Настройка MAM Intune в Azure AD
Содержание лекции: Настройка MAM Intune в Azure AD
Расшифровка лекции: Настройка MAM Intune в Azure AD
Полный текст первых минут лекции «Настройка MAM Intune в Azure AD» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.
Добро пожаловать на лекцию про WIP. WIP – это Windows Information Protection, технология Майкрософта по защите от утечки информации. У Майкрософта есть несколько технологий, как защитить организацию от утечки тайной внутренней информации по ошибке в личные незащищенные файлы.
И это все часть от MAM. Что такое MAM? MAM – это Mobile Application Management. Этот термин имеет в виду накладывание политик безопасности на приложение.
Как групполиси для девайсов, также есть политика на уровне конкретного приложения, не управляя устройством. Еще раз мы говорим про приложение, аппликацию, Mobile Application Management, управление конкретным приложением.
И в Майкрософте это называется одна из таких технологий WIP. Идея в том, что люди приносят свои личные девайсы, свои личные телефоны и Windows из дома.
И есть повышенный риск случайной утечки информации, потому что люди работают со своим устройством, на котором политика организации не распространяется. И они могут случайно через e-mail, например, переслать тайную информацию с помощью copy-paste из личного e-mail ящика внутрь e-mail ящика организации.
То есть, они могут по ошибке сделать copy-paste и послать письмо не из корпоративного защищенного почтового ящика, а через свой личный Gmail.
Кажется, и Лерри Клинтон так случайно посылала все время информацию тайную через Gmail, который не был защищен политикой безопасности американских спецслужб.
Вот именно это мы хотим предотвратить, чтобы человек случайно не делал копий-пейс, чтобы человек случайно внутреннюю тайную информацию организации не пересылал через личный email-аккаунт, через Gmail, который не защищен.
Это все называется утечка информации. И вообще мы говорим о случайной утечке, не злоумышленников. Также у Майкрософта есть и другие технологии, чтобы предотвратить утечку информации.
Например, Azure Write Management. До этого это называлось RMS. Write Management Server. Этот RMS, он тоже предназначен, чтобы предотвратить утечку информации.
Но он уже требует сервер, и он уже более умный. И умеет шифровать этачменты имейлов. И когда даже email уходит из моего компьютера к какому-то постороннему человеку, он уходит зашифрованный, и тот, чтобы расшифровать его, должен получить сертификат и ключ для расшифровки.
И вместе с сертификатом он получает политику безопасности, которую я настроил как хозяин файла.
Например, этот файл нельзя никому пересылать или его нельзя распечатывать. Вот этот вот Azure Write Management, он намного умнее, потому что он выходит за границы одного конкретного компьютера, но он требует отдельную лицензию и отдельную настройку, и надо каждому файлу делать пометку, он секретный, не секретный, и
что можно с ним делать. Это более умная система для DLP, для борьбы с утечкой информации. Мы сейчас не говорим про RMS, про Azure Write Management.
Мы сейчас говорим про встроенную Windows систему защиты, которая называется WIP, Windows Information Protection. Это часть от Windows. Ничего особого не требуется делать.
Это работает автоматически, потрясающе. И она защищает на уровне конкретного устройства. Но не в тот момент, когда файл покидает наш компьютер.
Я считаю, что эта защита очень удобная, и она не мешает пользователям работать, а RMS уже требует от пользователя вмешательства и думать, что можно, что нельзя, какие права раздавать на этот файл.
Это более умная система, этот Azure Write Management, но мы о нем сейчас не говорим. Мы говорим о встроенной, удобной системе защиты внутри Windows, которая защищает на уровне приложений, а не на уровне девайса.
Мы увидим, как это все работает, мы ее настроим. Про RMS мы будем отдельно говорить и как защитить email и тачменты и раздать на них права.
Но это совершенно не наша тема, это уже отдельная глава, которую мы не будем на данный момент обсуждать. Просто знайте, что есть несколько технологий по защите от утечки и WIP ограничен конкретным компьютером, конкретным Windows, а RMS на уровне всего файла.
И идет с файлом в любое место. УИП предназначен против случайной утечки информации от честного сотрудника, который ненарочно пытается все украсть и взломать.
Защита хорошая, но не идеальная. Microsoft ее позиционирует как защита корпоративной информации от случайного копирования в неправильное место. То есть я случайно делаю копипейст, например, корпоративного файла в свой личный Gmail.
Вот это мы хотим предотвратить. Чтобы этот WIP заработал, нам нужен Windows 10, начиная с 2016 года. То есть они это встроили внутрь Windows в 2016 году, поэтому нужна десятка версий 16 и выше.
И нужна серверная часть, которая может быть Microsoft Intune или его версия новая под названием Endpoint Configuration Manager. Это в принципе одно и то же, они переименовали, объединили Intune и SCCM в один продукт, который называется Endpoint Manager.
И вообще это все часть от DLP. DLP это Data Loss Prevention, предотвращение утечки информации. Есть много фирм и даже у Microsoft есть много разных продуктов, чтобы защитить корпоративную информацию от утечки.
И все эти продукты называются DLP, Data Loss Prevention, предотвращение утечки информации. И одно из этих продуктов – это наш WIP.
Чтобы его включить, нам надо пойти в Azure Active Directory и включить его линк, чтобы у него вообще работал линк и URL. Мы начинаем с того, что мы видим, что у нас нет ни одного девайса.
То есть наш tenant, наш Active Directory в облаке пустой. Я все предыдущие компьютеры удалил, чтобы вам показать все на чистом. Делаю Mobility MDM and MAM.
Вот здесь включаются