MDM (mobile device management, управление мобильными устройствами) — программное обеспечение, позволяющее организациям централизованно регистрировать, настраивать, защищать и контролировать рабочие смартфоны, планшеты и ноутбуки.
Как работает MDM
Устройство регистрируют в MDM-сервисе — обычно установкой профиля управления или через программы автоматической регистрации Apple и Google. После этого администратор может:
- требовать код-пароль, шифрование и минимальную версию ОС;
- централизованно передавать настройки Wi-Fi, VPN, почты и сертификатов;
- устанавливать, обновлять или блокировать приложения;
- проверять соответствие политикам, например выявлять устройства с джейлбрейком или root-доступом;
- определять местоположение, блокировать или удалённо стирать потерянные и украденные устройства.
Распространённые продукты — Microsoft Intune, Jamf и Ivanti, построенные на механизмах управления iOS, Android Enterprise, Windows и macOS. Сегодня MDM часто входит в более широкий класс решений для унифицированного управления конечными точками (UEM).
Почему это важно
На мобильных устройствах хранятся корпоративная почта, документы и приложения для аутентификации, а теряются они легко. MDM поставляет сигналы о состоянии устройства, на которые опираются политики доступа нулевого доверия, и помогает предотвращать утечки данных, удерживая корпоративные данные в управляемых приложениях. Для сценариев BYOD существуют более мягкие варианты, например рабочие профили, разделяющие личные и корпоративные данные.
Поскольку MDM обладает мощным контролем над каждым устройством, она сама становится ценной целью. В 2018 году Cisco Talos описала кампанию, в которой вредоносный MDM-сервер устанавливал шпионское ПО на iPhone в Индии, а в 2023 году уязвимости нулевого дня в Ivanti Endpoint Manager Mobile использовали для взлома министерств правительства Норвегии.
Рекомендации
- Защищать консоли администрирования MDM многофакторной аутентификацией и оперативно обновлять MDM-серверы.
- Ограничивать права администраторов и журналировать все удалённые стирания и изменения политик.
- Собирать только необходимые данные и объяснять сотрудникам правила конфиденциальности.
- Никогда не устанавливать профили управления из недоверенных источников.
