Antivir hledá to, co je zlé. App Control for Business funguje opačně – spustí jen to, co jste předem označili jako důvěryhodné. Pro malou firmu je to jedna z nejúčinnějších ochran proti ransomwaru a podvodným programům, které si zaměstnanci stáhnou z internetu. V tomto článku vysvětlíme, co je App Control for Business (dříve Windows Defender Application Control, WDAC), jak ho nastavit přes Microsoft Intune a jak ho zavést tak, aby se lidem nezastavila práce.

Co je App Control for Business a proč povolovat jen známé aplikace

App Control for Business je funkce zabudovaná přímo do Windows 10 a 11. Na úrovni jádra systému kontroluje každý spouštěný program, ovladač, skript nebo instalační balíček a porovná ho se zásadou. Co zásada nepovoluje, to se nespustí – bez ohledu na to, jestli jde o známý virus, nebo o úplně nový škodlivý kód, který zatím žádný antivir nezná.

Tomuto přístupu se říká allowlisting (povolování podle seznamu). Microsoft ho v dokumentaci App Control for Business označuje za jednu z nejsilnějších ochran, jaké lze proti malwaru nasadit. Stejně to vidí i americký institut NIST, který řízení aplikací podrobně popisuje v publikaci SP 800-167 Guide to Application Whitelisting. Povolování jen autorizovaného softwaru patří také mezi základní kontroly CIS Controls v8 (kontrola 2 – inventář a řízení softwaru).

Co to přináší v praxi:

• Ransomware z přílohy se nespustí – neznámý spustitelný soubor ve složce Stažené soubory prostě neprojde.
• Konec „šedého” softwaru – nelicencované nástroje, staré verze programů a pochybné „optimalizátory” se na počítače nedostanou.
• Ochrana i proti nástrojům útočníků – zásada umí blokovat i legitimní systémové programy, které útočníci zneužívají.
• Přehled o tom, co ve firmě běží – už režim auditu vám ukáže, jaké programy lidé skutečně používají.

App Control vs. AppLocker, Smart App Control a ASR pravidla

Ve Windows existuje několik podobně znějících funkcí. Abyste se v nich vyznali:

• App Control for Business – moderní řízení aplikací pro firmy, spravované přes Intune. Microsoft ho aktivně vyvíjí a doporučuje jako hlavní řešení.
• AppLocker – starší technologie. Funguje dál a hodí se pro jemné rozlišení podle uživatelů, ale nové funkce už nedostává. Pro nové nasazení volte App Control.
• Smart App Control – zjednodušená varianta pro domácí počítače. Zapíná se jen při čisté instalaci Windows a nedá se centrálně spravovat, pro firmy tedy není vhodná.
• Pravidla ASR – blokují konkrétní nebezpečné chování (makra spouštějící procesy, kradení hesel z paměti). O nich jsme psali v článku ASR pravidla v Microsoft Defenderu. S App Control se doplňují, nenahrazují se.

App Control je zároveň logickým dalším krokem po odebrání lokálních administrátorských práv. Standardní uživatel sice nenainstaluje program do systému, ale přenosnou aplikaci nebo skript ze složky Stažené soubory spustit dokáže. Právě tuhle mezeru App Control zavírá.

Co potřebujete: licence a předpoklady

• Microsoft Intune Plan 1 – součást Microsoft 365 Business Premium, E3 i E5. Zásady App Control najdete v sekci Zabezpečení koncových bodů.
• Windows 10/11 Pro, Enterprise nebo Education v podporované verzi, zařízení připojená do Microsoft Entra ID a zaregistrovaná v Intune.
• Aplikace nasazované přes Intune – čím víc softwaru instalujete centrálně, tím jednodušší je zásada. Pokud to zatím neděláte, začněte článkem o nasazení aplikací přes Microsoft Intune.
• Čas na audit – počítejte se 2 až 4 týdny, kdy zásada jen sleduje a nic neblokuje.

Podrobný popis zásad najdete v dokumentaci Microsoftu App Control for Business v Intune. Níže je postup, který používáme u malých firem.

Nasazení App Control for Business v Intune krok za krokem

Klíčem k úspěchu je pořadí. Nejdřív nastavíte, komu systém věří, pak sbíráte data v režimu auditu a teprve nakonec začnete blokovat.

1. Zapněte Intune jako spravovaný instalátor (managed installer)

V centru pro správu Intune otevřete Zabezpečení koncových bodů › App Control for Business a na kartě Managed installer přidejte Intune Management Extension. Od té chvíle Windows automaticky důvěřuje všemu, co nainstaluje Intune – nemusíte pro každou aplikaci psát samostatné pravidlo.

Pozor na jednu věc: označení se týká jen aplikací nainstalovaných po zapnutí této volby. Software, který na počítačích už je, musíte pokrýt jinak – reputací nebo doplňkovým pravidlem.

2. Vytvořte zásadu v režimu auditu

Ve stejné sekci vytvořte novou zásadu typu App Control for Business a zvolte Use built-in controls. Ponechte zapnutou důvěru pro součásti Windows a aplikace z Microsoft Store a přidejte dvě volby:

• Trust apps from managed installers – důvěra aplikacím nainstalovaným přes Intune.
• Trust apps with good reputation – důvěra programům, které Microsoft podle své služby Intelligent Security Graph hodnotí jako bezpečné a rozšířené. Pokryje většinu běžného softwaru, jako jsou prohlížeče, PDF čtečky nebo komunikační aplikace.

Hlavně zapněte Audit mode. Zásada v tomto režimu nic neblokuje, jen zapisuje, co by zablokovala. Přiřaďte ji nejdřív pilotní skupině dvou až tří počítačů, ideálně včetně IT a jednoho „náročného” uživatele.

3. Vyhodnoťte audit

Na pilotních zařízeních otevřete Prohlížeč událostí a přejděte do Protokoly aplikací a služeb › Microsoft › Windows › CodeIntegrity › Operational. Událost 3076 znamená „tento soubor by byl zablokován”. Skripty a instalační balíčky MSI se zapisují do protokolu AppLocker › MSI and Script (událost 8028). Pokud máte Microsoft Defender for Endpoint, najdete stejné události centrálně v rozšířeném vyhledávání.

Typicky se v auditu objeví účetní a mzdové programy, ovladače tiskáren a skenerů, interní nástroje a aplikace, které se samy instalují do uživatelského profilu.

4. Doplňte výjimky přes doplňkovou zásadu

Na software, který reputace ani spravovaný instalátor nepokryjí, vytvořte doplňkovou zásadu (supplemental policy). Nejpohodlnější je bezplatný nástroj App Control Policy Wizard od Microsoftu – vygeneruje XML soubor, který v Intune nahrajete jako zásadu typu Enter XML data. Pravidla stavějte přednostně na vydavateli (digitálním podpisu), protože přežijí aktualizace programu. Pravidla podle hashe použijte jen pro nepodepsaný software a počítejte s tím, že je po každé aktualizaci musíte obnovit.

5. Přepněte na vynucování postupně

Když audit dva týdny neukazuje nic nového, vypněte u pilotní skupiny Audit mode. Po týdnu bez problémů rozšiřte zásadu na další oddělení. Celou firmu najednou nepřepínejte – jedna zapomenutá aplikace v účtárně na konci měsíce umí nadělat víc škody než užitku.

Co blokovat navíc: zneužívané systémové nástroje a ovladače

Útočníci rádi používají legitimní programy, které jsou součástí Windows (techniky „living off the land”). Microsoft vede seznam doporučených blokovacích pravidel pro nástroje, kterými lze řízení aplikací obejít – například mshta.exe, wmic.exe nebo starší verze PowerShellu. Běžný kancelářský uživatel je nepotřebuje, a proto je vhodné je zablokovat.

Druhou vrstvou je blokování zranitelných ovladačů. Na Windows 11 je seznam blokovaných ovladačů od Microsoftu zapnutý automaticky, na starších zařízeních ho doporučujeme ověřit v nastavení Zabezpečení Windows › Zabezpečení zařízení › Izolace jádra.

Nejčastější chyby při zavádění App Control

• Vynucování bez auditu – nejrychlejší cesta k zablokované fakturaci a telefonům od celé firmy.
• Zapomenuté aplikace instalované mimo Intune – starší software z doby před zapnutím spravovaného instalátoru nemá důvěru automaticky.
• Pravidla podle cesty ke složce – povolení celé složky, do které může uživatel zapisovat, otevírá díru pro malware.
• Hash pravidla pro často aktualizovaný software – po každé aktualizaci aplikace přestane fungovat.
• Chybějící proces pro nové požadavky – uživatelé musí vědět, kam napsat, když potřebují nový program, a kdo ho schválí.
• Uživatelé jsou stále lokální administrátoři – administrátor dokáže ochranu oslabit. Řízení aplikací má smysl až po odebrání admin práv.

Jak ověřit, že nastavení funguje

1. V Intune u zásady zkontrolujte stav nasazení – všechna pilotní zařízení musí hlásit Úspěšné.
2. Na zařízení spusťte v PowerShellu příkaz CiTool --list-policies. Uvidíte aktivní zásady App Control a jestli jsou vynucené.
3. Zkopírujte neškodný nepodepsaný program (například přenosnou utilitu) do složky Stažené soubory a zkuste ho spustit. Ve vynucovacím režimu by se měl objevit dialog o zablokování a v protokolu CodeIntegrity událost 3077.
4. Nainstalujte testovací aplikaci přes Firemní portál – musí se spustit bez problémů díky spravovanému instalátoru.

Kolik práce to zabere a kdy si přizvat pomoc

U firmy s 10 až 30 počítači, kde se aplikace už nasazují přes Intune, zabere samotné nastavení několik hodin. Většinu času spotřebuje audit a ladění výjimek – obvykle 2 až 4 týdny průběžné práce. Pokud ve firmě běží hodně starého nebo oborového softwaru (účetnictví, CAD, mzdy), počítejte s delší fází auditu.

App Control pracuje nejlépe společně s dalšími vrstvami ochrany: aktuálním systémem (viz aktualizace Windows přes Intune), pravidly ASR a standardními uživatelskými účty. Pokud tyto vrstvy chcete nastavit bez experimentování na ostrém provozu, rádi to uděláme v rámci správy IT pro firmy – od auditu po vynucení i průběžné schvalování nových aplikací.

Často kladené otázky

Je App Control for Business totéž co WDAC?

Ano. Windows Defender Application Control (WDAC) Microsoft v roce 2024 přejmenoval na App Control for Business. Technologie, formát zásad i události v protokolech zůstaly stejné.

Nahradí App Control antivirus?

Ne. App Control rozhoduje, co se smí spustit, antivirus hledá škodlivý obsah i v povolených aplikacích a dokumentech. Microsoft Defender a App Control se doplňují a mají běžet současně.

Musím ručně schvalovat každou aktualizaci programů?

Ne, pokud pravidla stavíte na vydavateli nebo využíváte reputaci a spravovaný instalátor. Aktualizace podepsaná stejným vydavatelem projde automaticky. Ruční zásah vyžadují jen pravidla podle hashe.

Zablokuje App Control makra v Excelu nebo skripty?

App Control řídí spustitelné soubory, knihovny, ovladače, instalační balíčky a skripty. PowerShell na zařízení s vynucenou zásadou běží v omezeném jazykovém režimu. Makra v dokumentech Office řeší spíše pravidla ASR a nastavení maker v Microsoft 365.

Vyplatí se App Control i pro firmu s pěti počítači?

Ano, pokud máte Microsoft 365 Business Premium a zařízení v Intune. Licence už máte zaplacené a u malé firmy je audit rychlý, protože se používá málo různých programů.

Shrnutí

App Control for Business v Intune je nejúčinnější způsob, jak zajistit, že na firemních počítačích poběží jen schválený software. Zapněte Intune jako spravovaný instalátor, vytvořte zásadu s reputací v režimu auditu, výjimky řešte pravidly podle vydavatele a vynucení zavádějte postupně. Spolu s odebráním administrátorských práv a pravidly ASR tak zavřete ransomwaru hlavní dveře. Chcete s nasazením pomoci? Ozvěte se nám a domluvíme audit vašich zařízení.