INCIBE: Tu ayuda en Ciberseguridad
Recomendaciones generales para una implementación empresarial de dispositivos macOS
Decida qué dispositivos macOS utilizará su organización:
- Deben preferirse los dispositivos con un procesador de seguridad T2, ya que proporcionan un mejor cifrado de disco completo, un arranque seguro más fuerte y una mejor resistencia a los ataques físicos. El borrado seguro también es mucho más efectivo.
- Los dispositivos macOS suelen recibir actualizaciones de software durante aproximadamente 6-7 años después del primer lanzamiento. Una vez que un dispositivo es antiguo u obsoleto , ya no recibe actualizaciones. En este punto, debe comprar dispositivos más nuevos.
Utilice una de las arquitecturas de red recomendadas para habilitar el acceso remoto a los servicios empresariales.
Utilice un servicio de administración de dispositivos móviles para configurar, monitorear y aplicar controles técnicos en sus dispositivos macOS. Habilite las funciones de registro y monitoreo .
Utilice Apple Business Manager (ABM) para inscribir y aprovisionar dispositivos mediante la inscripción sin intervención . Con la inscripción sin contacto, el MDM se puede configurar para aprovisionar automáticamente la cuenta de administrador inicial, y los usuarios crearán cuentas no administrativas durante el asistente de configuración.
Considere si implementará antivirus u otro software de seguridad en macOS. Una combinación de la configuración de Gatekeeper y el servicio Xprotect integrado suele ser suficiente, pero en algunos casos es posible que desee protección adicional.
Configuración del dispositivo
Una vez que haya elegido su servicio MDM, la arquitectura y el enfoque de las aplicaciones, debe desarrollar una configuración de dispositivo que pueda aplicar para hacer cumplir sus controles técnicos. En particular, debe incluir políticas que gestionen:
- El uso de biometría , así como contraseñas y políticas de autenticación . Para los dispositivos sin un procesador de seguridad T2 , le recomendamos que utilice contraseñas complejas para las cuentas de usuario, ya que protegen directamente las claves de cifrado del disco.
- Establecer una contraseña de firmware para ayudar a mitigar una variedad de ataques físicos, incluido el arranque en frío y el acceso directo a memoria (DMA).
- Configuración de la configuración de cifrado de FileVault para evitar la extracción de datos mediante ataques físicos. Configure la custodia de las claves de recuperación para que pueda restablecer las contraseñas olvidadas.
- Protección de interfaz externa, incluidos periféricos con cable e inalámbricos (por ejemplo, desactivación de accesorios USB cuando el dispositivo está bloqueado).
- Actualizaciones automáticas del sistema operativo y de las aplicaciones .
- La red privada virtual (VPN) IKEv2 incorporada si se requiere una VPN. Sin embargo, el modo siempre activo no es compatible con ninguna VPN incorporada en macOS.
- Aplicaciones de terceros para uso laboral de un catálogo de aplicaciones empresariales, entregadas a través de MDM. Alternativamente, puede usar herramientas como Munki para administrar la instalación de software en sus dispositivos.
- Su enfoque de las cuentas de iCloud en los dispositivos de los usuarios , habilitando o deshabilitando las funciones específicas de iCloud que necesita.
Fecha actualización el 2021-07-05. Fecha publicación el 2021-07-05. Categoria: ciberseguridad Autor: Oscar olg Mapa del sitio Fuente: ncsc