Cách áp dụng Browser Policy mà không cần MDM

Phần lớn doanh nghiệp vừa và nhỏ ở Việt Nam không có Intune hay SCCM. Họ có mớ hỗn hợp máy domain-joined, máy workgroup, đôi khi cả hai cùng tầng. Nhưng bạn vẫn có thể áp đặt browser policy nhất quán trên tất cả — chỉ cần registry key và một script PowerShell.

Tại sao Browser Policy quan trọng

Trình duyệt là bề mặt tấn công số 1 của hầu hết nhân viên văn phòng. Đường link phishing, extension độc hại, trang HTTP giả mạo — tất cả đều đáp xuống trình duyệt trước tiên.

Tin tốt: Chrome và Edge đều tuân theo Windows Registry policy. Bạn không cần MDM đầy đủ để khóa chúng lại. Chỉ cần đúng registry key và cách triển khai chúng.

Cơ chế hoạt động

Chrome và Edge đều đọc từ:

HKLM\SOFTWARE\Policies\Google\Chrome\
HKLM\SOFTWARE\Policies\Microsoft\Edge\

Bất kỳ giá trị nào bạn ghi vào đó đều ghi đè hành vi mặc định của trình duyệt — và người dùng không thể thay đổi từ giao diện Settings. Policy được áp đặt âm thầm, tồn tại qua các bản cập nhật trình duyệt, và hoạt động giống hệt nhau dù máy có ở domain hay không.

15 Policy đáng triển khai

Đây là những gì tôi khuyến nghị làm baseline cho bất kỳ tổ chức nào:

Policy	Chức năng	Rủi ro nếu thiếu
HomepageLocation	Đặt cổng nội bộ làm trang chủ	Thấp — chỉ ảnh hưởng UX
DefaultSearchProviderEnabled	Khóa search engine mặc định	Trung bình — rò rỉ dữ liệu
SafeBrowsingEnabled	Bật bảo vệ phishing/malware	Cao
PasswordManagerEnabled	Tắt trình quản lý mật khẩu tích hợp	Cao (nếu dùng password manager doanh nghiệp)
ExtensionInstallBlocklist	Chặn tất cả extension mặc định	Cao
ExtensionInstallAllowlist	Whitelist extension được phép	Bắt buộc khi dùng blocklist
SSLErrorOverrideAllowed	Ngăn user bỏ qua lỗi SSL	Cao
IncognitoModeAvailability	Tắt chế độ ẩn danh/InPrivate	Trung bình
AutofillCreditCardEnabled	Tắt autofill thẻ tín dụng	Trung bình
AutofillAddressEnabled	Tắt autofill địa chỉ	Thấp
TranslateEnabled	Kiểm soát Google Translate	Thấp
DeveloperToolsAvailability	Hạn chế DevTools	Trung bình (ngăn JS injection)
SyncDisabled	Tắt đồng bộ tài khoản trình duyệt	Cao (lưu trú dữ liệu)
BrowserSignin	Kiểm soát hành vi đăng nhập	Cao
MetricsReportingEnabled	Kiểm soát telemetry	Thấp — chỉ liên quan tuân thủ

Triển khai bằng PowerShell

Mỗi policy ánh xạ tới một registry value duy nhất. Script Set cơ bản trông như thế này:

#Requires -RunAsAdministrator

function Ensure-RegistryPath {
    param([string]$Path)
    if (-not (Test-Path $Path)) {
        New-Item -Path $Path -Force | Out-Null
    }
}

$ChromePath = "HKLM:\SOFTWARE\Policies\Google\Chrome"
$EdgePath   = "HKLM:\SOFTWARE\Policies\Microsoft\Edge"

Ensure-RegistryPath $ChromePath
Ensure-RegistryPath $EdgePath

# Bật Safe Browsing
Set-ItemProperty -Path $ChromePath -Name "SafeBrowsingEnabled" -Value 1 -Type DWord
Set-ItemProperty -Path $EdgePath   -Name "SmartScreenEnabled"  -Value 1 -Type DWord

Và mọi script Set đều nên có script Remove tương ứng để dọn sạch key:

#Requires -RunAsAdministrator

$ChromePath = "HKLM:\SOFTWARE\Policies\Google\Chrome"
$EdgePath   = "HKLM:\SOFTWARE\Policies\Microsoft\Edge"

Remove-ItemProperty -Path $ChromePath -Name "SafeBrowsingEnabled" -ErrorAction SilentlyContinue
Remove-ItemProperty -Path $EdgePath   -Name "SmartScreenEnabled"  -ErrorAction SilentlyContinue

Đây là pattern Set/Remove — với mọi policy bạn triển khai, bạn luôn có đường rollback sạch sẽ.

Triển khai qua Action1

Nếu bạn dùng Action1 (miễn phí đến 200 endpoint — lựa chọn đúng cho SMB Việt Nam), triển khai rất đơn giản:

1. Upload .ps1 lên Action1 → Scripts
2. Tạo Policy, target theo OU hoặc tag
3. Đặt lịch áp dụng (chạy lại hàng tuần để bắt máy mới)

Script chạy với tư cách SYSTEM có elevation, nên không có UAC prompt, không cần tương tác người dùng.

Bỏ qua GPO nếu có thể

GPO hoạt động, nhưng có nhiều ma sát: bạn cần DC, cần import ADMX template, và máy workgroup bị loại hoàn toàn. Script PowerShell dựa trên registry chạy ở mọi nơi — domain, workgroup, Azure AD joined, hybrid. Cùng hành vi, không phụ thuộc gì.

Thứ duy nhất GPO có mà script không có là áp dụng real-time khi policy thay đổi. Với hầu hết SMB, lịch chạy lại hàng tuần đủ để bù đắp khoảng trống này.

Dùng công cụ tạo script

Thay vì viết tay những script này, tôi đã xây một công cụ tạo sẵn các file Set và Remove .ps1 cho tất cả 15 policy trên:

Browser Policy Manager → pcs.io.vn/tools/browser-policy

Chọn policy bạn muốn, cấu hình giá trị, và tải về hai file: Set-BrowserPolicy.ps1 và Remove-BrowserPolicy.ps1. Upload thẳng lên Action1.

Công cụ hỗ trợ Chrome và Edge cùng lúc — một cặp script, cả hai trình duyệt.