このページは、MobiControl v14.4での画面表示に基づいて、記述されています。
A. ウィルスチェックをしていないAndroid端末を探す
Android端末は、SOTIのウィルス対策ファイルサーバから定期的にウィルス対策ファイルをダウンロードします。そして、そのファイルに基づいて、
端末はウィルススキャンをします。SOTIのウィルス対策ファイルは、
BitDefender社によって更新されています。
ウィルススキャンの結果、ウィルスが検出されたら、
アラート・ルールに基づき、関係者にメール通報がされ、当該端末の画面にもその旨が表示されます。
更には、当該端末の端末グループ移動を自動実施し、電話機能のみのランチャー起動により端末機能の無害化などを実施します。
これらの措置を実施できるのは、端末がウィルス対策ファイルを装填していることが、前提です。
次の「ウィルスチェックをしていないAndroid端末を探す」をクリックください。
保存した端末フィルタ条件式の名前をクリックだけで、ウィルスチェックをしていないAndroid端末が表示されます。
ウィルスチェックをしていないAndroid端末を探す作業は、頻度多く実施することをお勧めします。
B. 構成プロファイルがインストールされてない端末を探す
構成プロファイルを端末グループに割り当てたのにかかわらず、それがインストールされてないことは、なんらかの問題があります。
そこで、構成プロファイルがインストールされてない端末を探します。
情報漏洩を防ぐために、構成プロファイルで、様々な機能制限を端末に課すことができます。
その情報漏洩を防ぐ機能制限項目は、多々ありますが、次はその例です。
| 対象 | 設定項目 | 防ごうとするリスク |
|---|
| iOS | 端末データをiCloudへバックアップさせない |
会社支給端末内のドキュメントをiCloudにアップロードし、私物のPCなどでそれをダウンロードし、社外へ持ち出す。 |
|---|
macOS
コンピュータ | My Mac iCloudサービスに戻ることを無効にする | iCloudの「どこでも My Mac」を利用し、会社のmacOSコンピュータと
自宅のコンピュータとの間でデータを共有できる。会社のコンピュータのデータを自宅のコンピュータにも取り込める。 |
|---|
| Android Plus | USBストレージの機能停止 | 端末をUSBストレージとして使う。
会社のPCにUSB接続し、会社のサーバやPCのデータを端末にコピーする。端末にコピーされたデータが社外に流出する可能性がある。
|
|---|
| Android Enterprise | USBファイル転送およびUSBストレージを無効にする |
|---|
次の「構成プロファイルがインストールされてない端末を探す」をクリックしてください。
C. 本日一度もチェックインしてないiOS端末及びmacOSコンピュータを探す
iOS端末及びmacOSコンピュータは、デフォルトでは、2時間に1回は、MobiControlサーバにチェックインします。
しかし、その端末が24時間経過しても、チェックインしてないのは、なんらかの問題があります。
理由として、「インターネットに接続していない環境におかれている」「バッテリが上がっている」「電源オフになっている」などが考えられます。
紛失も考えられます。
次の「本日一度もチェックインしてないiOS端末及びmacOSコンピュータを探す」をクリックください。
D. iOS端末及びmacOS以外で、本日一度もチェックインしてないの端末やエンドポイントPCを探す
本日一度もチェックインしてないAndroid端末及びWindows PCを探します。
それには、前項の(図C2)で、「MDMステータス更新」の替わりに、「エージェントチェックイン時間」を選択します。
端末一覧に表示されるコラムに、端末プロファイルとして「エージェントチェックイン時間」を加えておくと、端末一覧に
端末毎のチェックイン日時が表示されます。
E. 互換性のあるTPMを組み込んでないWindows PCを探す
TPM(Trusted Platform Module)は、暗号化/復号鍵などを保存しておく、ハードウェアモジュールです。
TPMが組み込まれてないWindows PC は、ドライブの暗号化ができません。盗難に遭うと、
HDDを他のPCの外付けドライブとするだけで、すぐに情報は漏洩します。
TPMのバージョンには、1.2と2.0があります。TPM2.0でないと、次項で述べる、Microsoftの正常性構成証明書の中のレポートプロパティには
何も記述されてきません。
TPM2.0を「互換性のあるTPM」と呼びます。
社内で、互換性のあるTPMを組み込んでないPCを検出します。
次の「互換性のあるTPMを組み込んでないWindows PCを探す」をクリックしてください。
F. 正常性構成証明の内容が不適切なWindows PCを探す
ウィルス対策ソフトを導入しただけでは、Windows PCは安全ではありません。
標的型攻撃では、正常な業務内容と見まがうメールに、暗号化したマルウェアファイルを添付します。暗号化しているのでウィルス対策ソフトは開くことができずスルーします。
そして、別メールでそのパスワードを送ってきます。普通の従業員は、業務上の義務としてそのファイルを開けてしまいます。
ファイルレス・マルウェアもあります。これはファイルがないので、ウィルス対策ソフトをすり抜けて、PCに侵入し、リモート操作ができる環境を設定します。
そして、社内サーバへのログインIDとパスワードを盗みます。そして、貴社の重要データを盗みます。
攻撃者は、例えばメモリダンプツールなどを使って、PC内のパスワード情報や認証トークンを盗みます。
Windows10では、これらの重要情報は、独立したセキュリティ領域に保存できます。当該PCのローカル管理者権限のアカウントを盗んでも、Windows OSのどの機能を使っても、このセキュリティ領域を開けることができません。
「泥棒が家に侵入しても、金庫の鍵は開けられない」状態にできます。
このセキュリティ領域が設定されているか否かを含め、PCの構成が正常であるかどうかを、Microsoftはチェックをし、報告書をMobiControlに送ってきてくれます
コンソールの端末一覧の中の
Windows Modern PCの端末名をクリックすると、「端末の詳細」の画面が現れます。この画面の右下に、「デバイス正常性構成証明の詳細」のセクションがあります。
このセクションに、Microsoftから送られてきた「デバイス正常性構成証明書」の内容が記されています。多くのチェック項目が記載されています。
その中で、「
仮想セキュアモードが有効」と報告されていれば、前述の「泥棒が家に侵入しても、金庫の鍵は開けられない」状態になっています。
しかし、
「仮想セキュアモードが無効」になっていれば、そのPCは危険です。
日本の企業の中には、「仮想セキュアモードが無効」のままになっているPCが多くあると言われています。貴社も、Microsoftの「デバイス正常性構成証明書」を入手することを
強くお勧めします。
MobiControlなどのMDMを導入しないと、Microsoftの「デバイス正常性構成証明書」は入手できません。
詳しくは、「
Windows PC正常性構成証明書を参照ください。
次の「正常性構成証明の内容が不適切なWindows PCを探す」をクリックしてください。
ウィルス対策ソフトの導入をしていなくても、MobiControlは、MicrosoftのWindows Defenderで、ウィルススキャンを行います。
Windows Defenderが有効になっているかどうかも、正常性構成証明書の中に記述されています。
G. 端末ユーザの操作によりMobiControlによる管理から離脱した端末を探す
端末ユーザの操作により、端末やPCをMobiControlによる管理から離脱(登録解除)させることがあります。
これらは私用に使われているかもしれません。他人の手に渡っても、コンソール管理者は管理できません。
次の「端末ユーザの操作によりMobiControlによる管理から離脱した端末を探す」をクリックください。
- iOS端末では、監視モードに設定してあれば、端末側操作では、MobiControlからの登録解除はできなくすることができます。
詳しくは、「端末操作でのMobiControl登録の解除」を参照ください。
- Android端末でも、端末側操作では、MobiControlから登録解除ができないようにすることができます。
詳しくは、「端末登録解除の禁止」を参照ください。
H. 「脱獄」または「ルート奪取」をした端末を探す
「脱獄(ジェイルブレーク)」をしたiOS端末と、「ルート奪取」をしたAndroid端末を探します。
どちらのインシデントも、アラートルールを設定しておけば、関係者に通報メールを送り、端末の無害化を実施できます。
次の「脱獄」または「ルート奪取」をした端末を探す」をクリックください。
以上、危険な端末を探すための、端末フィルタ条件の作り方を、幾つか紹介しました。
これ以外のリスクを持つ端末を探したい場合は、適宜、端末フィルタ条件を作成して検索を実施してください。
端末フィルタ条件は、端末プロパティに着目し、その値が一定の値だと、フィルタリングするようになっています。
(図A2)などを開いてみるとお分かりのように端末プロパティは、100種類以上あります。
端末プロパティに関しては、「
端末一覧の端末プロパティの入れ替え」を、
参照ください。
適切な端末プロパティを端末一覧に常時表示することでも、危険な端末を把握することができます。
また、アラートルールを設定することにより、異常事態の発生に対し、関係者に報知メールを出し、端末を無害化することもできます。
I. 指定するアプリをインストールしている端末を列挙
を押すと、 ウィルスチェックをしていないAndroid端末の一覧が表示されます。
のように変ります。 ディスケットマーク(赤矢印)をクリックすると、(図A5)の端末フィルタ条件式を保存できます。端末フィルタ条件式に対する任意の名前を入力します。
保存した端末フィルタ条件式の名前をクリックだけで、ウィルスチェックをしていないAndroid端末が表示されます。
