阻止未经批准的远程协助解决方案

Question

由于所有工作人员都是远程工作者/在家工作，因此我们使用 Azure AD + Intune 建立了仅限云的设置来管理我们组织的 Windows 设备。

我希望消除用户从我们的 IT 团队以外的任何人那里接收远程连接的可能性。这也许有点不寻常，但在我们的小型非营利场景中，用户可能会咨询他们自己的本地计算机商店/IT 支持服务来解决他们组织设备上的疑问。显然，这有可能成为安全和数据保护的噩梦。

有什么方法可以防止 Intune PC 上的用户从我们的 IT 团队（teamviewer 等）以外的任何人那里获得任何类型的远程支持？当我们没有域组策略的好处时，这似乎有点困难。

Answer 1

组策略不需要实现应用程序白名单。特别是，Microsoft Defender 应用程序控制或 AppLocker有几种部署方式，包括 Intune。

这将是一个小项目，需要实施。特别是如果用户有权自行安装东西。或者，如果您想通过启发式方法阻止合法的 TeamViewer（不是恶意软件）。但应该是一种非常有效的控制措施，可以强制执行“不要运行此策略”。

当然，攻击者的技术远程访问工具并缓解执行预防已经存在有一段时间了。