Управление мобильными устройствами (MDM) и политики BYOD

Мобильные устройства — смартфоны и планшеты — содержат корпоративную электронную почту, учётные данные VPN, приложения аутентификации и конфиденциальные документы, однако ежедневно покидают физический периметр организации. Потерянное или украденное устройство представляет непосредственный риск утечки данных. Сотрудники также используют личные устройства на работе (BYOD), смешивая корпоративные и личные данные на оборудовании, которое организация не контролирует. Управление мобильными устройствами (MDM) предоставляет IT видимость и контроль над мобильными конечными точками, чтобы применять политики безопасности независимо от того, куда перемещаются устройства.

Три связанные аббревиатуры охватывают весь спектр управления мобильными устройствами. MDM (управление мобильными устройствами) контролирует устройство целиком: обеспечивает шифрование, блокировку экрана, удалённое стирание и развёртывание сертификатов. MAM (управление мобильными приложениями) управляет только определёнными корпоративными приложениями — это удобно для BYOD, когда полный контроль над устройством неуместен. EMM (управление корпоративной мобильностью) — обобщающий термин, включающий MDM + MAM + управление мобильным содержимым. Современные платформы (Microsoft Intune, Jamf, VMware Workspace ONE) объединяют все три возможности, а также управляют ноутбуками и настольными компьютерами наряду с мобильными устройствами.

Перед применением политик устройства необходимо зарегистрировать в MDM. Устройства, принадлежащие организации, можно зарегистрировать посредством массовой подготовки: Apple DEP/ABM (автоматическая регистрация устройств), Android Zero-Touch или Windows Autopilot автоматически назначают профиль MDM при первом запуске — устройство управляется ещё до того, как сотрудник прикоснётся к нему. Регистрация BYOD требует, чтобы сотрудник установил приложение Company Portal или отсканировал QR-код. Профиль MDM устанавливает сертификат управления, который позволяет серверу MDM отправлять политики, стирать устройство или запрашивать статус соответствия.

После регистрации MDM применяет политики безопасности на устройстве. Требования к Passcode/PIN: минимальная длина, сложность, блокировка после неудачных попыток. Encryption: принудительное шифрование всего устройства (FileVault, BitLocker, Android FBE). Тайм-аут блокировки Screen: не более 5 минут бездействия до блокировки. Обнаружение Jailbreak/root: автоматическая пометка или изоляция скомпрометированных устройств. Минимальная версия OS: блокировка устройств с устаревшими версиями OS, срок поддержки которых истёк, при попытке доступа к корпоративным ресурсам. Список разрешённых или заблокированных Apps: разрешение только одобренных Apps на корпоративных устройствах.

Удалённое стирание позволяет IT удалить все данные с потерянного или украденного устройства. Платформы MDM предоставляют два типа этой операции: full стирание (сброс к заводским настройкам с удалением всех данных) и выборочное стирание (удаляются только корпоративные данные — электронная почта, профили VPN и управляемые Apps, а личные фотографии и приложения сохраняются). Для BYOD выборочное стирание необходимо, поскольку сотрудники не соглашались на потерю личных данных. Сочетание удалённого стирания с отслеживанием местоположения позволяет перед запуском стирания определить, действительно ли устройство потеряно или украдено, и снизить риск случайной потери данных.

MDM может незаметно отправлять цифровые сертификаты на управляемые устройства, обеспечивая надёжную аутентификацию без участия пользователя. Варианты применения: сертификаты Wi-Fi 802.1X, которые аутентифицируют устройство в корпоративной WLAN без общей парольной фразы; сертификаты клиента VPN для аутентификации VPN на основе сертификатов; а также сертификаты подписи и шифрования электронной почты (S/MIME) для сквозной защиты электронной почты. Сертификаты, выданные корпоративной PKI и отправленные через MDM, устраняют слабость сетей Wi-Fi с PSK, где один общий ключ предоставляет доступ каждому устройству в сети.

Политика BYOD определяет, как личные устройства могут получать доступ к корпоративным ресурсам. Основные элементы политики: право на участие (поддерживаемые версии OS и типы устройств), требование регистрации (обязательная регистрация в MDM или MAM до предоставления доступа), разделение данных (корпоративные данные хранятся только в управляемых Apps или контейнерах), границы поддержки (IT помогает с корпоративными Apps, но не решает проблемы личного устройства), уведомление о конфиденциальности (какие данные MDM собирает с устройства — инвентаризация Apps является обычной практикой, а личные фотографии не собираются) и процедура выхода (выборочное стирание при увольнении).

Инструменты защиты мобильных устройств от угроз (MTD) (Lookout, Zimperium, Microsoft Defender for Endpoint на мобильных устройствах) добавляют поведенческое обнаружение угроз на мобильных устройствах, подобно EDR на настольных компьютерах. MTD обнаруживает вредоносные Apps, сетевые атаки (MITM в ненадёжных сетях Wi-Fi), эксплойты на уровне OS и аномальное поведение устройства. MTD интегрируется с MDM, поэтому событие обнаружения угрозы автоматически помечает устройство как несоответствующее требованиям и блокирует доступ к корпоративным ресурсам через Conditional Access до устранения угрозы. Это устраняет пробел, который оставляют базовые политики соответствия MDM.

Мобильным устройствам, обращающимся к корпоративным ресурсам за пределами офиса, следует использовать мобильный VPN или VPN для отдельных приложений, который туннелирует трафик только определённых Apps. VPN для отдельных приложений (поддерживается MDM) направляет трафик управляемых Apps через VPN, тогда как трафик личных приложений идёт напрямую в интернет — это снижает опасения по поводу конфиденциальности и расход полосы пропускания VPN. В сочетании с политиками Conditional Access (Azure AD, Okta) организации могут требовать, чтобы устройство было зарегистрировано в MDM и соответствовало требованиям, прежде чем предоставлять доступ к корпоративной электронной почте, SharePoint или внутренним приложениям.

MDM может собирать значительный объём данных об устройстве: историю местоположений, установленные Apps, сетевые подключения и статистику использования устройства. На устройствах BYOD это создаёт противоречие между потребностями корпоративной безопасности и конфиденциальностью сотрудников. Рекомендуемые практики: чётко раскрыть в политике BYOD, какие данные собирает MDM, до регистрации; использовать для BYOD только MAM, чтобы не затрагивать личные разделы; не включать непрерывное отслеживание местоположения на личных устройствах. В некоторых юрисдикциях мониторинг работодателем личных устройств ограничен законом. До внедрения политики BYOD в международных организациях необходимо провести юридическую проверку.

Альтернативой полноценному MDM для BYOD служит подход с рабочей средой в контейнере. Такие решения, как Samsung Knox, BlackBerry Dynamics и Microsoft Managed Home Screen, создают на устройстве зашифрованный управляемый контейнер. Корпоративные приложения и данные находятся внутри контейнера, а личные приложения — за его пределами. IT может стереть только контейнер, не затрагивая личные данные. Контейнер независимо от параметров OS устройства применяет собственные PIN, Encryption и политику Apps, обеспечивая высокий уровень безопасности без необходимости регистрации устройства в MDM на уровне всего устройства.

Проверьте, насколько хорошо Вы поняли концепции CompTIA Security+ (SY0-701) из этого урока.

В этом уроке Вы узнали, что MDM применяет политики шифрования, кодов доступа, блокировки и соответствия требованиям на мобильных устройствах с возможностью удалённого стирания данных; политики BYOD обеспечивают баланс между корпоративной безопасностью и конфиденциальностью сотрудников с помощью выборочного стирания данных и управления только через MAM; а MDM в сочетании с условным доступом гарантирует, что к корпоративным ресурсам могут обращаться только зарегистрированные устройства, соответствующие требованиям. Далее мы рассмотрим межсетевые экраны на узлах и разрешение приложений.