Содержание
Контроль соответствия
В этом разделе приведены инструкции по контролю соблюдения корпоративных требований на устройствах и настройке правил контроля соответствия.
Контроль соответствия Android-устройств требованиям корпоративной безопасности
Вы можете контролировать Android-устройства на соответствие требованиям корпоративной безопасности. Требования корпоративной безопасности регламентируют работу пользователя с устройством. Например, на устройстве должна быть включена постоянная защита, базы вредоносного ПО должны быть актуальны, пароль устройства должен быть достаточно сложным. Контроль соответствия работает на основе списка правил. Правило соответствия состоит из следующих компонентов:
- критерий проверки устройства (например, отсутствие на устройстве запрещенных приложений);
- время, выделенное пользователю устройства для устранения несоответствия (например, 24 часа);
- действия, которые будут выполнены с устройством, если пользователь не устранит несоответствие в течение указанного времени (например, блокирование устройства).
Если устройство находится в режиме энергосбережения, приложение может выполнить эту задачу позже, чем указано. Для своевременного реагирования KES-устройств под управлением Android на команды администратора, следует включить использование сервиса Firebase Cloud Messaging.
Чтобы сформировать правило проверки устройств на соответствие групповой политике, выполните следующие действия:
- В дереве консоли в папке Управляемые устройства выберите группу администрирования, в которую входят Android-устройства.
- В рабочей области группы выберите закладку Политики.
- Откройте окно свойств политики двойным щелчком мыши по любому столбцу.
В течение 15 минут выполните следующие действия. По истечении этого времени при сохранении изменений политики может возникнуть ошибка.
- В политике, в окне Свойства выберите раздел Контроль соответствия.
- Чтобы получать уведомления об устройствах, не соответствующих политике, в разделе Уведомления о несоответствии установите флажок Уведомлять администратора.
Если устройство не соответствует политике, при синхронизации устройства с Сервером администрирования Kaspersky Endpoint Security для Android сформирует запись в журнале событий Обнаружено несоответствие: <название критерия для проверки>. Журнал событий можно просмотреть на закладке События в свойствах Сервера администрирования или в локальных свойствах программы.
- Чтобы уведомлять пользователя устройства о том, что его устройство не соответствует политике, в разделе Уведомления о несоответствии установите флажок Уведомлять пользователя.
Если устройство не соответствует политике, при синхронизации устройства с Сервером администрирования Kaspersky Endpoint Security для Android уведомляет пользователя об этом.
- В разделе Правила контроля соответствия сформируйте список правил проверки устройства на соответствие политике.
- Чтобы добавить новое правило, нажмите на кнопку Добавить.
Запустится мастер создания правила соответствия. Пройдите все шаги мастера, нажимая на кнопку Далее.
- Выберите критерий несоответствия правилу.
Доступны следующие критерии:
- Постоянная защита выключена.
Проверяет, было ли приложение установлено или запущено на устройстве.
- Базы вредоносного ПО устарели.
Проверяет, обновлялись ли базы вредоносного ПО 3 и более дней назад.
- Установлены запрещенные приложения.
Проверяет, содержит ли список приложений на устройстве приложения, запрещенные в Контроле приложений.
- Установлены приложения запрещенных категорий.
Проверяет, содержит ли список приложений на устройстве приложения из категорий, запрещенных в Контроле приложений.
- Не установлены все обязательные приложения.
Проверяет, содержит ли список приложений на устройстве приложение, установленное в качестве обязательного в Контроле приложений.
- Версия операционной системы устарела.
Проверяет соответствие версии Android на устройстве заданному диапазону разрешенных версий.
Для этого критерия укажите минимальную и максимальную разрешенные версии Android. Если в качестве максимальной разрешенной версии выбрано значение Любая, это означает, что будущие версии Android, поддерживаемые Kaspersky Endpoint Security для Android, будут также разрешены.
- Устройство давно не синхронизировалось.
Проверяет, как давно устройство синхронизировалось с Сервером администрирования последний раз.
Для этого критерия укажите максимальный период с момента последней синхронизации.
- На устройстве получены root-права.
Проверяет, взломано ли устройство (получены ли на устройстве права суперпользователя).
- Пароль разблокировки экрана не соответствует требованиям безопасности.
Проверяет, соответствует ли пароль разблокировки устройства параметрам, заданным в политике в разделе Управление устройством.
- Установлена неактуальная версия Kaspersky Endpoint Security для Android.
Проверяет актуальность версии приложения на устройстве.
Критерий применяется, только если приложение установлено с помощью инсталляционного пакета Kaspersky Endpoint Security для Android и если в блоке Обновление Kaspersky Endpoint Security для Android раздела Дополнительно свойств политики выбрана актуальная версия приложения.
Для этого критерия также укажите минимальную разрешенную версию Kaspersky Endpoint Security для Android.
- Использование SIM-карты не соответствует корпоративным требованиям.
Проверяет, была ли SIM-карта устройства заменена, вставлена или извлечена относительно предыдущего состояния проверки.
Вы также можете включить проверку установки дополнительной SIM-карты.
В некоторых случаях проверяется также замена, установка и извлечение eSIM-карты.
- Устройство находится в пределах или за пределами установленных геозон
Указание геозоны приведет к увеличению энергопотребления устройства.
Для этого критерия выберите требование, при нарушении которого нужно выполнить действие:
- Устройство находится в пределах любой геозоны из списка (геозоны объединяются с помощью логического оператора "ИЛИ").
- Устройство находится за пределами всех геозон из списка (геозоны объединяются с помощью логического оператора "И").
В блоке Список геозон вы можете добавлять, редактировать или удалять геозоны.
Чтобы добавить новую геозону:
- Нажмите на кнопку Добавить.
Открывает окно Добавить геозону.
- Укажите Название геозоны.
- В разделе Координаты периметра геозоны укажите широту и долготу для каждой точки.
Если вы хотите добавить более 3 точек, нажмите на кнопку Добавить точку. Чтобы удалить дополнительную точку, нажмите на кнопку X.
Для каждой геозоны можно вручную задать от 3 до 100 пар координат (широта, долгота) в формате десятичных чисел.
Периметр геозоны не должен содержать пересекающиеся прямые.
- Вы можете просмотреть указанную геозону в программе "Яндекс Карты", нажав на кнопку Посмотреть на карте.
- Нажмите на кнопку Добавить, чтобы добавить указанную геозону.
Новая геозона отобразится в списке.
Чтобы отредактировать геозону:
- Выберите геозону, которую вы хотите отредактировать, и нажмите на кнопку Изменить.
- Укажите новые параметры геозоны, как описано выше в этом разделе.
- Нажмите на кнопку Добавить.
Отредактированная геозона отобразится в списке.
Чтобы удалить геозону:
- Выберите геозону, которую вы хотите удалить, и нажмите на кнопку Удалить.
Геозона исчезнет из списка.
- У Kaspersky Endpoint Security для Android нет доступа к точному или фоновому местоположению
Проверяет наличие у приложения Kaspersky Endpoint Security для Android разрешения определять точное местоположение устройства или использовать данные о местоположении в фоновом режиме.
- Постоянная защита выключена.
- Выберите действия, которые будут выполняться при обнаружении указанного критерия несоответствия. Вы можете добавить несколько критериев. Их можно объединить с помощью логического оператора "И".
Некоторые действия Контроля соответствия являются длительными. Длительные действия применяются до выполнения одного из следующих условий:
- Критерий несоответствия правилу перестал действовать.
- Применена политика, в которой удалено соответствующее правило Контроля соответствия.
Доступны следующие действия:
- Блокировка всех приложений, кроме системных
Запуск всех приложений, кроме системных, на мобильном устройстве пользователя заблокирован.
Как только критерий несоответствия правилу перестанет обнаруживаться на устройстве, приложения автоматически разблокируются.
- Заблокировать устройство
Мобильное устройство заблокировано. Для получения доступа к данным необходимо разблокировать устройство. Если после разблокирования устройства причина блокировки не устранена, устройство будет заблокировано снова через указанный период.
- Удалить корпоративные данные
Корпоративные данные удалены с устройства. Перечень удаленных данных зависит от режима работы устройства.
- На личном устройстве удалены KNOX-контейнер и почтовый сертификат.
- Если устройство работает в режиме device owner, удалены KNOX-контейнер и сертификаты, установленные приложением Kaspersky Endpoint Security для Android (почтовые и VPN-сертификаты, сертификаты, полученные через профили SCEP, кроме мобильных сертификатов).
- Дополнительно, если установлен рабочий профиль Android, удален рабочий профиль (содержимое, настройки и ограничения) и сертификаты, установленные в рабочем профиле (почтовые и VPN-сертификаты, сертификаты, полученные через профили SCEP, кроме мобильных сертификатов).
- Сброс настроек до заводских
Удалены все данные с мобильного устройства, настройки мобильного устройства сброшены до заводских. После выполнения этого действия устройство перестает быть управляемым. Для подключения устройства к Kaspersky Security Center требуется повторно установить Kaspersky Endpoint Security для Android.
На устройствах под управлением Android 14 или выше эта реакция применяется только в том случае, если устройство работает в режиме device owner.
- Блокировка рабочего профиля
Рабочий профиль на устройстве заблокирован. Для получения доступа к рабочему профилю необходимо его разблокировать. Если после разблокирования рабочего профиля причина блокировки не устранена, рабочий профиль будет снова заблокирован через указанный период.
Это действие применяется только на устройствах под управлением Android 6 или выше.
После блокирования рабочего профиля история паролей рабочего профиля очищается. Это означает, что пользователь может повторно использовать один из недавних паролей, независимо от параметров пароля для рабочего профиля.
- Удалить данные всех приложений
Это действие применяется только на устройствах под управлением Android 9 или выше в режиме device owner или с созданным рабочим профилем Android.
Если устройство работает в режиме device owner, удаляются данные всех приложений. Если на устройстве создан рабочий профиль Android, удаляются данные всех приложений в рабочем профиле.
В результате настройки приложений сброшены до установленных по умолчанию.
- Удалить данные указанного приложения
Это действие применяется только на устройствах под управлением Android 9 или выше в режиме device owner или с созданным рабочим профилем Android.
Для этого действия необходимо указать название пакета приложения, данные которого будут удалены. Как получить имя пакета приложения
В результате настройки приложения сброшены до установленных по умолчанию.
- Запрет на запуск устройства в безопасном режиме
Пользователю запрещено запускать устройство в безопасном режиме.
Это действие применяется только на устройствах под управлением Android 6 или выше в режиме device owner.
Это длительное действие.
- Запретить использование камеры
Пользователю запрещено использовать все имеющиеся на устройстве камеры.
Это длительное действие.
- Запретить использование Bluetooth
Пользователю устройства запрещено включать Bluetooth и изменять его параметры в Настройках.
Это действие применяется только на устройствах под управлением Android 12 или ниже в режиме device owner или с созданным рабочим профилем Android.
Это длительное действие.
- Запретить использование Wi-Fi
Пользователю устройства запрещено использовать Wi-Fi и изменять его параметры в Настройках.
Это действие применяется только на устройствах, работающих в режиме device owner (все версии Android), личных устройствах под управлением Android 9 или ниже.
Это длительное действие.
- Запрет на использование функций отладки по USB
Пользователю запрещено использовать функции отладки по USB и режим разработчика на устройстве.
Это действие применяется только на устройствах, работающих в режиме device owner, или устройствах с созданным рабочим профилем Android.
Это длительное действие.
- Запрет режима полета
Пользователю запрещено включать режим полета на устройстве.
Это действие применяется только на устройствах под управлением Android 9 или выше в режиме device owner.
Это длительное действие.
Новое правило появится в разделе Правила контроля соответствия.
- Чтобы временно выключить сформированное правило, используйте переключатель напротив выбранного правила.
- В блоке Действия при удалении пользователей из Active Directory можно выбрать действия, которые будут выполняться на устройствах при удалении пользователей из Active Directory.
Для этих настроек необходима интеграция с Microsoft Active Directory.
Чтобы включить автоматическое удаление данных с устройств, связанных с неактивными учетными записями пользователей Active Directory, установите флажок Удалять данные неактивных пользователей Active Directory и выберите одно из следующих действий:
- Удалить корпоративные данные
- Сбросить настройки до заводских
На устройствах под управлением Android 14 или выше это действие применяется только в том случае, если устройство работает в режиме device owner.
- Нажмите на кнопку Применить, чтобы сохранить внесенные изменения.
Параметры на мобильном устройстве будут изменены после очередной синхронизации устройства с Kaspersky Security Center. Если устройство пользователя не соответствует правилам, к устройству применяются ограничения, которые вы указали в списке правил проверки.
В началоКонтроль соответствия iOS MDM-устройств требованиям корпоративной безопасности
Контроль соответствия позволяет контролировать соблюдение требований корпоративной безопасности на iOS MDM-устройствах и принимать меры в случае обнаружения несоответствия требованиям. Контроль соответствия работает на основе списка правил. Каждое правило содержит следующие компоненты:
- статус (правило включено или выключено);
- критерии несоответствия (например, отсутствие указанных приложений или версия операционной системы на устройстве);
- действия, выполняемые на устройстве, если обнаружено несоответствие (например, удалить корпоративные данные или отправить пользователю сообщение электронной почты).
Чтобы создать правило:
- В дереве консоли в папке Управляемые устройства выберите группу администрирования, в которую входят iOS MDM-устройства.
- В рабочей области группы выберите закладку Политики.
- Откройте окно свойств политики двойным щелчком мыши по любому столбцу.
В течение 15 минут выполните следующие действия. По истечении этого времени при сохранении изменений политики может возникнуть ошибка.
- В политике, в окне Свойства выберите раздел Контроль соответствия.
- В разделе Правила Контроля соответствия нажмите Добавить.
Запустится мастер создания правила контроля соответствия.
- Установите флажок Включить правило, если хотите включить правило. Если флажок снят, правило выключено.
- На закладке Критерии несоответствия нажмите Добавить критерий и выберите критерий несоответствия для правила. Вы можете добавить несколько критериев. Их можно объединить с помощью логического оператора "И".
Доступны следующие критерии:
- Список приложений на устройстве
Проверяет список приложений на устройстве на наличие запрещенных приложений или на отсутствие обязательных приложений.
Для этого критерия необходимо выбрать тип проверки (содержит или не содержит) и указать идентификатор пакета приложения. Как получить идентификатор пакета приложения
- Версия операционной системы
Проверяет версию операционной системы на устройстве.
Для этого критерия необходимо выбрать оператор сравнения (Равно, Не равно, Меньше, Меньше или равно, Больше или Больше или равно) и указать версию iOS.
Операторы равно и не равно проверяют полное соответствие версии операционной системы указанному значению. Например, если в правиле указать версию 15, а устройство работает на iOS 15.2, то условие равно не будет выполнено. Если необходимо указать диапазон версий, вы можете создать два критерия, использовав операторы меньше и больше.
- Режим управления
Проверяет режим управления устройством.
Для этого критерия необходимо выбрать режим (Устройство в режиме supervised или Неконтролируемое устройство).
- Тип устройства
Проверяет тип устройства.
Для этого критерия необходимо выбрать тип устройства (iPhone или iPad).
- Модель устройства
Проверяет модель устройства.
Для этого критерия необходимо выбрать оператор (Входит в список или Не входит в список) и перечислить модели, которые будут проверяться или исключаться из проверки соответственно.
Чтобы указать модель, введите хотя бы один символ в поле Идентификатор и выберите нужную модель из появившегося списка. Список содержит коды мобильных устройств и соответствующие им публичные названия. Например, чтобы добавить все модели iPhone 14, введите "iPhone 14". В этом случае можно выбрать любую из доступных моделей: "iPhone 14", "iPhone 14 Plus", "iPhone 14 Pro", "iPhone 14 Pro Max".
В некоторых случаях одно публичное название может соответствовать нескольким кодам мобильных устройств (например, публичное название "iPhone 7" соответствует двум кодам мобильных устройств – "iPhone 9.1" и "iPhone 9.3"). Убедитесь, что выбрали все коды мобильных устройств, которые соответствуют нужным моделям.
При вводе значения, отсутствующего в списке, ничего не будет найдено. Тем не менее, вы можете нажать на кнопку OK и добавить введенное значение к критерию.
- Устройство находится в роуминге
Проверяет, находится устройство в роуминге (если выбрано Да) или нет (если выбрано Нет).
- Пароль устройства установлен
Проверяет, установлен пароль (если выбрано Да) или нет (если выбрано Нет).
При выборе Да, укажите, должен ли пароль устройства соответствовать (при выборе Соответствует политике) или не соответствовать (при выборе Не соответствует политике) параметрам, указанным в разделе Параметры пароля.
- Свободное пространство
Проверяет, является ли объем свободного пространства на устройстве меньше указанного порога.
Для этого критерия укажите пороговое значение свободного пространства и выберите единицу измерения (ГБ или МБ).
- Устройство не зашифровано
Проверяет, зашифровано ли устройство.
На iOS-устройствах шифрование данных включено по умолчанию, если установлен пароль для разблокировки устройства (Настройки > Touch ID и пароль / Face ID и пароль > Включить пароль). Также для аппаратного шифрования на устройстве должно быть установлено значение На уровне блоков и файлов (этот параметр можно проверить в свойствах устройства: в дереве консоли выберите Управление мобильными устройствами > Мобильные устройства и дважды щелкните мышью по нужному устройству).
- SIM-карта заменена
Проверяет, была ли SIM-карта устройства заменена, вставлена или извлечена относительно предыдущего состояния проверки.
Вы также можете включить проверку установки дополнительной SIM-карты.
На устройствах, совместимых с eSIM, обнаруженное несоответствие невозможно удалить, вставив ранее удаленную eSIM. Это связано с тем, что операционная система устройства распознает каждую добавленную карту eSIM как новую. В этом случае вам необходимо удалить правило Контроля соответствия из политики.
- Не синхронизировалось дольше, чем
Проверяет, как давно устройство синхронизировалось с Сервером администрирования последний раз.
Для этого критерия укажите максимальное время с момента последней синхронизации и выберите единицы измерения (часы или дни).
Мы не рекомендуем указывать значение меньше значения параметра Частота обновления информации об устройстве в настройках Сервера iOS MDM.
Если указаны противоречащие друг другу критерии (например, в поле Тип устройства указано значение iPhone, выбран оператор Входит в список, а в списке значений Модель устройства указана модель iPad), отобразится сообщение об ошибке. Такое правило сохранить невозможно.
- Список приложений на устройстве
- На закладке Действия укажите действия, которые будут выполняться на устройстве при обнаружении всех указанных критериев несоответствия.
Действия выполняются во время проверки соблюдения правил соответствия (1 раз в 40 минут) до следующей синхронизации с Сервером администрирования. Чтобы одно и то же несоответствие не обнаруживалось при каждом выполнении повторяющихся действий, в настройках Сервера iOS MDM для параметра Частота обновления информации об устройстве установите значение 30 минут.
Добавить действие можно одним из следующих способов:
- Нажмите кнопку Добавить действие, если действие должно быть выполнено на устройстве сразу после обнаружения несоответствия.
- Нажмите кнопку Добавить отложенное действие, если вы хотите установить период времени, в течение которого пользователь может устранить несоответствие. Если несоответствие не будет устранено в течение указанного периода, на устройстве будет выполнено действие.
Доступны следующие действия:
- Отправить сообщение пользователю
Пользователь устройства будет проинформирован о несоответствии по электронной почте.
Для этого действия необходимо указать адрес(-а) электронной почты пользователя. При необходимости можно отредактировать заданный по умолчанию текст сообщения электронной почты.
- Удалить корпоративные данные
Будут удалены все установленные конфигурационные профили, provisioning-профили, iOS MDM-профиль и приложения, для которых был установлен флажок Удалять вместе с iOS MDM-профилем. Действие выполняется с помощью отправки команды Удалить корпоративные данные.
- Установить профиль
Конфигурационный профиль будет установлен на устройстве. Действие выполняется с помощью отправки команды Установить профиль.
Для этого действия необходимо указать идентификатор устанавливаемого конфигурационного профиля.
Когда критерии несоответствия правилу перестанут обнаруживаться на устройстве, можно отменить действие, отправив устройству соответствующую команду.
- Удалить профиль
Конфигурационный профиль будет удален с устройства. Действие выполняется с помощью отправки команды Удалить профиль.
Для этого действия необходимо указать идентификатор удаляемого конфигурационного профиля.
Когда критерии несоответствия правилу перестанут обнаруживаться на устройстве, можно отменить действие, отправив устройству соответствующую команду.
- Удалить все профили
Все ранее установленные конфигурационные профили будут удалены с устройства.
Когда критерии несоответствия правилу перестанут обнаруживаться на устройстве, можно установить удаленные конфигурационные профили один за другим, отправив устройству соответствующую команду.
- Обновить ОС
Операционная система устройства обновлена.
Для этого действия необходимо выбрать конкретную операцию (Загрузить и установить, Только загрузить или Только установить, чтобы установить ранее загруженную версию) и версию iOS для загрузки и/или установки.
- Изменить настройки Bluetooth (только для supervised)
Для этого действия необходимо выбрать, требуется ли включить или отключить Bluetooth на устройстве.
Когда критерии несоответствия правилу перестанут обнаруживаться на устройстве, можно отменить действие, отправив устройству соответствующую команду.
- Сбросить настройки до заводских
Удалены все данные с устройства, настройки устройства сброшены до установленных по умолчанию.
- Удалить управляемое приложение
Для этого действия необходимо указать идентификатор пакета управляемого приложения, которое требуется удалить с устройства. Приложение считается управляемым, если оно установлено на устройство с помощью Kaspersky Security Center. Как получить идентификатор пакета приложения
Когда критерии несоответствия правилу перестанут обнаруживаться на устройстве, можно отменить действие, отправив устройству соответствующую команду.
- Удалить все управляемые приложения
Все управляемые приложения удаляются с устройства. Приложение считается управляемым, если оно установлено на устройство с помощью Kaspersky Security Center.
Когда критерии несоответствия правилу перестанут обнаруживаться на устройстве, можно установить удаленные приложения одно за другим, отправив устройству соответствующую команду.
- Удалить профиль(и) указанного типа
Для этого действия необходимо выбрать тип профиля, удаляемого с устройства (например, Веб-клипы или Подписки на календари).
Как только критерии несоответствия правилу перестанут обнаруживаться на устройстве, удаленные профили автоматически восстановятся.
- Изменить параметры роуминга
Для этого действия необходимо выбрать, требуется ли включить или отключить роуминг данных на устройстве.
Когда критерии несоответствия правилу перестанут обнаруживаться на устройстве, можно отменить действие, отправив устройству соответствующую команду.
Если указаны противоречащие друг другу действия (например, Включить Bluetooth и Отключить Bluetooth одновременно), отобразится сообщение об ошибке. Такое правило сохранить невозможно.
- Нажмите на кнопку OK, чтобы сохранить правило и закрыть мастер.
Новое правило появится в списке в разделе Правила Контроля соответствия.
- В блоке Действия при удалении пользователей из Active Directory можно выбрать действия, которые будут выполняться на устройствах при удалении пользователей из Active Directory.
Для этих настроек необходима интеграция с Microsoft Active Directory.
Чтобы включить автоматическое удаление данных с устройств, связанных с неактивными учетными записями пользователей Active Directory, установите флажок Удалять данные неактивных пользователей Active Directory и выберите одно из следующих действий:
- Удалить корпоративные данные
- Сбросить настройки до заводских
Если вы используете профили политики, убедитесь, что вы выставили опцию удаления данных на всю политику. После удаления пользователя из Active Directory он в первую очередь удалится из группы пользователей Active Directory. Из-за того что профиль политики перестанет действовать на аккаунт пользователя, данные не удалятся с устройства.
- Нажмите на кнопку Применить, чтобы сохранить внесенные изменения.
Параметры на мобильном устройстве будут изменены после очередной синхронизации устройства с Kaspersky Security Center.
В начало