Punti chiave
- Utilizza WDAC, AppLocker o SRP per bloccare le app non autorizzate sugli endpoint Windows 10 e 11, impedendone l’esecuzione non approvata e proteggendo i dati sensibili senza vincoli di dipendenza da un unico fornitore.
- Crea elenchi di autorizzazioni basati sugli editori, blocca i percorsi modificabili dagli utenti e avvia il sistema in modalità di controllo prima di applicare i criteri, al fine di garantire sicurezza e stabilità.
- Utilizza Windows Firewall e l’automazione di NinjaOne per monitorare l’applicazione dei criteri, blocca le app a rischio e gestisci le eccezioni, garantendo così la conformità continua.
La presenza di software non autorizzato sui dispositivi aziendali senza previa approvazione rappresenta un grave problema. È un pensiero inquietante, poiché esiste il rischio che le informazioni private possano essere divulgate o che dati sensibili vengano rubati. Questo articolo ti spiegherà come bloccare i software non autorizzati e come implementare il controllo degli eseguibili utilizzando le opzioni native di Windows.
Blocco dei software non autorizzati sugli endpoint Windows
Per bloccare i software non autorizzati sugli endpoint Windows senza vincoli legati al fornitore, è necessario scegliere un piano di controllo nativo di Windows, definire un insieme di regole, pianificare l’implementazione, applicare le impostazioni tramite GPO, aggiungere un host firewall, monitorare e infine aggiungere le eccezioni.
📌 Prerequisiti:
- Edizioni di Windows e licenze compatibili con il piano di controllo scelto.
- Diritti amministrativi e accesso a Criteri di Gruppo o a una soluzione MDM per l’implementazione dei criteri.
- Raccolta centralizzata dei log dagli endpoint a fini di applicazione dei criteri e come prova di audit.
- Un breve elenco di applicazioni fondamentali per l’attività aziendale da inserire nell’elenco delle applicazioni consentite iniziale.
Fase 1: scegli un piano di controllo nativo di Windows
Il primo passo consiste nello scegliere lo strumento nativo di Windows più adatto per garantire il controllo degli eseguibili, trovando il giusto equilibrio tra livello di sicurezza e compatibilità.
📌 Caso d’uso: un amministratore deve bloccare le app non approvate sui dispositivi Windows 10 e 11 utilizzando le funzionalità integrate, tramite una semplice implementazione dei criteri tramite Criteri di gruppo o MDM.
Windows Defender Application Control (WDAC)
Il WDAC è un meccanismo di controllo a livello di kernel che garantisce l’esecuzione esclusiva di codice affidabile e firmato. Utilizzalo in ambienti ad alta sicurezza o aziendali che richiedono le massime garanzie di integrità. Inizia con i criteri base di Microsoft e aggiungi regole relative agli editori per il software approvato.
AppLocker
AppLocker consente di applicare controlli in modalità utente, autorizzando o negando l’esecuzione dei file eseguibili in base all’editore, al percorso o all’hash. Si tratta di un’opzione più vantaggiosa per implementazioni flessibili nelle edizioni Pro ed Enterprise.
Criteri di restrizione del software (SRP)
Infine, SRP è un framework storico per le restrizioni degli eseguibili. È particolarmente indicato per ambienti meno recenti o non aziendali che non dispongono di WDAC o AppLocker.
Fase 2: progetta un insieme di regole per segnali di forte intensità
Un insieme di regole mirato blocca innanzitutto i comportamenti a più alto rischio, prima di gettare basi chiare per un’applicazione graduale delle misure di controllo in futuro.
📌 Caso d’uso: un amministratore desidera impedire l’esecuzione di file eseguibili rischiosi, garantendo al contempo il normale funzionamento degli aggiornamenti e delle applicazioni affidabili.
Inizia dalle liste di autorizzazione dell’editore. Utilizza certificati di emittente provenienti da fornitori affidabili, come Microsoft e Adobe, anziché i hash dei singoli file, per ridurre gli oneri di manutenzione. Successivamente, blocca i percorsi modificabili dall’utente impedendo l’esecuzione da cartelle come “Download”, “AppData” o “Temp”, poiché queste sono punti di lancio comuni per malware e strumenti non autorizzati.
Una volta definiti i percorsi, aggiungi blocchi di hash mirati, utilizzando gli hash dei file per bloccare i file binari notoriamente dannosi o gli strumenti che rientrano in una zona grigia, come i software di accesso remoto non autorizzati. Infine, estendi la copertura oltre i file .exe includendo file .msi, script e file .dll per bloccare le strategie di aggiramento più comuni utilizzate dagli autori degli attacchi.
Fase 3: organizza l’implementazione con delle misure di sicurezza
L’implementazione graduale previene le interruzioni dell’attività e garantisce una transizione fluida dalla fase di test alla protezione completa.
📌 Caso d’uso: un amministratore desidera implementare AppLocker in diversi reparti senza interrompere le attività aziendali. Hanno bisogno di un metodo a basso rischio per testare, mettere a punto e dimostrare la stabilità prima della piena implementazione.
Per eseguire l’implementazione graduale con misure di protezione, segui i passaggi riportati di seguito:
- Avvia in modalità solo controllo: rileva i potenziali blocchi senza applicarli. Esamina i registri di AppLocker per individuare quali app non supererebbero i controlli di applicazione.
- Fase pilota con un piccolo gruppo di prova: assicurati che il gruppo sia composto da utenti esperti e da endpoint tipici prima di raccogliere feedback, perfezionare le regole di accesso e documentare le eccezioni.
- Definisci un piano di rollback e di assistenza: documenta le procedure per ripristinare le impostazioni predefinite e formare il personale dell’help desk su come individuare e risolvere i problemi.
- Passaggio alla modalità di applicazione forzata: una volta che le eccezioni sono state approvate e convalidate, attiva l’applicazione in fasi controllate. Monitora attentamente la situazione nei primi giorni per individuare eventuali lacune che potrebbero emergere.
Fase 4: applica tramite Criteri di gruppo
L’implementazione centralizzata garantisce una protezione uniforme, una facile verifica e un ripristino più rapido nel caso in cui sia necessario annullare o aggiornare i criteri.
📌 Caso d’uso: un team IT desidera un controllo coerente dei file eseguibili su tutti i dispositivi Windows, sia in locale che da remoto, utilizzando i Criteri di gruppo esistenti per i sistemi interni e la gestione MDM per gli utenti mobili o ibridi.
Simula prima i criteri in un ambiente di prova. Verifica l’applicazione, la registrazione e il comportamento di rollback prima del lancio, per garantire che gli aggiornamenti, i programmi di installazione e i flussi di lavoro critici funzionino come previsto. Successivamente, puoi applicare i criteri tramite GPO. Associa le unità organizzative o i gruppi di sicurezza di destinazione. Assicurati che i file delle regole siano sottoposti a controllo di versione e documentati, e utilizza la modalità “enforced” solo al termine della fase di test pilota.
Per i parchi dispositivi distribuiti, applica i criteri tramite Microsoft Intune. Automatizza l’aggiornamento dei criteri e il monitoraggio delle versioni per garantire coerenza e affidabilità. Infine, garantisci il controllo delle versioni e la tracciabilità archiviando i file XML o CI nel sistema di controllo del codice sorgente, in modo da tenere traccia delle modifiche e conservare una cronologia dei rollback. Indica l’autore, la data e lo scopo di ciascuna revisione.
Fase 5: aggiungi contenimento tramite firewall dell’host
Il contenimento tramite firewall rafforza la difesa limitando i danni causati dalle app che aggirano i controlli sugli eseguibili.
📌 Caso d’uso: un amministratore desidera limitare l’uso di app potenzialmente rischiose o che rientrano in una zona grigia senza rimuoverle immediatamente dai dispositivi finali.
Per aggiungere il contenimento tramite firewall dell’host, assicurati di:
Creare regole firewall specifiche per il programma
Utilizzare Windows Defender Firewall con sicurezza avanzata per definire le regole di traffico in entrata e in uscita associate a specifici file eseguibili. Concentrati sulle app ad alto rischio che non richiedono un accesso esterno, come i client per la condivisione di file o le utility obsolete.
Limitare le connessioni in uscita
Limitare o bloccare il traffico in uscita per le applicazioni sospette. Utilizza restrizioni basate sul dominio o sull’IP per impedire tentativi di comando e controllo o di esfiltrazione dei dati.
Contenimento durante le indagini
Applica blocchi temporanei del firewall per isolare un sistema o un’applicazione sospetta mentre si valuta l’impatto.
Integrazione con la gestione centralizzata
Infine, distribuisci i criteri del firewall tramite GPO per garantirne una migliore applicazione. Raccogli centralmente i log del firewall per individuare i tentativi ripetuti di connessione da parte di programmi bloccati.
Fase 6: monitoraggio, segnalazione e dimostrazione dell’applicazione delle norme
Il monitoraggio attivo e la rendicontazione dei dati trasformano i criteri di applicazione in controlli misurabili.
📌 Caso d’uso: un amministratore desidera verificare che AppLocker e le regole del firewall funzionino correttamente su tutti gli endpoint e vuole dimostrare la conformità in occasione di audit o revisioni trimestrali.
Per monitorare, segnalare e dimostrare l’applicazione delle norme, assicurati di:
- Raccogliere i registri relativi all’applicazione delle norme: recupera gli eventi di AppLocker e i log di integrità del codice WDAC dagli endpoint. Includi i log di Windows Firewall relativi al traffico anomalo prima di centralizzare i log nel servizio di inoltro degli eventi di Windows per l’analisi.
- Imposta gli avvisi per i segnali chiave: segnala i tentativi ripetuti di esecuzione da percorsi modificabili dall’utente o tramite strumenti non approvati. Segnala eventuali manomissioni dei criteri o tentativi di disabilitazione del servizio e dai priorità ai blocchi ricorrenti provenienti dallo stesso percorso, utente o editore.
- Genera rapporti periodici sui dati: riassumi gli eventi rifiutati, le eccezioni attive e le modifiche apportate alle liste di autorizzazione. Correla i log per dimostrare l’applicazione delle norme e individuare le tendenze relative all’identità.
- Utilizza le informazioni ricavate dai feed per ottimizzare i criteri: utilizza i dati raccolti per perfezionare le liste di autorizzazione ed eliminare le eccezioni non necessarie. Documenta l’efficacia dei criteri e allega i rapporti alle revisioni trimestrali delle attività (QBR) o ai fascicoli di conformità.
Fase 7: aggiungi eccezioni
📌 Caso d’uso: un amministratore deve approvare strumenti specifici per gli sviluppatori e i fornitori terzi, assicurandosi al contempo che tali eccezioni non diventino punti ciechi permanenti.
Una corretta gestione delle eccezioni inizia con l’attribuzione della responsabilità e la giustificazione. Le eccezioni devono avere un responsabile, una motivazione chiara e un relativo registro delle approvazioni.
Inoltre, puoi registrare i dettagli in un registro centrale o in un sistema di gestione dei ticket per garantire la tracciabilità ai fini di audit. Allo stesso modo, stabilisci le date di scadenza e i cicli di revisione. Imposta come predefinito che tutte le eccezioni scadano automaticamente, a meno che non vengano rinnovate; successivamente, programma le revisioni per confermare se la necessità persista.
Automatizza il monitoraggio e le notifiche utilizzando script o strumenti di gestione per segnalare le scadenze imminenti. Avvisa i titolari affinché aggiornino, giustifichino o eliminino le proprie aspettative. In questo modo garantirai l’integrità dei controlli, limiterai l’aumento graduale dei rischi e otterrai una traccia di audit giustificabile.
Best practice per il blocco dei software non autorizzati sugli endpoint
La tabella seguente riassume le best practice da seguire per bloccare i software non autorizzati sugli endpoint Windows:
Pratica | Scopo | Valore ottenuto |
| Elenchi di autorizzazione basati sull’editore | Ridurre il churn delle regole | Meno guasti e aggiornamenti |
| Bloccare i percorsi scrivibili dall’utente | Impedire gli abusi più diffusi | Riduzione del numero di esecuzioni di malware e tool dropper |
| Fase preliminare incentrata sull’audit | Implementazione sicura | Individua le lacune prima dell’applicazione |
| Contenimento tramite firewall | Limitare l’impatto | Tagli C2 e percorsi di esfiltrazione dei dati |
| Dati scientifici e revisioni | Capacità di individuare le responsabilità | Tracciabilità chiara e report pronti per il QBR |
Servizi NinjaOne che aiutano a bloccare i software non autorizzati
Con NinjaOne puoi distribuire script basati su GPO o configurare payload, raccogliere registri di applicazione dei criteri e attivare avvisi in caso di esecuzioni negate. Inoltre, puoi automatizzare la generazione dei fascicoli probatori e allegare i rapporti alle revisioni mensili o ai QBR per un monitoraggio semplificato della conformità.
Proteggi i dati sensibili bloccando i software non autorizzati
Il blocco di app o software indesiderati risulta più efficace se ricorri a un piano di controllo nativo, a un ambiente di staging sicuro e a una gestione rigorosa delle eccezioni. L’aggiunta di misure di contenimento tramite il firewall del host per garantire un livello di protezione più approfondito e la conservazione dei registri e dei report assicurano che l’applicazione dei criteri sia visibile, verificabile e giustificabile.
Argomenti correlati:
