阻止 Office 中的任何应用程序

发现实际安装的内容

打开 Endpoint Central 控制台并从发现开始，而不是阻止：每台托管 PC 上的代理都会扫描并列出整个办公室中实际安装的应用程序，包括 IT 部门从未批准过的软件。在阻止任何内容之前，请先阅读该列表。期待惊喜 - 这里有一个个人 VPN，那里有一个旧的屏幕录像机，三个 PDF 工具做同样的工作。此发现报告也是您以后的证据：当有人问为什么应用程序被阻止时，它显示该应用程序在任何策略存在之前就在办公室计算机上运行。

在第一个块之前编写策略

首先在纸上确定规则。写类别，而不是应用程序名称：游戏、Torrent 和点对点客户端、个人 VPN、未经批准的远程访问工具、加密货币矿工以及任何没有商业目的的东西。类别在下个月的新游戏中继续存在；名单则不然。列出批准例外的人员或角色、工作人员用来询问的路线以及承诺的答复时间 - 一个工作日是一个很好的承诺。临时需求得到临时的、有时限的访问，而不是匆忙打开永久的漏洞。

将阻止列表构建为应用程序组

在控制台中，转到“应用程序控制”，然后转到“应用程序组”，然后选择“创建阻止列表”。使用控制台提供的过滤器添加应用程序：供应商、产品名称、已验证的可执行文件、文件哈希、文件夹路径和商店应用。被阻止的应用程序仍安装在电脑上 - 它根本无法运行。对于几台 PC 上的单个文件，Endpoint Central 在 Inventory 下还有一个更简单的 Block Executable 选项，通过路径或哈希进行匹配；当规则必须作为整个办公室的策略存在时，应用程序组是正确的途径。

选择重命名后仍有效的规则

您如何识别应用程序决定了该块是否成立。文件名规则是最弱的：它只读取标签，将 game.exe 重命名为 report.exe 会完全破坏它。文件夹路径规则在重命名后仍然存在，但在移动到另一个文件夹后则不再存在。文件哈希是文件确切内容的指纹，因此重命名或移动的副本仍然匹配 - 但每次更新都会更改哈希，因此哈希列表需要维护。供应商和经过验证的可执行规则遵循发布者的数字签名：它们在重命名、移动和普通更新后仍然存在，这使得它们成为实际的默认规则。要获取一个已知错误文件的哈希值，请在任何 Windows PC 上计算它：

certutil -hashfile "C:\Program Files\App\app.exe" SHA256

将示例路径替换为真实文件的路径。该命令打印您粘贴到文件哈希规则中的 SHA256 哈希值。

以审核模式部署到试点组

在“部署”下，打开“部署策略”并将阻止列表附加到自定义计算机组 - 从一个小型试点组（例如您自己的部门）开始，即使最终目标是每台办公室 PC。部署时，做两件事。首先，设置应用程序被阻止时用户将看到的自定义通知消息：命名策略并说明联系对象。其次，打开允许用户请求应用程序的选项 - 现在打开它，而不是在第一次危机之后打开，这样被阻止的用户就会得到请求路径，而不是死胡同。在审核模式下部署策略：尚未阻止任何内容，但会记录每个应用程序启动。

在执行之前解决每个非托管应用程序

运行审核模式至少一个完整的工作周期 - 一个月，包括月底，很少使用的结算和报告工具即将推出。然后浏览“非托管应用程序”视图并对每个条目做出裁决：将其添加到允许列表、将其添加到阻止列表或将其移至应用程序组。对于一台 PC 上真正未知的文件，请在判断之前询问其用户 - 一半可怕的名称都是带有不良品牌的无聊工具。实施之前的目标是一个简短的、易于理解的非托管列表，因此严格模式不会有任何意外。

切换到严格模式 - 并正确运行异常门

先将试点组切换为严格模式，运行一周，然后逐组推出。在严格模式下，该阻止是真实的：过滤器会在尝试启动时检查每个程序，因此即使对于早在策略之前安装的应用程序以及根本从未安装的可移植副本，该规则也适用。当实际工作需要某个被阻止的应用程序时，请批准几小时或一天的即时访问 - 它会自行过期。如果同一部门不断请求同一应用程序，请将其正确移至该组的许可名单，并将决定保留在审核日志中。