Workspace ONE 入侵裝置概觀

受影響的產品：

• Workspace ONE

行動裝置可讓您隨時進行通訊，並隨時存取企業內容。行動裝置讓重要的商務資訊持續流動，惡意軟體和損毀的內容也可導入您的網路。考慮到這些潛在的安全性威脅，您的行動裝置管理 （MDM） 策略應做好應對任何挑戰的準備。這類安全性挑戰之一，就是行動車隊中存在受損的裝置。

不適用

概觀

受影響的裝置包括使用者從製造商預設值變更的「重設」iOS 和「根」Android 裝置。這些裝置會移除整體安全性設定，並可能會在您的網路中出現惡意軟體，並存取您的企業資源。在 MDM 環境中，整體鏈結和最弱連結一樣強大。單一入侵裝置可能會洩漏敏感資訊，或損壞您的伺服器。透過不同版本的裝置和作業系統，在自備裝置 （BYOD） 環境中，監控和偵測入侵的裝置變得更為棘手。入侵的裝置是企業的主要安全性問題，應立即處理。

越權釋放和根植式裝置放棄基本安全措施，使其成為不偏好活動的易受攻擊專案點，例如：

• 密碼和身分竊盜：系統會收集未加密的使用者名稱和密碼，並用於深入敏感區域或假設公司身分。
• 資料整合：傳送和接收的通訊在純視畫面中，不受正常安全措施保護。
• 病毒傳入：無人保護的網路是病毒和惡意軟體入侵的坐擁，可能會毀損貴公司的資料，使其無法復原。

偵測的挑戰

在不同平臺上執行的裝置對入侵偵測的回應方式不同。例如，iOS 7+ 裝置支援背景調查，但可能會有其他限制。Android 裝置，可讓背景檢查在沒有任何限制或限制的情況下進行。此問題的 Workspace ONE （前身為 AirWatch） 解決方案可確保在多個裝置和作業系統中偵測。

Workspace ONE 方法

為了應對此類變化，Workspace ONE 開發出一種獨特的多層方法來偵測受損的裝置。請參閱下表以瞭解 iOS 和 Android 平臺的限制與功能。

平臺功能

使用 Workspace ONE 偵測入侵的裝置

Workspace ONE 的解決方案涵蓋註冊裝置的整個生命週期、鎖定不請自來裝置，以及切斷與受損或不相容裝置的束帶。我們的專屬偵測演算法不斷進行以新作業系統為基礎的滲透測試、研究與開發，確保盡可能提供最先進的偵測功能。此適用于入侵裝置的多層偵測方法包含下列專案：

代理程式註冊

Workspace ONE 針對不要裝置的第一道防線從註冊開始。在允許進入裝置之前，請先設定相容性設定並偵測入侵的裝置。要求所有裝置遵守安全性設定，或為使用者安裝設定檔。安全性法規遵循偵測會根據註冊類型而有所不同：

• 代理程式型 - iOS 或 Android 裝置可註冊從 iEdge 應用程式商店或 Google Play 商店下載的 Workspace ONE MDM Agent。安裝代理程式後，代理程式會檢查裝置的狀態，然後根據 Workspace ONE 系統管理員主控台上設定的時間間隔，將資訊傳送至伺服器。
• Web 型 - iOS 裝置是唯一使用註冊 URL，在裝置上使用預設網頁瀏覽器支援 Web 型註冊的裝置。若要偵測此類裝置的狀態，裝置上應安裝任何 Workspace ONE SDK 嵌入式應用程式，例如 Workspace ONE MDM Agent、Workspace ONE 瀏覽器、Workspace ONE Secure Content Locker 或支援 SDK 的企業應用程式。

如需比較各種註冊方法的詳細資訊，請參閱 iOS 平臺指南。

背景調查

裝置註冊後，請管理其相容性。Workspace ONE MDM Agent 會針對所有 Android 裝置和新版 iOS 作業系統 （iOS 7+） 提供持續的背景檢查，以存取行動網路。

適用于 iOS 7 裝置，您可以善用 Workspace ONE Agent 型功能，包括：

• 背景應用程式更新 - Workspace ONE 提供一種設定間隔收集和傳輸裝置資訊的方法，完全透過 Workspace ONE Agent。在這種情況下，您可以將時間參數傳送至裝置，指定 Workspace ONE Agent 至少應啟動的頻率。在 Workspace ONE 系統管理員主控台中，前往Apple > AppleiOS > Agent Settings > Devices > Settings以啟用此設定。在此頁面上，按一下 「Background App Refresh 」並設定可用選項。設定最小重新整理間隔，並設定代理程式僅檢查裝置是否已連接至 Wi-Fi 網路。設定最小重新整理間隔表示裝置嘗試將裝置資訊傳送至 MDM 伺服器的下限不超過一次。

圖 1：（僅限英文）進行代理程式設定
 

• 無訊息 Apple 推送通知服務 （APN） - Workspace ONE 會定期使用無訊息 APN 自動要求背景檢查。在此例項中，Workspace ONE 系統管理員主控台會將通知傳送至要求入侵狀態的裝置，並傳回 Workspace ONE 伺服器。在裝置上，Workspace ONE Agent 必須開啟推播通知。

圖 2：（僅限英文）AirWatch MDM 代理程式

您也可以前往特定裝置的「Device Details」頁面，然後按一下「 More > Query 」> Workspace ONE MDM Agent （如下所示），手動執行查詢。只有在裝置上安裝 Workspace ONE Agent 的必要版本時，才會出現此查詢。

此外，您可以使用 Workspace ONE SDK 中受損的偵測功能，在內部應用程式中系結此背景邏輯，以完成背景越關偵測。

應用程式啟動檢查

建立公司資訊和 Workspace ONE 功能使用的偵測檢查點。當裝置啟動 Workspace ONE Secure Content Locker、AirWatch 瀏覽器或 AirWatch MDM Agent 時，偵測系統會自動驗證相容性狀態，為您的資訊新增額外的保護牆。

使用受損的保護功能，為 iOS 和 Android 啟用您包裝的應用程式。從設定與原則頁面 （群組與設定 > 所有設定 > 應用程式 > 設定與 原則> 安全性原則） 以及其他設定啟用設定，以及您包裝應用程式的其他設定，並將設定檔指派給您包裝的應用程式。如需詳細資訊和逐步指示，請參閱 Workspace ONE 應用程式包裝指南。

使用入侵偵測啟用 iOS 的 SDK 應用程式。從 iOS SDK v.3.2 開始，您可以直接在應用程式中檢查裝置的入侵狀態，無論裝置為連線或離線。只有在裝置過去至少成功執行一次[自訂] 呼叫時，您的應用程式才能使用此功能。如需詳細資訊和範例代碼，請參閱 Workspace ONE iOS SDK 指南。

法規遵循引擎

Workspace ONE 偵測到入侵或不相容的裝置後，相容性引擎會根據主控台系統管理員所設定的裝置原則，迅速對這些裝置採取行動。Workspace ONE 可讓系統管理員彈性地要求初始裝置狀態，並設定相容性引擎的時間間隔頻率。

內建于企業應用程式的偵測

與其安裝 Workspace ONE Agent 以存取 SDK，請將 Workspace ONE SDK 建置至您的內部應用程式。SDK 隨附 MDM 的主要功能 （在我們的完整 SDK 設定檔中概述），包括不斷掃描以利相容性的越關和根偵測。通常執行的企業應用程式會更頻繁地向下推至裝置執行偵測掃描，讓您更快地擷取受損的裝置。

然後，系統管理員可以指定在系統管理員主控台中安裝在受影響裝置上的應用程式要採取的動作。例如，如果發現裝置遭到入侵，系統管理員可以套用下列動作：

• 傳送使用者警告訊息。
• 將使用者鎖出裝置。
• 抹除應用程式和企業資料。
• 限制存取權

執行和監控入侵的裝置

強制執行法規遵循原則，以監控 iOS 和 Android 裝置的入侵狀態。Workspace ONE 系統管理員主控台可為系統管理員提供工具，以維持系統警示及安全。

法規遵循引擎

相容性引擎可作為安全檢查點，可自動鎖定裝置或使用者，或對裝置或使用者採取額外行動。根據系統管理員為裝置設定的相容性規則，相容性引擎可以偵測裝置是否不相容，並對其採取定義動作。這些規則和動作可在 Workspace ONE 系統管理員主控台中定義。

規則和動作建立後，相容性引擎會負責其餘部分。補救作業已自動化。如果掃描發現入侵的裝置，電腦會執行預設警告並呈報動作。系統管理員不會因為找到每個實例而強制處理這些實例。

但是，系統管理員主控台確實會啟用法規遵循通訊協定的自助功能。系統管理員可以清除裝置並傳送電子郵件或 SMS 訊息給使用者，以說明其裝置不相容的作法和原因，而無需使用者聯絡系統管理員。

法規遵循引擎在管理裝置時節省的時間，系統管理員可以每週或每月檢閱一次的法規遵循報告，瞭解重複重複的情況。

上次入侵掃描相容性

「上次入侵掃描」相容性可讓系統管理員設定代理程式執行裝置掃描的時間間隔。如此可確保如果 AirWatch 在一定時間內未從裝置收到相容性狀態，可以採取預防措施。

狀態相容性受損

「入侵狀態」相容性規則可讓系統管理員為受影響的裝置設定動作。

對於上述兩個相容性規則，可以套用下列動作：

• 通知：傳送 SMS、電子郵件和推送通知，以通知使用者。
• 應用程式：封鎖或移除少數或所有受管理的應用程式。
• 命令：執行企業抹除或要求裝置回存。
• 設定檔：封鎖或移除所有設定檔或特定配置檔案類型或特定設定檔。

裝置控制台

系統管理員可以檢視所註冊裝置的摘要。摘要包含安全性詳細資料，告知系統管理員是否在裝置上進行入侵偵測。如果裝置未受損，則會顯示綠色核取記號。

圖 3：（僅限英文）裝置控制台

視覺化裝置相容性

您的儀表板以圖形方式表示在組織群組中註冊的受影響裝置百分比。這可讓系統管理員高階檢視受影響的裝置，並協助追蹤此類裝置。

圖 4：（僅限英文）儀錶 板

執行排程或隨選法規遵循報告

Workspace ONE 系統管理員主控台也隨附超過 100 份標準報告，包括可在排定間隔或隨選產生時自動執行的法規遵循報告清單。快速檢視整個車隊或特定組織群組中的任何不相容裝置。隔離區塊清單應用程式、較弱的密碼設定，以及整體安全性法規遵循的違規裝置。相容性報告可讓您目視系統中受損或不相容的裝置。

圖 5：（僅限英文）所有報告

結論

安全的 MDM 是一項日新月異的需求，因此 Workspace ONE 提供無與倫比的解決方案，協助您偵測入侵裝置等安全威脅，進而朝著這個方向邁進。Workspace ONE 獨特的多層偵測解決方案可在所有裝置平臺上有效使用，同時提供彈性，以便在偵測到的裝置上採取必要的動作。偵測解決方案的上述所有要素，使 Workspace ONE 成為確保企業安全的有效解決方案。

如要聯絡支援部門，請參閱 Dell Data Security 國際支援電話號碼。
請前往 TechDirect，以線上產生技術支援要求。
如需更多深入見解與資源，請加入 Dell 安全性社群論壇。