Documento Técnico G DATA nº Mobile Device Management. DocumentoTécnico_nº0273_2 - PDF
Documento Técnico G DATA nº Mobile Device Management. DocumentoTécnico_nº0273_2
Download "Documento Técnico G DATA nº 0273. Mobile Device Management. DocumentoTécnico_nº0273_2"
Sandra Coelho Marreiro
1 Documento Técnico G DATA nº 0273 Mobile Device Management DocumentoTécnico_nº0273_2 015_04_21
2 G DATA Desenvolvimento de aplicativos Índice 1. Introdução Dispositivos móveis na empresa Benefícios Riscos Gerenciamento de dispositivos móveis Implantação e administração Antifurto Aplicativos Proteção em tempo real e sob demanda Gerenciamento e filtragem de contatos Como usar o G Data Mobile Device Management Android Implantação e administração Antifurto Aplicativos Proteção em tempo real e sob demanda Gerenciamento e filtragem de contatos ios Implantação e administração Antifurto Gerenciamento de aplicativos, proteção e contatos... 16
3 1. Introdução Tradicionalmente, a rede corporativa e os administradores do sistema sempre gerenciaram grupos homogêneos de dispositivos clientes. O processo de planejamento e provisionamento de clientes de rede sempre lidam quase exclusivamente com computadores desktop. Essa previsibilidade simplificou a implantação da infraestrutura de rede, de aplicativos e hardware de clientes, pois garantiu a uniformidade entre todos os dispositivos de rede. Contudo, desde que os smartphones e tablets dominaram rapidamente o mundo dos eletrônicos de consumo, o panorama da tecnologia se tornou muito mais complicado. Tendências como a consumerização da TI e BYOD (Bring your own device, traga seu próprio dispositivo) introduziram a diversidade de dispositivos nas empresas. Os administradores receberam a tarefa de fornecer acesso total a recursos enquanto garantem a segurança. O objetivo deste Documento Técnico é descrever as tendências do uso de smartphones e tablets em redes corporativas (capítulo 2), além de estratégias práticas de gerenciamento para os administradores que lidam com o crescente uso dos dispositivos móveis (capítulo 3). O capítulo 4 aborda o uso do G Data Mobile Device Management. 2. Dispositivos móveis na empresa O grau de adoção da tecnologia em ambientes corporativos é significativamente menor que o grau em que os consumidores adotam novos dispositivos. Mesmo se um produto puder ser facilmente integrado nos fluxos de trabalho, ele deve ser testado para a identificação de problemas de compatibilidade com a infraestrutura corporativa um processo que pode exigir muito tempo e dinheiro. Desde que a Apple popularizou a categoria de dispositivos móveis com o lançamento do iphone e do ipad, centenas de milhares de usuários domésticos e corporativos se encantaram com a combinação de tecnologia com facilidade de uso. Contudo, muitas empresas ainda estão enfrentando desafios para integrar esses dispositivos no ambiente corporativo. O atraso na adoção normalmente gera tensão entre as expectativas dos usuários e os recursos que as soluções corporativas implantadas no ambiente podem oferecer. Duas tendências importantes na TI corporativa ilustram esse problema: A consumerização da TI e BYOD. Denominada de consumerização da TI, a influência de dispositivos do consumidor usados de forma pessoal em soluções de TI corporativa cresceu imensamente. Os usuários finais se acostumaram com a Internet móvel sempre disponível, com mensagens e s baseados na nuvem, e com milhares de aplicativos para personalizar a experiência móvel. Embora nenhum administrador negue que o uso destes serviços pode ser muito conveniente, algumas das vantagens acabam gerando dificuldades para as estruturas de TI corporativa. A velocidade em que novos aplicativos são lançados para plataformas móveis está muito além da capacidade dos administradores de testar a compatibilidade e a segurança de aplicativos individuais. O uso de serviços na nuvem quase sempre implica o armazenamento de dados em servidores gerenciados por terceiros. Embora os usuários finais tenham se acostumado à utilização desses serviços em seus dispositivos, nem todas as empresas estão prontas, do ponto de vista técnico, para oferecê-los de acordo com as políticas de TI. Mesmo quando dispositivos e serviços móveis não estão sendo ativamente implantados no ambiente corporativo, isso não significa que os administradores não os encontrarão. Essa tendência é chamada de Copyright 2015 G DATA Software AG 3
4 BYOD (Traga seu próprio dispositivo): os usuários finais trazem seus próprios dispositivos para o trabalho e esperam poder utilizar a infraestrutura da empresa, como o acesso Wi-Fi e os compartilhamentos de rede. De forma similar, muitas configurações de servidores de permitem o acesso remoto usando dispositivos móveis, gerenciados ou não. O BYOD normalmente causa reações imediatas: para impedir o vazamento de dados sensíveis ou a entrada de software malicioso na rede, os dispositivos móveis são bloqueados em toda a infraestrutura corporativa ou a funcionalidade do dispositivo é rigorosamente limitada por políticas rígidas. Por mais disruptivo que isso possa parecer, é importante perceber que o uso corporativo de dispositivos móveis não é um fenômeno simples. O BYOD e a consumerização da TI podem parecer desestabilizar um ambiente perfeitamente organizado, mas há vários benefícios na implantação de dispositivos corporativos ou no gerenciamento dos pessoais. O uso de uma solução de gerenciamento de dispositivos pode ajudar a tirar proveito dos lados positivos do uso de dispositivos móveis ao mesmo tempo em que limita os efeitos no restante da infraestrutura corporativa Benefícios A integração de smartphones e tablets nos fluxos de trabalho corporativos tem vantagens óbvias, independentemente de eles serem implantados centralmente ou trazidos pelos funcionários. Oferecer acesso móvel a recursos corporativos pode aumentar muito a produtividade para fornecedores e trabalhadores remotos. Uma combinação de controles de acesso e de gerenciamento de dispositivos permite o uso seguro e eficaz de seus dispositivos para acessar os recursos da empresa enquanto estiverem longe do escritório. Viagens não significam mais falta de comunicação: os funcionários podem acompanhar seus s, calendários e notificações. Dispositivos e aplicativos corporativos normalmente têm uma resistência maior na adoção por conta de sua usabilidade, enquanto que a tecnologia de consumo normalmente é desenvolvida para fornecer um nível de familiaridade aos usuários finais. Isso reduz a curva de aprendizagem de funcionários, permitindo que eles se acostumem rapidamente com os dispositivos fornecidos pela empresa. Por fim, em um ambiente de BYOD, as empresas economizam dinheiro, pois não precisam investir pesadamente na implantação de dispositivos. Em vez de adquirir e implantar novos smartphones e tablets, os dispositivos dos funcionários podem ser provisionados com um software de gerenciamento de dispositivos e usados diretamente para fins corporativos. As empresas não são mais responsáveis por fornecer dispositivos de reposição, no caso de um funcionário perder ou quebrar um smartphone ou tablet. Copyright 2015 G DATA Software AG 4
5 2.2. Riscos Embora a adoção de dispositivos móveis possa ter muitos efeitos positivos na produtividade da empresa, ela também apresenta alguns desafios. Os dispositivos móveis foram listados como a quarta maior preocupação de segurança no 2015 Global Information Security Workforce Study da (ISC)2 Foundation 1. Assim como os PCs, os dispositivos móveis estão sujeitos a malwares. O Android e o ios apresentam o maior risco: com uma participação no mercado de 96,3% 2, eles são os principais alvos de criminosos. Em 2014, os especialistas em segurança da G Data investigaram mais de 1,5 milhões de novas amostras de malware no Android, um aumento de 30% comparado a Os malwares do Android são usados para diversos fins mal-intencionados, incluindo: Roubar dados como s, dados de login e documentos confidenciais. Gerar custos exorbitantes ao enviar mensagens SMS para números de telefone especiais (estrangeiros) Espiar aplicativos móveis de bancos Bloquear dispositivos para exigir um resgate (ransomware) Entretanto, o malware não é a única ameaça para os dispositivos móveis. Ao navegar na Internet, os sites de phishing podem tentar convencer o usuário a inserir dados pessoais em um formulário aparentemente inofensivo. Mesmo que o dispositivo em si seja seguro, isso não significa que ele possa ser usado com segurança dentro de contextos corporativos. Quando os funcionários utilizam dispositivos móveis para acessar documentos corporativos, é preciso garantir que informações confidenciais não vazem, seja acidentalmente (por exemplo: ao enviálas para um serviço de compartilhamento de arquivos) ou intencionalmente (ameaça interna). Além dos riscos de segurança, os dispositivos de segurança podem afetar a produtividade. O uso de aplicativos deve ser restringido para certificar que os funcionários não passem tempo demais em jogos ou em outras distrações. O gerenciamento de contatos pode ajudar a restringir o uso de recursos do telefone apenas ao que for necessário, o que pode poupar tempo e reduzir custos. O uso de dispositivos móveis na empresa traz mais benefícios do que riscos. Contudo, eles ainda 1 Fonte: (ISC)2 Foundation, https://www.isc2cares.org/industryresearch/gisws/ 2 CY14. Fonte: IDC, https://www.idc.com/getdoc.jsp?containerid=prus Fonte: G DATA Mobile Malware Report H2/2014 Copyright 2015 G DATA Software AG 5
6 precisam ser mitigados. Uma política de gerenciamento integrado de dispositivos móveis pode ajudar a gerenciar riscos de segurança, problemas de produtividade, além de garantir o uso seguro e eficiente de smartphones e tablets. 3. Gerenciamento de dispositivos móveis É impossível para um administrador ignorar a consumerização e o BYOD. Os usuários finais continuarão a exigir smartphones e tablets corporativos que adotem o paradigma de usabilidade ao qual eles estão acostumados. Se esses dispositivos não estiverem sendo implantados, eles trarão os seus. Considerando as vantagens que os dispositivos móveis podem trazer para a produtividade, a meta de gerenciamento desses dispositivos deve ser maximizar a produtividade, garantindo a segurança e reduzindo os custos Implantação e administração Antes de gerenciar os tablets e smartphones por meio de uma solução de gerenciamento de dispositivos móveis, é preciso implantá-los. A implantação envolve uma conexão inicial única entre o dispositivo e o servidor para que, em seguida, o dispositivo responda periodicamente ao servidor e possa ser gerenciado remotamente. A comunicação entre servidor e dispositivo ocorre na forma de tráfego da Internet (quando uma conexão direta com o servidor pode ser estabelecida), mensagens por push (normalmente baseadas em soluções de mensagens na nuvem específicas do fornecedor) ou mensagens SMS (quando não há conexão de Internet móvel). Uma conexão permanente entre dispositivo e servidor não é necessária: o dispositivo pode cumprir as políticas do servidor mesmo quando não há contato com o servidor. Isso significa que os dispositivos estão sempre protegidos, mesmo fora do ambiente corporativo. A implantação deve ser simplificada o quanto for possível. Dispositivos novos gerenciados pela empresa devem sempre estar equipados com recursos de gerenciamento de dispositivos móveis antes de serem entregues aos funcionários. Dispositivos BYOD devem ter seu acesso bloqueado à rede corporativa e seus recursos até serem equipados com o gerenciamento de dispositivos móveis. Opcionalmente, uma rede de convidados pode ser usada para dispositivos que não atendem aos requisitos ou que são usados por visitantes. Para evitar um aumento na carga de trabalho, os administradores devem escolher uma solução de gerenciamento de dispositivos que se integre com as estruturas de gerenciamento existentes. O uso de diversos back-ends deve ser evitado. O ideal é que os dispositivos móveis possam ser gerenciados usando a mesma interface e os mesmos recursos de geração de relatórios disponíveis para outros tipos de dispositivos na rede para suportar um fluxo de trabalho integrado e uma configuração consistente. Para dispositivos BYOD, o aspecto jurídico do gerenciamento de dispositivos deve ser levado em conta. Estes dispositivos não são de propriedade da empresa, portanto, os administradores não recebem automaticamente o direito de gerenciá-los.permissões especiais, como a limpeza remota, podem ser controversas. Dependendo da situação legal, pode ser que as empresas precisem solicitar a permissão do usuário final antes de inscrever um dispositivo no gerenciamento de dispositivos móveis. É recomendável definir um EULA (contrato de licença de usuário final) explicando as ações que a empresa precisa executar no dispositivo. O usuário final pode aceitar ou recusar o contrato, mas o acesso aos recursos corporativos não estará disponível se o EULA for recusado. Um EULA pode ser útil até mesmo para dispositivos que não forem BYOD. Copyright 2015 G DATA Software AG 6
7 3.2. Antifurto Os dispositivos móveis aumentam os níveis de risco para a infraestrutura física e para fluxos de trabalho baseados em informações. Atualmente, está cada vez mais fácil vazar informações confidenciais acidentalmente, pois os funcionários levam arquivos confidenciais com eles ao sair da empresa e podem perder ou terem seus dispositivos móveis roubados. Para garantir que s, documentos e outras comunicações corporativas não sejam acessadas quando um dispositivo é perdido ou roubado, várias medidas podem ser definidas. Primeiramente, recuperar o dispositivo pode ser de grande ajuda. Localizálo por meio da tecnologia GPS ou acionar um alarme sonoro pode ajudar. Se não for possível localizar o dispositivo ou se a busca não gerar resultados úteis, bloqueá-lo poderá tornar o dispositivo inutilizável. Como último recurso, os dispositivos podem ser redefinidos para as configurações de fábrica, o que apagará todos os dados dele Aplicativos Parte do charme dos dispositivos móveis está no fato de que sua funcionalidade padrão pode ser ampliada pela instalação de aplicativos. Mesmo em um contexto corporativo, isso pode ser extremamente útil: ferramentas de produtividade ou aplicativos de configuração podem aumentar significativamente o número de casos de uso de dispositivos móveis. Ao mesmo tempo, os dispositivos corporativos podem fornecer um ambiente controlado, garantindo que os aplicativos não causem problemas de compatibilidade, vazem informações confidenciais ou espalhem malware. O gerenciamento de aplicativos é uma excelente maneira de controlar a funcionalidade de um dispositivo móvel ao equilibrar a segurança com a usabilidade. Separar os aplicativos bons dos ruins pode ser uma tarefa difícil. Alguns aplicativos, como jogos, claramente não servem para ambientes corporativos. Outros podem ser úteis de alguma forma, mas também podem gerar riscos de privacidade, como os serviços online de armazenamento de arquivos. Mesmo os aplicativos que parecem não apresentar nenhum risco podem, posteriormente, se mostrarem perigosos por conterem falhas de segurança, por terem seus serviços de back-end comprometidos ou porque transmitem informações de forma não segura. A produtividade também é um fator: por exemplo, funcionários que precisam de um smartphone apenas para ligar e agendar compromissos, teriam acesso apenas aos componentes de telefone e calendário, enquanto aqueles que estiverem trabalhando em documentos durante viagens podem acessar o navegador, aplicativos de escritório e outros componentes necessários Proteção em tempo real e sob demanda Assim como clientes de desktop e de laptop, clientes móveis também são vulneráveis a ataques online. Dispositivos Android com root, especificamente, não têm mecanismos de proteção suficientes contra aplicativos maliciosos de fontes desconhecidas, mas até mesmo esses tipos de aplicativo que encontram um meio de aparecerem nas lojas oficiais de aplicativos podem ter implicações rigorosas. De maneira similar, sites que tentam fornecer malware tiram proveito das vulnerabilidades do sistema operacional ou enganam o usuário final de outra forma. Assim como em computadores desktop, os sites de phising podem tentar coagir os usuários a fornecerem senhas ou outros dados confidenciais. Para combater estas ameaças, medidas de proteção devem ser configuradas para todos os dispositivos móveis gerenciados. A proteção em tempo real protege os dispositivos o tempo todo sem precisar da interação do usuário. Copyright 2015 G DATA Software AG 7
8 Isso inclui tecnologias como proteção contra phishing e verificações automáticas de vírus. A proteção sob demanda, por sua vez, é ativada apenas quando um usuário final ou um administrador solicitar. Por exemplo, uma verificação de vírus pode ser iniciada manualmente para garantir que nenhum aplicativo malicioso tenha sido instalado anteriormente no dispositivo. As soluções de proteção em tempo real e sob demanda variam muito de acordo com a plataforma de cliente. Enquanto clientes do Android são mais suscetíveis a aplicativos maliciosos, os dispositivos ios são mais vulneráveis a perda de dados ou ameaças de phishing. As soluções de gerenciamento de dispositivo móvel devem oferecer medidas que correspondam da melhor forma possível a cada plataforma móvel: um módulo genérico não serve para a ampla variedade de ameaças existentes para os dispositivos Gerenciamento e filtragem de contatos O controle dos fluxos de comunicação pode ser essencial em dispositivos usados em um contexto corporativo. Bloquear aplicativos pode ajudar, se a comunicação deve ser completamente evitada, mas, em alguns casos, um filtro rigoroso deve ser implantado. Em vez de bloquear completamente os aplicativos do telefone, caso o dispositivo deva ser usado apenas para comunicações relacionadas ao trabalho, as chamadas feitas e recebidas podem ser filtradas, se elas não atenderem aos critérios corporativos. Por exemplo, uma empresa que fornece telefones aos seus funcionários para que eles se comuniquem com a sede enquanto estiverem fora pode bloquear todas as chamadas telefônicas exceto aquelas com contatos corporativos pré-aprovados. O cerne do gerenciamento de contatos é uma lista telefônica gerenciada. Os contatos armazenados no dispositivo podem ser sincronizados com um servidor central e os administradores podem enviar os números de telefone mais recentes para os dispositivos. Assim como o gerenciamento de aplicativos, o gerenciamento de contatos pode ser usado em dispositivos individuais, mas ele é melhor combinado com o gerenciamento baseado em grupo. Números de telefone individuais podem ser permitidos ou bloqueados em grupos de dispositivos imediatamente ou é possível enviar uma lista telefônica corporativa completa para todos os dispositivos. 4. Como usar o G Data Mobile Device Management A G Data oferece um módulo de gerenciamento de dispositivos como parte de suas soluções corporativas. G Data AntiVirus Business, G Data Client Security Business, G Data Endpoint Protection Business e G Data Managed Endpoint Security; todos incluem o componente de G Data Mobile Device Management com suporte ao ios e ao Android. Ele é totalmente integrado com outras partes das soluções corporativas e pode ser gerenciado a partir do mesmo aplicativo (G Data Administrator). Esta é uma vantagem óbvia em comparação a soluções individuais, que requerem administração separada e normalmente têm uma curva de aprendizagem longa. Copyright 2015 G DATA Software AG 8
9 Documento Técnico G Data nº 0273: Mobile Device Management 4.1. Android O G DATA Mobile Device Management for Android é controlado no G Data Internet Security for Android. A funcionalidade do aplicativo é gerenciada centralmente por meio do G Data Administrator e oferece um conjunto completo de recursos de segurança e de produtividade para todos os dispositivos com Android 2.3 ou versões mais recentes Implantação e administração A primeira etapa é implantar o G Data Internet Security for Android em todos os dispositivos Android. Para garantir que apenas clientes de rede autorizados possam se conectar ao servidor, é preciso definir uma senha no lado do servidor antes de implantar os clientes. A mesma senha deverá ser inserida no aplicativo depois para permitir sua autenticação com o G Data ManagementServer. As instalações dos clientes são iniciadas usando o G Data Administrator. O processo de implantação é feito por . Um de ativação contendo um link para o arquivo de instalação pode ser enviado a um ou mais endereços de . Depois de fazer o download do arquivo no cliente Android e confirmar as permissões solicitadas, o G Data Internet Security for Android será instalado e poderá ser iniciado a partir do menu de aplicativos do Android. A implantação é concluída ao conectar o aplicativo Android com o ManagementServer e, em seguida, ele se conectará com o servidor e fará o download imediatamente da configuração padrão de gerenciamento de dispositivos móveis. Assim que estiver conectado ao ManagementServer, o dispositivo será exibido automaticamente no G Data Administrator. Os dispositivos Android são exibidos como clientes na lista comum de clientes e, por isso, eles podem ser organizados em grupos. É recomendável criar um grupo dedicado com subgrupos para os diversos tipos de acesso de dispositivo (corporativo, privado ou misto) para os departamentos que usarem dispositivos Android ou outras divisões. Isso permite uma administração eficiente e permite que o dispositivo herde automaticamente as configurações corretas. Imagem 1: G Data Administrator, configurações do Android, Políticas Copyright 2015 G DATA Software AG 9
10 Para cada dispositivo ou grupo, um tipo de telefone pode ser definido em ANDROID SETTINGS > POLICIES. Para dispositivos fornecidos pela empresa e que devem ser usados apenas para fins corporativos, é recomendável definir o tipo de telefone como CORPORATE. Isso bloqueará os menus de configuração do Internet Security for Android no lado do cliente para que os usuários não alterem acidentalmente as configurações gerenciadas remotamente enquanto estiverem conectados à rede corporativa. O tipo de telefone PRIVATE pode ser usado em dispositivos que não foram fornecidos pela empresa. Isso permite que o usuário final tenha acesso completo às configurações do Internet Security for Android. O tipo de telefone MIXED é destinado para dispositivos fornecidos pela empresa usados para comunicação corporativa e privada. Algumas configurações básicas devem ser definidas diretamente após a implantação de um novo dispositivo. Um cronograma de atualização e sincronização deve ser sempre definido. Ambas as configurações dependem do padrão de uso do dispositivo. Dispositivos conectados a uma rede sem fio (WLAN) podem ser configurados para atualizar automaticamente suas assinaturas de vírus e sincronizar dados com o ManagementServer no intervalo de algumas horas. Dispositivos usados principalmente fora da rede corporativa ou que se conectem à Internet usando um plano de dados móveis podem ser configurados para atualizar com menos frequência, manualmente ou apenas quando estiverem conectados por Wi-Fi. O mesmo se aplica à sincronização: configurações diferentes podem ser definidas para Wi-Fi e planos de dados móveis. Se necessário, os dispositivos podem ser atribuídos a um contrato de licença de usuário final. As leis podem exigir que as empresas informem seus usuários finais que seus dispositivos podem ser gerenciados remotamente Antifurto As medidas antifurto podem ser acionadas manual ou automaticamente. Algumas podem ser configuradas para serem executadas se algo acontecer com o dispositivo (como uma mudança do cartão SIM). Outras podem ser acionadas usando o G Data Administrator para enviar um comando pelo Google Cloud Messaging. Por fim, os comandos podem ser enviados por SMS.Para habilitar todas as medidas, várias configurações devem ser definidas em ANDROID SETTINGS > ANTI-THEFT. Para usar comandos por SMS, uma senha de manutenção remota (um código PIN numérico) deve ser inserida. Ela também será a senha de bloqueio da tela, caso isso não tenha sido definido. Um número de telefone confiável deverá ser configurado para garantir que o comando de redefinição da senha de manutenção remota não seja enviado por qualquer um; apenas uma redefinição de senha enviada por um número de telefone confiável será executada. Por fim, um endereço de deve ser informado para receber o feedback das ações feitas. Quando um dispositivo é roubado ou perdido, o método mais rápido de executar uma ação nele é enviar uma mensagem SMS para ele. Os administradores podem selecionar comandos individualmente para enviar ao dispositivo. As seguintes medidas estão disponíveis: Enviar um ao administrador com os dados do local. Redefinir o dispositivo para os padrões de fábrica. Apagar todos os dados pessoais. Acionar um alarme sonoro. Silenciar todos os toques, exceto o alarme sonoro. Habilitar a tela de bloqueio utilizando sua senha. Definir a senha da tela de bloqueio. Copyright 2015 G DATA Software AG 10
11 Imagem 2: G Data Administrator, configurações do Android, antifurto Se um dispositivo for roubado, seu cartão SIM normalmente é removido para impedir que o proprietário entre em contato pelo seu número de telefone. Isso significa que mensagens SMS não serão entregues ao dispositivo. Como medida preventiva, é possível definir ações a serem feitas automaticamente quando o cartão SIM é alterado. A tela de bloqueio do telefone pode ser habilitada para tornar o dispositivo inacessível e localizável. Além das medidas baseadas no SIM e no SMS, várias ações podem ser iniciadas pelo G Data Administrator. O dispositivo não precisa ser conectado à rede do ManagementServer para que isso funcione: ele utiliza o Google Cloud Messaging, um serviço online da Google que permite enviar comandos a dispositivos Android 4. As ações antifurto podem afetar gravemente a usabilidade do telefone (ex.: ao remover dados dele), portanto, é recomendável que o usuário final seja informado por meio de um EULA Aplicativos O G Data Mobile Device Management for Android oferece possibilidades elaboradas para o gerenciamento de aplicativos. Inicialmente, ele pode ser usado para fazer um inventário dos aplicativos em uso nos dispositivos móveis da rede. Cada aplicativo instalado é listado com seu nome, versão e tamanho. Para cada aplicativo, os administradores devem obter informações sobre seu fornecedor, suas funções, seu histórico de versões em todas as fontes disponíveis. Para a maioria dos aplicativos, as lojas oficiais fornecem detalhes suficientes, para outros pode ser necessário procurar no site do fornecedor. Com base nessas informações e no uso pretendido do dispositivo (com base no grupo e no tipo de dispositivos, além da zona da rede), os aplicativos podem ser colocados em uma lista branca ou em uma lista negra. Isso permite bloquear os aplicativos listados. Ao usar a senha definida, a execução dos aplicativos é impedida. 4 Isso requer uma conta do Google Cloud Messaging, que pode ser criada gratuitamente no Google em https://code.google.com/apis/console/. Copyright 2015 G DATA Software AG 11
12 Imagem 3: G Data Administrator, configurações do Android, aplicativos O uso da lista branca ou da lista negra depende até que ponto o dispositivo deve ser bloqueado. Quando o gerenciamento de aplicativos é usado no modo de lista negra, ele pode ser facilmente configurado para dispositivos multifuncionais em que o usuário final deve ser capaz de instalar novos aplicativos sem aprovação prévia. O risco está no fato de que, basicamente, todos os aplicativos podem ser instalados e executados. Os usuários terão o acesso proibido somente depois que um administrador bloqueá-los manualmente. Um método mais seguro, mas mais restritivo, é a inclusão em uma lista branca: nenhum aplicativo pode ser usado, a menos que ele tenha sido adicionado à lista branca. Isso pode ser especificamente útil em casos em que um dispositivo foi configurado para ser usado uma vez. Em seguida, os administradores podem pré-instalar os aplicativos necessários, colocá-los na lista branca e bloquear o acesso de todos os outros. Se o objetivo é bloquear apenas alguns aplicativos ruins e conceder um pouco de liberdade ao usuário, a abordagem de lista negra é suficiente. Entretanto, pelo menos o aplicativo Android Settings e o Internet Security devem ser protegidos por senha. Isso evitará que o usuário final altere as configurações. Incluir o aplicativo da loja oficial na lista negra impedirá a instalação de outros aplicativos. Para controlar completamente a experiência de aplicativos de um dispositivo, a abordagem de lista branca é a opção mais confiável. Os aplicativos na lista branca podem ser usados sem limitações, mas outros aplicativos ficarão bloqueados. Isso é muito útil em dispositivos configurados para obter o máximo de segurança ou para um fluxo único de trabalho. Por exemplo, um dispositivo que deve ser usado apenas por representantes de vendas pode ser executado no modo de lista branca, permitindo apenas que o componente de telefone e o banco de dados do front-end de vendas sejam usados. Copyright 2015 G DATA Software AG 12
13 Proteção em tempo real e sob demanda A proteção contra malwares em tempo real é disponibilizada pelos módulos WEB PROTECTION e VIRUS CHECK. Além disso, a funcionalidade pode ser restringida na guia POLICIES do G Data Administrator. Imagem 4: G Data Internet Security for Android, segurança, varredura de vírus A proteção da Web fornece proteção em tempo real ao usar o navegador do Android. A proteção da Web pode gerar uma pequena quantidade de tráfego de dados, portanto, ela pode ser configurada para funcionar apenas quando o dispositivo for conectado por Wi-Fi. A verificação de vírus verifica a existência de malware nos aplicativos obtidos e bloqueia a instalação, se um aplicativo for considerado malintencionado. A proteção contra malware sob demanda está disponível na forma de uma verificação completa de vírus para um dispositivo completo. Uma verificação regular de todos os aplicativos é recomendável para garantir que não há nenhum malware nas mídias de armazenamento (como um cartão SD). Dependendo da frequência de uso do dispositivo e de instalação ou armazenamento de novos softwares nele, o intervalo pode ser definido em 1, 3, 7, 14 ou 30 dias. Na maioria dos casos, é recomendável fazer uma verificação diária: a verificação não causa nenhuma lentidão notável e fornece o máximo de segurança. Para garantir que a verificação de vírus não esteja consumindo a bateria do dispositivo, ela pode ser configurada para ser feita apenas durante a recarga do dispositivo. Em dispositivos Android, a maior ameaça vem de dispositivos com root. Se o usuário final obteve acesso Copyright 2015 G DATA Software AG 13
14 root ao dispositivo, toda a segurança do sistema operacional e os níveis dos aplicativos podem ser facilmente subvertidos e se algum malware infectar o dispositivo ele terá acesso praticamente ilimitado às funções do sistema operacional. Portanto, para manter o controle dos dispositivos móveis gerenciados, é recomendável usar a guia POLICIES para bloquear o acesso de dispositivos com root à rede. Além disso, o administrador pode habilitar ou desabilitar o acesso à câmera (para dispositivos com o Android 4.0 ou superior) e/ou a criptografia obrigatória para proteger os dados armazenados no dispositivo Gerenciamento e filtragem de contatos A lista telefônica corporativa pode ser usada para gerenciar contatos em dispositivos Android. Mesmo sem usar os recursos de filtragem, bloquear a lista telefônica integrada do dispositivo e preencher a lista telefônica corporativa do Internet Security for Android pode ser uma maneira eficaz de garantir o controle sobre as informações de contato. Junto com o módulo de filtragem de chamada, ele oferece muitos recursos para o gerenciamento e a filtragem de contatos. Imagem 5: G Data Administrator, configurações do Android, filtro de chamadas A base de todos os recursos é o banco de dados de contato. Ela funciona como uma central para todos os contatos corporativos com base nas listas telefônicas que podem ser criadas para vários dispositivos, além dos filtros direcionados de chamadas e de SMS. Para organizações com um número limitado de contatos ou para listas telefônicas gerenciadas pequenas, a inserção manual de contatos é uma maneira prática de preencher rapidamente o banco de dados de contatos. Se a rede estiver usando o Active Directory, os contatos podem ser importados. Com todos os contatos definidos, eles podem ser distribuídos para os dispositivos apropriados. Por exemplo, todos os dispositivos podem receber uma lista completa dos ramais diretos dos colegas. Como alternativa, juntamente com um bloco do aplicativo Copyright 2015 G DATA Software AG 14
15 padrão de lista telefônica e com o uso do filtro de chamadas, grupos de dispositivos podem ter acesso apenas a números de telefone específicos inseridos diretamente na lista telefônica. O filtro de chamadas também pode ser usado para a filtragem abrangente de toda comunicação recebida e feita. Ele funciona como um filtro da lista telefônica integrada do dispositivo. Em vez de bloquear completamente o aplicativo de lista telefônica do Android, o filtro fornece o controle granular dos fluxos de comunicação. Por exemplo, ao habilitar o modo de lista branca, nenhuma chamada feita ou recebida será permitida com exceção daquelas feitas para os números incluídos na lista branca. No modo de lista negra, grande parte da comunicação é permitida, mas números específicos serão bloqueados. Um filtro adicional permite a comunicação com contatos da lista telefônica do Android e do Internet Security enquanto bloqueia todos os outros (com exceção dos contatos incluídos na lista branca) ios O G Data Mobile Device Management para dispositivos ios foi criado como uma solução sem agente para o ios 7.0 e versões mais recentes. Ao usar o G Data Administrator, os perfis de política podem ser implantados em um ou mais dispositivos ios. Isso permite que os administradores gerenciem os dispositivos com flexibilidade, ao mesmo tempo que retêm o máximo de influência sobre o uso desses aparelhos Implantação e administração As implantações do cliente ios podem ser iniciadas a partir do G Data Administrator. O processo de implantação é feito por . Na área de gerenciamento de cliente, selecione qualquer nó em IOS MOBILE DEVICE MANAGEMENT, clique no botão SEND INSTALLATION LINK TO MOBILE CLIENTS da barra de ferramentas e insira uma lista de endereços de . É preciso inserir alguns parâmetros para personalizar a aparência da solicitação MDM no dispositivo. NAME, DESCRIPTION e ORGANIZATION serão exibidos na solicitação MDM e na guia GENERAL de IOS SETTINGS posteriormente. O END USER LICENSE AGREEMENT (EULA, contrato de licença de usuário final) pode ser usado para informar o usuário final que o dispositivo será gerenciado remotamente. Quando o usuário final abre o link a partir do de instalação em um dispositivo ios, ele será imediatamente exibido no G Data Administrator (com o SECURITY STATUS na guia CLIENTS detalhando seu estado de pendência). Assim que o usuário final aceitar a solicitação MDM, o dispositivo ios pode ser completamente gerenciado no G Data Administrator. Quando um dispositivo ios é selecionado no G Data Administrator, um conjunto de módulos MDM do ios ficará disponível. A guia CLIENTS (IOS) exibe uma visão geral de todos os dispositivos ios gerenciados. Para cada cliente, diversas propriedades específicas do dispositivo são exibidas como o número do IMEI, a versão do ios e o nome do produto. A coluna SECURITY STATUS fornece avisos para dispositivos sem o perfil de política, além dos alertas de estado da instalação do MDM. Usando o módulo IOS SETTINGS, os administradores podem configurar medidas antifurto (consulte o capítulo 4.2.2), além dos perfis de política (consulte o capítulo 4.2.3). O módulo REPORTS (IOS) pode ser usado para acompanhar o estado de diversas mensagens por push, o principal método de comunicação entre o G Data ActionCenter e os dispositivos ios. Os relatórios incluem o estado da implantação do perfil e as confirmações da função antifurto. Copyright 2015 G DATA Software AG 15
16 Documento Técnico G Data nº 0273: Mobile Device Management Antifurto Quando um dispositivo é perdido ou roubado, a primeira ação a ser tomada é garantir que ninguém possa acessar os dados dele. Em seguida, ele pode ser localizado por GPS (para encontrar e recuperar o dispositivo) ou a medida mais extrema de apagar todos os dados do dispositivo (caso não seja possível encontrá-lo e recuperá-lo) pode ser tomada. A Apple oferece aos usuários registrados no icloud o recurso Buscar iphone. Ele permite que os usuários façam login em um website dedicado para bloquear, rastrear ou apagar um dispositivo. Imagem 6: G Data Administrator, configurações do ios, antifurto Como alternativa aos recursos do Buscar iphone, o módulo IOS SETTINGS permite que os administradores acionem as funções antifurto na guia ANTI-THEFT sem precisar fazer login em um website externo. As funções de bloqueio e de redefinição do dispositivo podem ser acionadas ao selecionar a opção respectiva e clicar em EXECUTE FUNCTION. Para dispositivos bloqueados com uma senha desconhecida, use a opção REMOVE PASSCODE Gerenciamento de aplicativos, proteção e contatos Diferentemente dos dispositivos Android, o ios tem um conceito de gerenciamento unificado de segurança que permite aos administradores consolidarem as configurações de segurança abrangendo diversos módulos em um perfil. Em seguida, esses perfis podem ser aplicados a diversos dispositivos, reduzindo o tempo necessário para proteger todos os dispositivos ios na rede. A guia PROFILES do G Data Administrator pode ser usada para criar e editar perfis. Cada perfil pode conter até cinco políticas com cada uma delas dedicada a um tipo específico de configuração de segurança: Copyright 2015 G DATA Software AG 16
17 Documento Técnico G Data nº 0273: Mobile Device Management RESTRIÇÕES DE APLICATIVO: Bloqueie ou permita o Safari (incluindo funções como cookies, pop-ups e JavaScript) e a itunes Store. RESTRIÇÕES DE CONTEÚDO DE MÍDIA: Controle quais tipos de conteúdo de mídia são permitidos (aplicativos, filmes, programas de TV). WI-FI: Insira as informações da rede Wi-Fi para permitir que os dispositivos ios se conectem automaticamente a uma rede Wi-Fi específica. RESTRIÇÕES DE FUNCIONALIDADE: Restrinja o uso do icloud, garanta o uso seguro da tela de bloqueio, controle várias outras funções. CONFIGURAÇÕES DE SENHA: Imponha padrões para o uso da senha, como um número mínimo de caracteres complexos, tamanho mínimo e um período de espera após o bloqueio do dispositivo. Imagem 7: G Data Administrator, configurações do ios, perfis A Apple permite que seus usuários removam os perfis MDM de seus dispositivos a qualquer momento, portanto, os administradores devem garantir que seus perfis de segurança contenham um motivo convincente para não fazê-lo. É recomendável adicionar a política de Wi-Fi em todos os perfis. Isso permite que o dispositivo seja conectado à rede Wi-Fi especificada (protegida). Quando um usuário final tenta ignorar partes da política de segurança ao remover o perfil MDM de um dispositivo ios, o acesso Wi-Fi é automaticamente removido, o que limita drasticamente o acesso do dispositivo aos recursos da empresa. Isso garante que dispositivos inseguros não tenham acesso a compartilhamentos de rede ou a outros dados confidenciais. Copyright 2015 G DATA Software AG 17