22、企业端点设备管理与代理架构解析

企业端点设备管理与代理架构解析

1. 端点设备管理

端点设备管理对于企业的安全性和效率至关重要。在高保障环境中，对设备和用户进行严格控制是必要的。

1.1 数据验证与清除

• 代理可以验证SKSU签名和数据结构，但不能完全信任其对本地信息的验证，因为代理本身可能被攻破。因此，代理会将SKSU证明报告发送到中央服务进行进一步验证。
• 中央服务根据验证结果指示代理是正常继续运行还是采取纠正措施，如清除设备中的数据、密钥和应用程序。
• 如果设备被盗且被攻破，代理功能也会受到影响，但由于SKSU及其私钥仍应是安全的，这通常不会构成严重的安全威胁。不过，擦除设备的请求无法得到确认。企业端点服务撤销对无有效证明报告设备的访问权限，可降低设备成为新漏洞点的风险。

1.2 数据请求处理

• 除了标准的SKSU证明，代理还可以被查询设备本身或其他本地服务的其他本地数据，如GPS位置信息或服务提供商信息。代理只是转发这些信息并重新打包，供中央服务使用。
• 由于代理可能被攻破，不能信任其转发的信息。原始数据提供者会使用数字签名等额外安全措施来保证数据完整性。禁用签名或其他完整性或安全功能被视为恶意行为，可能导致端点被禁用。
• 企业中固定资产（如桌面电脑）的代理报告设备位置信息，并与注册位置进行比较。由于这些设备在企业控制范围内，不需要动态位置数据。
• 移动资产的代理根据最佳可用信息（如Wi-Fi接入点名称、移动塔标识符、GPS坐标、高度计等）提供位置信息。由于这些设备经常移动且从网络外部连接，动态位置信息对于访问