统一端点管理实现安全性整合

Lucas Mearian

企业安全分为移动终端管理和桌面终端管理两个独立实体的时代即将结束。对此感到高兴的是基础设施和安全团队，因为他们将拥有具备强大机器学习功能的工具以及一个单一控制台。

传统上，移动和桌面基础设施的安全性取决于其所管理的内容，用户会针对移动设施和端点（无论是笔记本电脑还是台式机）购买产品。

尽管安全威胁正日益增长，特别是通过电子邮件、短信或超链接发起的网络钓鱼攻击，但是企业在移动安全方面花费的资金似乎正在减少。据Verizon的一项调查显示，承认在移动安全方面遭受威胁的企业比例在2019年有所增加。

据Verizon的《移动安全指数报告》显示，2/3的企业表示他们对移动资产安全性的信心低于其他设备。在这份2019年的调查报告中，参与调查的大中小型企业有700多家。

市场研究机构CCS Insights主管研究的高级副总裁Nick McQuire表示，在过去一年半的时间里，供应商已将安全性与统一端点管理（UEM）更加紧密地集成在了一起，从而为保护所有企业端点提供了更加全面的策略。

UEM所涉及的产品可提供集中化策略引擎，以通过单一控制台管理和保护公司笔记本电脑和移动设备。本质上，UEM平台代表了下一代设备管理。在许多方面，它们是移动设备管理（MDM）、企业移动性管理（EMM）、移动应用程序管理（MAM）和客户端管理理念的结晶。

市场研究机构IDC主管移动研究的副总裁Phil Hochmuth说：“现在，许多产品已经或接近于采用单一控制台方法来统一端点和安全管理。对于小型企业或拥有少量IT人员的企业来说，这种整合非常关键。对于大型企业来说，基于角色的分离以及对功能和仪表板的访问同样很重要。”

机器学习的融合

基于机器学习的安全性将把对企业应用程序和数据的访问提升到一个新的水平，其不仅能够管理谁可以通过UEM平台登录系统，而且还可以持续监视员工在使用企业应用程序和数据存储库时正在做什么。

Gartner研究总监Rob Smith说：“我们认为用户应该基于设备和其他背景变量（例如，谁拥有设备，在何处拥有设备，地点在哪里，一天中的什么时间访问了哪项内容，以及是否正在使用公共W-iFi）获得适当的安全策略，无论用户拥有哪种设备都没有关系。我相信这将是行业的发展方向。”

作为“零信任”框架，最终用户需要遵循预先确定的参数（这些参数可以根据用户在企业中的角色来识别其意图）。如果用户的行为超出安全行为界线，那么他们的系统访问权限则会被取消。

MobileIron的联邦首席技术官Bill Harrod说：“很多威胁检测必须要知道设备是什么，用户是谁，设备的健康状况以及确保用户与他们的凭据相关联并且该凭据与设备相关联。然后，它们再评估所有这些地方的风险。”

简而言之，零信任意味着能够在企业受到威胁或丢失大量数据之前采取主动措施。在机器学习发挥重要作用的同时，企业还必须确保他们拥有可信赖的通信渠道，这意味着数据在传输和静止时都经过加密。Harrod 说，这样可以帮助避免常见的安全问题，例如中间人和勒索软件攻击。

Harrod 说，这也意味着“要对数据违规行为采取隔离措施或停止持续的用户授权”，因为一旦输入正确的凭据，任何事情都无法阻止员工做他们想做的事情。

零信任依赖于多因素身份驗证、分析、加密和文件系统级权限。其包括动态执行访问规则，不仅可针对用户的身份，还可针对用户的设备和用户尝试访问的背景环境，目的是给用户提供完成特定任务的最小访问权限。

Smith表示，虽然这不是一个新概念，但是向UEM添加零信任功能仍处于设备管理的领先地位，企业应该期望一些（尽管不是全部）供应商在未来一年半内开始销售单控制台产品。

Smith说：“Gartner虽然已经看到了管理和安全性正在融合，但是人们仍将继续保留独立的采购中心。未来，微软、VMware和黑莓等供应商将会推出自己的相关产品以作为单一解决方案。”

VMware在去年收购了云安全供应商Carbon Black，后者在其产品中使用了人工智能和机器学习以通过行为识别来保护端点的安全。作为在2018年收购人工智能/机器学习安全厂商Cylance的后续举措，黑莓在去年十月份也宣布推出移动威胁防御（MTD）产品，并与其Unified Endpoint Management产品相结合。

Smith说：“在安全和UEM之间打破内部隔阂以推出单一产品需要花费一些时间。随着供应商开始部署现成的管理产品并与新的安全公司展开合作，这种情况将在未来12～18个月内出现一些变化。”

微软实际上已经通过其Office 365 E5许可证合并了其现有的终结点管理和安全产品（如ATP Defender和InTune），并将其全部置于Azure控制台之下。

Smith认为，微软只是缺少MTD情报部门。微软可能会采取类似Lookout的办法，整合多个移动威胁防御厂商，并将其数据直接放入Windows Defender ATP中。

Smith说：“虽然E3到E5许可证的价格涨幅相当大，但是确实增加了安全性。我认为购买单一解决方案面临的压力不大，至少现在还不大。”

MOL集团整合安全性与移动设备的经验

MOL集团是一家匈牙利布达佩斯的国际石油和天然气公司，它要为集团高管、办公室人员、卡车司机和配送员手中的4200余部设备提供支持。

目前，MOL已经为业务经理配发了iOS设备，为办公室员工配发了Windows手机为配送人员和维护人员等的室外工作人员配发了安卓和iOS平板电脑。MOL还支持BYOD，员工可在工作中使用自己的设备。

该公司的大多数应用程序都是由第三方开发人员定制的，支持各种业务任务，例如路线规划和交付优化等等。这些应用程序通过MobileIron AppsWork（该应用程序库还可向设备推送更新）被安全地部署到了iOS和安卓设备上。

MOL员工可使用MobileIron的安全浏览器WebWork访问内部Web资源，以及获得经理的批准。整个集团的员工也可以通过SharePoint和内部网站安全地进行访问和共享文件。

MOL表示，他们还通过在移动设备上容器化KiteWorks、WebWork、Email+和DocsWork等应用程序提高了移动安全性。

在集团使用MobileIron之前，员工通常会将公司文档保存到外部硬盘驱动器上，以方便在家工作。这使得集团的数据面临安全风险，因为IT部门无法控制文档的共享方式。

现在移动设备可以被远程配置和保护，应用程序也可用静默方式安装、更新或删除，无需任何最终用户干预。如果员工离职了或者设备受到了威胁，IT部门可以锁定或是远程擦除设备，以确保数据不会外泄。

MOL集团办公应用程序高级专家?kosDányi说：“现在，我们可以识别网络上的所有设备，知道谁连接到了哪些资源，并查看它们正在运行的操作系统和应用程序版本。这对于帮助我们控制对后端资源的访问并确保所有设备都运行最新的应用程序和操作系统版本至关重要。”

行业领军企业的动向

McQuire表示，MobileIron和黑莓目前是两家领先的UEM零信任解决方案提供商。

黑莓去年11月在其旗舰企业移动套件中添加了多个零信任软件更新。J.GoldAssociates的首席分析师Jack Gold说：“黑莓在收购Cylance之前就一直在关注安全问题。如今他們正在将以前以PC为中心的产品中的人工智能安全功能移植到移动设备上。与此同时，他们还在向工作领域进军，通过安全的浏览器和Office 365类型访问提供安全的设备内置访问。”

IDC的Hochmuth表示，单一控制台管理并不是统一的安全性与端点管理的终极优势，其最大的好处是在端点管理和安全性之间将数据和分析整合在了一起，这将是革命性的。

供应商向UEM添加人工智能的举措为推出自我修复型最终用户计算环境、违规与漏洞自动响应带来了可能。

Hochmuth说：“除此之外，公司还可以使用这些数据来优化和改进技术员工的工作方式。这样可以提高效率、创造力和生产力，从而最终带来更好业绩。”

本文作者Lucas Mearian为资深记者，长期关注包括区块链在内的金融服务IT、医疗保健信息技术，以及移动管理、安全、硬件和应用等企业移动问题。

原文网址

https：//www.computerworld.com/article/3516136/uem-to-marry-security-finally-after-long-courtship.html