Skip to main content

Asennussuojaus

Asennussuojaus tarkistaa, että käyttöjärjestelmä tarkistaa sovellukset ennen kuin ne käynnistyvät. macOS:ssä se on Gatekeeper. Windowsissa se on SmartScreen sovelluksille ja tiedostoille. Käytännön API-nimi on install_protection.

Käytä tätä käytäntöä, kun haluat käyttöjärjestelmän itse varoittavan luottamattomista sovelluksista tai pysäyttävän ne ennen kuin ne käynnistyvät, sen sijaan että niistä vain raportoidaan jälkikäteen.

Ennen kuin aloitat

Sovellustarkistukset otetaan käyttöön organisaatiokohtaisesti. Jos et näe niitä kohdassa Käytännöt, ota yhteyttä XFA:han, niin sovellustarkistukset otetaan käyttöön organisaatiollesi.

macOS ja Windows ovat tuettuja. Linux ilmoittaa tämän tarkistuksen ei-tuetuksi, koska Gatekeeperille tai SmartScreenille ei ole jakelusta riippumatonta vastinetta.

Miksi tällä on väliä

Sovellusten turvallisuus kertoo, mitkä luottamattomat sovellukset ovat jo laitteella. Asennussuojaus tulee ennen sitä: se ratkaisee, varoittaako käyttöjärjestelmä tällaisista sovelluksista tai pysäyttääkö se ne ennen kuin ne käynnistyvät. Kun Gatekeeper tai SmartScreen on pois käytöstä, allekirjoittamaton tai tunnetusti haitallinen sovellus käynnistyy ilman varoitusta.

Molemmat ovat oletuksena käytössä. Käyttäjät kytkevät ne pois päästäkseen ohi valintaikkunasta, jota he eivät ymmärtäneet, ja haittaohjelmat kytkevät ne pois tarkoituksella. Kummassakin tapauksessa haluat tietää siitä.

Miten tarkistus toimii

XFA-sovellus lukee asetuksen nykyisen tilan. Se ei kerää mitään yksittäisistä sovelluksista tai asennusyrityksistä.

macOS

  • spctl --status kertoo, onko Gatekeeper käytössä. Tarkistus ei mene läpi, kun Gatekeeper on pois käytöstä.

Windows

  • Arvo SmartScreenEnabled avaimessa HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer sisältää SmartScreenin asetuksen sovelluksille ja tiedostoille.
  • Arvo EnableSmartScreen avaimessa HKLM\Software\Policies\Microsoft\Windows\System sisältää ryhmäkäytännön tai MDM:n asetuksen. Kun se on asetettu, se ohittaa yllä olevan asetuksen.
  • Tarkistus ei mene läpi, kun SmartScreen on pois käytöstä, joko asetuksessa tai ryhmäkäytännön tai MDM:n kautta.
  • Get-MpPreference kertoo, onko Microsoft Defenderin suojaus mahdollisesti ei-toivottuja sovelluksia (PUA) vastaan käytössä. XFA raportoi tämän tilan, mutta se ei ratkaise tulosta, koska Defender tarkistaa sovellukset vasta asennuksen jälkeen eikä ennen kuin ne käynnistyvät.

Linux

Linux ilmoittaa tämän tarkistuksen ei-tuetuksi.

Mikä lähtee laitteelta

Vain asetuksen tila lähetetään: macOS:ssä se, onko Gatekeeper käytössä, ja Windowsissa SmartScreenin asetus ja Defenderin PUA-suojauksen tila.

Yksittäisistä sovelluksista, asennusyrityksistä, estetyistä ohjelmista tai käyttäjän toimista ei kerätä eikä lähetetä mitään.

Mitä voit määrittää

Määrität tämän käytännön XFA:n hallintapaneelissa kohdassa Käytännöt, samalla tavalla kuin muut päälle tai pois kytkettävät tarkistukset:

  • Varoita. Laitteet, joilla asennussuojaus on pois käytöstä, saavat varoituksen XFA-sovelluksessa ja, jos olet niin määrittänyt, Awareness-ilmoituksen. Kirjautumista ei estetä.
  • Estä. Laitteet, joilla asennussuojaus on pois käytöstä, eivät pääse kirjautumaan XFA:n suojaamiin sovelluksiin.

Lue varoitusten ja estojen toiminnasta XFA:ssa kohdasta Vaatimustenmukaisuustavoitteet.

Mitä käyttäjä näkee

XFA-sovellus näyttää tämän tarkistuksen kohdassa Install protection. Siinä lukee Install protection is disabled, kun tarkistus ei mene läpi, ja Install protection is active, kun se menee läpi.

Kun tarkistus ei mene läpi, käyttäjä voi napsauttaa painiketta Turn on install protection. XFA suorittaa komennon, joka ottaa Gatekeeperin tai SmartScreenin takaisin käyttöön. Ensin macOS pyytää järjestelmänvalvojan salasanaa ja Windows pyytää lupaa käyttäjätilien valvonnan (User Account Control) kautta. Mikään ei muutu, ellei käyttäjä käynnistä toimintoa ja hyväksy sitä.

Jos Windowsissa ryhmäkäytäntö tai MDM on kytkenyt SmartScreenin pois, XFA ei voi ottaa sitä käyttöön. XFA-sovellus neuvoo silloin käyttäjää kääntymään IT-järjestelmänvalvojansa puoleen.

Usein kysyttyä

Miksi Linuxia ei tueta?

Gatekeeperille tai SmartScreenille ei ole jakelusta riippumatonta vastinetta Linuxissa. Jotkin pakettienhallinnat tarkistavat pakettien allekirjoitukset, mutta yhtä luettavaa asetusta ei ole.

Entä jos käyttäjä kytkee Gatekeeperin pois asentaakseen yhden sovelluksen?

Tarkistus lukee nykyisen tilan jokaisella ajokerralla, joten laite on merkittynä niin kauan kuin Gatekeeper on pois käytöstä. Kun Gatekeeper otetaan takaisin käyttöön, varoitus poistuu seuraavalla ajokerralla.

Miksi Defenderin PUA-suojaus ei ratkaise tulosta?

Defenderin PUA-suojaus tarkistaa sovellukset vasta asennuksen jälkeen. Asennussuojauksessa on kyse tarkistuksesta ennen kuin sovellus käynnistyy, ja Windowsissa sen tekee SmartScreen. XFA lähettää silti Defenderin PUA-tilan, jotta näet sen.

Raportoiko tämä tarkistus yksittäisistä sovelluksista?

Ei. Se lukee vain käyttöjärjestelmän asetuksen. Yksittäisiä sovelluksia koskevat tarkistukset ovat kohdissa Sovellusten turvallisuus ja Riskialttiit sovellusluokat.