Chặn mọi ứng dụng trong Office

Khám phá những gì thực sự được cài đặt

Mở bảng điều khiển Endpoint Central và bắt đầu với việc khám phá chứ không phải chặn: tác nhân trên mỗi PC được quản lý sẽ quét và liệt kê các ứng dụng thực sự được cài đặt trong văn phòng, bao gồm cả phần mềm chưa từng được phê duyệt trong bộ phận CNTT. Đọc danh sách đó trước khi bạn chặn bất cứ điều gì. Mong đợi những điều bất ngờ - một VPN cá nhân ở đây, một trình ghi màn hình cũ ở kia, ba công cụ PDF thực hiện cùng một công việc. Báo cáo khám phá này cũng là bằng chứng của bạn sau này: khi ai đó hỏi tại sao một ứng dụng bị chặn, nó cho thấy ứng dụng đó đã chạy trên các máy văn phòng trước khi có bất kỳ chính sách nào tồn tại.

Viết chính sách trước khối đầu tiên

Quyết định các quy tắc trên giấy đầu tiên. Viết danh mục chứ không phải tên ứng dụng: trò chơi, máy khách torrent và ứng dụng ngang hàng, VPN cá nhân, công cụ truy cập từ xa không được phê duyệt, công cụ khai thác tiền điện tử và bất kỳ thứ gì không có mục đích kinh doanh. Thể loại tồn tại trong trò chơi mới của tháng tới; một danh sách tên thì không. Nêu tên người hoặc vai trò phê duyệt các trường hợp ngoại lệ, lộ trình mà nhân viên sử dụng để hỏi và thời gian trả lời đã hứa - một ngày làm việc là một lời hứa tốt. Nhu cầu tạm thời được tiếp cận tạm thời, có giới hạn thời gian, không bao giờ mở lỗ vĩnh viễn một cách vội vàng.

Xây dựng Danh sách chặn dưới dạng Nhóm ứng dụng

Trong bảng điều khiển, đi tới Kiểm soát ứng dụng, sau đó đến Nhóm ứng dụng và chọn Tạo danh sách chặn. Thêm ứng dụng bằng các bộ lọc mà bảng điều khiển cung cấp: Nhà cung cấp, Tên sản phẩm, Có thể thực thi được xác minh, Băm tệp, Đường dẫn thư mục và Ứng dụng lưu trữ. Ứng dụng bị chặn vẫn được cài đặt trên PC - đơn giản là nó không thể chạy. Đối với một tệp duy nhất trên một số PC, Endpoint Central cũng có tùy chọn Block Executable đơn giản hơn trong Inventory, khớp với đường dẫn hoặc hàm băm; Nhóm ứng dụng là con đường thích hợp khi quy tắc phải tồn tại như một chính sách trên toàn bộ văn phòng.

Chọn các quy tắc tồn tại sau khi đổi tên

Cách bạn xác định một ứng dụng sẽ quyết định liệu khối có được giữ hay không. Quy tắc tên tệp là yếu nhất: nó chỉ đọc nhãn và đổi tên game.exe thành report.exe sẽ loại bỏ hoàn toàn quy tắc này. Quy tắc đường dẫn thư mục vẫn tồn tại khi đổi tên nhưng không di chuyển sang thư mục khác. Hàm băm tệp là dấu vân tay của nội dung chính xác của tệp, do đó, bản sao được đổi tên hoặc di chuyển vẫn khớp - nhưng mọi bản cập nhật đều thay đổi hàm băm, vì vậy danh sách băm cần được bảo trì. Các quy tắc của nhà cung cấp và có thể thực thi được xác minh tuân theo chữ ký điện tử của nhà xuất bản: chúng tồn tại khi đổi tên, di chuyển và cập nhật thông thường, khiến chúng trở thành mặc định thực tế. Để lấy hàm băm cho một tệp đã biết là xấu, hãy tính toán tệp đó trên bất kỳ PC Windows nào:

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

Thay thế đường dẫn ví dụ bằng đường dẫn của tệp thực. Lệnh in hàm băm SHA256 mà bạn dán vào quy tắc băm tệp.

Triển khai cho Nhóm thí điểm ở Chế độ kiểm tra

Trong phần Triển khai, hãy mở Chính sách triển khai và đính kèm danh sách chặn vào một nhóm máy tính tùy chỉnh - bắt đầu với một nhóm thí điểm nhỏ chẳng hạn như bộ phận của bạn, ngay cả khi mục tiêu cuối cùng là mọi PC văn phòng. Trong khi triển khai, hãy làm hai việc. Trước tiên, hãy đặt thông báo tùy chỉnh mà người dùng sẽ thấy khi ứng dụng bị chặn: đặt tên cho chính sách và cho biết người cần liên hệ. Thứ hai, bật tùy chọn cho phép người dùng yêu cầu ứng dụng - hãy bật ngay bây giờ, không phải sau cuộc khủng hoảng đầu tiên, để người dùng bị chặn sẽ nhận được lộ trình yêu cầu thay vì ngõ cụt. Triển khai chính sách ở Chế độ kiểm tra: chưa có gì bị chặn nhưng mọi lần khởi động ứng dụng đều được ghi lại.

Giải quyết mọi ứng dụng không được quản lý trước khi thực thi

Chạy Chế độ kiểm tra trong ít nhất một chu kỳ làm việc đầy đủ - một tháng bao gồm cả cuối tháng, khi các công cụ báo cáo và kết thúc hiếm khi được sử dụng xuất hiện. Sau đó, làm việc thông qua chế độ xem Ứng dụng không được quản lý và đưa ra phán quyết cho từng mục: thêm mục đó vào danh sách cho phép, thêm mục đó vào danh sách chặn hoặc chuyển mục đó vào một nhóm ứng dụng. Đối với một tệp thực sự không xác định trên một PC, hãy hỏi người dùng của nó trước khi đánh giá - một nửa số cái tên đáng sợ là những công cụ nhàm chán với nhãn hiệu tồi. Mục tiêu trước khi thực thi là một danh sách ngắn gọn, dễ hiểu, không được quản lý, vì vậy Chế độ nghiêm ngặt không có gì đáng ngạc nhiên.

Chuyển sang Chế độ nghiêm ngặt - và chạy cửa ngoại lệ đúng cách

Trước tiên hãy chuyển nhóm thử nghiệm sang Chế độ nghiêm ngặt, chạy nhóm này trong một tuần và chỉ sau đó mới triển khai từng nhóm. Trong Chế độ nghiêm ngặt, việc chặn là có thật: bộ lọc sẽ kiểm tra mọi chương trình tại thời điểm chương trình cố gắng khởi động, do đó, quy tắc vẫn giữ nguyên ngay cả đối với các ứng dụng được cài đặt từ lâu trước chính sách và đối với các bản sao di động chưa bao giờ được cài đặt. Khi một ứng dụng bị chặn trở nên cần thiết cho công việc thực tế, hãy phê duyệt quyền truy cập đúng lúc trong vài giờ hoặc một ngày - ứng dụng đó sẽ tự hết hạn. Nếu cùng một bộ phận tiếp tục yêu cầu cùng một ứng dụng, hãy chuyển ứng dụng đó vào danh sách cho phép của nhóm đó một cách chính xác và lưu quyết định vào nhật ký kiểm tra.