Programas não autorizados? Bloqueie pelo executável

Em muitos parques de computadores, a lista de programas instalados cresce sozinha. Um jogo aqui, um cliente de torrent ali, um utilitário baixado de um site duvidoso. Cada um deles consome tempo de trabalho ou abre uma porta que o time de TI não escolheu abrir.

Para bloquear programas no computador, o MakroLock tem o módulo Bloqueios de Aplicativos, que impede que programas indicados pela empresa sejam abertos nas máquinas monitoradas. A regra usa o nome do arquivo executável, o que torna a configuração simples. Esse mesmo detalhe pede alguns cuidados, que ficam explicados abaixo.

O que é o MakroLock

O MakroLock é uma plataforma de monitoramento e controle para computadores Windows. Um agente instalado em cada máquina coleta o uso e aplica as regras definidas pelo administrador. O servidor, que pode ser instalado na própria empresa, centraliza as informações e as exibe em um painel no navegador. Dentro dele, o menu Bloqueios agrupa as regras de internet, aplicativos e dispositivos.

Como bloquear programas no computador com o MakroLock

De acordo com o manual do módulo de Apps, a função só age quando está ativada no menu “Opções do Módulo”. Com o módulo desligado, o painel avisa que é preciso ativá-lo antes de configurar qualquer regra.

A lista de Aplicativos Bloqueados é uma caixa de texto em que cada linha traz o nome de um executável, como steam.exe. Programas cujo nome de arquivo estiver na lista ficam impedidos de abrir. A comparação considera parte do nome e não diferencia maiúsculas de minúsculas.

Por grupo ou por computador

Por padrão, cada computador segue a lista do grupo de computadores a que pertence. Quando um setor precisa de uma exceção, o computador pode ser colocado em “configurações próprias”, com uma lista específica só para ele. O painel sempre indica se a máquina segue a regra do grupo ou uma configuração própria.

Registrar tentativas, com ou sem bloqueio

Existe um controle separado para registrar as tentativas de abrir programas. Dá para só registrar, só bloquear ou combinar as duas coisas. Registrar sem bloquear é uma boa forma de descobrir quais programas realmente circulam na empresa antes de criar a lista.

Quando o bloqueio faz sentido

Segundo o manual, o módulo existe para evitar o uso de jogos, de programas não autorizados pela empresa e de ferramentas que coloquem em risco a segurança e a produtividade. Cada empresa define o que entra nessa lista, e o registro de tentativas ajuda a decidir com base no uso real e não em suposição.

Cuidados antes de bloquear

• Nunca inclua programas essenciais do Windows na lista, porque isso pode travar funções básicas do computador.
• Teste a regra em um único computador ou em um grupo pequeno antes de aplicá-la a toda a empresa.
• Revise os relatórios de aplicativos para identificar tentativas repetidas de abrir programas bloqueados. Isso pode indicar a necessidade de conversar com o usuário.
• Combine regras de grupo com exceções pontuais em computadores específicos.
• Avise os usuários quando um programa entrar na lista, para evitar dúvidas e chamados ao suporte.

O manual faz um alerta direto sobre o risco: bloquear por engano um programa usado pelo sistema operacional ou por ferramentas de segurança da empresa pode causar falhas graves. Confirme sempre o nome exato do executável antes de adicioná-lo.

Um roteiro para começar

1. Ative o registro de execuções, sem bloqueio, em um grupo piloto.
2. Analise o relatório de aplicativos e liste os executáveis que não deveriam estar ali.
3. Cadastre esses nomes na lista de bloqueio do grupo piloto e acompanhe por alguns dias.
4. Se não houver efeitos colaterais, estenda a regra aos demais grupos e cadastre exceções onde forem necessárias.

Para ver o tema por outros ângulos, o artigo da Makrosys sobre como bloquear aplicativos em computadores corporativos traz mais contexto, e o texto sobre gestão de riscos em TI ajuda a priorizar o que merece regra.

Dúvidas comuns

Preciso escrever o nome completo do programa?

Não. A comparação é feita por parte do nome e sem diferenciar maiúsculas de minúsculas. Por isso, confira se o trecho escolhido não aparece em programas legítimos.

Posso liberar um programa só para um setor?

Pode. Coloque o computador em configurações próprias e use uma lista diferente da lista do grupo.