Gestió centralitzada de dispositius (endpoints)

Abast decidit per nosaltres: l'enunciat oficial no acota la matèria

Enunciat oficial. Gestió centralizada de dispositius (endpoints) dins d'una organització.

1. Conceptes i sigles

MDM és, en la definició que es pregunta, el programari que permet inscriure i administrar de manera centralitzada els dispositius d'una organització: instal·lar i desinstal·lar aplicacions, aplicar configuracions i polítiques de seguretat, localitzar i rastrejar telèfons mòbils, sincronitzar arxius, reportar l'inventari i l'estat, i esborrar-ne el contingut de manera remota.

Arquitectura: client-servidor. El servidor MDM aplica remotament, per xarxa sense fils, les configuracions, les aplicacions i les polítiques; els dispositius actuen com a clients. El servidor no manté una connexió permanent: aprofita els serveis de notificació push del fabricant —APNs (Apple Push Notification service), WNS (Windows Notification Service)— per despertar el client, que llavors inicia la sessió amb el servidor per rebre els canvis. Si el push falla —dispositiu apagat o sense connexió—, el client recorre a una sincronització periòdica de reserva.

2. Models de propietat del dispositiu

El model en què l'empresa és propietària del dispositiu però permet un ús limitat per a activitats personals és el COPE. És la resposta literal.

Implicacions de cada model:

• COBO/COPE: control total per part de l'organització, esborrat complet possible, però l'organització assumeix el cost i la logística.
• BYOD: estalvi de cost i satisfacció de l'usuari, però conflicte amb la privadesa del treballador: l'organització no pot esborrar ni inspeccionar el dispositiu personal. La solució tècnica és el MAM (Mobile Application Management) amb contenidorització (perfil de treball a Android Enterprise, App Protection Policies a iOS) que separa les dades corporatives i permet un esborrat selectiu només d'aquestes.
• El LOPDGDD, art. 87 reconeix el dret a la intimitat i a l'ús de dispositius digitals a l'àmbit laboral: l'empresari pot accedir als continguts només per controlar el compliment de les obligacions laborals i respectant l'estàndard de privadesa, i ha d'establir criteris d'ús amb participació dels representants dels treballadors. Amb BYOD, això és especialment sensible.

3. Domini vs núvol: dues vies per gestionar el lloc de treball

El UEM (Unified Endpoint Management), amb el MDM de base (§1 i §4), és la via moderna, basada en el núvol. Però una part del parc —sobretot estacions de treball i portàtils Windows— es continua gestionant de manera centralitzada des d'un domini Active Directory local: és una via diferent per arribar al mateix objectiu, i totes dues cauen a l'examen.

3.1 La via tradicional: domini Active Directory

• Unió al domini: es fa canviant, des de les propietats del sistema de l'equip, la seva pertinença de grup de treball a domini, amb credencials que hi tinguin privilegi. És l'equivalent, en el món on-premise, de la inscripció MDM del §4: aquí algú l'ha de fer manualment, en lloc d'inscriure's sol la primera vegada que s'encén.
• Un cop al domini, les directives de grup, o GPO (Group Policy Object), distribueixen la configuració de manera anàloga als «perfils de configuració» del MDM (§4): és el mecanisme pel qual les estacions Windows unides a domini reben, sense intervenció de l'usuari, el certificat per connectar-se al Wi-Fi corporatiu (802.1X) després d'autenticar-se al directori.
• Les GPO s'apliquen soles i periòdicament, no a l'instant: quan una estació acabada de desplegar triga a rebre-les, es forcen amb gpupdate /force, que torna a aplicar-les totes encara que ja s'haguessin aplicat. gpupdate sense paràmetres només aplica els canvis pendents, que és per què no serveix quan la política ja hi era i no ha fet efecte.
• Perfil mòbil (roaming profile): perquè qualsevol persona usuària pugui iniciar sessió a qualsevol estació. En autenticar-se, es copien els fitxers de %USERPROFILE% i s'importa la part d'usuari del registre (la clau HKEY_CURRENT_USER) des d'una ubicació de xarxa; en tancar la sessió, els canvis es tornen a pujar. No s'ha de confondre amb el «perfil de configuració» del MDM (§4): aquí «perfil» és el conjunt de configuració i dades de la persona usuària que viatja amb ella, no una política que s'aplica al dispositiu.
• Tot això ho fa possible el servei de directori: organitza els elements d'una xarxa —persones usuàries, equips i altres dispositius— i en gestiona l'accés als recursos, des d'una base de dades centralitzada. Els seus fonaments —LDAP (Lightweight Directory Access Protocol), Kerberos i les GPO en detall— es desenvolupen a gestió d'identitats; aquí només s'hi tracta la seva funció com a via de gestió centralitzada del lloc de treball.

3.2 Escriptoris virtuals (VDI)

VDI (Virtual Desktop Infrastructure): en lloc de gestionar el dispositiu físic, es centralitza l'escriptori mateix. Un host físic proporciona els recursos a diverses màquines virtuals (servidors virtuals, pròpiament); dins de cadascuna s'executa una instància de la màquina «client», que és el que s'anomena escriptori virtual. La diferència es confon sovint: la màquina virtual és el servidor que l'allotja, l'escriptori virtual és la instància client que l'usuari fa servir.

El rol de passarel·la (gateway) és el punt d'enllaç entre els clients que accedeixen des d'Internet i els servidors interns que presten el servei d'escriptori virtual: permet l'accés extern sense obrir directament la xarxa interna ni necessitar una VPN (Virtual Private Network) pròpia.

3.3 Suport remot i diagnòstic

• Control remot: la plataforma de gestió centralitzada en porta un d'integrat, però el servei d'atenció a l'usuari sol disposar d'una eina de control remot alternativa, portàtil i sense instal·lació, per quan el client corporatiu (per exemple, la VPN) és precisament el que falla i impedeix arribar al dispositiu pel canal habitual.
• Visor de successos (Event Viewer): el registre de Sistema enregistra els tancaments inesperats (codi 6008, quan l'aturada anterior no va ser controlada); el registre de Seguretat, els esdeveniments d'inici de sessió. Es pot consultar en remot prenent el control del dispositiu o exportant-ne el registre.
• Impressió centralitzada segura (pull printing): en el model directe, l'estació imprimeix directament contra la IP de la impressora i el servidor d'impressió no hi intervé més enllà de distribuir els controladors (drivers) i fer la gestió associada. En el model d'impressió segura o «pull», en canvi, el servidor reté el treball d'impressió fins que la persona usuària s'autentica a la impressora que ha triat, i només llavors l'hi envia.
• Reimatge com a últim recurs: quan ja s'han provat totes les actuacions manuals —revisar la configuració, forçar la reinstal·lació remota, prendre el control remot, instal·lar a mà— i la incidència segueix sense resoldre's, l'estació ja no té l'estat sota control. El pas següent és reinicialitzar l'estació amb la imatge corporativa i el perfil de la persona usuària, i deixar que la plataforma de gestió centralitzada torni a instal·lar el programari, aplicar les polítiques i fer les configuracions: és tornar a un estat conegut i controlat, en lloc d'acumular pedaços manuals sobre un sistema ja indeterminat.

4. Funcionalitats d'una plataforma UEM/MDM

Inscripció (enrollment):

• Automàtica de fàbrica: Apple Business Manager / ADE (Automated Device Enrollment), Android Zero-Touch, Windows Autopilot. El dispositiu s'inscriu la primera vegada que s'encén, abans que ningú hi pugui fer res: és el mètode segur per al desplegament massiu.
• Per usuari, amb el portal d'empresa.
• Massiva amb paquets de provisió.

Configuració i polítiques:

• Perfils de configuració: el MDM distribueix les configuracions de xarxa (Wi-Fi corporativa amb 802.1X i certificats), les VPN, el correu, els certificats digitals i les restriccions mitjançant PERFILS DE CONFIGURACIÓ que s'apliquen de manera remota i automàtica al dispositiu inscrit, sense intervenció de l'usuari. Aquesta és la resposta a «quin mètode utilitza el MDM per distribuir configuracions de xarxa o VPN».
• Restriccions: càmera, botigues d'aplicacions, còpia i enganxament entre aplicacions corporatives i personals, captures de pantalla, còpies de seguretat al núvol personal.
• Polítiques de seguretat: codi d'accés obligatori i complexitat, xifratge del dispositiu (BitLocker, FileVault, xifratge natiu del mòbil), bloqueig automàtic, detecció de root / jailbreak i versió mínima del sistema operatiu.
• Compliment (compliance): regles que marquen un dispositiu com a no conforme i, mitjançant l'accés condicional, li denegen l'accés als recursos corporatius fins que es corregeixi. És el mecanisme més potent del model.

Aplicacions:

• Distribució silenciosa d'aplicacions internes i de botiga (Managed Google Play, Apple VPP, Volume Purchase Program).
• Botiga corporativa i catàleg d'aplicacions aprovades.
• Llistes blanques i negres d'aplicacions.
• Configuració remota de les aplicacions gestionades.

Contingut i dades: contenidorització, prevenció de pèrdua de dades entre aplicacions, xifratge del contenidor.

Operació: inventari de maquinari i programari, estat de compliment, informes, localització (amb els límits legals), accions remotes — bloqueig, restabliment de codi, esborrat total (wipe) i esborrat selectiu (selective wipe) només de les dades corporatives.

Cicle de vida: provisió → operació → renovació → retirada amb esborrat segur certificat i esborrat de la vinculació (activation lock).

El suport del sistema operatiu el fixa el fabricant i mai és il·limitat. Cada edició —Home, Pro, Enterprise— i cada versió té la seva data de fi de servei publicada: el suport estès de Windows 7 es va acabar el 2020, i les edicions LTSC (Long-Term Servicing Channel) de Windows 10 tenen un cicle propi, molt més llarg que el de les edicions estàndard, que el 2025 ja l'havien esgotat. Per això no és cert ni que el suport sigui complet per a tot, ni il·limitat en el temps, ni exclusiu de l'última versió. Un sistema sense suport és un sistema sense pedaços de seguretat: planificar la renovació del parc és, abans que res, planificar contra aquestes dates.

5. Plataformes del mercat

Microsoft Intune (part de Microsoft Endpoint Manager, integrat amb Entra ID i amb el Configuration Manager en model co-management), VMware Workspace ONE (abans AirWatch), Jamf Pro (referència per a l'ecosistema Apple), MobileIron / Ivanti Neurons, SOTI MobiControl, IBM MaaS360, ManageEngine Endpoint Central, Citrix Endpoint Management, Google Endpoint Management, i de codi obert Headwind MDM, Flyve MDM i Fleet o Puppet/Ansible per a estacions.

Pregunta habitual: quina d'aquestes plataformes NO és un gestor de configuració d'endpoints? Les distractores solen ser eines d'altres categories: Nagios o Zabbix (monitoratge), Jira (gestió de projectes), Splunk (registres), Docker (contenidors), Veeam (còpies), Wireshark (anàlisi de xarxa) o SAP Business One (ERP, Enterprise Resource Planning). IBM Endpoint Manager (l'antic BigFix), en canvi, sí que n'és un.

Solucions de MDM pròpiament dites, quan es demana un exemple: Intune, Jamf, Workspace ONE, MobileIron/Ivanti, SOTI, MaaS360.

6. Seguretat de l'endpoint

La gestió i la seguretat són capes diferents que s'han de combinar:

• Antivirus / antimalware de nova generació, o NGAV (Next-Generation Anti-Virus), i EDR (Endpoint Detection and Response), integrats en XDR (eXtended Detection and Response) i alimentant el SOC (Security Operations Center, centre d'operacions de seguretat).
• Xifratge de disc complet obligatori a portàtils i mòbils.
• Control d'aplicacions i llistes d'aplicacions permeses.
• Gestió de pedaços del sistema operatiu i de les aplicacions de tercers → tema 54.
• Gestió de privilegis a l'endpoint, o EPM (Endpoint Privilege Management): eliminar els drets d'administrador local, una de les mesures de més impacte i menys cost.
• Control de dispositius extraïbles (USB, Universal Serial Bus) i DLP (Data Loss Prevention, prevenció de pèrdua de dades) a l'endpoint.
• Tallafoc local i microsegmentació.
• Segon factor d'autenticació en l'accés remot: reduir el risc de robatori de credencials és antivirus actualitzat i actiu al dispositiu que es connecta; evitar que unes credencials robades es facin servir des de fora és cosa d'un segon factor (SMS, Short Message Service; aplicació; clau). Els factors d'autenticació i el MFA (Multi-Factor Authentication) es defineixen a gestió d'identitats.
• Accés condicional i Zero Trust: la confiança depèn de l'estat de compliment del dispositiu, no de la seva ubicació (NIST SP (Special Publication) 800-207).

7. Al sector públic

• ENS: mesures mp.eq (protecció dels equips) amb lloc de treball buit, bloqueig del lloc de treball, protecció d'equips portàtils (xifratge i inventari) i mitjans alternatius; op.exp (explotació) amb inventari d'actius, configuració de seguretat, gestió de la configuració i gestió de vulnerabilitats i pedaços. La gestió centralitzada d'endpoints és el mecanisme per complir aquestes mesures a escala.
• ENS, esborrament i destrucció: els suports que es vulguin reutilitzar han de passar per un esborrament segur que en faci impossible la recuperació; si la naturalesa del suport no ho permet, el suport NO es pot reutilitzar en cap altre sistema —s'ha de destruir de manera segura—. A partir de categoria mitjana cal, a més, fer-ho amb productes o serveis certificats.
• Robatori o pèrdua d'un dispositiu portàtil: cal tenir-ne l'inventari, un canal establert per notificar la sostracció al servei de gestió d'incidents de seguretat i obrir l'incident corresponent; la denúncia als Mossos d'Esquadra sola no és suficient, és un tràmit més, no la resposta de seguretat de l'organització.
• RGPD: cal informar el personal de què es controla i per què; avaluació d'impacte si el control és intensiu; proporcionalitat; i respecte del LOPDGDD, art. 87 (intimitat en l'ús de dispositius), LOPDGDD, art. 88 (desconnexió digital) i LOPDGDD, art. 90 (geolocalització: cal informar de manera expressa, clara i inequívoca els treballadors de l'existència i les característiques del sistema).
• Negociació col·lectiva: els criteris d'ús dels dispositius s'han d'establir amb participació dels representants dels treballadors.
• Contractació: adquisició de dispositius amb inscripció automàtica de fàbrica com a requisit del plec; retirada amb esborrat segur certificat i gestió de residus com a RAEE (Residus d'Aparells Elèctrics i Electrònics).
• Teletreball: la gestió de l'endpoint és la peça que fa possible el treball remot segur; la Llei 10/2021 de treball a distància hi afegeix obligacions de mitjans i de compensació de despeses.

Claus d'examen

• «Perfil» vol dir dues coses diferents en aquest tema, i el tribunal ho aprofita: el «perfil de configuració» del MDM (§4) és una política que s'aplica al dispositiu; el «perfil mòbil» (roaming profile) del domini (§3.1) és la configuració i les dades de la persona usuària que viatgen amb ella (TS-TIC 2021 pràctica, p. 14). No és el mateix concepte amb dos noms: són dos mecanismes de gestió diferents.
• Domini (GPO) i núvol (MDM) no són el mateix mètode d'inscripció: el domini s'uneix manualment des de Propietats del sistema (TM-TIC 2021-OP pràctica, p. 24); l'ADE/Zero-Touch/Autopilot és el que s'inscriu sol en encendre's. Quan la pregunta parla de «canviar la configuració de l'equip» i «indicar el domini», és la via tradicional, no el MDM.
• VDI és gestió del lloc de treball, no desplegament de programari: la màquina virtual és el servidor que allotja diverses instàncies; l'escriptori virtual és la instància client. El rol passarel·la és el punt d'accés extern (TM-TIC 2021-OP pràctica, p. 25; TM-TIC 2021-OP específic, p. 31).
• Codi d'esdeveniment 6008 = tancament inesperat al registre de Sistema, no al de Seguretat (TS-TIC 2021 pràctica, p. 27).
• La denúncia policial per un robatori d'un portàtil no és, per si sola, la resposta de seguretat: cal, a més, l'incident intern i la notificació establerta (TS-TIC 2021 pràctica, p. 29).
• A nivell ENS mitjà, si un suport no es pot esborrar de manera segura, no es pot reutilitzar: s'ha de destruir (TS-TIC 2021 pràctica, p. 25).

Per recordar

• MDM = dispositiu; MAM = aplicacions i dades (ideal per a BYOD); UEM = tots els dispositius en una única consola.
• COPE = propietat de l'empresa amb ús personal limitat. BYOD = del treballador. COBO = només ús professional.
• El MDM distribueix xarxa, VPN, correu i certificats mitjançant perfils de configuració aplicats remotament al dispositiu inscrit; el domini ho fa amb GPO.
• La inscripció automàtica de fàbrica (Apple ADE, Android Zero-Touch, Windows Autopilot) és el mètode segur per al desplegament massiu al núvol; la unió a domini és el mètode manual, tradicional.
• El compliment + accés condicional és el mecanisme clau: un dispositiu no conforme perd l'accés als recursos.
• Esborrat selectiu per a BYOD; esborrat total per a dispositius corporatius; si no es pot fer un esborrament segur, el suport es destrueix, no es reutilitza.
• Eliminar els drets d'administrador local és de les mesures de més impacte.
• Nagios, Zabbix, Jira, Splunk, Docker i SAP Business One NO són gestors de configuració d'endpoints.
• El LOPDGDD, art. 87 exigeix criteris d'ús establerts amb participació dels representants dels treballadors.
• El perfil mòbil (roaming) és la carpeta i el registre de la persona usuària viatjant entre estacions; el perfil de configuració és una política del MDM. No es confonen.