Zum Hauptinhalt springen

Lücken im MDM mit XFA finden

Nutzen Sie diese Anleitung, wenn Sie bereits ein MDM haben und sehen wollen, welche Geräte es nicht zuverlässig abdeckt. XFA geht von der Aktivität im Identity Provider aus, findet die Geräte, die tatsächlich auf Arbeitsanwendungen zugreifen, prüft den Sicherheitsstatus bei der Anmeldung und leitet Benutzer an, Probleme zu beheben.

Bevor Sie beginnen

Sie brauchen:

  • Eine Administratorrolle in XFA.
  • Administratorzugriff auf Ihren Identity Provider.
  • Zugriff auf die aktuelle Geräteliste Ihres MDM.
  • Eine Gruppe für den Start, zum Beispiel ein Team, eine Abteilung, eine Gruppe externer Mitarbeiter oder den Besitzer einer Anwendung.
  • Eine Geräterichtlinie in XFA, oder einen Entwurf der Checks, die Sie verlangen wollen.
  • Eine Anwendung oder einen Weg über den Identity Provider, auf dem XFA Device Trust durchsetzen soll.

1. Discovery anbinden

Gehen Sie in XFA zu Discovery und binden Sie den Identity Provider an, der die Anmeldeaktivität der Startgruppe enthält:

Discovery braucht einen angebundenen Identity Provider. Es zeigt Geräte, die es über die Anmeldeaktivität sieht, auch Arbeitsgeräte, die nie in der Liste Ihres MDM gelandet sind.

2. Die Zugriffslücken finden, die die MDM-Liste übersieht

Öffnen Sie Geräte und vergleichen Sie die Geräteliste von XFA mit der Liste Ihres MDM.

Achten Sie auf:

  1. Geräte in XFA, die in der MDM-Liste fehlen.
  2. Benutzer mit mehr Arbeitsgeräten, als das MDM zeigt.
  3. Geräte externer Mitarbeiter, private, gemeinsam genutzte oder mobile Geräte, die trotzdem an Arbeitsanwendungen kommen.
  4. Anwendungen, bei denen Zugriff außerhalb der Abdeckung des MDM stattfindet.

Darin liegt der Wert von XFA während einer Umstellung: XFA geht vom tatsächlichen Zugriff aus. Es zeigt, welche Geräte Ihre Arbeitsumgebung berühren, und lässt Sie diese Geräte prüfen, bevor sie an geschützte Anwendungen kommen.

Die Liste Ihres MDM und der tatsächliche Zugriff auf Anwendungen beantworten verschiedene Fragen. Geht es um Sicherheit bei der Anmeldung, nutzen Sie XFA als Entscheidungspunkt, denn es prüft das Gerät, das gerade auf Arbeitsanwendungen zugreifen will.

3. Die erste Lücke wählen, die Sie schließen

Wählen Sie eine Gruppe oder Anwendung, bei der die Lücke sichtbar und bedeutsam ist.

Gute erste Ziele sind:

  • Private Geräte oder Geräte externer Mitarbeiter.
  • Benutzer mit entdeckten Geräten, die nicht in der MDM-Liste stehen.
  • Anwendungen, die aus Browsern oder von Geräten außerhalb der MDM-Liste genutzt werden.
  • Wichtige Anwendungen, bei denen der Sicherheitsstatus bei der Anmeldung geprüft werden sollte.

Halten Sie den ersten Rollout klein genug, um den Ablauf selbst zu testen und Benutzern schnell zu helfen.

4. Die XFA-Richtlinie festlegen

Gehen Sie zu Richtlinien und legen Sie die Richtlinie für diesen Rollout an oder passen Sie sie an.

Beginnen Sie mit Checks, die unabhängig davon gelten, wem das Gerät gehört:

  • Version des Betriebssystems.
  • Browserversion.
  • Festplattenverschlüsselung.
  • Bildschirmsperre.
  • Antivirus.
  • Neustart des Geräts.

Für einen sanften Start stellen Sie die ersten Checks auf Warnen. Bei Anwendungen mit hohem Risiko stellen Sie die Checks, die bestanden sein müssen, auf Blockieren. Mit XFA gilt bei der Anmeldung überall derselbe Maßstab für den Sicherheitsstatus, auch für Geräte, die Ihre bisherige Abdeckung nicht gesehen hat.

5. Benutzer über Awareness oder Enforcement onboarden

Sie können Benutzer auf zwei Wegen onboarden.

Nutzen Sie Awareness, wenn Sie Benutzer einladen wollen, bevor sie auf einen Check bei der Anmeldung treffen:

  1. Legen Sie unter Einstellungen für Einladungen und Sicherheitsbenachrichtigungen den Geltungsbereich mit Desktop-Geräte, Mobile Geräte, Nur nicht verwaltete Geräte oder Nach Gruppen filtern fest.
  2. Aktivieren Sie unter Onboarden Sie Ihr Team per E-Mail den Einladungskanal, zum Beispiel Automatische Einladungen per E-Mail senden.
  3. Stellen Sie unter Onboarding-Erinnerungen bei Senden alle den Abstand der Erinnerungen ein.
  4. Senden Sie sich selbst eine Testeinladung, bevor Sie den breiteren Rollout speichern.

Nutzen Sie Enforcement, wenn die Anmeldung das Onboarding antreiben soll. Das geht schneller, denn Benutzer begegnen XFA, sobald sie die geschützte Anwendung öffnen. Es kann auch mehr Reibung erzeugen, beginnen Sie also mit einer abgegrenzten Gruppe oder mit Warnen, sofern die Anwendung nicht sofort blockieren muss.

Sehen Benutzer XFA beim Onboarding oder bei der Anmeldung, ergänzen Sie einen kurzen Hinweis auf den Support über eigene Nachrichten beim Onboarding und bei der Anmeldung. Diese Nachricht erscheint im XFA-Webablauf und kann Benutzer auf Ihren Support-Kanal verweisen.

6. Enforcement einsetzen, um die Lücke zu schließen

Gehen Sie zu Enforcement und schützen Sie die Anwendung oder den Weg über den Identity Provider, den Sie gewählt haben.

  1. Wählen Sie Neu.
  2. Wählen Sie den Typ der Integration.
  3. Weisen Sie die Richtlinie zu, die Sie vorbereitet haben.
  4. Testen Sie zuerst mit Ihrem eigenen Benutzer.
  5. Beginnen Sie mit Warnen, wenn Sie erst Überblick gewinnen wollen, bevor Sie blockieren.

Nutzen Sie für SAML-Anwendungen Eine SAML-Anwendung in XFA anlegen.

Prüfen, ob es funktioniert hat

Prüfen Sie:

  • Geräte zeigt Geräte, die in der MDM-Liste fehlten.
  • Personen zeigt Benutzer, die sich von Ermittelt oder Eingeladen in Richtung Onboarding abgeschlossen bewegen.
  • Ihre eigene Testeinladung kommt an und führt zum erwarteten XFA-Ablauf.
  • Ihre eigene Anmeldung an der geschützten Anwendung zeigt das erwartete Verhalten, Warnen oder Blockieren.
  • Enforcement zeigt die geschützte Integration mit der erwarteten Richtlinie.

Hinweise und Fehlersuche

  • Findet XFA mehr Geräte als das MDM, nutzen Sie die Anmeldespur im Identity Provider, um zu sehen, wo diese Geräte an Arbeitsanwendungen kommen.
  • Ist ein entdecktes Gerät noch nicht verifiziert, nutzen Sie eine Einladung über Awareness oder einen Enforcement-Ablauf, um den Benutzer durch die Verifizierung zu führen.
  • Fragen Benutzer nach der Privatsphäre, erklären Sie, dass XFA Sicherheitseinstellungen prüft und beim Beheben anleitet. Es liest keine persönlichen Dateien, keinen Browserverlauf, keine Nachrichten und keinen Standort.
  • Sind Sie bereit, das MDM aus dem Zugriffspfad zu nehmen, nutzen Sie Von einem MDM zu XFA wechseln.