Wenn man von MDM, also Mobile Device Management, spricht, denken viele sofort an einen Kill-Switch, der ein verlorenes Telefon auf Befehl des Sicherheitsmitarbeiters aus der Ferne deaktiviert. Ja, das gibt es auch, jedoch ohne pyro-technische Effekte. Es gibt noch viele andere alltÀgliche Aufgaben, die mit MDM viel einfacher und schmerzfreier zu erledigen sind.
Unternehmen streben nach Optimierung und Vereinheitlichung von Prozessen. FrĂŒher musste ein neuer Mitarbeiter in den geheimnisvollen Keller mit Kabeln und Lampen gehen, wo weise, roten Augen besitzende Alte halfen, die Unternehmens-E-Mail auf seinem Blackberry einzurichten. Heute jedoch ist MDM zu einem ganzen Ăkosystem gewachsen, das es ermöglicht, diese Aufgaben mit nur zwei Klicks zu erledigen. Wir werden ĂŒber Sicherheit, Gurken-Currant-Coca-Cola und die Unterschiede zwischen MDM, MAM, EMM und UEM sprechen. Und auĂerdem darĂŒber, wie man sich aus der Ferne fĂŒr einen Job im Verkauf von Pasteten bewerben kann.
Freitag in der Bar
Selbst die gewissenhaftesten Menschen gönnen sich manchmal eine Auszeit. Und wie das oft der Fall ist, vergessen sie RucksĂ€cke, Laptops und Mobiltelefone in CafĂ©s und Bars. Das gröĂte Problem dabei ist, dass der Verlust dieser GerĂ€te fĂŒr die IT-Sicherheitsabteilung zu einer groĂen Kopfschmerzquelle werden kann, wenn sie sensiblen Unternehmensinformationen enthalten. Mitarbeiter von Apple haben bereits mindestens zweimal fĂŒr Aufsehen gesorgt, indem sie zunĂ€chst , und dannâ verloren. Ja, heutzutage sind die meisten Mobiltelefone standardmĂ€Ăig mit VerschlĂŒsselung ausgestattet, aber Unternehmenslaptops sind weit davon entfernt, immer mit einer standardmĂ€Ăigen FestplattenschlĂŒsselung konfiguriert zu sein.
DarĂŒber hinaus haben gezielte Bedrohungen wie der Diebstahl von UnternehmensgerĂ€ten zum Zweck des Datenraubs zugenommen. Das Telefon ist verschlĂŒsselt, alles ist so sicher wie möglich und so weiter. Haben Sie aber die Ăberwachungskamera bemerkt, unter der Sie Ihr Telefon entsperrt haben, bevor es gestohlen wurde? Angesichts des potenziellen Wertes der Daten auf einem UnternehmensgerĂ€t sind solche Bedrohungsmodelle ganz realistisch geworden.
Im Allgemeinen sind Menschen wirklich vergesslich. Viele Unternehmen in den USA mussten anfangen, Laptops als Wegwerfartikel zu betrachten, die unvermeidlich in einer Bar, einem Hotel oder am Flughafen vergessen werden. Es gibt Berichte, dass an denselben FlughÀfen in den USA von denen mindestens die HÀlfte vertrauliche Informationen ohne jeglichen Schutz enthÀlt.
Das hat fĂŒr Sicherheitsexperten reichlich graue Haare gebracht und fĂŒhrte zunĂ€chst zur Entwicklung von MDM (Mobile Device Management). Danach entstand der Bedarf an der Verwaltung des Lebenszyklus mobiler Anwendungen auf kontrollierten GerĂ€ten, was zur Entwicklung von Lösungen fĂŒr MAM (Mobile Application Management) fĂŒhrte. Vor einigen Jahren begannen diese Lösungen, unter dem gemeinsamen Begriff EMM (Enterprise Mobility Management) zusammengefasst zu werden â ein einheitliches System zur Verwaltung mobiler GerĂ€te. Der Höhepunkt all dieser Zentralisierung sind die Lösungen fĂŒr UEM (Unified Endpoint Management).
Liebling, wir haben einen Zoo gekauft
Als erste Anbieter traten Unternehmen auf, die Lösungen fĂŒr die zentrale Verwaltung mobiler GerĂ€te anboten. Eine der bekanntesten Firmen ist Blackberry, die bis heute besteht und sich gut behauptet. Auch in Russland ist das Unternehmen aktiv und verkauft seine Produkte, hauptsĂ€chlich im Bankensektor. Auf diesen Markt drangen ebenfalls SAP und kleinere Firmen wie Good Technology ein, die spĂ€ter von Blackberry ĂŒbernommen wurde. Zu dieser Zeit gewann das BYOD-Konzept an PopularitĂ€t, bei dem Unternehmen versuchten, Kosten zu sparen, indem Mitarbeiter ihre persönlichen GerĂ€te mit zur Arbeit brachten.
Allerdings stellte sich sehr schnell heraus, dass der technische Support und die IT-Sicherheit bereits bei Anfragen wie "Wie konfigure ich MS Exchange auf meinem Arch Linux?" und "Ich benötige einen direkten VPN zu meinem privaten Git-Repository und zur Produktdatenbank von meinem MacBook aus" zusammenzuckten. Ohne zentrale Lösungen verwandelten sich die Einsparungen durch BYOD in ein Chaos, was die Wartung des gesamten GerÀteparks anging. Unternehmen benötigten eine automatisierte, flexible und sichere Verwaltung.
Im Einzelhandel verlief die Geschichte etwas anders. Vor ungefĂ€hr zehn Jahren erkannten Unternehmen plötzlich, dass mobile GerĂ€te aufgetaucht waren. FrĂŒher saĂen die Mitarbeiter vor warmen Röhrenmonitoren, wĂ€hrend der bĂ€rtige SweatertrĂ€ger, der das Ganze zum Laufen brachte, irgendwo in der NĂ€he unsichtbar war. Mit dem Aufkommen vollwertiger Smartphones lieĂen sich die Funktionen seltener spezialisierter PDAs nun auf gewöhnliche, kostengĂŒnstige SeriengerĂ€te ĂŒbertragen. Gleichzeitig kam das VerstĂ€ndnis, dass dieses Chaos irgendwie verwaltet werden musste, da es viele unterschiedliche Plattformen gibt: Blackberry, iOS, Android und spĂ€ter â Windows Phone. In groĂen Unternehmen sind manuelle Eingriffe ein Schuss ins eigene Knie. Ein solcher Prozess wĂŒrde wertvolle Arbeitsstunden der IT-Abteilung und des Supports in Anspruch nehmen.
Anfangs boten die Anbieter separate MDM-Lösungen fĂŒr jede Plattform an. Es war durchaus ĂŒblich, dass nur iOS- oder Android-Smartphones verwaltet wurden. Nachdem man sich mehr oder weniger mit den Smartphones auseinandergesetzt hatte, stellte sich heraus, dass auch die Datenerfassungsterminals im Lager irgendwie verwaltet werden mussten. Es war dringend notwendig, einen neuen Mitarbeiter ins Lager zu schicken, damit dieser einfach die Barcodes auf den erforderlichen Kartons scannt und diese Daten in die Datenbank eingibt. Wenn Ihre LagerhĂ€user landesweit verteilt sind, wird die UnterstĂŒtzung ziemlich komplex. Jedes GerĂ€t muss mit dem Wi-Fi verbunden, die App installiert und der Zugang zur Datenbank gewĂ€hrleistet werden. Mit modernen MDM-Lösungen, genauer gesagt EMM, ĂŒbergeben Sie einen Administrator, der die Verwaltungs-Konsole erhĂ€lt, und konfigurieren Tausende von GerĂ€ten mithilfe von Vorlagen aus einem einzigen Ort.
Terminals in McDonaldâs
Im Einzelhandel ist ein interessanter Trend zu beobachten â der RĂŒckgang von stationĂ€ren Kassen und Verkaufsstellen. FrĂŒher musste man, wenn man bei M.Video einen Wasserkocher mochte, einen VerkĂ€ufer rufen und mit ihm quer durch den Saal zu einem stationĂ€ren Terminal gehen. Auf dem Weg dachten die Kunden oft daran, warum sie ĂŒberhaupt gingen, und Ă€nderten ihre Meinung. Der Impuls des Spontankaufs ging verloren. Heute ermöglichen MDM-Lösungen den VerkĂ€ufern, sofort mit einem POS-Terminal zur Zahlung zu kommen. Das System verbindet und konfiguriert die Terminals von Lager und VerkĂ€ufern aus einer einzigen Verwaltungs-Konsole. Unter den ersten Unternehmen, die das traditionelle Kassensystem umgestaltet haben, war McDonald's mit seinen interaktiven Selbstbedienungsterminals und den Mitarbeitern mit mobilen Terminals, die Bestellungen mitten in der Schlange entgegennahmen.
Burger King hat ebenfalls begonnen, sein Ăkosystem zu erweitern, indem es eine App hinzufĂŒgte, die es ermöglichte, Bestellungen im Voraus aufzugeben, damit sie zubereitet werden konnten. Dies alles wurde zu einem harmonischen Netzwerk mit verwalteten interaktiven Stationen und mobilen Terminals fĂŒr die Mitarbeiter zusammengefĂŒhrt.
Selbstbedienungskasse
Viele Einzelhandelsunternehmen reduzieren die Belastung an den Kassen durch die EinfĂŒhrung von Selbstbedienungskassen. âGlobusâ geht noch einen Schritt weiter. Am Eingang kann man ein Scan&Go-Terminal mit integriertem Scanner mitnehmen, mit dem man alle Produkte vor Ort scannt, sie in TĂŒten verpackt und dann mit einer Zahlung den Laden verlĂ€sst. Es ist nicht nötig, die in TĂŒten verpackten Produkte an der Kasse zu entpacken. Alle Terminals werden zentral verwaltet und integriert, sowohl mit den LagerhĂ€usern als auch mit anderen Systemen. Einige Unternehmen testen Ă€hnliche Lösungen, die in den Einkaufswagen integriert sind.
Tausend GeschmÀcker
Ein ganz eigenes Kapitel sind die Verkaufsautomaten. Diese mĂŒssen ebenso aktualisiert werden, die BestĂ€nde an verbranntem Kaffee und Trockenmilch mĂŒssen ĂŒberwacht werden. Dabei sollte alles mit den Terminals des Serviceteams synchronisiert werden. Unter den groĂen Unternehmen hat sich Coca-Cola in dieser Hinsicht hervorgetan, indem sie einen Preis von 10.000 $ fĂŒr das originellste GetrĂ€nkerezept auslobte. Dies bedeutete, dass die Nutzer die verrĂŒcktesten Kombinationen in den firmeneigenen Automaten mischen durften. So entstanden zum Beispiel zuckerfreies Ingwer-Zitronen-Cola und vanillig-pfirsichiger "Sprite". Der Geschmack von Ohrenschmalz, wie bei den Bertie Bott's Every Flavour Beans, wurde bislang wohl noch nicht erreicht, aber die Ambitionen sind groĂ. Alle Telemetriedaten und die Beliebtheit jeder Kombination werden sorgfĂ€ltig verfolgt. Dies wird auch in die mobilen Anwendungen der Nutzer integriert.
Wir freuen uns auf neue GeschmÀcker.
Wir verkaufen Teigtaschen.
Der Reiz von MDM/UEM-Systemen liegt darin, dass Sie Ihr GeschĂ€ft schnell skalieren können, indem Sie neue Mitarbeiter aus der Ferne anschlieĂen. Sie können problemlos den Verkauf von fiktiven Produkten in einer anderen Stadt organisieren, komplett integriert in Ihre Systeme, und das in nur zwei Klicks. So könnte das aussehen.
Ein neues GerĂ€t wird dem Mitarbeiter geliefert. In der Box befindet sich ein Zettel mit einem Barcode. Wir scannen ihn â das GerĂ€t wird aktiviert, im MDM registriert, erhĂ€lt die Firmware, installiert sie und startet neu. Der Benutzer gibt seine Daten oder einen Einmal-Token ein. Das war's. Jetzt haben Sie einen neuen Mitarbeiter, der Zugriff auf die Unternehmens-E-Mails, Lagerbestandsdaten, benötigte Anwendungen und die Integration mit einem mobilen Zahlungsterminal hat. Der Mitarbeiter kommt zum Lager, holt die Ware ab und bringt sie zu den direkten Kunden und nimmt die Zahlung mit demselben GerĂ€t entgegen. Fast so, als wĂŒrde man ein paar neue Einheiten in einer Strategie einstellen.
So sieht das aus
Eines der leistungsfĂ€higsten UEM-Systeme auf dem Markt ist VMware Workspace ONE UEM (ehemals AirWatch). Es ermöglicht die Integration mit und mit ChromeOS. Selbst Symbian war bis vor kurzem noch dabei. AuĂerdem unterstĂŒtzt Workspace ONE Apple TV.
Ein weiterer wichtiger Vorteil. Apple erlaubt nur zwei MDMs, darunter Workspace ONE, im Voraus auf die API zuzugreifen, bevor eine neue iOS-Version veröffentlicht wird. Allen anderen bleibt bestenfalls ein Monat, ihnen hingegen zwei.
Sie legen einfach die benötigten Nutzungsszenarien fest, schlieĂen das GerĂ€t an, und es funktioniert, sozusagen, automagisch. Die Richtlinien werden ĂŒbertragen, BeschrĂ€nkungen eingestellt, notwendige Zugriffe auf interne Netzwerkressourcen bereitgestellt, SchlĂŒssel werden geladen und Zertifikate installiert. Nach wenigen Minuten hat der neue Mitarbeiter ein vollstĂ€ndig einsatzbereites GerĂ€t, von dem fortlaufend die erforderliche Telemetrie ĂŒbertragen wird. Die Anzahl der Szenarien ist riesig, von der Blockierung der Kamera des Telefons an einem bestimmten geografischen Standort bis hin zu SSO mittels Fingerabdruck oder Gesichtserkennung.
Der Administrator konfiguriert den Launcher mit allen Anwendungen, die dem Benutzer bereitgestellt werden.
Alle möglichen und unmöglichen Parameter, wie die GröĂe von Icons, die BewegungseinschrĂ€nkung, das Verbot von Anruf- und Kontakt-Icons, lassen sich flexibel anpassen. Eine solche FunktionalitĂ€t ist nĂŒtzlich, wenn die Android-Plattform als interaktives MenĂŒ in Restaurants und Ă€hnlichen Anwendungen genutzt wird.
Aus der Sicht des Nutzers sieht es ungefÀhr so aus. 
Es gibt interessante Lösungen auch von anderen Anbietern. Ein Beispiel ist EMM SafePhone vom NII SOKB, das zertifizierte Lösungen fĂŒr die sichere Ăbertragung von Sprache und Nachrichten mit VerschlĂŒsselung und Aufnahmefunktion bietet.
Gerootete Telefone
Gerootete Telefone stellen ein ernstes Problem fĂŒr die Informationssicherheit dar, da der Nutzer maximale Rechte hat. Subjektiv gesehen ist das zwar ideal, denn dein GerĂ€t sollte dir volle Kontrollrechte geben. Leider steht dies im Widerspruch zu den Unternehmenszielen, die erfordern, dass der Nutzer keinen Einfluss auf die Unternehmenssoftware hat. Beispielsweise sollte er nicht in der Lage sein, auf geschĂŒtzte Speicherbereiche mit Dateien zuzugreifen oder gefĂ€lschte GPS-Daten einzuschleusen.
Daher versuchen alle Anbieter auf die ein oder andere Weise, verdĂ€chtige AktivitĂ€ten auf dem verwalteten GerĂ€t zu erkennen und den Zugriff bei Feststellung von Root-Rechten oder nicht standardmĂ€Ăiger Firmware zu blockieren.
In Android verlĂ€sst man sich normalerweise auf . Gelegentlich ermöglicht es Magisk, die PrĂŒfungen zu umgehen, aber in der Regel behebt Google das sehr schnell. Soweit ich weiĂ, funktioniert Google Pay auf gerooteten GerĂ€ten nach dem FrĂŒhjahrs-Update immer noch nicht.
Stattdessen Ausgabe
Wenn Sie ein groĂes Unternehmen sind, sollten Sie ĂŒber die Implementierung von UEM/EMM/MDM nachdenken. Moderne Trends zeigen, dass solche Systeme immer breitere Anwendung finden â von gesperrten iPads als Terminals in der Konditorei bis hin zu groĂen Integrationen mit Lagerdatenbanken und Kurierterminalen. Eine zentrale Managementstelle und schnelle Integration oder Rollenwechsel von Mitarbeitern bieten erhebliche Vorteile.
Meine E-Mail ist SVinogradskiy@croc.ru
Quelle: habr.com
