آفس میں کسی بھی ایپ کو بلاک کریں۔

دریافت کریں کہ اصل میں کیا انسٹال ہے۔

اینڈپوائنٹ سنٹرل کنسول کھولیں اور دریافت کے ساتھ شروع کریں، بلاک نہ کریں: ہر منظم پی سی پر ایجنٹ ان ایپلی کیشنز کو اسکین کرتا ہے اور ان ایپلی کیشنز کی فہرست بناتا ہے جو واقعی میں پورے دفتر میں انسٹال ہوتی ہیں، بشمول ایسا سافٹ ویئر جو IT میں کسی نے بھی منظور نہیں کیا۔ کسی بھی چیز کو بلاک کرنے سے پہلے اس فہرست کو پڑھیں۔ حیرت کی توقع کریں - یہاں ایک ذاتی VPN، وہاں ایک پرانا اسکرین ریکارڈر، تین پی ڈی ایف ٹولز ایک ہی کام کر رہے ہیں۔ دریافت کی یہ رپورٹ بعد میں بھی آپ کا ثبوت ہے: جب کوئی پوچھتا ہے کہ کسی ایپ کو کیوں بلاک کیا گیا تھا، تو یہ ظاہر کرتا ہے کہ کسی بھی پالیسی کے موجود ہونے سے پہلے ایپ آفس کی مشینوں پر چل رہی تھی۔

پہلے بلاک سے پہلے پالیسی لکھیں۔

پہلے کاغذ پر قواعد طے کریں۔ زمرہ جات لکھیں، نہ کہ ایپ کے نام: گیمز، ٹورینٹ اور پیئر ٹو پیئر کلائنٹس، ذاتی VPNs، ریموٹ ایکسیس ٹولز جن کی کسی کی بھی منظوری نہیں، کرپٹو کان کن، اور کوئی بھی چیز جس کا کوئی مقصد نہیں ہے۔ زمرہ جات اگلے مہینے کے نئے گیم میں زندہ رہیں؛ ناموں کی فہرست نہیں ہے. اس شخص یا کردار کا نام بتائیں جو مستثنیات کی منظوری دیتا ہے، روٹ کا عملہ پوچھنے کے لیے استعمال کرتا ہے، اور جواب کا وعدہ کیا ہوا وقت - ایک کام کا دن ایک اچھا وعدہ ہے۔ عارضی ضرورتوں کو عارضی، وقتی حد تک رسائی حاصل ہوتی ہے، جلد بازی میں کبھی مستقل سوراخ نہیں ہوتا۔

بلاک لسٹ کو بطور ایپلیکیشن گروپ بنائیں

کنسول میں، ایپلیکیشن کنٹرول پر جائیں، پھر ایپلیکیشن گروپس، اور بلاک لسٹ بنائیں کو منتخب کریں۔ کنسول کے پیش کردہ فلٹرز کے ساتھ ایپلیکیشنز شامل کریں: Vendor، Product Name، Verified Executable، File Hash، Folder Path اور Store Apps۔ بلاک شدہ ایپ پی سی پر انسٹال رہتی ہے - یہ آسانی سے نہیں چل سکتی۔ چند PCs پر ایک فائل کے لیے، Endpoint Central کے پاس انوینٹری کے تحت ایک آسان بلاک ایگزیکیوٹیبل آپشن بھی ہے، جو پاتھ یا ہیش سے مماثل ہے۔ ایپلیکیشن گروپس ایک مناسب راستہ ہیں جب اصول کو پورے دفتر میں ایک پالیسی کے طور پر رہنا چاہیے۔

ایسے قوانین کا انتخاب کریں جو نام بدل کر زندہ رہیں

آپ کسی ایپ کی شناخت کیسے کرتے ہیں یہ فیصلہ کرتا ہے کہ آیا بلاک برقرار ہے۔ فائل کے نام کا اصول سب سے کمزور ہے: یہ صرف لیبل پڑھتا ہے، اور game.exe کا نام بدل کر report.exe اسے مکمل طور پر شکست دیتا ہے۔ ایک فولڈر پاتھ کا اصول نام بدلنے سے بچ جاتا ہے لیکن کسی دوسرے فولڈر میں منتقل نہیں ہوتا۔ فائل ہیش فائل کے عین مواد کا فنگر پرنٹ ہے، اس لیے نام تبدیل یا منتقل کی گئی کاپی اب بھی مماثل ہے - لیکن ہر اپ ڈیٹ ہیش کو تبدیل کرتی ہے، اس لیے ہیش کی فہرستوں کو دیکھ بھال کی ضرورت ہے۔ وینڈر اور تصدیق شدہ قابل عمل اصول ناشر کے ڈیجیٹل دستخط کی پیروی کرتے ہیں: وہ نام بدلنے، چالوں اور عام اپ ڈیٹس سے بچ جاتے ہیں، جو انہیں عملی ڈیفالٹ بنا دیتا ہے۔ ایک معلوم خراب فائل کے لیے ہیش حاصل کرنے کے لیے، اسے کسی بھی ونڈوز پی سی پر شمار کریں:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

مثال کے راستے کو حقیقی فائل کے راستے سے تبدیل کریں۔ کمانڈ SHA256 ہیش کو پرنٹ کرتی ہے جسے آپ فائل ہیش رول میں پیسٹ کرتے ہیں۔

آڈٹ موڈ میں پائلٹ گروپ میں تعینات کریں۔

تعیناتی کے تحت، Deploy Policy کھولیں اور بلاک لسٹ کو کمپیوٹرز کے حسب ضرورت گروپ سے منسلک کریں - ایک چھوٹے پائلٹ گروپ سے شروع کریں جیسے کہ آپ کا اپنا محکمہ، چاہے حتمی ہدف ہر آفس پی سی ہو۔ تعیناتی کے دوران، دو چیزیں کریں. سب سے پہلے، اپنی مرضی کے مطابق نوٹیفکیشن میسج سیٹ کریں صارفین دیکھیں گے کہ ایپ بلاک ہونے پر: پالیسی کو نام دیں اور بتائیں کہ کس سے رابطہ کرنا ہے۔ دوسرا، اس آپشن کو آن کریں جو صارفین کو ایپلی کیشنز کی درخواست کرنے دیتا ہے - اسے ابھی آن کریں، پہلے بحران کے بعد نہیں، لہذا بلاک شدہ صارف کو ڈیڈ اینڈ کی بجائے درخواست کا راستہ مل جاتا ہے۔ پالیسی کو آڈٹ موڈ میں متعین کریں: ابھی تک کچھ بھی مسدود نہیں ہے، لیکن ہر درخواست کا آغاز ریکارڈ کیا جاتا ہے۔

نافذ کرنے سے پہلے ہر غیر منظم ایپ کو حل کریں۔

کم از کم ایک مکمل ورک سائیکل کے لیے آڈٹ موڈ چلائیں - ایک ایسا مہینہ جس میں مہینہ کا اختتام شامل ہو، جب شاذ و نادر ہی استعمال ہونے والے بند اور رپورٹنگ ٹولز سامنے آتے ہیں۔ پھر غیر منظم ایپس ویو کے ذریعے کام کریں اور ہر اندراج کو ایک فیصلہ دیں: اسے اجازت دینے والی فہرست میں شامل کریں، اسے بلاک لسٹ میں شامل کریں، یا اسے ایپلیکیشن گروپ میں منتقل کریں۔ ایک پی سی پر حقیقی طور پر نامعلوم فائل کے لیے، فیصلہ کرنے سے پہلے اس کے صارف سے پوچھیں - آدھے خوفناک نام خراب برانڈنگ کے ساتھ بورنگ ٹولز ہیں۔ نفاذ سے پہلے کا مقصد ایک مختصر، سمجھی جانے والی غیر منظم فہرست ہے، لہذا سخت موڈ میں کوئی تعجب کی بات نہیں ہے۔

سخت موڈ پر سوئچ کریں - اور استثناء کے دروازے کو صحیح طریقے سے چلائیں۔

پائلٹ گروپ کو پہلے سخت موڈ میں تبدیل کریں، اسے ایک ہفتے تک چلائیں، اور اس کے بعد ہی گروپ کے لحاظ سے گروپ کو رول آؤٹ کریں۔ سخت موڈ میں بلاک اصلی ہے: ایک فلٹر اس وقت ہر پروگرام کو چیک کرتا ہے جب یہ شروع کرنے کی کوشش کرتا ہے، لہذا یہ اصول پالیسی سے بہت پہلے انسٹال ہونے والی ایپس اور پورٹیبل کاپیوں کے لیے بھی برقرار رہتا ہے جو کبھی انسٹال نہیں ہوتیں۔ جب کوئی بلاک شدہ ایپ حقیقی کام کے لیے درکار ہو تو چند گھنٹوں یا ایک دن کے لیے صرف وقتی رسائی کی منظوری دیں - یہ خود ہی ختم ہو جاتی ہے۔ اگر وہی محکمہ اسی ایپ کی درخواست کرتا رہتا ہے، تو اسے مناسب طریقے سے اس گروپ کی اجازت دینے والی فہرست میں منتقل کریں اور فیصلے کو آڈٹ لاگ میں رکھیں۔