Chính sách kiểm soát cài đặt phần mềm

Kiểm soát cài đặt phần mềm quản lý hành vi cài đặt trên thiết bị đầu cuối và có thể định nghĩa ngoại lệ cho phép phần mềm cụ thể. Chức năng này được cấu hình riêng với kiểm soát chạy phần mềm: cho phép cài đặt không có nghĩa cho phép chạy, và chặn cài đặt không có nghĩa mọi phần mềm hiện có đã được gỡ.

Thời điểm thực thi có thể khác theo nền tảng và phương thức cài đặt. Thiết bị Linux có thể thử gỡ một số phần mềm mới cài không đáp ứng điều kiện trong lần kiểm tra sau cài đặt; không thể hiểu chức năng này chỉ là chặn trước khi trình cài đặt khởi chạy. Cần xác minh việc gỡ có thực sự thành công không. Trước khi đổi chính sách, đánh giá rủi ro nghiệp vụ, phụ thuộc và khôi phục.

Chuẩn bị

• Dùng tài khoản quản trị có quyền quản lý chính sách Software. Xác nhận thiết bị mục tiêu, giấy phép và thời gian chính sách có hiệu lực.
• Xác định phần mềm nghiệp vụ, phương thức cài đặt được phép và ngoại lệ cần thiết. Bắt đầu bằng một số thiết bị thử nghiệm có thể khôi phục; chuẩn bị gói thử nghiệm, bản sao lưu cấu hình và quy trình khôi phục.
• Trước khi định nghĩa ngoại lệ, xác minh mô tả phần mềm, bản quyền, tên sản phẩm và tên tệp. Thông tin từ hệ điều hành và trình cài đặt có thể khác nhau; hãy xác minh trong môi trường mục tiêu.
• Không áp dụng trực tiếp quy tắc có phạm vi chưa rõ cho thiết bị sản xuất. Với thử nghiệm Linux, đặc biệt đánh giá tác động nghiệp vụ và phụ thuộc nếu phần mềm mới cài bị gỡ.

Bật kiểm soát cài đặt

1. Trong Software, mở Policy và tạo hoặc sửa chính sách mục tiêu. Xác nhận tên, phạm vi thiết bị và thời gian có hiệu lực.
2. Bật kiểm soát cài đặt phần mềm trong cài đặt chính sách và mở phần cài đặt của chức năng.
3. Trong phần nhắc chặn phần mềm, cấu hình cửa sổ thông báo khi phần mềm bị chặn theo nhu cầu. Cửa sổ chỉ là thông báo, không tự chứng minh việc cài đặt đã bị chặn hoặc phần mềm đã bị gỡ.
4. Để cho phép phần mềm cụ thể, mở ngoại lệ cho phép và thêm, kiểm tra ngoại lệ theo phần dưới. Ngay cả khi không thêm ngoại lệ, hãy đánh giá tác động lên thiết bị mục tiêu trước khi bật kiểm soát.
5. Xác nhận hộp thoại cài đặt kiểm soát cài đặt và lưu toàn bộ chính sách. Xác minh phạm vi, chờ thiết bị thử nghiệm nhận chính sách rồi tiến hành thử.

Menu cài đặt hiện hiển thị gồm nhắc chặn và ngoại lệ cho phép. Tính khả dụng của phê duyệt cài đặt tạm thời phụ thuộc giao diện và cấu hình thực tế của tổ chức; không giả định người dùng có thể gửi phê duyệt chỉ vì tài liệu cũ mô tả chức năng đó.

Cấu hình ngoại lệ cho phép

1. Trong cài đặt kiểm soát cài đặt, mở ngoại lệ cho phép và chọn thêm mục.
2. Trong thông tin phần mềm, nhập mô tả phần mềm, bản quyền, tên sản phẩm và tên tệp. Cả bốn trường là bắt buộc. Nhập tên công ty và mô tả tệp khi cần.
3. Trang cho biết * có thể khớp tất cả đối với một số trường. Ký tự đại diện mở rộng phạm vi; ưu tiên thông tin cụ thể đã xác minh và thử bằng phần mềm đối chiếu không được phép. Các nền tảng có thể xử lý điều kiện khác nhau, nên lưu hộp thoại không đảm bảo ngoại lệ có hiệu lực.
4. Lưu thông tin phần mềm và kiểm tra danh sách ngoại lệ, sau đó lưu cả hộp thoại kiểm soát cài đặt và toàn bộ chính sách.
5. Trước khi sửa hoặc xóa ngoại lệ, đánh giá các thiết bị và phần mềm nghiệp vụ phụ thuộc vào ngoại lệ đó. Sau thay đổi, thử cả trường hợp được phép và bị hạn chế để tránh cho phép hoặc hạn chế ngoài ý muốn.

Ngoại lệ gói Linux: Trong kiểm tra kiểm soát cài đặt gói dpkg, File name khớp với mã định danh gói, chẳng hạn example-app, không phải tên tệp cài đặt .deb hay tên chương trình. Software description khớp tên tài sản phần mềm; Company name và Copyright khớp thông tin nhà phát hành hoặc người bảo trì. Ngoại lệ có mọi điều kiện để trống hoặc là * sẽ không có hiệu lực. Thông tin tài sản có thể trống hoặc khác thuộc tính của tệp cài đặt. Kiểm tra thông tin thực tế trên thiết bị và thử riêng trường hợp được và không được phép trước khi mở rộng phạm vi.

Trong kiểm tra kiểm soát cài đặt gói Linux, hệ thống dùng thông tin phần mềm hiện có làm đường cơ sở kiểm tra. Phần mềm đã thuộc đường cơ sở không bị coi là mục mới chỉ vì lần kiểm tra này. Các gói phụ thuộc được nhận diện là cài tự động có thể chỉ được theo dõi và thêm vào đường cơ sở thay vì thử gỡ riêng. Việc tạo đường cơ sở, nhận diện và xử lý phụ thuộc trạng thái thực tế của thiết bị, không chứng minh các cách cài khác có cùng kết quả.

Trong kiểm soát trình cài đặt trên Windows, danh sách ngoại lệ không phải căn cứ cho phép duy nhất. Một số cài đặt đáng tin cậy hoặc liên quan đến hệ thống có thể được cho phép theo điều kiện khác. Vì vậy, không khớp ngoại lệ không bảo đảm bị chặn; hãy thử trình cài và xác minh kết quả nghiệp vụ trong môi trường đích.

Xác minh và khắc phục sự cố

1. Xác nhận thiết bị thử nghiệm đã nhận chính sách. Trong khoảng bảo trì, dùng phần mềm thử nghiệm được phê duyệt để kiểm tra riêng trường hợp khớp và không khớp ngoại lệ; ghi lại kết quả cài đặt, chạy hoặc gỡ thực tế.
2. Trên Linux, chờ lần kiểm tra sau cài đặt và xác minh trạng thái cuối của phần mềm. Trình cài đặt từng báo thành công không chứng minh chính sách không có hiệu lực, và việc gỡ sau đó không được đảm bảo thành công.
3. Nếu bật cửa sổ nhắc chặn, kiểm tra cửa sổ có xuất hiện trên thiết bị không. Nếu không, cũng kiểm tra việc nhận chính sách và kết quả thực tế; không dùng cửa sổ làm bằng chứng duy nhất.
4. Không lưu được ngoại lệ hoặc ngoại lệ không hoạt động: Kiểm tra trường bắt buộc, thông tin phần mềm thực tế, nền tảng mục tiêu và phạm vi quy tắc. Xác nhận đã lưu mọi hộp thoại cùng toàn bộ chính sách và thiết bị đã nhận.
5. Phần mềm nghiệp vụ bị hạn chế hoặc gỡ ngoài dự kiến: Khôi phục hoạt động theo quy trình xử lý sự cố của tổ chức, rồi kiểm tra phạm vi và ngoại lệ của chính sách. Sửa và xác minh trên thiết bị thử nghiệm trước khi mở rộng.

Thời gian xử lý thực tế phụ thuộc hoạt động của thiết bị. Kiểm tra riêng việc lưu chính sách, thiết bị nhận chính sách và kết quả nghiệp vụ.