Analytics

jueves, 6 de marzo de 2014

MDM: Seguridad en la gestión de dispositivos móviles

1. Introducción al mundo MDM

El incremento de dispositivos móviles en las grandes corporaciones es cada día mayor. Por ello, se necesitan herramientas para controlar, monitorizar y administrar de forma fácil y segura todo el parque de terminales. Para poder realizar esta gestión existe un amplio conjunto de soluciones comúnmente llamadas MDM (Mobile Device Management), que permiten la administración de forma remota y centralizada.

Existen numerosas soluciones en el mercado. Algunas de las más conocidas se enumeran a continuación:
  • AirWatch
  • AmTel MDM
  • BlackBerry Mobile Fusion
  • Boxtone Mobile Device Management
  • Citrix XenMobile
  • Dialogs Smartman Device Management
  • Excitor DME
  • FancyFon Mobility Center
  • Fiberlink MaaS360 Mobile Device Management
  • Fixmo SafeZone
  • Good Technology Mobile Device Management
  • IBM Endpoint Manager for Mobile Devices
  • Mformation Enterprise Mobility Manager
  • Microsoft In tune
  • MobileIron MDM
  • Rapid7 Mobilisafe
  • SAP Afaria
  • SOTI Mobile Device Management
  • Symantec Mobile Management Suite
Las funcionalidades más básicas que podemos encontrar en las soluciones de los diferentes fabricantes son:
  • Control de aplicaciones: Permite a los administradores desplegar las instalaciones de forma centralizada, permitiendo y controlando aquellas que son necesarias y restringiendo de cualquier futura instalación, blindando así la posibilidad de manipulación por parte del usuario.
  • Gestión de perfiles por dispositivo: Posibilidad de pre configurar perfiles de correo, calendario, contactos, accesos VPN por terminal y/o usuario de forma centralizada, pudiendo revocar fácilmente los privilegios en casos de pérdida, robo o bajas.
  • Protección de los datos: Capacidad de forzar a utilizar el cifrado de disco y tarjeta en aquellos terminales que lo permitan.
  • Borrado seguro remoto de los datos: En caso de pérdida o robo de los terminales, se podrá gestionar la eliminación del contenido de forma remota y segura.
  • Monitorización: Capacidad de registrar las acciones producidas por el terminal, intentos de violación de la seguridad o de los mecanismos de protección, así como disponer de la geolocalización del terminal.
  • Reportes de datos: Estadística de las variables de monitorización, para conocer la evolución del estado del dispositivo.
  • Acceso a los dispositivos: Capacidad de añadir mecanismos de autenticación antes de poder acceder  a la información de los terminales.
El funcionamiento de las soluciones MDM se compone de dos elementos: cliente y servidor. Los servidores suelen estar compuestos del aplicativo de gestión del MDM, la base de datos, el panel de administración web y los servicios utilizados por los clientes como podría ser los servidores de directorio activo, de certificados, de correo, etc.

Mientras que en el lado del cliente, se suele instalar un software de gestión para poder administrar el terminal remotamente y poder hacer tareas como actualizar el software, hacer monitorización o como añadir políticas de bastionado del terminal.

Para que se pueda establecer la comunicación con los servidores, es indispensable que los clientes tengan una conexión de datos a través de telefonía móvil o de una conexión WiFi. Otra característica de la aplicación cliente es que no necesita privilegios de administrador para ejecutarse, por lo que sus funcionalidades pueden verse limitadas.

En el proceso de selección de una solución MDM se deben tener en cuenta ciertas consideraciones:
  • Soporte de múltiples dispositivos como podrían ser teléfonos y tablets con múltiples sistemas operativos. Normalmente cualquier terminal con Android, iOS o Windows Phone están soportados por los MDM.
  • Buena integración con los servicios internos corporativos que la empresa ya utiliza.
  • Garantizar la seguridad de la información interna de los dispositivos y de la transmisión de esta.
La mayoría de empresas que despliegan este tipo de soluciones proporcionan un dispositivo a cada empleado, pero también existe la posibilidad de que los empleados proporcionen su propio dispositivo (Bring Your Own Device,  BYOD). En este caso se les instala la aplicación cliente del MDM que permitiría a los terminales tener acceso a los servicios internos de la empresa y dotarlos de seguridad adicional en las comunicaciones, en el acceso físico y en la utilización de cifrado en los datos internos.

2. Aspectos de seguridad a evaluar en los MDM

En caso de querer valorar la implantación de alguna solución MDM, se deberían tener en cuenta los siguientes puntos con el objetivo de asegurarse del cumplimiento de las políticas de seguridad ofrecidas.

2.1. Dispositivos

Los terminales móviles son el eslabón más débil en la plataforma, ya que es el medio de comunicación entre los empleados y los servicios de la empresa. El análisis de seguridad de la plataforma MDM debería tener en cuenta los siguientes aspectos:
  • Control de acceso: Los terminales implementan diversos controles para limitar el acceso al propio dispositivo o a sus recursos. Entre ellos: el PIN de acceso a la tarjeta SIM, la contraseña de acceso a la partición cifrada o el mecanismo de seguridad utilizado para desbloquear la pantalla.
  • Políticas de seguridad: Fuerzan a los terminales a cumplir un mínimo de los requisitos de seguridad establecidos a nivel corporativo. Las directivas pueden ser, entre otras, denegar el acceso a instalar nuevas aplicaciones, restringir el acceso a determinadas funcionalidades (como la cámara, el thetering, bluetooth, etc.) o incrementar la complejidad de las credenciales utilizadas por el usuario.
  • Análisis de los permisos: Es conveniente estudiar si las aplicaciones permitidas en los dispositivos pueden requerir funcionalidades no necesarias para la correcta operatividad. Estas funcionalidades son requeridas en el proceso de instalación y en la ejecución de las aplicaciones. Además, se deben considerar también los permisos que las aplicaciones asignan a los recursos de disco del terminal.
  • Protecciones técnicas: Son todas aquellas medidas generales que pretenden incrementar el nivel de seguridad y que se deberían analizar:
    • Seguridad del sistema: El acceso a procesos en ejecución, el acceso a ficheros o directorios, la ejecución de aplicaciones no firmadas, la configuración del firewall, etc.
    • Seguridad de los datos: El cifrado de los datos almacenados, el borrado remoto en el caso de pérdida o robo, o el borrado automático de los datos en caso de que se sobrepase el número máximo de intentos erróneos de acceso.
    • Aplicaciones de seguridad externas o complementarias: Por ejemplo, los antivirus así como todas las aplicaciones que aporten una capa extra de seguridad.
  • Análisis de las contraseñas: Los terminales pueden ser entregados a los empleados con una contraseña (de bloqueo o de cifrado) que pueda resultar poco robusta o, incluso, pueda ser la contraseña por defecto del terminal. Es por ello que se debe validar la existencia de políticas de bastionado que garanticen unos mínimos niveles de seguridad. Por ejemplo, a nivel de contraseñas, podría ser el uso de credenciales con caracteres alfanuméricos y signos de puntuación, una longitud mínima de diez caracteres, etc.
  • Análisis de datos: Se debe contemplar el análisis sobre los sistemas de ficheros con el objetivo de encontrar fugas de información que puedan haber generado las aplicaciones. Por ejemplo, ficheros temporales o ficheros con credenciales (cifradas o no), información sensible en ficheros de log, contenidos de bases de datos o ficheros XML, etc.
  • Análisis de la navegación por Internet: Si los dispositivos utilizan redes WiFi, las comunicaciones pueden ser interceptadas. Todas las comunicaciones deberían realizarse cifradas y los dominios permitidos deberían gestionarse a través de ACL en la pasarela proxy.
  • Análisis de la aplicación cliente: Se debe analizar el funcionamiento interno de la aplicación para verificar que las especificaciones de seguridad descritas en el producto realmente se cumplen. Sobretodo es importante verificar la seguridad del proceso de registro del terminal (enrollment) en el MDM .
  • Actualizaciones de aplicaciones y del sistema: Debe existir un mecanismo que, de forma transparente, aplique parches de seguridad en el sistema así como las actualizaciones de las aplicaciones.

2.2. Infraestructura y servidores

Dado que la solución MDM debe integrarse con la infraestructura existente, resulta necesario evaluar este proceso así como los elementos afectados. El análisis de seguridad de la infraestructura y servidores debería tener en cuenta los siguientes aspectos:
  • Análisis de la arquitectura y comunicación entre plataformas: Analizar los componentes de la infraestructura y cómo se establece la comunicación entre ellos. Dado que las comunicaciones deben ser cifradas es necesario incluir en el análisis los certificados utilizados. Este análisis implica también identificar y validar los protocolos de red utilizados, identificar deficiencias en los mismos, validar la información que se transmite entre los distintos elementos, así como analizar los canales confiables.
  • Análisis a nivel de servidor: Analizar el nivel de seguridad que ofrecen los servidores incluye tanto la evaluación del propio sistema como la de la aplicación que gestiona la plataforma MDM. Típicamente, esta evaluación se realiza mediante la ejecución de un test de intrusión (simulando la acción de un usuario malicioso que quisiera comprometer el sistema o la aplicación). Para ello es importante seguir metodologías alineadas con las buenas prácticas de la industria como, por ejemplo,  OSSTMM (Open Source Security Testing Methodology Manual, www.osstmm.org), PTES (Penetration Testing Execution Standard, www.pentest-standard.org) y Testing Guide de OWASP (Open Web Application Security Project, www.owasp.org).

3. Conclusiones

Debido a las necesidades de movilidad de los usuarios, la potencia de los terminales (y su rápida evolución) así como el hecho de requerir gestionar estos dispositivos de forma centralizada y segura, podemos predecir un claro incremento del nivel de implantación de las infraestructuras MDM en muchas organizaciones, en especial, en aquellas con un elevado número de empleados.

No descubrimos nada nuevo si hablamos de las bondades que aportan este tipo de soluciones a nuestra organización (asociadas a la gestión centralizada de la seguridad de nuestro parque de terminales), pero debemos ser conscientes que, como cualquier otro componente de nuestra infraestructura, puede sufrir vulnerabilidades y, por lo tanto, debe ser evaluado periódicamente y deben adoptarse las medidas que nos permitan solucionar o mitigar las deficiencias identificadas. Dicha evaluación debe realizarse sobre todos los elementos involucrados en la infraestructura MDM, y deben incluir la revisión, entre otros, de aspectos relacionados con deficiencias de configuración, ausencia de actualizaciones o incumplimientos de la política corporativa.

La solución MDM nos brinda opciones interesantes a nivel de securización y control de nuestro parque de terminales, pero no debemos olvidar que su eficiencia dependerá, en última instancia, de las políticas de seguridad existentes, la configuración que se establezca y del nivel de seguridad de nuestra infraestructura en general.


Autor: Tomás Velázquez - CEH
Departamento de Auditoría