วิธีบล็อกซอฟต์แวร์ที่ไม่ได้รับอนุญาตบนคอมพิวเตอร์

01ระบุซอฟต์แวร์ที่ไม่ได้รับอนุญาตและความเสี่ยง

ซอฟต์แวร์ที่ไม่ผ่านอนุมัติแทบไม่มาพร้อมป้ายเตือน อาจเป็นคลาวด์ส่วนตัวสำหรับแชร์ไฟล์กับลูกค้า โปรแกรมบันทึกหน้าจอเพื่อฝึกอบรม เกมที่ดาวน์โหลดช่วงพัก หรือสำเนาโปรแกรมเสียเงินที่ไม่มีไลเซนส์ แม้ปัญหาต่างกัน แต่ทั้งหมดลดการควบคุมอุปกรณ์ของบริษัท

แอปที่ไม่ผ่านการตรวจอาจมีมัลแวร์ เก็บข้อมูลเข้าสู่ระบบ ส่งไฟล์ออกนอกที่จัดเก็บที่อนุมัติ หรือขัดแย้งกับโปรแกรมรักษาความปลอดภัย เครื่องมือควบคุมระยะไกลต้องใส่ใจเป็นพิเศษ เพราะอาจให้พนักงานหรือบุคคลภายนอกเข้าถึงเครื่องโดยไม่มีฝ่ายไอทีกำกับ แม้โปรแกรมถูกต้องก็มีความเสี่ยงหากล้าสมัย ตั้งค่าผิด หรือติดตั้งจากแหล่งไม่เป็นทางการ

ยังมีต้นทุนการดำเนินงาน แอปที่ไม่อนุมัติใช้แบนด์วิดท์ พื้นที่ดิสก์ และเวลาฝ่ายสนับสนุน พนักงานอาจใช้แชต บริการแชร์ไฟล์ หรือเครื่องมือ AI ส่วนตัวกับข้อมูลบริษัทโดยไม่รู้ว่าข้อมูลถูกเก็บที่ไหน การมีบันทึกซอฟต์แวร์และไลเซนส์ที่ถูกต้องยังช่วยตอบการตรวจสอบสิทธิ์ใช้งานจากผู้จำหน่าย

จัดทำรายการอ้างอิงซอฟต์แวร์ที่อนุมัติ

บันทึกชื่อแอป ผู้เผยแพร่ รุ่นที่รองรับ ผู้รับผิดชอบทางธุรกิจ แหล่งที่อนุมัติ และทีมที่ใช้ เปรียบเทียบกับรายการโปรแกรมที่ติดตั้งและบันทึกการใช้แอป แอปที่ติดตั้งอาจไม่มีคนใช้ ส่วนไฟล์พกพาอาจทำงานโดยไม่ปรากฏในรายการติดตั้งทั่วไป ทั้งสองอย่างสำคัญต่อการทบทวน

เริ่มจากหมวดที่เสี่ยงสูง เช่น เครื่องมือเข้าถึงระยะไกลที่ไม่อนุมัติ โปรแกรมซิงค์ส่วนตัว ซอฟต์แวร์ไม่มีไลเซนส์ เกม และไฟล์ปฏิบัติการไม่รู้จัก ยืนยันวัตถุประสงค์ทางธุรกิจก่อนตั้งกฎ เครื่องมือเฉพาะทางที่วิศวกรต้องใช้ควรมีผู้รับผิดชอบและขอบเขต ไม่ควรถูกมองเหมือนไฟล์ดาวน์โหลดไม่ทราบที่มา

02จำกัดการติดตั้งด้วยสิทธิ์เท่าที่จำเป็น

ผู้ใช้ทั่วไปไม่ควรมีสิทธิ์ผู้ดูแลภายในเครื่องบริษัท เว้นแต่งานจำเป็นจริง สิทธิ์นี้ทำให้ติดตั้งหลายแอป เปลี่ยนค่าความปลอดภัย และลดการป้องกันได้ ตรวจบัญชีประจำวันแยกจากบัญชีสำหรับงานผู้ดูแลที่อนุมัติ

ไม่ได้หมายความว่าไอทีต้องทำให้งานช้า กำหนดขั้นตอนขออนุมัติ จากนั้นติดตั้งเครื่องมือผ่านกระบวนการที่จัดการไว้ หรือเพิ่มสิทธิ์ชั่วคราวอย่างควบคุมเมื่อมีเหตุผล การจำกัดเข้มงวดอาจกระทบเจ้าหน้าที่เทคนิคหรือผู้ใช้โปรแกรมเฉพาะทาง จึงต้องมีสิทธิ์เหมาะสมและขั้นตอนสนับสนุนที่ใช้งานได้จริง

การบล็อกการติดตั้งต่างจากการบล็อกการทำงาน

ถอนสิทธิ์ผู้ดูแลเป็นจุดเริ่มต้นสำคัญ แต่ไม่ใช่นโยบายแอปที่ครบถ้วน บางโปรแกรมติดตั้งในโปรไฟล์ผู้ใช้ และแอปพกพาทำงานโดยไม่ต้องติดตั้งแบบปกติ Microsoft ยังระบุในคู่มือวางแผนนโยบาย AppLocker ว่าผู้ใช้มาตรฐานติดตั้งแอปแบบแพ็กเกจได้ จึงต้องกำหนดทั้งสิ่งที่เรียกใช้ได้และผู้ที่ติดตั้งได้

ตัวอย่างเช่น การไม่อนุญาตให้ติดตั้งโปรแกรมซิงค์ส่วนตัวไม่ได้ลบสำเนาที่มีอยู่ ตรวจรายการซอฟต์แวร์ จำกัดการทำงานที่ไม่อนุมัติด้วยเครื่องมือที่เหมาะสม และถอนโปรแกรมที่ไม่ต้องการผ่านกระบวนการดูแลระบบ

03เลือกรายการอนุญาตหรือกฎบล็อกเฉพาะเป้าหมาย

ไม่มีการตั้งค่าเดียวหยุดทุกแอปที่ไม่อนุมัติได้ แนวทางที่ใช้ได้จริงรวมการป้องกันและการตรวจจับ การป้องกันจำกัดสิ่งที่ติดตั้งหรือเรียกใช้ ส่วนการตรวจจับช่วยพบช่องว่างนโยบาย ความพยายามซ้ำ และโปรแกรมที่มีอยู่ก่อนเริ่มควบคุม

ใช้รายการบล็อกกับแอปต้องห้ามที่ระบุชัด

รายการบล็อกจำกัดแอปที่ระบุชื่อและยังให้โปรแกรมอื่นใช้งาน เหมาะเป็นจุดเริ่มต้นเมื่อทีมต้องใช้หลายเครื่องมือและไอทีรู้ว่าโปรแกรมใดไม่ต้องการ เช่น เครื่องมือเข้าถึงระยะไกลที่ไม่ได้รับอนุญาต โปรแกรมแชร์แบบเพียร์ทูเพียร์ เกม และคลาวด์ไดรฟ์ที่ไม่อนุมัติ

รายการบล็อกต้องดูแลต่อเนื่อง แอปใหม่ ไฟล์เปลี่ยนชื่อ ไฟล์ปฏิบัติการที่อัปเดต และกระบวนการร่วมอาจทำให้ผลเปลี่ยนตามวิธีจับคู่ ตรวจไฟล์จริงและพฤติกรรมการจับคู่กฎ อย่าคิดว่าชื่อที่แสดงครอบคลุมทุกส่วนประกอบ

ใช้รายการอนุญาตกับชุดเครื่องมือทำงานที่กำหนด

รายการอนุญาตให้แอปที่อนุมัติทำงานและจำกัดส่วนที่เหลือภายในขอบเขตของเครื่องมือ เหมาะกับคีออสก์ เครื่องใช้ร่วมกัน หรือแผนกที่มีชุดโปรแกรมคงที่ เตรียมส่วนพึ่งพา เช่น ตัวช่วยเข้าสู่ระบบ ส่วนพิมพ์ บริการอัปเดต และซอฟต์แวร์ช่วยการเข้าถึงก่อนบังคับใช้

รายการอนุญาตเข้มงวดต้องเตรียมมากขึ้น โดยเฉพาะแอปธุรกิจเฉพาะทาง เริ่มกับกลุ่มอุปกรณ์ที่เข้าใจดี บันทึกโปรแกรมจำเป็น และขยายเมื่อการทดลองยืนยันว่างานปกติยังทำได้ มีวิธีกู้คืนนโยบายเดิมที่ผ่านการทดสอบเสมอ

จับคู่นโยบายกับเทคโนโลยีบังคับใช้

บน Windows ที่จัดการอยู่ ระบบควบคุมเฉพาะอาจรองรับกฎตามผู้เผยแพร่ แฮชไฟล์ หรือพาธ Microsoft อธิบาย App Control for Business และ AppLocker เป็นตัวเลือกควบคุมแอปของ Windows ตรวจชนิดกฎ ระบบปฏิบัติการ และข้อกำหนดการใช้งานของเครื่องมือ หากมีโหมดตรวจสอบ ให้ทบทวนผลก่อนบังคับใช้

ข้อจำกัดตามชนิดไฟล์หรือโฟลเดอร์ต้องระวัง กฎเกี่ยวกับตัวติดตั้ง สคริปต์ โฟลเดอร์ดาวน์โหลดและชั่วคราวอาจกระทบงานติดตั้งและบำรุงรักษาที่ถูกต้อง การจำกัดแอปตามชื่อไม่ได้เทียบเท่าการตรวจผู้เผยแพร่ การควบคุมสคริปต์ หรือนโยบายความปลอดภัยที่ป้องกันโค้ดทำงานโดยอัตโนมัติ

04ควบคุมส่วนขยายเบราว์เซอร์และแหล่งดาวน์โหลด

เครื่องมือที่ไม่ได้รับอนุญาตจำนวนมากไม่ปรากฏเป็นซอฟต์แวร์เดสก์ท็อปทั่วไป ส่วนขยายอาจอ่านหน้าเว็บ เข้าถึงข้อมูลที่กรอก หรือเชื่อมพนักงานกับบริการที่ไม่อนุมัติตามสิทธิ์ที่ได้รับ จัดการส่วนขยายแยกจากแอปเดสก์ท็อป

สำหรับ Chrome ที่จัดการอยู่ คู่มือนโยบายแอปและส่วนขยายของ Google อธิบายค่าอนุญาตและบล็อก ใช้กับผู้ใช้หรือเบราว์เซอร์ที่ตั้งใจและตรวจความครอบคลุมจริง กำหนดเบราว์เซอร์ที่องค์กรรองรับด้วย เพราะนโยบายหนึ่งไม่ได้ตั้งค่าอีกเบราว์เซอร์ให้เอง

การกรองเว็บลดการดาวน์โหลดที่ไม่ต้องการได้ จำกัดแหล่งและบริการที่มีความเสี่ยงทางธุรกิจซึ่งบันทึกไว้ ขณะคงการเข้าถึงผู้จำหน่ายและแหล่งอัปเดตที่อนุมัติ ทีมออกแบบอาจต้องใช้หน้าดาวน์โหลดที่ฝ่ายบัญชีไม่จำเป็นต้องใช้

ใช้การบล็อกเว็บไซต์บนคอมพิวเตอร์ทำงาน เป็นส่วนเสริม การบล็อกเว็บดาวน์โหลดไม่หยุดโปรแกรมที่มีในเครื่อง ตรวจข้อจำกัดแอป นโยบายเบราว์เซอร์ และการเข้าถึงเว็บร่วมกัน แต่ไม่ถือว่าใช้แทนกันได้

05บล็อกแอปที่ไม่ได้รับอนุญาตด้วย Net Monitor for Employees Pro

Net Monitor for Employees Pro ให้ผู้ดูแลตรวจแอปและกระบวนการที่ทำงานและใช้ข้อจำกัดจากส่วนกลาง ความช่วยเหลือ Applications and Processes อธิบายการควบคุมต่อไปนี้ เริ่มด้วยเครื่องทดลองและแอปทดสอบที่ไม่เป็นอันตรายก่อนใช้ทั้งแผนก

1. ตรวจแอปและกระบวนการของมัน แท็บ Applications แสดงหน้าต่างหรืองานที่มองเห็น ใช้ Processes ดูกระบวนการเบื้องหลัง PID และบรรทัดคำสั่ง ยืนยันว่าเป็นส่วนของแอปที่ไม่ต้องการก่อนจัดการ
2. สร้างรายการที่เหมาะสม ใช้ Add to blocked/allowed list คัดลอกชื่อแอปจากแถวที่เลือกไปยังรายการนโยบาย คำนึงถึงแอปงานสำคัญและส่วนประกอบสนับสนุนเมื่อสร้างรายการอนุญาต
3. เลือกโหมดกฎ ใน Blocking Applications เลือก Block list เพื่อจำกัดแอปในรายการ หรือ Allow list เพื่ออนุญาตชุดนั้น มี Allow all และ Block all ด้วย ควรเข้าใจผลก่อนใช้
4. ตรวจคอมพิวเตอร์ในขอบเขต Use same settings for all computers ใช้นโยบายร่วมกับคอมพิวเตอร์ทั้งหมด เมื่อปิด สามารถโหลดนโยบายเครื่องปัจจุบันและนำไปใช้กับเครื่องที่เลือก ยืนยันขอบเขตก่อนเปลี่ยนการเข้าถึง
5. ใช้และทดสอบกฎ เลือก Apply settings แล้วลองเปิดแอปทดสอบและโปรแกรมที่พนักงานต้องใช้ ตรวจทั้งกระบวนการที่เกี่ยวข้องและงานจริง ไม่ใช่แค่ว่าหน้าต่างหนึ่งปิดหรือไม่
6. ตรวจการเริ่มกฎและสิทธิ์ชั่วคราว ตั้ง Automatically start rules หากต้องให้ข้อจำกัดเริ่มพร้อมเครื่องระยะไกล แล้วทดสอบหลังรีสตาร์ต Temporary allow all หยุดบังคับใช้โดยเก็บรายการไว้ คืนค่านโยบายที่ต้องการหลังแก้ปัญหาและตรวจอีกครั้ง

ปิดแอปครั้งเดียวไม่แทนกฎที่ทำงานต่อเนื่อง

End Task ปิดแอปที่เลือกบนเครื่องปัจจุบัน ส่วน End all tasks with same name จัดการแอปนั้นบนทุกเครื่องที่เลือก คำสั่งกระบวนการมี Kill process และ Kill all processes with same name นี่คือการดำเนินการทันที ส่วนข้อจำกัดถาวรตั้งแยกใน Blocking Applications

ก่อนปิดงาน ให้คำนึงถึงงานที่ยังไม่บันทึกและยืนยันเครื่องที่ได้รับผล ข้อจำกัดแอปไม่ได้ถอนโปรแกรม ไม่ได้ระบุว่าเป็นมัลแวร์ และไม่แทนการป้องกันอุปกรณ์ ตรวจพฤติกรรมที่รองรับในทุกแพลตฟอร์มและการตั้งค่า สำหรับการดูแลผ่านอินเทอร์เน็ต ให้ทำตามคู่มือการเชื่อมต่อระยะไกลและไลเซนส์ Cloud

06ตรวจการใช้งานแอปและตอบสนองต่อซอฟต์แวร์ที่ไม่อนุญาต

การบล็อกโดยมองไม่เห็นกิจกรรมทำให้เกิดจุดบอด ไอทีต้องรู้ว่าแต่ละอุปกรณ์ใช้แอปใดและโปรแกรมที่ไม่ต้องการกลับมาหรือไม่ การดูกระบวนการมีประโยชน์มากกับแอปพกพาหรือเครื่องมือที่ไม่มีหน้าต่าง

ใช้ Application usage report และตัวกรองรายงาน ดูกิจกรรมตามคอมพิวเตอร์ ผู้ใช้ และช่วงเวลา รวมประวัติกับการดูหน้าจอสด เมื่อต้องตรวจสถานะปัจจุบัน แยกบันทึกการใช้แอปออกจากเหตุการณ์ติดตั้งและบันทึกการเปิดที่ถูกบล็อก โดยดูบันทึกเหล่านั้นจากระบบปฏิบัติการหรือเครื่องมือบังคับใช้เมื่อมี

การตรวจสอบควรอิงกฎบริษัทที่เขียนไว้และใช้อย่างสม่ำเสมอ พนักงานต้องเข้าใจว่าอุปกรณ์บริษัทเป็นทรัพย์สินที่จัดการอยู่ กิจกรรมใดถูกบันทึก และจะขอข้อยกเว้นอย่างไร จำกัดสิทธิ์เข้าถึงบันทึกเฉพาะผู้จำเป็นต่อหน้าที่ที่กำหนด

สืบหาข้อมูลก่อนตัดสินใจตอบสนอง

อย่าถือว่าทุกสิ่งที่พบเป็นเรื่องวินัย ก่อนอื่นระบุซอฟต์แวร์ ผู้ติดตั้งเมื่อมีหลักฐาน สิทธิ์ที่ได้รับ และการเข้าถึงหรือส่งข้อมูลบริษัท แอปเครื่องคิดเลขมีประเด็นต่างจากเครื่องมือเดสก์ท็อประยะไกล ตัวจัดการข้อมูลเข้าสู่ระบบ โปรแกรมซิงค์ หรือไฟล์ไม่รู้จัก

หากโปรแกรมอาจอันตราย ให้ใช้ขั้นตอนตอบสนองเหตุการณ์ อาจต้องแยกอุปกรณ์ เก็บบันทึกก่อนเปลี่ยนแปลง ถอนโปรแกรม เปลี่ยนข้อมูลเข้าสู่ระบบที่รั่ว และสแกนส่วนประกอบที่เกี่ยวข้อง ตรวจเครื่องอื่นด้วย เพราะตัวติดตั้งเดียวอาจถูกแชร์ทั้งแผนก

กรณีเสี่ยงต่ำ ให้ลบผ่านกระบวนการที่อนุมัติ บันทึกเหตุการณ์ และอธิบายตัวเลือกที่อนุญาต การฝ่าฝืนซ้ำต้องทบทวนสิทธิ์ การฝึกอบรม และสถานการณ์ ความสม่ำเสมอสำคัญ หากมองข้ามบางเครื่องเป็นประจำ นโยบายจะรักษาได้ยาก

07สร้างขั้นตอนอนุมัติที่พนักงานจะใช้จริง

พนักงานเลี่ยงกฎเมื่อรออนุมัติหลายวันแต่ต้องการคำตอบทันที ขั้นตอนสั้นและคาดการณ์ได้ช่วยลดแรงกดดัน ขอชื่อซอฟต์แวร์ วัตถุประสงค์ ผู้จำหน่าย ข้อมูลที่จะเข้าถึง และความเร่งด่วน

ไอทีจึงประเมินความน่าเชื่อถือ ไลเซนส์ ความเข้ากันได้ และความเหมาะสมกับข้อมูลได้ เสนอทางเลือกที่อนุมัติเมื่อเป็นไปได้ หากทีมขอแชร์ไฟล์สาธารณะ ให้แนะนำพื้นที่บริษัทแทนการปฏิเสธคลุมเครือ

กำหนดเวลาตอบสำหรับคำขอปกติและเร่งด่วน ไม่ใช่ทุกเครื่องมือต้องอนุมัติทันที แต่พนักงานควรรู้ว่าความต้องการงานที่สมเหตุสมผลจะได้รับการพิจารณา กระบวนการเร็วช่วยรักษาการบล็อกเข้มงวดได้ง่ายขึ้น

• ระบุข้อยกเว้นให้ชัด บันทึกแอป ทีมที่ขอ เครื่องที่เกี่ยวข้อง ผู้รับผิดชอบทางธุรกิจ และผู้อนุมัติ
• กำหนดวันทบทวนหรือหมดอายุ เครื่องมือโครงการชั่วคราวไม่ควรกลายเป็นข้อยกเว้นถาวรที่ไม่มีเจ้าของ
• บันทึกการเปลี่ยนนโยบาย ระบุกฎหรือรายการที่เปลี่ยนและวิธีคืนค่าก่อนหน้า

เก็บบันทึกอนุมัติในงานสนับสนุนหรือการจัดการการเปลี่ยนแปลง รายการอนุญาตกับปุ่มยกเว้นชั่วคราวไม่ได้สร้างขั้นตอนอนุมัติด้วยตัวเอง

08ทดสอบการใช้งานและวัดผลการควบคุม

ระบบบล็อกควรพัฒนาขึ้นเรื่อย ๆ ทบทวนความพยายามเปิดหรือติดตั้งที่ถูกบล็อกเมื่อเครื่องมือบันทึกไว้ การใช้ซ้ำที่ไม่อนุญาต คำขอยกเว้น เวลารออนุมัติ และงานที่ถูกขัดขวาง ตัวชี้วัดเหล่านี้บอกว่านโยบายหลวม เข้มงวด หรือไม่ชัดเกินไปหรือไม่

ในการทดลอง ให้ทดสอบแอปต้องห้าม แอปอนุมัติ กระบวนการสนับสนุน การอัปเดตปกติ และรีสตาร์ต ใช้บัญชีและการตั้งค่าที่เป็นตัวแทนพนักงาน สำหรับแล็ปท็อประยะไกล ตรวจในสภาพการเชื่อมต่อที่ใช้งานจริง

ทบทวนรายการที่อนุมัติเป็นระยะด้วย ลบแอปที่ไม่จำเป็น อัปเดตส่วนที่เหลือ และตรวจไลเซนส์กับการใช้จริง แอปที่ไม่ใช้แต่ละตัวเพิ่มช่องทางโจมตีและภาระสนับสนุน

เริ่มจากอุปกรณ์และหมวดโปรแกรมเสี่ยงสูง แล้วขยายตามผลที่ตรวจสอบแล้ว นโยบายชัด สิทธิ์จำกัด กฎที่ทดสอบ และบันทึกที่มีประโยชน์ช่วยให้คอมพิวเตอร์บริษัทมุ่งทำงานบริษัท

09คำถามเกี่ยวกับการบล็อกซอฟต์แวร์ที่ไม่ได้รับอนุญาต

จะหยุดพนักงานติดตั้งโปรแกรมที่ไม่อนุมัติอย่างไร?

ถอนสิทธิ์ผู้ดูแลที่ไม่จำเป็นและมีขั้นตอนขอและติดตั้งที่อนุมัติ ตั้งนโยบายแอปและเบราว์เซอร์ให้เหมาะสมด้วย สิทธิ์ติดตั้งเพียงอย่างเดียวไม่ครอบคลุมแอประดับผู้ใช้ ส่วนขยาย หรือโปรแกรมพกพาทั้งหมด

อนุญาตเฉพาะแอปที่อนุมัติบนเครื่องทำงานได้ไหม?

ได้ ด้วยรายการอนุญาตที่เครื่องมือรองรับ Net Monitor for Employees Pro มี Allow list ใน Blocking Applications ทดสอบโปรแกรมช่วยและงานประจำก่อนใช้รายการเข้มงวดในวงกว้าง

บล็อกแอปแล้วจะถอนการติดตั้งหรือไม่?

ไม่ ข้อจำกัดควบคุมการใช้ภายในขอบเขตกฎ การลบซอฟต์แวร์เป็นงานผู้ดูแลแยกต่างหาก หลังลบ ตรวจว่ากฎยังครอบคลุมสำเนาที่เหลือหรือถูกนำกลับมา

แอปพกพาทำงานโดยไม่มีสิทธิ์ผู้ดูแลได้ไหม?

บางแอปทำได้ ตรวจกระบวนการและใช้การควบคุมการทำงานคู่กับข้อจำกัดติดตั้ง ทดสอบแอปและนโยบายเฉพาะ อย่าถือว่าไม่มีตัวติดตั้งแปลว่าได้รับอนุมัติ