소프트웨어 설치 제어 정책

소프트웨어 설치 제어는 엔드포인트의 설치 동작을 관리하고 특정 소프트웨어에 대한 허용 예외를 정의할 수 있습니다. 이 기능은 소프트웨어 실행 제어와 별도로 구성합니다. 설치 허용이 실행 허용을 의미하지 않으며 설치 차단이 기존 소프트웨어가 모두 제거되었다는 뜻도 아닙니다.

제어 시점은 플랫폼과 설치 방식에 따라 다를 수 있습니다. Linux 엔드포인트는 설치 후 검사에서 조건을 충족하지 않는 일부 신규 소프트웨어의 제거를 시도할 수 있으므로, 이 기능을 설치 프로그램 시작 전 차단으로만 이해해서는 안 됩니다. 제거가 실제로 성공했는지 확인합니다. 정책을 변경하기 전에 업무, 종속성과 복구 위험을 평가합니다.

준비

• Software 정책 관리 권한이 있는 관리자 계정을 사용합니다. 대상 엔드포인트, 라이선스 및 정책 적용 시간을 확인합니다.
• 업무 소프트웨어, 허용되는 설치 방식 및 필요한 예외를 파악합니다. 복구 가능한 소수의 시험 엔드포인트에서 시작하고 시험 패키지, 구성 백업 및 복구 절차를 준비합니다.
• 예외를 정의하기 전에 소프트웨어 설명, 저작권, 제품 이름 및 파일 이름을 확인합니다. 운영 체제와 설치 프로그램이 제공하는 정보가 다를 수 있으므로 대상 환경에서 검증합니다.
• 범위가 불확실한 규칙을 운영 엔드포인트에 바로 적용하지 않습니다. 특히 Linux 시험에서는 새로 설치된 소프트웨어가 제거될 때의 업무 및 종속성 영향을 평가합니다.

설치 제어 활성화

1. Software에서 Policy를 열고 대상 정책을 만들거나 수정합니다. 이름, 엔드포인트 범위 및 적용 시간을 확인합니다.
2. 정책 설정에서 소프트웨어 설치 제어를 활성화하고 해당 설정을 엽니다.
3. 소프트웨어 차단 알림 설정에서 필요에 따라 차단 팝업을 구성합니다. 팝업은 알림일 뿐 설치가 차단되었거나 소프트웨어가 제거되었다는 단독 증거가 아닙니다.
4. 특정 소프트웨어를 허용하려면 허용 예외를 열고 아래 절차에 따라 예외를 추가하고 확인합니다. 예외를 추가하지 않더라도 제어를 활성화하기 전에 대상 엔드포인트에 미치는 영향을 평가합니다.
5. 설치 제어 설정 창을 확인하고 전체 정책을 저장합니다. 범위를 확인하고 시험 엔드포인트가 정책을 받을 때까지 기다린 후 시험합니다.

현재 표시되는 설정 메뉴에는 차단 알림과 허용 예외가 있습니다. 임시 설치 승인의 제공 여부는 실제 화면과 조직 구성에 따라 달라집니다. 과거 자료에 설명되어 있다는 이유만으로 사용자가 승인 요청을 제출할 수 있다고 가정하지 마십시오.

허용 예외 구성

1. 설치 제어 설정에서 허용 예외를 열고 항목 추가를 선택합니다.
2. 소프트웨어 정보에 소프트웨어 설명, 저작권, 제품 이름 및 파일 이름을 입력합니다. 이 네 항목은 필수입니다. 필요한 경우 회사 이름과 파일 설명을 입력합니다.
3. 페이지는 일부 필드에서 *가 모든 값에 일치할 수 있다고 안내합니다. 와일드카드는 범위를 넓히므로 검증된 구체적인 정보를 우선하고 허용되지 않아야 할 비교 소프트웨어로도 시험합니다. 플랫폼마다 조건을 다르게 처리할 수 있으므로 설정 창을 저장해도 예외가 실제로 적용된다고 보장하지 않습니다.
4. 소프트웨어 정보를 저장하고 예외 목록을 확인한 다음 설치 제어 설정 창과 전체 정책을 모두 저장합니다.
5. 예외를 수정하거나 삭제하기 전에 해당 예외에 의존하는 엔드포인트와 업무 소프트웨어에 미치는 영향을 평가합니다. 변경 후 허용되는 경우와 제한되는 경우를 모두 시험하여 의도하지 않은 허용이나 제한을 방지합니다.

Linux 패키지 예외: dpkg 패키지 설치 제어 검사에서 File name은 .deb 설치 파일 이름이나 프로그램 이름이 아니라 example-app과 같은 패키지 식별자와 일치합니다. Software description은 소프트웨어 자산 이름과, Company name과 Copyright는 게시자 또는 유지 관리자 정보와 일치합니다. 모든 조건이 비어 있거나 *인 예외는 유효하지 않습니다. 실제 자산 정보가 없거나 설치 파일 속성과 다를 수 있으므로 대상 장치의 정보를 확인하고 허용 및 비허용 사례를 시험한 뒤 범위를 확대하십시오.

Linux 패키지 설치 제어 검사에서는 기존 소프트웨어 정보를 검사 기준으로 사용합니다. 이미 기준에 포함된 소프트웨어는 이번 검사만으로 신규 항목으로 처리되지 않습니다. 자동 설치된 종속성으로 식별된 패키지는 개별 제거를 시도하지 않고 관찰 후 기준에 포함될 수 있습니다. 기준 생성, 식별 및 처리는 엔드포인트의 실제 상태에 따라 달라지며 다른 설치 방식도 같다는 뜻은 아닙니다.

Windows 설치 프로그램 제어에서 예외 목록만이 허용 근거는 아닙니다. 일부 다른 신뢰된 설치나 시스템 관련 설치는 별도 조건으로 허용될 수 있습니다. 따라서 예외에 일치하지 않는다고 반드시 차단되는 것은 아닙니다. 대상 환경의 설치 프로그램으로 실제 동작과 업무 결과를 검증하십시오.

검증 및 문제 해결

1. 시험 엔드포인트가 정책을 수신했는지 확인합니다. 유지보수 시간에 승인된 시험 소프트웨어로 예외에 일치하는 경우와 일치하지 않는 경우를 각각 시험하고 실제 설치, 실행 또는 제거 결과를 기록합니다.
2. Linux에서는 설치 후 검사를 기다리고 최종 소프트웨어 상태를 확인합니다. 설치 프로그램이 이전에 성공을 보고했다고 정책이 적용되지 않았다는 뜻은 아니며, 이후 제거가 반드시 성공하는 것도 아닙니다.
3. 차단 팝업이 활성화되어 있으면 엔드포인트에 표시되는지 확인합니다. 표시되지 않으면 정책 수신과 실제 결과도 확인하며 팝업을 유일한 증거로 사용하지 않습니다.
4. 예외를 저장할 수 없거나 동작하지 않는 경우: 필수 필드, 실제 소프트웨어 정보, 대상 플랫폼 및 규칙 범위를 확인합니다. 모든 설정 창과 전체 정책이 저장되었고 엔드포인트에 수신되었는지 확인합니다.
5. 업무 소프트웨어가 예상치 못하게 제한되거나 제거된 경우: 조직의 사고 대응 절차로 업무를 복구한 후 정책 범위와 예외를 확인합니다. 수정 후 시험 엔드포인트에서 검증하고 범위를 확대합니다.

실제 처리 시간은 엔드포인트 동작에 따라 달라집니다. 정책 저장, 엔드포인트 수신 및 업무 결과를 각각 확인합니다.