В 2022 году безопасность является главным приоритетом для каждой организации, включая предприятия и школы, использующие Mac. Хотя компьютеры Mac очень безопасны, они по-прежнему уязвимы для угроз, включая фишинговые атаки и вредоносное ПО. Безопасность больше не является технологической проблемой. Теперь это бизнес-задача. Большая часть обсуждения безопасности в macOS вращается вокруг обновлений программного обеспечения, программного обеспечения для защиты конечных точек и других тем высокого уровня.
Чего недостаточно, так это привилегий пользователя. Каждый директор по информационной безопасности должен спросить своих ИТ-специалистов, работают ли конечные пользователи в качестве локальных администраторов на своих компьютерах Mac. Если это так, они должны спросить команду, необходимо ли это по сравнению с критическими рисками, которые могут создать повышенные привилегии.
Суть в следующем: пользователям Mac не нужны административные полномочия круглосуточно и без выходных.
С точки зрения ИТ-отдела macOS правильное выполнение этой части развертывания и текущего управления может стать важной частью обеспечения безопасности ваших компьютеров Mac. Особенно в удаленной и гибридной рабочей среде ИТ-администраторы могут не иметь контроля над локальной сетью, как в традиционных офисных условиях. Новая модель работы означает, что лучшие методы обеспечения безопасности должны развиваться. Вместо того, чтобы сосредотачиваться на безопасности корпоративной сети, конечная точка (также известная как устройство) теперь имеет важное значение для вашей безопасности.
Вы можете подумать: «Конечно, моим пользователям нужен доступ на уровне администратора на их локальном компьютере. Я не буду рядом, чтобы помочь им, если они столкнутся с ситуацией, когда им понадобится учетная запись администратора». Вы можете быть правы, но такое мышление также создает потенциальные последствия для безопасности.
Администраторы могут создавать и управлять другими учетными записями пользователей, устанавливать программное обеспечение, изменять системные настройки, отключать важные функции безопасности, получать доступ ко всем файлам на Mac и многое другое. В конечном счете, локальный администратор может изменить любой параметр, установить что угодно и делать практически все, что он хочет.
Исходя из этого, учетные записи администратора являются мишенью для хакеров, потому что как только Mac будет скомпрометирован, когда пользователь работает от имени администратора, вредоносное ПО (и хакер) унаследует ту же способность выполнять все действия, доступные для администратор. Это эквивалентно ношению всего вашего сберегательного счета наличными в кармане, если вам нужно потратить всего 10 долларов. Вы просто напрашиваетесь на неприятности.
Как видите, при выборе запуска от имени пользователя с административными привилегиями возникает большая ответственность.
Непосредственной реакцией на понимание этой реальности является простое принуждение пользователей к использованию стандартной учетной записи с ограниченным доступом к системе. Таким образом, работа в качестве стандартного пользователя помогает защитить ваш Mac от серьезных повреждений в случае заражения вредоносным ПО. Кроме того, меньшее количество разрешений для пользователя обеспечивает меньшую вероятность нежелательных изменений и неправильных конфигураций.
В идеальном мире пользователи всегда должны оставаться на устройстве как наименее привилегированный пользователь. Пользователю может потребоваться установить на свой Mac приложение, требующее прав администратора, или внести изменения в файловую систему, но таких потребностей очень мало.
Давайте будем честными, сколько новых приложений вы устанавливаете вручную ежемесячно? Административные требования еще более не нужны в бизнес-среде, учитывая, что приложения и конфигурации обычно автоматически развертываются с помощью решения MDM, что устраняет необходимость в ручных действиях со стороны конечного пользователя.
Однако в определенных случаях у пользователя могут быть обоснованные потребности в правах администратора для решения потенциальной проблемы, изменения разрешений приложений, лучшего контроля над обновлениями программного обеспечения и многого другого. После тщательного исследования Mosyle определил, что среднему пользователю Mac требуются привилегии администратора примерно на пять минут в месяц. Нет, не в час, не в день – В МЕСЯЦ.
И из-за этих исключительных пяти минут в месяц пользователям постоянно предоставляются права администратора, что создает существенный риск для безопасности, несоразмерный реальным потребностям бизнеса.
Так как же решить эту дилемму? Как вы можете гарантировать, что пользователи могут иметь права администратора только тогда, когда они им нужны, и в течение периода, когда они им действительно нужны?
В начале 2022 года Мосыле наконец решил эту проблему. Компания создала новое решение «Администрирование по запросу», которое позволяет ИТ-отделу разрешить своим пользователям работать в качестве администратора в течение заданного периода времени и автоматически возвращаться к статусу обычного пользователя.
С Admin On-Demand от Mosyle пользователи получают полный доступ администратора, когда им это нужно. Mosyle Admin On-Demand автоматически преобразует пользователей-администраторов в обычных пользователей и позволит только авторизованным пользователям временно повышать свои пользовательские привилегии только при необходимости. В течение периода эскалации Mosyle Admin On-Demand будет собирать подробные системные журналы и автоматически переводить пользователя обратно на стандартный уровень безопасности доступа в конце периода.
С помощью Admin On-Demand ИТ-администраторы могут контролировать количество повышений привилегий в день, разрешенную продолжительность и требовать от пользователя обоснования обновления.
Admin On-Demand от Mosyle дает ИТ-командам идеальный баланс между защитой компьютеров Mac и гарантией того, что сотрудники смогут полностью использовать свои устройства.
Admin On-Demand доступен в Mosyle Fuse, инновационном решении, которое произвело революцию на рынке корпоративного управления и безопасности Apple. Mosyle Fuse сочетает в себе наиболее полный Apple MDM на рынке, сложные инструменты безопасности конечных точек, единственные решения для конфиденциальности и безопасности в Интернете, созданные для устройств Apple, единый вход на уровне устройства и автоматизированное управление приложениями для macOS, iOS и iPadOS.
