Wenn von MDM, also Mobile Device Management, die Rede ist, denken viele sofort an einen Kill-Switch, der ein verlorenes Telefon auf Befehl eines IT-Sicherheitsmitarbeiters aus der Ferne deaktiviert. Ja, das gibt es auch, jedoch ohne pyrotechnische Effekte. Aber es gibt noch viele andere routinemĂ€Ăige Aufgaben, die mit MDM viel einfacher und schmerzfreier erledigt werden können.
Unternehmen streben nach Optimierung und Vereinheitlichung von Prozessen. FrĂŒher musste ein neuer Mitarbeiter in den geheimnisvollen Keller mit Kabeln und Lampen gehen, wo weise, rotĂ€ugige Alte halfen, die Firmen-E-Mail auf seinem Blackberry einzurichten. Jetzt ist MDM zu einem ganzen Ăkosystem gewachsen, das es ermöglicht, diese Aufgaben mit zwei Klicks zu erledigen. Lassen Sie uns ĂŒber Sicherheit, die Gurken-Johannisbeer-Cola und die Unterschiede zwischen MDM, MAM, EMM und UEM sprechen. Und auch darĂŒber, wie man sich aus der Ferne fĂŒr einen Job im Verkauf von Piroggen bewerben kann.
Freitag in der Bar
Selbst die verantwortungsvollsten Menschen machen manchmal eine Pause. Und wie das oft der Fall ist, vergessen sie RucksĂ€cke, Laptops und Handys in CafĂ©s und Bars. Das gröĂte Problem ist, dass der Verlust dieser GerĂ€te fĂŒr die IT-Sicherheitsabteilung zu einem groĂen Kopfzerbrechen werden kann, wenn sie sensible Unternehmensinformationen enthalten. Mitarbeiter von Apple haben sich mindestens zweimal hervorgetan, als sie zuerst einen , und dann - verloren haben. Ja, heutzutage kommen die meisten Handys bereits werkseitig mit VerschlĂŒsselung, aber die Unternehmens-Laptops sind oft nicht standardmĂ€Ăig mit einer FestplattenverschlĂŒsselung ausgestattet.
Zudem haben gezielte Bedrohungen wie der Diebstahl von UnternehmensgerĂ€ten zur Datenbeschaffung begonnen aufzutreten. Das Telefon ist verschlĂŒsselt, alles ist so sicher wie möglich und so weiter. Aber haben Sie die Ăberwachungskamera bemerkt, unter der Sie das Telefon entsperrt haben, bevor es gestohlen wurde? Angesichts des potenziellen Wertes der Daten auf einem UnternehmensgerĂ€t sind solche Bedrohungsmodelle durchaus realistisch geworden.
Im Grunde sind Menschen echte GedĂ€chtnisschwĂ€chen. Viele Unternehmen in den USA haben gezwungenermaĂen begonnen, Laptops als Verbrauchsmaterial zu betrachten, die unweigerlich in einer Bar, einem Hotel oder am Flughafen vergessen werden. Es gibt SchĂ€tzungen, dass in den USA an denselben FlughĂ€fen jede Woche vergessen werden, von denen mindestens die HĂ€lfte vertrauliche Informationen ohne jeglichen Schutz enthĂ€lt.
All dies hat den Sicherheitsexperten ordentlich graue Haare bereitet und fĂŒhrte zunĂ€chst zur Entwicklung von MDM (Mobile Device Management). Dann entstand der Bedarf, den Lebenszyklus mobiler Anwendungen auf kontrollierten GerĂ€ten zu verwalten, und es wurden Lösungen fĂŒr MAM (Mobile Application Management) vorgestellt. Vor einigen Jahren wurden diese unter dem gemeinsamen Begriff EMM (Enterprise Mobility Management) zusammengefasst â ein einheitliches System zur Verwaltung mobiler GerĂ€te. Der Höhepunkt dieser Zentralisierung sind die Lösungen fĂŒr UEM (Unified Endpoint Management).
Schatz, wir haben einen Zoo gekauft.
Die ersten Anbieter, die Lösungen fĂŒr das zentrale Management mobiler GerĂ€te anboten, tauchten auf. Eines der bekanntesten Unternehmen â Blackberry â existiert immer noch und fĂŒhlt sich gut. Sogar in Russland ist es vertreten und verkauft seine Produkte hauptsĂ€chlich fĂŒr den Bankensektor. Auch SAP und verschiedene kleinere Unternehmen wie Good Technology, das spĂ€ter von Blackberry ĂŒbernommen wurde, sind in diesen Markt eingestiegen. In dieser Zeit gewann das Konzept BYOD an PopularitĂ€t, als Unternehmen versuchten, Geld zu sparen, indem Mitarbeiter ihre persönlichen GerĂ€te mit zur Arbeit brachten.
Es stellte sich jedoch sehr schnell heraus, dass der Support und die IT-Sicherheit bereits bei Anfragen wie "Wie richte ich MS Exchange auf meinem Arch Linux ein?" und "Ich brauche ein direktes VPN zu meinem privaten Git-Repository und der Produktdatenbank von meinem MacBook aus" zusammenzuckten. Ohne zentrale Lösungen wurde die gesamte Einsparung beim BYOD zum Albtraum fĂŒr die UnterstĂŒtzung dieses ganzen Zoos. Die Unternehmen benötigten eine automatische, flexible und sichere Verwaltung.
Im Einzelhandel verlief die Geschichte etwas anders. Vor etwa 10 Jahren erkannten die Unternehmen plötzlich, dass mobile GerĂ€te aufgetaucht waren. Zuvor saĂen Mitarbeiter an warmen Röhrenmonitoren, wĂ€hrend in der NĂ€he unsichtbar ein bĂ€rtiger PullovertrĂ€ger saĂ, der alles zum Laufen brachte. Mit dem Erscheinen vollwertiger Smartphones können die Funktionen seltener spezialisierter PDAs nun auf ein gewöhnliches, kostengĂŒnstiges SeriengerĂ€t ĂŒbertragen werden. Gleichzeitig kam das VerstĂ€ndnis, dass man diesen Zoo irgendwie verwalten muss, da es viele Plattformen gibt, und sie alle unterschiedlich sind: Blackberry, iOS, Android, dann â Windows Phone. Im MaĂstab eines groĂen Unternehmens sind alle manuellen Bewegungen ein Schuss ins eigene Knie. Ein solcher Prozess verbraucht wertvolle Person-Stunden der IT-Abteilung und des Supports.
Die Anbieter boten zu Beginn separate MDM-Produkte fĂŒr jede Plattform an. Eine ganz typische Situation war es, dass nur Smartphones mit iOS oder Android verwaltet wurden. Als man mit den Smartphones mehr oder weniger klar kam, stellte sich heraus, dass man auch die Datenerfassungsterminals im Lager irgendwie verwalten musste. Dabei mussten Sie dringend einen neuen Mitarbeiter ins Lager schicken, damit er einfach die Strichcodes auf den benötigten Kartons scannte und diese Daten in die Datenbank eintrug. Wenn Sie LagerhĂ€user im ganzen Land haben, wird der Support ziemlich kompliziert. Jedes GerĂ€t muss mit Wi-Fi verbunden, die App installiert und der Zugriff auf die Datenbank sichergestellt werden. Mit modernen MDM, genauer gesagt EMM, nehmen Sie einen Administrator, geben ihm eine Verwaltungs-Konsole und konfigurieren tausende von GerĂ€ten von einem Ort aus mit Vorlagen-Skripten.
Terminals bei McDonaldâs
Im Einzelhandel ist eine interessante Tendenz zu beobachten â der Trend weg von stationĂ€ren Kassen und Verkaufsstellen. FrĂŒher, wenn man bei M.Video einen Wasserkocher mochte, musste man den VerkĂ€ufer rufen und mit ihm durch den gesamten Saal zum stationĂ€ren Terminal gehen. Unterwegs konnte der Kunde zehnmal vergessen, warum er eigentlich ging, und es sich anders ĂŒberlegen. Der impulsive Kauf-Effekt ging verloren. Jetzt ermöglichen MDM-Lösungen dem VerkĂ€ufer, sofort mit einem POS-Terminal zu kommen und die Zahlung durchzufĂŒhren. Das System vereint und konfiguriert die Terminals von Lagern und VerkĂ€ufern ĂŒber ein zentrales Management-Panel. Zu einem frĂŒheren Zeitpunkt war McDonaldâs eines der ersten Unternehmen, das begann, das Modell der traditionellen Kasse zu verĂ€ndern, mit interaktiven Selbstbedienungsterminals und Mitarbeitern mit mobilen Terminals, die Bestellungen direkt in der Warteschlange entgegennahmen.
Burger King hat ebenfalls begonnen, sein Ăkosystem zu entwickeln, indem er eine Anwendung hinzufĂŒgte, die es ermöglichte, Bestellungen aus der Ferne aufzugeben, damit diese im Voraus zubereitet werden konnten. All dies wurde in ein harmonisches Netzwerk mit verwalteten interaktiven StĂ€nden und mobilen Terminals der Mitarbeiter integriert.
Selbstbedienungskasierer
Viele Lebensmittel-Discounter entlasten die Kassierer mit der Installation von Selbstbedienungskassen. âGlobusâ geht noch einen Schritt weiter. Sie bieten am Eingang an, ein Scan&Go-Terminal mit integriertem Scanner mitzunehmen, mit dem man sĂ€mtliche Waren vor Ort scannt, sie in TĂŒten verpackt und das GeschĂ€ft verlĂ€sst, nachdem man bezahlt hat. Es ist nicht notwendig, die in TĂŒten verpackten Produkte an der Kasse auszupacken. Alle Terminals werden auĂerdem zentral verwaltet und in die Lager- und andere Systeme integriert. Einige Unternehmen experimentieren mit Ă€hnlichen Lösungen, die in Einkaufswagen integriert sind.
Tausend GeschmÀcker
Ein besonderes Thema sind die Verkaufsautomaten. Diese mĂŒssen ebenfalls regelmĂ€Ăig aktualisiert werden, man muss die BestĂ€nde an verbranntem Kaffee und Trockenmilch im Auge behalten. AuĂerdem muss alles mit den Terminals des Bedienpersonals synchronisiert werden. Unter den groĂen Unternehmen hat sich Coca-Cola hervorgetan, das ein Preis von 10.000 $ fĂŒr das originellste GetrĂ€nkerezept auslobte. Das bedeutet, dass die Nutzer die verrĂŒcktesten Kombinationen in den eigenen Automaten mischen konnten. Es sind unter anderem Varianten von ingwer-zitronenfreiem Cola ohne Zucker und vanille-pfirsich Sprite entstanden. Bis hin zum Geschmack von Ohrenschmalz, wie in Bertie Bottâs Every Flavour Beans, sind sie bislang noch nicht gekommen, aber sie sind sehr entschlossen. Alle Telemetriedaten und die Beliebtheit jeder Kombination werden sorgfĂ€ltig ĂŒberwacht. All dies wird ebenfalls in mobile Anwendungen fĂŒr die Nutzer integriert.
Wir warten auf neue GeschmÀcker.
Wir verkaufen Pirozhki
Der ganze Reiz von MDM/UEM-Systemen besteht darin, dass Sie Ihr GeschĂ€ft schnell skalieren können, indem Sie neue Mitarbeiter aus der Ferne anschlieĂen. Sie können den Verkauf von hypothetischen Pirozhki in einer anderen Stadt mit vollstĂ€ndiger Integration in Ihre Systeme in zwei Klicks organisieren. So wird es in etwa aussehen.
Ein Mitarbeiter erhĂ€lt ein neues GerĂ€t. In der Box befindet sich ein Zettel mit einem Barcode. Wir scannen â das GerĂ€t wird aktiviert, in MDM registriert, erhĂ€lt die Firmware, wird angewendet und startet neu. Der Benutzer gibt seine Daten oder einen einmaligen Token ein. Fertig. Nun haben Sie einen neuen Mitarbeiter, der Zugriff auf die Unternehmens-E-Mail, Lagerbestandsdaten, die benötigten Anwendungen und die Integration mit dem mobilen Zahlungsterminal hat. Der Mitarbeiter kommt am Lager an, holt die Ware ab und bringt sie direkt zu den Kunden, indem er mit demselben GerĂ€t die Zahlung entgegennimmt. Fast wie in Strategien, ein paar neue Einheiten zu rekrutieren.
Wie es aussieht
Eines der funktionalsten UEM-Systeme auf dem Markt ist VMware Workspace ONE UEM (ehemals AirWatch). Es ermöglicht die Integration mit nahezu und mit ChromeOS. Selbst Symbian war bis vor Kurzem noch dabei. AuĂerdem unterstĂŒtzt Workspace ONE Apple TV.
Ein weiterer wichtiger Vorteil. Apple gestattet nur zwei MDM, darunter Workspace ONE, im Voraus einen Blick in die API zu werfen, bevor eine neue iOS-Version veröffentlicht wird. Allen anderen bleibt im besten Fall ein Monat, ihnen jedoch zwei.
Sie geben einfach die erforderlichen Nutzungsszenarien an, schlieĂen das GerĂ€t an, und dann funktioniert es, wie man so schön sagt, automagisch. Es werden Richtlinien und EinschrĂ€nkungen angewendet, notwendige Zugriffe auf interne Netzwerkressourcen bereitgestellt, SchlĂŒssel hochgeladen und Zertifikate installiert. Nach wenigen Minuten hat der neue Mitarbeiter ein vollstĂ€ndig einsatzbereites GerĂ€t, von dem kontinuierlich die benötigte Telemetrie flieĂt. Die Anzahl der Szenarien ist riesig, beginnend mit der Sperrung der Kamerafunktion eines Telefons an einem bestimmten geografischen Standort und endend mit SSO ĂŒber Fingerabdruck oder Gesicht.
Der Administrator konfiguriert den Launcher mit allen Anwendungen, die an den Benutzer gesendet werden.
Alle möglichen und unmöglichen Parameter wie Icon-GröĂe, das Verbot ihrer Verschiebung, das Verbot des Anruf- und Kontakt-Icons können ebenfalls flexibel eingestellt werden. Diese FunktionalitĂ€t ist nĂŒtzlich, wenn Android-Plattformen als interaktives MenĂŒ in Restaurants und Ă€hnlichen Anwendungen eingesetzt werden.
Aus Sicht des Benutzers sieht das etwa so aus 
Auch andere Anbieter haben interessante Lösungen. Zum Beispiel bietet EMM SafePhone vom NII SOKB zertifizierte Lösungen fĂŒr die sichere Ăbertragung von Stimmen und Nachrichten mit VerschlĂŒsselung und Aufzeichnungsoptionen.
Gerootete Telefone
Ein groĂes Problem fĂŒr die Informationssicherheit sind gerootete Telefone, bei denen der Benutzer maximale Rechte hat. Nein, subjektiv ist das der ideale Fall. Dein GerĂ€t sollte dir vollstĂ€ndige Kontrolle geben. Leider steht das im Widerspruch zu den Unternehmenszielen, die erfordern, dass der Benutzer keine Möglichkeit hat, auf die Unternehmenssoftware Einfluss zu nehmen. Zum Beispiel sollte er keinen Zugriff auf den geschĂŒtzten Speicherbereich mit Dateien haben oder ein gefĂ€lschtes GPS einschleusen können.
Deshalb versuchen alle Anbieter, auf die eine oder andere Weise verdÀchtige AktivitÀten auf dem verwalteten GerÀt zu erkennen und den Zugriff zu blockieren, wenn Root-Rechte oder eine nicht-standardisierte Firmware festgestellt werden.
In Android verlĂ€sst man sich normalerweise auf . Von Zeit zu Zeit ermöglicht derselbe Magisk, diese ĂberprĂŒfungen zu umgehen, aber in der Regel behebt Google das sehr schnell. Soweit ich weiĂ, funktioniert Google Pay nach dem FrĂŒhjahrs-Update auf gerooteten GerĂ€ten immer noch nicht.
Statt einer Ausgabe
Wenn Sie ein groĂes Unternehmen sind, sollten Sie ĂŒber die Implementierung von UEM/EMM/MDM nachdenken. Moderne Trends zeigen, dass solche Systeme zunehmend Anwendung finden â von gesperrten iPads als Terminals in einer Konditorei bis hin zu umfangreichen Integrationen mit LagerbestĂ€nden und Kurierterminals. Ein zentraler Verwaltungspunkt und die schnelle Integration oder Rollenwechsel der Mitarbeiter bieten erhebliche Vorteile.
Meine E-Mail ist SVinogradskiy@croc.ru
Quelle: habr.com
