Controle de acesso de aplicativos / Guia prático
Como bloquear software não autorizado em computadores
Controle quais aplicativos os funcionários podem executar, reduza instalações não aprovadas e mantenha o trabalho legítimo em andamento com regras testadas e exceções claras.
Um funcionário instala um conversor de PDF gratuito, uma extensão de navegador ou um utilitário de acesso remoto porque parece útil. No momento em que a TI a encontra, essa ferramenta pode ter exposto dados da empresa, introduzido malware ou criado um caminho não aprovado para um dispositivo da empresa. A capacidade de bloquear software não autorizado em computadores é um controle direto sobre segurança, produtividade, custos de licenciamento e responsabilidade.
Para pequenas e médias empresas, o objetivo é garantir que os endpoints de propriedade da empresa executem ferramentas aprovadas com configurações de segurança conhecidas e uma finalidade comercial clara. Isso exige mais do que dizer aos funcionários para não instalarem software. Requer aplicação técnica, visibilidade do que está em execução e um processo para aprovação de exceções legítimas.
01Identificar software não autorizado e o risco que ele cria
Software não autorizado raramente chega com uma etiqueta de advertência. Pode ser um aplicativo de armazenamento em nuvem usado para compartilhar arquivos com um cliente, uma ferramenta de gravação de tela instalada para treinamento, um jogo baixado durante o tempo de inatividade ou uma cópia não licenciada de software pago. Cada caso cria um problema diferente, mas todos reduzem o controle da empresa sobre seus endpoints.
Aplicativos não verificados podem conter malware, coletar credenciais, transmitir arquivos fora do armazenamento aprovado ou entrar em conflito com software de segurança. Os utilitários de controle remoto merecem atenção especial porque podem permitir que um funcionário ou terceiros acessem uma estação de trabalho sem supervisão de TI. Até mesmo software legítimo pode criar riscos quando está desatualizado, configurado incorretamente ou instalado de uma fonte não oficial.
Também existe um custo operacional. Os aplicativos não aprovados consomem largura de banda, espaço em disco e tempo de suporte. Os funcionários podem usar mensagens pessoais, compartilhamento de arquivos ou ferramentas de IA para lidar com informações da empresa sem saber onde esses dados estão armazenados. Manter registros precisos de software e licenças também facilita a resposta às análises de licenciamento do fornecedor.
Crie uma linha de base de software aprovada
Registre o nome do aplicativo, o editor, a versão compatível, o proprietário da empresa, a fonte aprovada e as equipes que precisam dele. Compare essa linha de base com inventários de software instalado e registros de uso de aplicativos. Um aplicativo instalado pode não ser utilizado; um executável portátil pode ser executado sem aparecer em uma lista convencional de programas instalados. Ambos são relevantes para a revisão.
Comece com as categorias que criam maior exposição: ferramentas de acesso remoto não aprovadas, clientes de sincronização de consumo, software não licenciado, jogos e executáveis desconhecidos. Confirme o objetivo comercial antes de estabelecer uma regra. Um utilitário especializado exigido pela engenharia deve ter proprietário e escopo definidos, em vez de ser tratado como um download desconhecido.
02Restringir a instalação de software com acesso com privilégios mínimos
Os usuários padrão não devem ter privilégios de administrador local nos computadores da empresa, a menos que seu trabalho realmente os exija. Os direitos administrativos permitem que os usuários instalem muitos aplicativos, alterem configurações de segurança e enfraqueçam as proteções existentes. Revise as contas diárias separadamente das contas usadas para administração aprovada.
Isso não significa que a TI deva desacelerar os negócios. Estabeleça um caminho de aprovação definido para solicitações de software e, em seguida, implante ferramentas aprovadas por meio de seu processo de instalação gerenciado ou forneça elevação temporária e controlada quando justificado. O controle estrito de privilégios pode frustrar a equipe técnica ou funcionários que precisam de software especializado. Essas funções precisam de permissões personalizadas e de um processo de suporte prático.
Bloquear instalação é diferente de bloquear execução
A remoção dos direitos de administrador é um ponto de partida importante, mas não é uma política de aplicação completa. Alguns softwares são instalados dentro do perfil de um usuário e aplicativos portáteis podem ser executados sem uma instalação convencional. A Microsoft também observa que os usuários padrão podem instalar aplicativos empacotados em suas orientações de planejamento de políticas do AppLocker. Decida o que pode executar e quem pode instalar software.
Por exemplo, negar permissão para instalar um cliente de sincronização de arquivos pessoal não remove uma cópia que já esteja presente. Verifique o inventário de software existente, restrinja a execução não aprovada com o controle apropriado e remova instalações indesejadas por meio do seu processo de administração.
03Escolha a lista de permissões de aplicativos ou regras de bloqueio direcionadas
Nenhuma configuração única interromperá todos os aplicativos não aprovados. Um programa prático combina prevenção com detecção. A prevenção limita o que os usuários podem instalar ou executar. A detecção identifica lacunas políticas, tentativas repetidas e software que já estava presente antes da introdução dos controles.
Use uma lista de bloqueio para aplicativos proibidos específicos
Uma lista de bloqueio restringe aplicativos nomeados enquanto deixa outros programas disponíveis. É um ponto de partida prático quando uma equipe precisa de ferramentas variadas e a TI identifica softwares indesejados específicos. Os exemplos incluem utilitários de acesso remoto não autorizados, clientes ponto a ponto, jogos e unidades de nuvem não aprovadas.
Uma lista de bloqueios requer manutenção contínua. Novos aplicativos, arquivos renomeados, executáveis atualizados e processos complementares podem alterar o resultado, dependendo de como o controle corresponde ao software. Verifique o executável real e o comportamento correspondente da regra em vez de assumir que um nome de exibição abrange todos os componentes relacionados.
Use uma lista de permissões para um conjunto definido de ferramentas de trabalho
Uma lista de permissões permite um conjunto aprovado de aplicações e restringe outras dentro do escopo do controle escolhido. Pode ser adequado para quiosques, estações de trabalho compartilhadas ou departamentos com um conjunto estável de ferramentas de negócios. Planeje dependências como auxiliares de entrada, componentes de impressão, serviços de atualização e software de acessibilidade antes de impor a lista.
Uma lista de permissões rigorosa exige mais preparação, especialmente para equipes que usam aplicativos especializados de linha de negócios. Comece com um grupo de dispositivos bem compreendido, documente os programas necessários e expanda depois que o piloto demonstrar que o trabalho legítimo continua. Mantenha uma forma testada de restaurar a política anterior.
Combine a política com a tecnologia de aplicação
Em dispositivos Windows gerenciados, sistemas dedicados de controle de aplicativos podem oferecer suporte a regras baseadas em editores, hashes de arquivos ou caminhos. A Microsoft documenta o App Control for Business e o AppLocker como opções de controle de aplicativos do Windows. Revise os tipos de regras, sistemas operacionais e requisitos de implantação suportados para a ferramenta escolhida. Quando o modo de auditoria estiver disponível, revise os resultados antes da aplicação.
As restrições de tipo de arquivo ou pasta necessitam de cuidados especiais. Regras para instaladores, scripts ou arquivos em pastas temporárias e de download podem afetar tarefas legítimas de configuração e manutenção. A restrição baseada em nome de um aplicativo de desktop não é automaticamente equivalente à validação do editor, ao controle de script ou a uma política de segurança que impede a execução do código.
04Controlar extensões de navegador e fontes de download de software
As extensões de navegador exigem suas próprias política e verificação de navegador gerenciado. Mantenha aqui as regras executáveis e as configurações de extensão/perfil na linha de base do navegador; nenhum configura o outro automaticamente.
Para navegadores Chrome gerenciados, as orientações sobre políticas de aplicativos e extensões do Google descrevem as configurações de permissão e bloqueio. Aplique políticas aos usuários ou navegadores pretendidos e verifique sua cobertura real. Decida também quais navegadores a organização suporta; uma política em um navegador gerenciado não configura automaticamente outro navegador.
A filtragem da Web pode reduzir downloads indesejados de software. Restrinja fontes e serviços de download que criam um risco comercial documentado, mantendo disponíveis fornecedores aprovados e locais de atualização. Uma equipe de design pode precisar de uma página de download do fornecedor desnecessária para a contabilidade.
Use o bloqueio de sites em computadores de trabalho como controle complementar. O bloqueio de um site de download não impede a execução de um programa já instalado no dispositivo. Revise as restrições de aplicativos, as políticas do navegador e o acesso ao site em conjunto, sem tratá-los como intercambiáveis.
05Bloqueie aplicativos não autorizados com o Net Monitor for Employees Pro
Net Monitor for Employees Pro oferece aos administradores um local central para inspecionar aplicativos e processos em execução e aplicar restrições de aplicativos. A ajuda de Aplicativos e Processos documenta os controles abaixo. Comece com um computador piloto e um aplicativo de teste inofensivo antes de aplicar uma política a um departamento.
- Inspecione o aplicativo e seu processo. A guia Applications lista janelas ou tarefas visíveis do aplicativo. Use a guia Processes para processos em segundo plano e detalhes como PID e linha de comando. Confirme se o item pertence ao aplicativo indesejado antes de agir.
- Crie a lista apropriada. Use Add to blocked/allowed list para copiar nomes de aplicativos das linhas selecionadas para as listas de políticas. Lembre-se dos aplicativos comerciais essenciais e dos componentes de suporte ao preparar uma lista de permissões.
- Selecione o modo de regra. Em Blocking Applications, escolha Block list para restringir os aplicativos listados ou Allow list para permitir o conjunto listado. A guia também fornece Allow all e Block all; entenda seu efeito antes de aplicar qualquer um dos modos.
- Verifique os computadores no escopo. Use same settings for all computers aplica uma política compartilhada globalmente. Com as configurações compartilhadas desativadas, a política pode ser carregada para o computador atual e aplicada aos computadores selecionados. Confirme o escopo antes de alterar o acesso.
- Aplique e teste as regras. Selecione Apply settings e tente iniciar o aplicativo de teste e os programas aprovados de que os funcionários precisam. Verifique processos e tarefas de trabalho relacionados, não apenas se uma janela fecha.
- Verifique o comportamento de inicialização e o acesso temporário. Configure Automatically start rules quando as restrições devem começar com o computador remoto e teste após a reinicialização. Temporary allow all desativa a aplicação enquanto preserva as listas. Restaure a política pretendida após a solução de problemas e verifique-a novamente.
Fechar um aplicativo uma vez não substitui uma regra em andamento
End Task fecha o aplicativo selecionado no computador atual; End all tasks with same name visa esse aplicativo em todos os computadores selecionados. Os controles de processo fornecem Kill process e Kill all processes with same name. Estas são ações administrativas imediatas. As restrições persistentes são configuradas separadamente em Blocking Applications.
Antes de fechar uma tarefa, considere o trabalho não salvo e confirme os computadores afetados. As restrições de aplicativos não desinstalam um programa, não o classificam como malware nem substituem a proteção de endpoint. Verifique o comportamento compatível em cada plataforma e configuração que você gerencia. Para administração pela Internet, siga as orientações sobre conexão remota e licenciamento em nuvem.
06Monitore a atividade do aplicativo e responda a software não autorizado
O bloqueio sem visibilidade cria pontos cegos. A TI precisa entender quais aplicativos são executados em cada endpoint e se softwares indesejados continuam aparecendo. A inspeção de processo é especialmente útil para aplicativos portáteis ou utilitários sem janela visível.
Use o relatório de uso de aplicativos e filtros de relatório para revisar atividades registradas por computador, usuário e intervalo de tempo. Combine esse histórico com a visualização de tela ao vivo relevante quando precisar verificar o estado atual. Mantenha os registros de uso do aplicativo separados dos eventos de instalação e dos registros de inicialização bloqueada: consulte o sistema operacional ou a ferramenta de aplicação para obter esses registros, quando disponíveis.
O monitoramento deve estar vinculado às regras escritas da empresa e aplicado de forma consistente. Os funcionários devem compreender que os dispositivos da empresa são ativos gerenciados, que atividades são registradas e como uma exceção pode ser solicitada. Limite o acesso aos registros de atividades ao pessoal que deles precisa para a tarefa definida.
Investigue antes de decidir sobre uma resposta
Não trate cada descoberta como um evento disciplinar. Primeiro, determine o que é o software, quem o instalou, onde os registros estabelecem isso, quais permissões ele possui e se acessou ou transmitiu dados da empresa. Um aplicativo de calculadora apresenta diferentes perguntas, desde uma ferramenta de área de trabalho remota, gerenciador de credenciais, cliente de sincronização em nuvem ou executável desconhecido.
Para software potencialmente perigoso, siga o procedimento de resposta a incidentes da organização. Isso pode incluir o isolamento do endpoint, a preservação de registros relevantes antes das alterações, a remoção do programa, a alteração de credenciais expostas e a verificação de componentes relacionados. Verifique se o mesmo aplicativo aparece em outros dispositivos; um instalador pode ter sido compartilhado por um departamento.
Para violações de menor risco, remova o software por meio do processo de administração aprovado, documente o incidente e explique a alternativa aprovada. As violações repetidas exigem uma revisão das permissões, do treinamento e das circunstâncias. A aplicação consistente é importante: se o software não autorizado for rotineiramente ignorado em alguns dispositivos, a política torna-se difícil de manter.
07Crie um processo de aprovação de software que os funcionários usarão
Os funcionários ignoram a política quando a obtenção de software aprovado leva dias e eles precisam de uma solução agora. Um processo de solicitação curto e previsível reduz essa pressão. Exija que o solicitante identifique o software, sua finalidade comercial, o fornecedor, os dados que acessará e a urgência da solicitação.
A TI pode então avaliar se o aplicativo é legítimo, licenciado, compatível com os sistemas existentes e aceitável para os dados envolvidos. Sempre que possível, ofereça uma alternativa aprovada. Se uma equipe solicitar uma ferramenta pública de compartilhamento de arquivos, direcione-a para a plataforma de armazenamento da empresa em vez de emitir uma rejeição vaga.
Definir metas de resposta para solicitações ordinárias e urgentes. Nem todas as ferramentas merecem aprovação imediata, mas os funcionários precisam saber que uma necessidade comercial legítima será analisada. Um processo de aprovação rápido facilita a manutenção do bloqueio estrito.
- Mantenha as exceções específicas. Registre o aplicativo, a equipe solicitante, os computadores afetados, o proprietário da empresa e a pessoa que aprovou.
- Defina uma data de revisão ou expiração. Uma ferramenta de projeto temporária não deve se tornar uma exceção permanente e sem proprietário.
- Registre a alteração da política. Anote qual regra ou lista foi alterada e como restaurar a configuração anterior.
Mantenha esse registro de aprovação em seu processo de suporte ou gerenciamento de mudanças. Uma lista de permissões de software e um controle de desvio temporário não fornecem, por si só, um fluxo de trabalho de aprovação.
08Teste a implementação e avalie se os controles funcionam
Um programa de bloqueio deve melhorar com o tempo. Revise tentativas de inicialização ou instalação bloqueadas onde o controle relevante as registra, repita o uso não autorizado de aplicativos, solicitações de exceção, retorno de aprovação e trabalho legítimo interrompido por uma regra. Estas medidas mostram se as políticas são demasiado flexíveis, demasiado restritivas ou pouco claras.
Para o piloto, teste um aplicativo proibido, aplicativos aprovados, processos de suporte, uma atualização de software comum e uma reinicialização. Inclua contas representativas de funcionários e configurações de dispositivos. Para laptops remotos, verifique a política nas condições de conexão que os funcionários realmente usam.
Revise também o inventário de software aprovado em intervalos regulares. Remova os aplicativos que não são mais necessários, corrija os que restam e verifique se as licenças correspondem ao uso real. Cada aplicativo não utilizado adiciona outra superfície de ataque potencial e obrigação de suporte.
Comece com as categorias de dispositivos e software que criam a maior exposição e depois expanda com base nos resultados verificados. Políticas claras, privilégios restritos, controles de aplicativos testados e registros de atividades úteis ajudam a manter os computadores da empresa focados no trabalho da empresa.
Verificações de aceitação de regras de aplicativo
- Cópias instaladas, portáteis e de perfil de usuário: teste cada caminho de lançamento relevante com uma conta de funcionário padrão.
- Processos e atualizações do auxiliar: confirme o login, a impressão, a acessibilidade e a próxima atualização de software aprovada ainda funcionam.
- Reinicialização e recuperação: verifique se as regras pretendidas são retomadas, teste a exceção temporária documentada e, em seguida, restaure e verifique novamente a aplicação.
Para cada teste, registre o executável, o computador, a conta, o resultado esperado, o resultado real, o proprietário da política e a reversão. Uma única janela fechada não é prova de que todas as rotas de lançamento sejam controladas.
09Perguntas sobre o bloqueio de software não autorizado em computadores
Como faço para impedir que funcionários instalem software não aprovado?
Remova direitos de administrador desnecessários e forneça uma solicitação de software aprovada e um processo de implantação. Configure também políticas de aplicativos e navegadores para seu ambiente. As permissões de instalação por si só não cobrem todos os aplicativos, extensões ou programas portáteis em nível de usuário.
Posso permitir apenas aplicativos aprovados em um computador de trabalho?
Sim, com uma lista de permissões suportada pela ferramenta de controle de aplicativos escolhida. O Net Monitor for Employees Pro inclui um modo Allow list em Blocking Applications. Teste os programas auxiliares necessários e o trabalho diário antes de aplicar uma lista restritiva de forma ampla.
O bloqueio de um aplicativo o desinstala?
Não. Uma restrição controla o uso do aplicativo dentro do escopo de sua regra. A remoção do software instalado é uma ação administrativa separada. Após a remoção, verifique se a regra ainda aborda quaisquer cópias restantes ou reintroduzidas.
Os aplicativos portáteis podem ser executados sem direitos de administrador?
Alguns podem. Revise os processos em execução e use controles de execução apropriados juntamente com restrições de instalação. Teste a política específica do aplicativo e do dispositivo; não presuma que a ausência de um instalador torna o programa aprovado.