Мониторинг приложений: запуски и установки на рабочем ПК

Сначала увидеть, какие программы живут на ПК

Новый руководитель отдела поддержки открывает дашборд и обнаруживает, что у половины смены постоянно висят личные мессенджеры, торрент-клиент и три версии удалённого доступа «для себя». До запретов хочется простой вещи: понять, какие программы запускались и что вообще установлено. Мониторинг приложений как раз про этот журнал — учёт софта на рабочем месте без обязательного «убить процесс».

Такой запрос часто приходит из ИТ и из безопасности одновременно. ИТ хочет инвентаризацию и понимание зоопарка версий. ИБ — заметить несанкционированные инструменты удалённого доступа, майнеры, странные portable-утилиты из папки Downloads. Руководителю достаточно отчёта «во что уходит день», без бальной системы продуктивности.

Как выглядит журнал на практике

Агент фиксирует запуск процесса: имя, путь, время, иногда издателя и хеш. В нормальных продуктах есть история установок и удалений, топ программ за период, фильтр по отделу. Вы можете увидеть, что бухгалтер трижды ставил личный облачный клиент, а менеджер каждый день открывает игру в обед — и решить, это проблема политики или просто шум.

Важно не ждать от модуля того, чего в нём нет. Он не измеряет загрузку процессора как APM и не рисует «здоровье» железа. Он отвечает на вопрос «какой софт использовали», а не «почему тормозит ноутбук». Если вам нужна оценка полезности приложений в процентах, это соседняя история про продуктивность; если нужен запрет запуска — тоже соседняя, но другая.

Типичный полезный сценарий в офисе: две-три недели тихого наблюдения, затем список реально нужного ПО и разговор с людьми. На домашнем компьютере ребёнка журнал запусков помогает понять, какие лаунчеры и игры появляются после школы, ещё до жёстких запретов.

Где проходит граница с блокировкой

Блокировка приложений — это уже prevent: программа из чёрного списка не стартует или сразу завершается. Мониторинг приложений сам по себе ничего не режет. Путать эти режимы в пилоте обидно: заказчик ждёт, что Telegram «сам запретится», а получает красивый отчёт о том, сколько раз его открывали.

Связка обычно здоровая. Сначала журнал показывает реальность. Потом вы решаете, что запрещать, что оставлять, что переносить в белый список для кассовых или бухгалтерских мест. Без фазы наблюдения белый список часто ломает обновления и легитимные утилиты, а чёрный список обрастает исключениями хаотично.

На что смотреть в карточках продуктов

Спросите, как система узнаёт программу: только по имени процесса или ещё по пути, издателю, хешу. Имя update.exe ничего не значит, его легко подменить. Посмотрите, видны ли portable-запуски из Temp и Downloads — именно оттуда чаще всего стартует «серый» софт. Уточните отчёты: есть ли история установок, можно ли выгрузить список ПО по парку машин для сверки с закупками.

Полезно понять, разделяет ли продукт «запускали» и «держали в фоне». Некоторые мессенджеры висят сутками; для дисциплины это один смысл, для инвентаризации — другой. Если параллельно планируете запреты, проверьте, что мониторинг и блокировка живут в одной консоли и оперируют одним каталогом приложений — иначе вы будете вести два списка вручную.

Сравнить наличие функции удобно в каталоге; если уже есть шортлист — в сравнении.

Честные пределы журнала

Журнал запусков не доказывает утечку файла и не показывает содержимое письма. Человек может работать в разрешённом Excel и унести базу — мониторинг приложений это не поймает. Обход через браузерные версии сервисов тоже остаётся слепой зоной: вкладка Chrome не равна установленному клиенту. Смартфон рядом с ноутбуком модуль не видит.

Ещё одна ловушка — сделать из топа программ ежедневный публичный рейтинг «кто больше всех в играх». Это быстро убивает доверие и толкает людей к обходам. Журнал хорошо работает как диагностический инструмент для ИТ и ИБ и как основа политики ПО, а не как сцена для стыда.

Коротко про правила: если собираете данные о запусках, скажите об этом сотрудникам и ограничьте доступ к детальным отчётам по людям. Для большинства задач отделу достаточно агрегированных картин по группам.

Что сделать дальше

Выберите продукты с журналом приложений, проверьте идентификацию ПО и отчёты по установкам, прогоните пару недель наблюдения на пилотной группе. Когда станет ясно, что реально лишнее — решайте, нужен ли переход к блокировке. Каталог и сравнение выше помогут не смешать эти два шага в один импульсивный запрет.