# นโยบายควบคุมการทำงานของซอฟต์แวร์

Canonical: https://www.nsecsoft.com/th/docs/ping64-endpoint-management/software/execution-control/policy/

Language: th-TH

Updated: 2026-11-15T03:40:47.600036Z

ใน Ping64 การควบคุมซอฟต์แวร์ใช้กฎระบุการทำงานของซอฟต์แวร์ และเลือกไม่ดำเนินการหรือบล็อกเมื่อพบรายการที่ตรงกัน แต่ละกฎสามารถเปิดการตรวจสอบแยกต่างหากได้ การควบคุมการติดตั้ง ร้านค้าซอฟต์แวร์ และการจัดการสิทธิ์ใช้งานกำหนดค่าแยกกัน การเปิดอย่างหนึ่งไม่ได้เปิดอย่างอื่นโดยอัตโนมัติ

การบันทึกนโยบาย การได้รับนโยบายของอุปกรณ์ การจับคู่ซอฟต์แวร์ การบล็อกจริง และการรายงานบันทึกเป็นคนละขั้นตอน การบล็อกไม่ได้รับประกันว่าจะมีบันทึกตรวจสอบ และบันทึกเพียงอย่างเดียวไม่ได้พิสูจน์ว่าซอฟต์แวร์หยุดสำเร็จ

## การเตรียมการ

-   การเปลี่ยนนโยบาย Software และการดูบันทึกตรวจสอบต้องมีสิทธิ์ที่เกี่ยวข้องแยกกัน ระบุอุปกรณ์นำร่อง เวลาที่มีผลและข้อกำหนดการควบคุมขององค์กร
-   ระบุซอฟต์แวร์และวิธีทำงานจริง หากจับคู่ด้วยรายการหรือหมวดหมู่ซอฟต์แวร์ ให้ตรวจสอบชื่อ หมวดหมู่ และแอปพลิเคชันที่เกี่ยวข้องของออบเจ็กต์ที่มีอยู่ใน Objects & Templates ก่อน และใช้ออบเจ็กต์ที่เหมาะสมซ้ำ สร้างหรือแก้ไขและบันทึกเฉพาะเมื่อจำเป็น จากนั้นจึงเลือกในกฎควบคุม
-   เลือกอุปกรณ์นำร่องจำนวนน้อยที่กู้คืนได้ เตรียมซอฟต์แวร์ที่จะควบคุมและซอฟต์แวร์เปรียบเทียบที่ไม่ควรได้รับผลกระทบ การบล็อกที่กว้างเกินไปอาจขัดขวางงาน จึงควรตกลงขั้นตอนกู้คืนกับผู้รับผิดชอบก่อน
-   การรองรับซอฟต์แวร์ หมวดหมู่ เส้นทางกระบวนการ ชื่อหน้าต่าง และเงื่อนไข SHA256 อาจต่างกันตามแพลตฟอร์ม การมีเงื่อนไขบนหน้าไม่ได้หมายความว่าทุกอุปกรณ์ทำงานเหมือนกัน ให้ทดสอบระบบและเวอร์ชันเป้าหมายจริง

## กำหนดกฎควบคุม

1.  ใน Software เปิด Policy แล้วสร้างหรือแก้ไขนโยบายเป้าหมาย ตรวจสอบชื่อ ขอบเขตอุปกรณ์ และเวลาที่มีผล
2.  เปิดใช้ **Software Control** ในการตั้งค่านโยบายและเปิดหน้าตั้งค่า
3.  เพิ่มกฎและป้อนชื่อกฎ ในเงื่อนไขการจับคู่ เลือกรายการหรือหมวดหมู่ซอฟต์แวร์ หรือกำหนดเส้นทางกระบวนการ ชื่อหน้าต่าง SHA256 และเงื่อนไขอื่นที่มีตามความจำเป็น แต่ละกฎต้องมีเงื่อนไขที่ถูกต้องอย่างน้อยหนึ่งข้อ
4.  สำหรับเงื่อนไขกระบวนการ ให้ตรวจสอบเส้นทางจริงและฟิลด์อื่น เงื่อนไขกระบวนการแบบมีโครงสร้างต้องมีอย่างน้อยหนึ่งฟิลด์ที่ไม่ใช่ไวลด์การ์ด อย่าใช้ค่าไวลด์การ์ดทั้งหมดแทนเป้าหมายที่ชัดเจน
5.  ในการตั้งค่าการดำเนินการ เลือกไม่ดำเนินการหรือบล็อก หากต้องการบันทึกการจับคู่ ให้เปิดการตรวจสอบแยกต่างหาก การเลือกบล็อกไม่ได้เปิดการตรวจสอบโดยอัตโนมัติ
6.  ตรวจสอบชื่อ เงื่อนไข และการดำเนินการของแต่ละกฎ สามารถเปลี่ยนลำดับกฎได้ หากเงื่อนไขซ้อนทับ ให้ตรวจสอบการจับคู่และการดำเนินการจริงบนอุปกรณ์นำร่องก่อน อย่าสมมติว่ากฎที่ตรงกันทั้งหมดจะดำเนินการตามลำดับ
7.  ยืนยันหน้าต่างเงื่อนไขและการตั้งค่าควบคุม แล้วบันทึกนโยบายทั้งหมด รอให้อุปกรณ์เป้าหมายได้รับนโยบายก่อนทดสอบ การบันทึกในคอนโซลสำเร็จไม่ได้พิสูจน์ว่าอุปกรณ์ดำเนินการแล้ว

**ขอบเขตการจับคู่บน Windows:** รายการจับคู่ต่างชนิดในกฎทั่วไปไม่จำเป็นต้องตรงพร้อมกันทั้งหมด ตัวอย่างเช่น หากเพิ่มทั้งเงื่อนไขกระบวนการและค่า SHA256 การตรงเพียงรายการใดรายการหนึ่งอาจเรียกใช้กฎ จึงไม่ใช่ข้อจำกัดสองชั้น แต่หลายฟิลด์ภายในเงื่อนไขกระบวนการแบบมีโครงสร้างรายการเดียวต้องตรงกันทั้งหมด ให้ตรวจสอบเส้นทางเต็มจริงของโปรแกรม การเพิ่มรายการอาจขยายขอบเขตกฎ ก่อนเปิดการบล็อก ให้ทดสอบแยกกันด้วยตัวอย่างที่ตรงเพียงรายการเดียวและตัวอย่างที่ไม่ตรงทั้งสองรายการ

ตัวอย่างเช่น เริ่มจากเส้นทางกระบวนการที่แน่นอนของซอฟต์แวร์ทดสอบ เลือกไม่ดำเนินการและเปิดการตรวจสอบเพื่อดูขอบเขตการจับคู่ หลังตรวจสอบแล้วจึงประเมินการเปลี่ยนเป็นบล็อกตามกระบวนการเปลี่ยนแปลงขององค์กร ตัวอย่างนี้ไม่ใช่กฎเริ่มต้นและไม่รับประกันผลเหมือนกันทุกแพลตฟอร์ม

บน Linux เส้นทางการทำงานของเงื่อนไขกระบวนการและ SHA256 ต่างจากเงื่อนไขอื่น อย่าสมมติว่ากฎที่มีเพียงรายการซอฟต์แวร์ หมวดหมู่ หรือชื่อหน้าต่างทำงานเหมือนแพลตฟอร์มอื่น ให้ทดสอบในสภาพแวดล้อมอุปกรณ์จริง

ในบางกรณีของกฎทั่วไปบน Windows อุปกรณ์จะตรวจตามลำดับกฎที่ได้รับและหยุดตรวจที่กฎทั่วไปข้อแรกที่ตรงกัน ตัวอย่างเช่น หากกฎ **No action** ที่อยู่ก่อนตรงกัน กฎบล็อกหรือตรวจสอบที่อยู่ภายหลังจะไม่ถูกใช้กับการตรงกันครั้งนั้น การจัดการที่เกี่ยวกับการอนุมัติมีการพิจารณาแยกต่างหาก อย่านำลำดับนี้ไปเหมารวมทุกแพลตฟอร์มหรือทุกกรณี หลังเปลี่ยนลำดับให้ตรวจสอบผลการอนุญาต การบล็อก และบันทึกแยกกันบนอุปกรณ์นำร่อง

## การแก้ไขปัญหา

1.  **บันทึกกฎไม่ได้:** ตรวจสอบชื่อ เงื่อนไขอย่างน้อยหนึ่งข้อ และฟิลด์ที่ไม่ใช่ไวลด์การ์ดอย่างน้อยหนึ่งฟิลด์ในแต่ละเงื่อนไขกระบวนการแบบมีโครงสร้าง ยืนยันว่าบันทึกหน้าต่างตั้งค่าและนโยบายทั้งหมดแล้ว
2.  **ซอฟต์แวร์ไม่ถูกบล็อกตามคาด:** ตรวจสอบอุปกรณ์และเวลาที่ใช้ การได้รับนโยบาย การดำเนินการ เงื่อนไข ลำดับกฎ และการรองรับแพลตฟอร์ม หากจำเป็นให้ทดสอบอีกครั้งด้วยเงื่อนไขกระบวนการที่ชัดเจนบนอุปกรณ์นำร่อง
3.  **มีการบล็อกแต่ไม่มีบันทึก:** ตรวจสอบว่าเปิดการตรวจสอบของกฎ แล้วตรวจสอบการรายงาน วันที่ คำค้น ตัวกรองหน้าปัจจุบัน และขอบเขตที่ผู้ดูแลมองเห็น
4.  **ดูบันทึกหรือรายละเอียดไม่ได้:** ตรวจสอบสิทธิ์บัญชี ขอบเขตอุปกรณ์ที่มองเห็น และข้อความบนหน้า หากยังมีปัญหาให้ติดต่อผู้ดูแลหรือฝ่ายสนับสนุน อย่าส่งต่อเส้นทางอ่อนไหวเพื่อหลีกเลี่ยงการตรวจสอบ
5.  **ซอฟต์แวร์ธุรกิจถูกบล็อกโดยผิดพลาด:** กู้คืนงานสำคัญตามขั้นตอนรับมือเหตุการณ์ขององค์กร ตรวจสอบกฎที่ตรง ขอบเขต และลำดับ แล้วแก้ไขและทดสอบบนอุปกรณ์ที่ควบคุมก่อนขยายการใช้งาน

-   [การตรวจสอบการควบคุมการทำงานของซอฟต์แวร์](https://www.nsecsoft.com/th/docs/ping64-endpoint-management/software/execution-control/audit/)