папері. Пишіть категорії, а не назви додатків: ігри, торрент-клієнти та однорангові клієнти, особисті VPN, інструменти віддаленого доступу, які ніхто не схвалив, криптомайнери та все, що не має бізнес-цілей. Категорії переживуть нову гру наступного місяця; списку імен немає. Назвіть особу або посаду, яка схвалює винятки, маршрут, за яким запитують співробітники, і обіцяний час відповіді - один робочий день є хорошою обіцянкою. Тимчасові потреби отримують тимчасовий, обмежений у часі доступ, ніколи не поспішно відкривається постійна діра.

Створіть чорний список як групу програм

У консолі перейдіть до «Керування програмами», потім «Групи програм» і виберіть «Створити чорний список». Додайте програми за допомогою фільтрів, які пропонує консоль: Постачальник, Назва продукту, Перевірений виконуваний файл, Хеш файлу, Шлях до папки та Програми магазину. Заблокована програма залишається встановленою на ПК – вона просто не може працювати. Для одного файлу на кількох комп’ютерах Endpoint Central також має простішу опцію «Блокувати виконуваний файл» у розділі «Інвентаризація», що відповідає шляху або хешу; Групи програм — це правильний маршрут, коли правило має діяти як політика в усьому офісі.

Вибирайте правила, які зберігаються після перейменування

Те, як ви ідентифікуєте програму, вирішує, чи блокуватиметься. Правило імен файлів є найслабшим: воно читає лише мітку, і перейменування game.exe на report.exe повністю руйнує його. Правило шляху до папки діє після перейменування, але не після переміщення до іншої папки. Хеш файлу — це відбиток точного вмісту файлу, тому перейменована або переміщена копія все одно збігається, але кожне оновлення змінює хеш, тому списки хешів потребують обслуговування. Правила постачальника та верифіковані виконувані правила відповідають цифровому підпису видавця: вони витримують перейменування, переміщення та звичайні оновлення, що робить їх практичними стандартами. Щоб отримати хеш для одного завідомо поганого файлу, обчисліть його на будь-якому ПК з Windows:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Замініть приклад шляху на справжній шлях до файлу. Команда друкує хеш SHA256, який ви вставляєте в правило хешу файлу.

Розгорнути в пілотній групі в режимі аудиту

У розділі «Розгортання» відкрийте «Політику розгортання» та приєднайте список блокувань до спеціальної групи комп’ютерів — почніть із невеликої пілотної групи, наприклад вашого власного відділу, навіть якщо кінцевою метою є кожен офісний ПК. Під час розгортання виконайте дві речі. По-перше, установіть спеціальне сповіщення, яке користувачі бачитимуть, коли програму заблоковано: назвіть політику та вкажіть, до кого звертатися. По-друге, увімкніть опцію, яка дозволяє користувачам запитувати додатки – увімкніть її зараз, а не після першої кризи, щоб заблокований користувач отримував маршрут запиту, а не тупик. Розгорніть політику в режимі аудиту: ще нічого не блокується, але кожен запуск програми реєструється.

Вирішіть усі некеровані програми перед застосуванням

Запустіть режим аудиту принаймні на один повний робочий цикл — місяць, що включає кінець місяця, коли з’являються рідко використовувані інструменти закриття та звітування. Потім попрацюйте з поданням некерованих програм і винесіть вердикт кожному запису: додайте його до білого списку, додайте до списку блокування або перемістіть до групи програм. Щодо справді невідомого файлу на одному комп’ютері, запитайте його користувача, перш ніж судити – половина страшних імен є нудними інструментами з поганим брендом. Метою перед застосуванням є короткий, зрозумілий некерований список, тому строгий режим не несе сюрпризів.

Перейдіть у строгий режим і запустіть двері винятків належним чином

Спочатку перемкніть пілотну групу в строгий режим, запустіть її протягом тижня, а лише потім розгортайте групу за групою. У строгому режимі блокування є реальним: фільтр перевіряє кожну програму під час її спроби запустити, тому правило діє навіть для програм, встановлених задовго до політики, і для портативних копій, які взагалі ніколи не інсталювалися. Коли заблокований додаток виявляється потрібним для реальної роботи, дозвольте своєчасний доступ на кілька годин або день - він закінчується сам по собі. Якщо той самий відділ продовжує надсилати запити на ту саму програму, належним чином перемістіть її до білого списку цієї групи та збережіть рішення в журналі аудиту.