Sovellusvalvonta on tehokkain yksittäinen suojaus, mitä päätelaitteelle voi tehdä. Samalla se on helpoin tapa pysäyttää koko organisaation työnteko, jos se tehdään väärin.
Kaikki palvelutPäätelaite on se paikka, jossa hyökkäys lopulta tapahtuu. Intune ja Defender for Endpoint antavat hyvät työkalut, mutta oletusasetuksilla ne pysäyttävät vain sen, mikä on jo tunnistettu.
App Control for Business (WDAC) kääntää asetelman toisin päin: ajaa saa vain sen, mikä on erikseen sallittu. Etenemme aina seurantatila edellä. Rakennamme perustason todellisesta sovelluskannasta, otamme käyttöön managed installer -mallin ja siirrymme estoon vaiheittain, ryhmä kerrallaan.
Nämä ovat yleisimpiä tilanteita, joissa asiakkaamme ottavat päätelaitteiden hallinnan ja suojauksen työn alle.
Intune-käytännöt ovat kasautuneet vuosien varrella. Käytäntöjä on tehty eri aikoina ja eri tarpeisiin, eikä vanhoja ole poistettu. Osa käytännöistä on päällekkäisiä, osa ei tee mitään, eikä kukaan tiedä mitkä ovat voimassa.
Sovellusvalvonta pelottaa, koska sen pelätään pysäyttävän työnteon. Sallimislistaus on ollut suunnitelmissa vuosia, mutta kukaan ei uskalla aloittaa.
Päätelaitesuoja tulee kolmannelta osapuolelta. Ympäristössä on erillinen suojausratkaisu, vaikka Microsoftin vastaava sisältyy jo maksettuun lisenssiin = turhaan ylimääräisiä kuluja.
Laitteen tila ei vaikuta pääsyyn. Kirjautuminen onnistuu myös laitteelta, joka ei ole hallinnassa eikä päivitetty. Vahva tunnistautuminen ei auta, jos laite jolta kirjaudutaan on hallitsematon.
Työpöytäalusta ei skaalaa. Uusi käyttäjä tai uusi ympäristö vaatii käsityötä joka kerta.
Kehittäjät rakentavat ympäristönsä itse. Jokainen kehitysympäristö on erilainen, eikä niiden tietoturvatasoa tunneta.
Käymme läpi nykyiset käytännöt: mitkä ovat voimassa, mitkä päällekkäisiä ja mitkä eivät tee mitään. Rakennamme kokonaisuuden, jossa jokaiselle käytännölle on perustelu, ja jota voi muuttaa ilman pelkoa siitä, että jotain rikkoutuu.
Sovelluskannan kartoitus, hallintamalli ja vaiheittainen käyttöönotto seurantatilasta estoon. Managed installer -malli hoitaa sen, että hyväksytyt asennukset menevät läpi ilman erillistä sääntöä jokaiselle sovellukselle.
Suojauksen käyttöönotto tai siirto Microsoftin ratkaisuun, hälytysten viritys ja liittäminen muuhun ympäristöön. Käymme samalla läpi, mitä maksettu lisenssitaso sisältää ja mitä siitä on kytkemättä.
Vaatimustenmukaisuuden säännöt ja niiden kytkeminen ehdolliseen käyttöoikeuteen. Käytännössä tämä tarkoittaa, ettei hallitsematon tai päivittämätön laite pääse käsiksi yrityksen tietoon.
Azure Virtual Desktop ja Microsoft Dev Box: alusta, jossa uusi käyttäjä tai kehitysympäristö syntyy ilman erillistä projektia. Olemme rakentaneet työpöytäalustoja tuhansille käyttäjille.
Näkymä siihen, mitkä laitteet ovat ajan tasalla ja mitkä eivät, sekä malli sille kuka korjaa ja millä aikataululla.
Käytäntömuutokset ja sovellusvalvonta viedään aina vaiheittain. Tyypillinen kesto on 4–8 viikkoa laitemäärästä ja sovelluskannasta riippuen.
Käymme läpi nykyiset käytännöt ja kartoitamme sovelluskannan: mitä laitteilla oikeasti tehdään. Ilman tätä sovellusvalvontaa ei kannata aloittaa.
Sovimme kuka hyväksyy uuden sovelluksen, millä perusteella ja kuinka nopeasti. Samalla rajataan, mikä kuuluu tähän projektiin ja mikä ei.
Valvonta kirjaa ensin vain sen, mitä estetään. Sitten pilottiryhmä, jonka jälkeen laajennus ryhmä kerrallaan. Estot kytketään päälle vasta, kun tiedetään mitä estetään.
Käytännöt perusteluineen ja ohjeet tiimille. Käymme mallin läpi yhdessä, jotta se on ylläpidettävissä myös ilman meitä.
Ei, jos se tehdään oikein. Seurantatila kerää ensin kuukausien ajan tiedon siitä, mitä oikeasti ajetaan. Estoon siirrytään vasta kun poikkeukset on käsitelty ja pilottiryhmä on ollut ongelmitta.
Kehittäjäkoneet ovat oma tapauksensa. Yleensä niille tehdään erillinen, kevyempi politiikka, ei poikkeusta koko sovellusvalvonnasta.
App Control for Business kuuluu Windowsiin. Defender for Endpointin täydet ominaisuudet vaativat oman lisenssinsä, ja kerromme etukäteen mitä nykyisellä lisenssillä saa.
AppLocker on vanhempi ja helpompi ottaa käyttöön, mutta Microsoftin kehitys on siirtynyt App Controliin. App Control toimii syvemmällä käyttöjärjestelmässä ja on tiukempi, mutta myös vaikeampi konfiguroida turvallisesti, sillä huono käytäntö voi estää laitteen käynnistymisen. Olemme toteuttaneet sallimislistauksia AppLockerilla ja teemme uudet käyttöönotot App Controlilla. Kerromme suosituksemme kartoituksen jälkeen.
Sitä varten valvonta ajetaan ensin seurantana: näet mitä esto estäisi, ennen kuin se on päällä. Käyttöönotto etenee ryhmä kerrallaan ja, jos jokin sovellus vaatii poikkeuksen, se käsitellään hallintamallin mukaan eikä ad hoc.
Katsotaan mitä laitteillanne oikeasti tapahtuu, ja rakennetaan perustaso sen päälle.