소프트웨어 실행 제어 정책

Ping64에서 소프트웨어 제어는 규칙으로 소프트웨어 실행을 식별하고 일치하는 대상에 대해 처리하지 않거나 차단합니다. 감사는 각 규칙에서 별도로 활성화할 수 있습니다. 소프트웨어 설치 제어, 소프트웨어 스토어 및 라이선스 관리는 각각 별도로 구성하며, 하나를 활성화해도 다른 기능이 자동으로 활성화되지는 않습니다.

정책 저장, 엔드포인트 수신, 소프트웨어 일치, 실제 차단 및 기록 보고는 서로 다른 단계입니다. 차단되더라도 감사 기록이 반드시 생성되는 것은 아니며 기록만으로 소프트웨어가 성공적으로 중지되었다고 증명할 수 없습니다.

준비

• Software 정책 변경과 감사 기록 조회에는 각각 해당 권한이 필요합니다. 시범 엔드포인트, 적용 시간과 조직의 제어 요구를 확인합니다.
• 식별할 소프트웨어와 실제 실행 방식을 확인합니다. 소프트웨어 목록 또는 분류로 일치 여부를 판단하려면 먼저 Objects & Templates에서 기존 소프트웨어 객체의 이름, 분류 및 연결된 애플리케이션을 확인하고 적합한 객체를 재사용합니다. 필요한 경우에만 객체를 생성하거나 수정하고 변경 사항을 저장한 뒤 제어 규칙에서 선택합니다.
• 복구 가능한 소수의 시험 엔드포인트를 선택하고 제어할 소프트웨어와 영향을 받지 않아야 하는 비교 소프트웨어를 준비합니다. 너무 넓은 차단은 업무를 중단할 수 있으므로 관련 담당자와 복구 절차를 미리 합의합니다.
• 소프트웨어, 분류, 프로세스 경로, 창 이름 및 SHA256 조건의 지원 여부는 플랫폼마다 다를 수 있습니다. 페이지에 조건이 있다고 모든 엔드포인트가 동일하게 실행한다는 뜻은 아니므로 대상 운영 체제와 실제 버전에서 시험합니다.

제어 규칙 구성

1. Software에서 Policy를 열고 대상 정책을 만들거나 수정합니다. 이름, 엔드포인트 범위 및 적용 시간을 확인합니다.
2. 정책 설정에서 Software Control을 활성화하고 해당 설정을 엽니다.
3. 규칙을 추가하고 이름을 입력합니다. 일치 조건에서 소프트웨어 목록 또는 분류를 선택하거나 필요에 따라 프로세스 경로, 창 이름, SHA256 및 기타 제공 조건을 구성합니다. 각 규칙에는 유효한 일치 조건이 하나 이상 필요합니다.
4. 프로세스 조건을 구성할 때 실제 경로와 다른 필드를 확인합니다. 구조화된 프로세스 조건에는 와일드카드가 아닌 필드가 하나 이상 필요합니다. 모든 필드를 와일드카드로 지정하여 특정 대상을 대신하지 않습니다.
5. 동작 설정에서 처리하지 않음 또는 차단을 선택합니다. 일치한 동작을 기록하려면 감사를 별도로 활성화합니다. 차단을 선택해도 감사가 자동으로 켜지지 않습니다.
6. 각 규칙의 이름, 조건 및 동작을 확인합니다. 규칙 순서는 변경할 수 있습니다. 조건이 겹치면 시험 엔드포인트에서 실제 일치와 실행을 먼저 검증하고 모든 일치 규칙이 순서대로 실행된다고 가정하지 않습니다.
7. 일치 조건과 제어 설정 창을 확인하고 전체 정책을 저장합니다. 대상 엔드포인트가 정책을 받을 때까지 기다린 후 시험합니다. 콘솔에서 저장에 성공했다고 엔드포인트가 실행한 것은 아닙니다.

Windows 일치 범위: 일반 규칙의 서로 다른 일치 항목이 모두 동시에 맞아야 하는 것은 아닙니다. 예를 들어 프로세스 조건과 SHA256 값을 모두 추가하면 어느 하나만 일치해도 규칙이 적용될 수 있으므로 이중 제한으로 간주하면 안 됩니다. 반면 하나의 구조화된 프로세스 조건에 입력한 여러 필드는 모두 일치해야 합니다. 경로는 프로그램의 실제 전체 경로와 대조합니다. 항목을 추가하면 규칙 범위가 넓어질 수 있습니다. 차단을 켜기 전에 한 항목만 일치하는 표본과 두 항목 모두 일치하지 않는 표본을 각각 시험합니다.

예를 들어 시험 소프트웨어의 정확한 프로세스 경로를 사용하고 처리하지 않음을 선택한 뒤 감사를 활성화하여 일치 범위를 확인할 수 있습니다. 검증 후 조직의 변경 절차에 따라 차단으로 전환할지 평가합니다. 이 예시는 기본 규칙이 아니며 모든 플랫폼에서 동일하게 동작한다고 보장하지 않습니다.

Linux에서는 프로세스 조건과 SHA256의 실행 경로가 다른 조건과 다릅니다. 소프트웨어 목록, 분류 또는 창 이름만 포함하는 규칙이 다른 플랫폼과 동일하게 동작한다고 가정하지 말고 실제 엔드포인트 환경에서 시험합니다.

일부 Windows 일반 규칙 상황에서는 엔드포인트가 받은 순서대로 규칙을 검사하고 첫 번째로 일치하면 이후 일반 규칙을 검사하지 않습니다. 예를 들어 앞의 No action 규칙에 일치하면 뒤의 차단 또는 감사 규칙은 해당 일치에 적용되지 않습니다. 승인 관련 처리는 별도로 판단하므로 이 순서를 모든 플랫폼과 상황에 일반화하지 마십시오. 순서를 바꾼 뒤에는 시험 엔드포인트에서 허용 동작, 차단 및 기록을 각각 확인하십시오.

문제 해결

1. 규칙을 저장할 수 없는 경우: 이름, 일치 조건 하나 이상 및 각 구조화된 프로세스 조건에 와일드카드가 아닌 필드가 있는지 확인합니다. 설정 창과 전체 정책이 저장되었는지도 확인합니다.
2. 소프트웨어가 예상대로 차단되지 않는 경우: 대상 엔드포인트와 시간, 정책 수신, 동작, 조건, 규칙 순서 및 플랫폼 지원을 확인합니다. 필요하면 특정 프로세스 조건으로 시험 엔드포인트에서 다시 검증합니다.
3. 차단되었지만 기록이 없는 경우: 규칙에서 감사가 활성화되어 있는지 확인한 다음 엔드포인트 보고, 날짜, 키워드, 현재 페이지 필터 및 관리자의 열람 범위를 확인합니다.
4. 기록이나 상세 정보를 볼 수 없는 경우: 계정 권한, 엔드포인트 열람 범위 및 페이지 메시지를 확인합니다. 문제가 지속되면 관리자 또는 기술 지원에 문의하고 민감한 경로를 전달하여 검토를 우회하지 않습니다.
5. 업무 소프트웨어가 잘못 차단된 경우: 조직의 사고 대응 절차에 따라 필수 업무를 먼저 복구합니다. 일치한 규칙, 범위 및 순서를 확인하고 통제된 엔드포인트에서 수정과 검증을 마친 뒤 배포를 확대합니다.

• 소프트웨어 실행 제어 감사