Configurar el Library Item de bloqueo de apps

Este Library Item está disponible para computadoras Mac, computadoras Windows y dispositivos Android

El Library Item App Blocking te permite bloquear la ejecución de aplicaciones en dispositivos macOS, Windows y Android. Cuando un usuario intenta abrir una aplicación bloqueada, se impide su inicio. En macOS, la app se cierra inmediatamente y muestra un mensaje de bloqueo. En Windows, el bloqueo se basa en AppLocker. Con la inscripción de Android Work Profile, App Blocking solo se aplica al perfil personal: Android elimina de ese perfil los nombres de paquete bloqueados si están instalados. El Work Profile administrado se gestiona por separado. Implementa y actualiza las apps de trabajo mediante Google Play administrado, no mediante App Blocking. Para bloquear apps en dispositivos iOS o iPadOS, usa en su lugar un Library Item de restricciones de Apple.

Desde el 8 de enero de 2025, App Blocking se configura con el Library Item App Blocking. Este reemplaza al anterior Parameter Application Blocking para macOS. Los Blueprints que ya incluyen el Parameter se pueden seguir editando, pero el Parameter no se puede agregar a Blueprints que aún no lo tienen.

Crear un Library Item de bloqueo de apps

Para agregar este Library Item a tu Library de Iru Endpoint, sigue los pasos descritos en el artículo Descripción general de la Library.

Ir a la Library

Ve a la Library y selecciona Añadir Library Item.

Seleccionar App Blocking

Busca y selecciona App Blocking.

Asignar un nombre al Library Item

Asigna un nombre al Library Item.

Seleccionar las plataformas

En Instalar en, selecciona una o más plataformas (Apple, Windows, Android).

Asignar a Blueprints

Asigna el Library Item a uno o más Blueprints.

Aplicación web de Iru Endpoint que muestra Instalar en y la asignación a Blueprints del Library Item App Blocking

En el Library Item, el bloqueo se divide en las secciones Apple only settings, Windows only settings y Android only settings, para que configures cada plataforma en su propia área.

Configuración específica de cada plataforma

Mac
Windows
Android

Configuración de Mac

En macOS, App Blocking evalúa las aplicaciones en ejecución con respecto a los identificadores que configures. Cuando un inicio coincide con una regla de bloqueo, la app se detiene inmediatamente y el usuario ve el mensaje de bloqueo (y el enlace opcional Learn More) del Library Item.Expande Apple only settings y luego abre la sección anidada Mac only settings para configurar los identificadores de procesos, los tipos de coincidencia y las notificaciones de bloqueo opcionales.

Configurar los identificadores de bloqueo

Configura los procesos, rutas, Developer ID o Bundle ID que quieras bloquear.

Seleccionar el tipo de coincidencia

Selecciona el Match type que desees:

Contains: coincidencias que contienen la cadena.
Exact: coincide con la cadena exacta proporcionada.
Regex: coincidencias basadas en expresiones regulares con la sintaxis de regex de Swift.

Aplicación web de Iru Endpoint que muestra Apple only settings de App Blocking con Mac only settings expandida, reglas de bloqueo y campos de notificación

Personalizar el mensaje de bloqueo (opcional)

Opcionalmente, personaliza el mensaje, el título del botón y la URL del botón que verán los usuarios cuando se bloquee una aplicación.

Guardar la configuración

Selecciona Guardar.

Bloquear una aplicación desde el registro del dispositivo (macOS)

También puedes agregar un elemento a la lista de bloqueo desde el registro de un dispositivo macOS individual. Estas actualizaciones se pueden agregar a un Library Item App Blocking existente o puedes crear uno nuevo.

Abrir el registro del dispositivo

Inicia sesión en Iru Endpoint y abre el registro de un dispositivo que tenga instalada la aplicación que quieres bloquear.

Ir a la pestaña Apps

Selecciona la pestaña Apps y ubica la aplicación en cuestión.

Bloquear la aplicación

Selecciona el botón More (…) a la derecha de la aplicación y selecciona “Block Application”.

Seleccionar el Library Item

Selecciona el menú desplegable Add rule to the following Library Item(s) y elige un Library Item o escribe para crear uno nuevo.

Configurar el Blueprint y los identificadores

Selecciona el Blueprint que debe recibir la regla de bloqueo y personaliza los identificadores según sea necesario.

Crear la regla de bloqueo

Selecciona Crear.

Ejemplo: buscar el Bundle ID de una app de macOS

Para buscar el Bundle ID de una app de macOS, puedes usar el comando codesign en Terminal, reemplazando /path/to/yourapp.app por la ruta de la aplicación que desees:

codesign -dr - /path/to/yourapp.app

La salida de este comando incluirá información sobre la app, como el Team ID, el Bundle ID y el Code Requirement, que puede ser útil al crear un Library Item de privacidad. El Bundle ID suele estar al final de la salida, después de la palabra identifier. En la salida de ejemplo a continuación, el Bundle ID de Keynote es com.apple.iWork.Keynote.

identifier=com.apple.iWork.Keynote

Experiencia del usuario

En Mac, los usuarios que intenten abrir una app bloqueada verán el mensaje de bloqueo configurado.
Si configuras un botón Learn More, los usuarios pueden seleccionarlo para ir a la URL que especifiques. Puedes obtener más información en nuestro artículo Experiencia del usuario con el bloqueo de aplicaciones.

Configuración de Windows

En Windows, App Blocking usa AppLocker para aplicar tus reglas. Cuando un ejecutable coincide con una regla de bloqueo, no se puede iniciar; el comportamiento sigue a AppLocker según los tipos de regla que configures.En Windows only settings, puedes configurar bloqueos de aplicaciones con AppLocker.

Bloquear todas las apps sin firmar Impide que se ejecuten todas las aplicaciones sin firmar. Puedes agregar excepciones si es necesario.
Configurar las apps que se bloquearán Agrega apps específicas para bloquear por nombre, ruta de archivo o editor.
- App name: nombre descriptivo como referencia.
- Block: elige qué tipos de archivo bloquear:
  - EXE
  - Scripts
  - MSI
  - Apps de Store
  - Todos los tipos
- Block method: define cómo debe evaluar Iru Endpoint la regla (editor, ruta o hash de archivo SHA256).

Para obtener información detallada sobre AppLocker, consulta la documentación de AppLocker de Microsoft.

Recopilar los detalles de archivo para las reglas de bloqueo

Cuando agregas reglas en Configure apps to block, los métodos de bloqueo Editor, Ruta y SHA256 file hash necesitan valores que coincidan con lo que espera AppLocker. El enfoque más fiable es ejecutar el cmdlet de PowerShell en una computadora de referencia donde la aplicación ya esté instalada, usando la ruta completa del ejecutable que quieres bloquear.Abre PowerShell y ejecuta:

get-applocker-file-information.ps1

Get-AppLockerFileInformation -Path "C:\Full\Path\To\application.exe" | Format-List

Reemplaza la ruta entre comillas por la ruta completa del archivo que quieres inspeccionar.El comando devuelve Ruta (a menudo expresada con variables de entorno como %PROGRAMFILES%), Editor, Hash (SHA256) y AppX (True o False para paquetes de tipo Microsoft Store).Por ejemplo, para inspeccionar una app ficticia instalada en C:\Program Files\FooDev\Foo\Application\foo.exe:

get-applocker-file-information-foo.ps1

Get-AppLockerFileInformation -Path "C:\Program Files\FooDev\Foo\Application\foo.exe" | Format-List

Salida de ejemplo:

applocker-file-information-foo.txt

Path : %PROGRAMFILES%\FOODEV\FOO\APPLICATION\FOO.EXE
Publisher : O=FOO DEV, L=MIAMI, S=FLORIDA, C=US\FOO\FOO.EXE,1.2.3.4
Hash : SHA256 0x637694332FEA4D87154635D02D7EE525F734D2B20AA1DB686B357A2511C2D4CE
AppX : False

Bloquear aplicaciones con el método de bloqueo Publisher

Para crear una regla Editor en el Library Item App Blocking, copia el valor Editor de la salida del cmdlet y recórtalo para que AppLocker solo coincida con los campos de sujeto y ubicación del certificado (todo lo que está antes de la primera barra invertida).

Ejecuta Get-AppLockerFileInformation con la ruta completa del ejecutable, canalizado a Format-List, como en Recopilar los detalles de archivo para las reglas de bloqueo.
Ubica la línea Editor en la salida. Copia la cadena desde el inicio hasta el carácter anterior a la primera barra invertida (\).
En Iru Endpoint, abre tu Library Item App Blocking.
Expande Windows only settings y habilita Configure apps to block.
Agrega o edita una regla, configura Block method en Editor y pega el valor recortado en Editor.

Para el valor Editor de ejemplo anterior:

O=FOO DEV, L=MIAMI, S=FLORIDA, C=US\FOO\FOO.EXE,1.2.3.4

usa solo la parte anterior a la primera barra invertida:

O=FOO DEV, L=MIAMI, S=FLORIDA, C=US

Ingresa esa cadena recortada en el campo Editor de la regla (por ejemplo, una regla que bloquea All types cuando Editor coincide con ese valor).

Una regla Editor bloquea todas las aplicaciones que presentan la misma información de editor, no solo el ejecutable que inspeccionaste. Por ejemplo, bloquear un producto del editor Foo Dev también puede bloquear otro producto del mismo editor, como un cliente de sincronización complementario, si comparte esa cadena de editor.

Experiencia del usuario

En Windows, las apps bloqueadas no se inician, siguiendo el comportamiento de AppLocker.

Configuración de Android

En Android only settings, puedes bloquear aplicaciones por nombre de paquete.

Blocked app name: nombre para mostrar opcional como referencia.
Package Name: el identificador único obligatorio de la app de Android. Si la app ya está instalada en el perfil personal, Android la elimina cuando se aplica la política.

Android Enterprise permite ciertos controles de uso personal en dispositivos propiedad de la empresa con Work Profile, incluido el bloqueo de apps de una lista en el perfil personal, mientras que la mayoría de las políticas siguen limitadas al Work Profile (políticas de uso personal). El Library Item App Blocking usa ese patrón: se dirige al perfil personal, no al Work Profile. Las apps de trabajo se instalan, actualizan y eliminan mediante Google Play administrado.

Para buscar el nombre de paquete de una app de Android (por ejemplo, com.android.chrome para Google Chrome):

Busca en la web [app name] package name
Usa la URL de Google Play de la app (el nombre del paquete es el parámetro de consulta id)
Consulta los detalles de la app en la pestaña Apps del registro del dispositivo en Iru Endpoint
Ejecuta adb shell pm list packages en un dispositivo Android conectado

Experiencia del usuario

En Android, las apps bloqueadas se eliminan del perfil personal cuando están instaladas allí; App Blocking no modifica el Work Profile.

Consideraciones

Multiplataforma: el Library Item App Blocking funciona en macOS, Windows y Android. Elige a qué plataformas dirigirlo en Instalar en.
Importar desde el Parameter: en macOS, puedes importar la configuración del antiguo Parameter Application Blocking de un Blueprint al Library Item App Blocking.
Varios Library Items: puedes asignar más de un Library Item App Blocking al mismo Blueprint; todas las reglas de bloqueo se combinan.
Assignment Maps: puedes agregar varios Library Items App Blocking a un Assignment Map; todas las reglas de App Blocking se combinan al evaluarse.
Parameter frente a Library Item: cuando ambos existen en un Blueprint, Iru Endpoint usa la configuración del Library Item.
Actividad: las acciones bloqueadas se registran en los flujos de actividad del dispositivo y del Blueprint.

Prácticas recomendadas

Probar las reglas de bloqueo

Prueba las reglas de bloqueo de aplicaciones en un grupo pequeño de dispositivos antes de implementarlas en toda tu flota.

Documentar las aplicaciones bloqueadas

Mantén documentación sobre qué aplicaciones están bloqueadas y por qué, con fines de auditoría y resolución de problemas.

Comunicarte con los usuarios

Informa a los usuarios sobre las políticas de bloqueo de aplicaciones para establecer expectativas adecuadas.

Supervisar la actividad de bloqueo

Revisa periódicamente los registros de actividad de bloqueo para asegurarte de que las políticas funcionen según lo previsto.

Solución de problemas

La aplicación sigue iniciándose después del bloqueo

Posibles causas:

La configuración de bloqueo aún no se ha implementado en el dispositivo
La aplicación no está en la lista de aplicaciones bloqueadas
El dispositivo no está inscrito o el agente no está instalado Soluciones:
Verifica que el Library Item App Blocking esté asignado al Blueprint del dispositivo
Comprueba que la aplicación esté correctamente identificada en la lista de bloqueo
Asegúrate de que el dispositivo esté correctamente inscrito y de que el agente se esté ejecutando

El cuadro de diálogo de bloqueo no aparece en macOS

Posibles causas:

No se configuró un mensaje personalizado
El agente no está instalado o no se está ejecutando
La aplicación no está correctamente identificada Soluciones:
Configura un mensaje personalizado en el Library Item App Blocking
Verifica que el agente de Iru esté instalado y en ejecución en el dispositivo
Comprueba la identificación de la aplicación en la lista de aplicaciones bloqueadas

AppLocker de Windows no funciona

Posibles causas:

El servicio AppLocker no se está ejecutando
La directiva de grupo no se aplicó
El dispositivo no está unido a un dominio (para algunas funciones)
Los valores Editor, Ruta o SHA256 file hash no coinciden con lo que AppLocker espera para el ejecutable Soluciones:
Comprueba que el servicio AppLocker se esté ejecutando
Verifica que la directiva de grupo se haya aplicado correctamente
Asegúrate de que el dispositivo cumpla los requisitos de AppLocker
Para cada regla de bloqueo, confirma que el valor Editor, Ruta o SHA256 file hash que configuraste coincida con el ejecutable y con lo que espera AppLocker; usa Recopilar los detalles de archivo para las reglas de bloqueo para validar los valores

La app de Android no se desinstala

Posibles causas:

La app no está en el perfil personal
El dispositivo no está correctamente inscrito
El nombre del paquete es incorrecto Soluciones:
Verifica que la app esté instalada en el perfil personal
Comprueba el estado de inscripción del dispositivo
Confirma que el nombre del paquete sea correcto

Consideraciones de seguridad

Revisión periódica

Revisa periódicamente las aplicaciones bloqueadas para asegurarte de que sigan siendo adecuadas para tus políticas de seguridad.

Gestión de excepciones

Establece un proceso para gestionar excepciones a las reglas de bloqueo cuando las necesidades del negocio lo requieran.

Registro de auditoría

Supervisa los registros de actividad de bloqueo para detectar posibles problemas de seguridad o infracciones de políticas.

Formación de los usuarios

Informa a los usuarios sobre las políticas de bloqueo de aplicaciones y las alternativas aprobadas.

Primeros pasos

Dispositivos

Agente

Blueprints

Inscripción

Library

Guías de implementación

Configuración

Integraciones

Endpoint Detection & Response

Gestión de vulnerabilidades

Configurar el Library Item de bloqueo de apps

Crear un Library Item de bloqueo de apps

Configuración específica de cada plataforma

Configuración de Mac

Bloquear una aplicación desde el registro del dispositivo (macOS)

Ejemplo: buscar el Bundle ID de una app de macOS

Experiencia del usuario

Configuración de Windows

Recopilar los detalles de archivo para las reglas de bloqueo

Bloquear aplicaciones con el método de bloqueo Publisher

Experiencia del usuario

Configuración de Android

Experiencia del usuario

Consideraciones

Prácticas recomendadas

Solución de problemas

Consideraciones de seguridad

Revisión periódica

Gestión de excepciones

Registro de auditoría

Formación de los usuarios

​Crear un Library Item de bloqueo de apps

​Configuración específica de cada plataforma

​Configuración de Mac

​Bloquear una aplicación desde el registro del dispositivo (macOS)

​Ejemplo: buscar el Bundle ID de una app de macOS

​Experiencia del usuario

​Configuración de Windows

​Recopilar los detalles de archivo para las reglas de bloqueo

​Bloquear aplicaciones con el método de bloqueo Publisher

​Experiencia del usuario

​Configuración de Android

​Experiencia del usuario

​Consideraciones

​Prácticas recomendadas

​Solución de problemas

​Consideraciones de seguridad

Revisión periódica

Gestión de excepciones

Registro de auditoría

Formación de los usuarios

Crear un Library Item de bloqueo de apps

Configuración específica de cada plataforma

Configuración de Mac

Bloquear una aplicación desde el registro del dispositivo (macOS)

Ejemplo: buscar el Bundle ID de una app de macOS

Experiencia del usuario

Configuración de Windows

Recopilar los detalles de archivo para las reglas de bloqueo

Bloquear aplicaciones con el método de bloqueo Publisher

Experiencia del usuario

Configuración de Android

Experiencia del usuario

Consideraciones

Prácticas recomendadas

Solución de problemas

Consideraciones de seguridad