Einfaches Mobile Device Management - Im Test: Pulse Workspace - Sysbus

Im Test: Pulse Workspace

    Einfaches Mobile Device Management
                                                                                       Dr. Götz Güttich

                     Mit Pulse Workspace bietet PulseSecure IT­Administratoren ein Mobility
                     Management­Werkzeug, mit dem sie nach Aussagen des Herstellers eine
               umfassende Kontrolle über ihre mobile IT­Umgebung erhalten, ohne dabei die
               Privatsphäre der Gerätenutzer zu beeinträchtigen. Wir haben uns im Testlabor
                                            angesehen, was die Lösung in der Praxis leistet.

Pulse Workspace verfügt über ei­
ne App Management­Funktion,
mit der die zuständigen Mitarbei­
ter dazu in der Lage sind, einen
Unternehmens App­Katalog an­
zulegen und die Apps dann grup­
penweise an die Anwender zu
verteilen. In manchen Fällen las­
sen sich die Apps sogar vorkonfi­
gurieren, um das Deployment an
Endanwender zur vereinfachen.

Gleichzeitig      stellt     eine
Workspace Separation sicher,
dass die Privatsphäre der User
und ihre normale Benutzererfah­
rung nicht beeinträchtigt werden.
Da     Unternehmensverzeichnis­
                                     Pulse Workspace mit dem hinzugefügten iPhone
dienste in das Produkt integriert
werden können, müssen die Ad­        wendungen in den offiziellen Ap­     chen. Das Teilen von Daten gilt
ministratoren die Benutzerkonten     ple App­ und Google Play­Stores      als besonders wichtiges Thema
im Betrieb nicht mehrfach pfle­      erlauben können. Auf diese Wei­      im Zusammenhang mit mobilen
gen.                                 se sind die Benutzer in der Lage,    Geräten im Unternehmen. Des­
                                     auch Apps wie Microsoft Office       wegen bietet Pulse Workspace
Die Cloud­basierte Lösung unter­     und ähnliches einzusetzen.           granular einstellbare Data Sha­
stützt mobile Endgeräte unter                                             ring­Policies in Kombination mit
Android und iOS. Sie wird über       Die Lösung ermöglicht zudem          selektiven Wipe­Funktionen. Die
eine zentrale Management­Kon­        das Festlegen von Compliance­        für die tägliche Arbeit benötigten
sole verwaltet und bietet neben      Vorgaben, die die Geräte erfüllen    Verbindungen lassen sich darüber
dem App­Katalog unter anderem        müssen. Auf diese Weise besteht      hinaus auf App­Basis konfigurie­
auch die Option, die Parameter       etwa die Option, keine Geräte        ren. Auf diese Weise ist es bei­
für E­Mail­ und VPN­Verbindun­       mit aktivem USB­Debugging zu­        spielsweise möglich, über ein
gen automatisch auf die Geräte       zulassen oder Produkte mit Jail­     per­app VPN auf das Netzwerk
zu verteilen. Darüber hinaus steht   break zu blockieren. Darüber hin­    des Unternehmens zuzugreifen
auch eine Funktion zur Verfü­        aus lassen sich auch Vorgaben        und Cloud­Verbindungen über
gung, mit der die IT­Mitarbeiter     zur Verschlüsselung und zur          ein Policy­basiertes Split­Tunne­
Zugriff auf unmodifizierte An­       Komplexität des PIN­Codes ma­        ling zu realisieren.
                                                     1

Der Test                              ten das Gerät testweise aus der      und teilte uns einen Registration
Im Test verwendeten wir eine          Ferne.                               Host und einen Registration Code
virtuelle Pulse Connect Secure­                                            mit. Diese beiden Codes trugen
Appliance (PCS), um den VPN­          Installation                         wir zum Schluss in der Pulse
Zugriff in unser Netz zu realisie­    Auf die Inbetriebnahme der PCS­      One­Konfiguration im Manage­
ren. Zum Verwalten von Pulse          Appliance gehen wir an dieser        ment­Interface der PCS­Applian­
Workspace setzten wir eine kos­       Stelle nicht genauer ein, da sie     ce ein. Anschließend meldete
tenlose 60 Tage­Testversion der       detailliert in der Dokumentation     sich die Appliance bei Pulse One
                                                                           an und stand für unseren Test zur
                                                                           Verfügung.

                                                                           Das Einbinden des mobilen
                                                                           Clients
                                                                           Um nun unser iPhone in unsere
                                                                           Testumgebung zu integrieren,
                                                                           mussten wir im ersten Schritt ei­
                                                                           ne Apple MDM Push­Zertifikat
                                                                           zu unserer Workspace Manage­
                                                                           ment­Konsole hinzufügen. Die­
                                                                           ses versetzt Pulse Workspace in
                                                                           die Lage, Policies, Updates und
                                                                           Aktionen auf die verwalteten
                                                                           iOS­Geräte zu pushen. Das Ein­
Der App Catalog von Pulse Workspace                                        fügen des Zertifikats gestaltet
                                                                           sich verhältnismäßig einfach.
zentralen, cloud­basierten Mana­      beschrieben wird und den Rah­
gement­Konsole namens Pulse           men dieses Artikels sprengen         Wenn die Administratoren nach
One ein. Als mobiler Test­Client      würde. Es genügt zu sagen, dass      „Settings / Apple“ wechseln, ha­
kam ein iPhone 6 unter iOS 12.1       wir etwa eine halbe Stunde bis       ben sie die Möglichkeit, den Rei­
ins Spiel.                            zum Aufbau unserer ersten VPN­       ter „Apple MDM Cert“ aufzuru­
                                      Verbindung benötigten und dass       fen. Dort können sie dann einen
Zuerst nahmen wir die PCS­App­        das Setup keinen Administratoren     Signing Request (CSR) herunter­
liance in Betrieb und konfigurier­    vor unüberwindliche Schwierig­       laden, den sie dann im nächsten
ten sie so, dass VPN­Zugriffe in      keiten stellt.                       Schritt auf dem Apple Push Cer­
unser Testnetz möglich waren.                                              tificates­Portal hochladen müs­
Danach verbanden wir sie mit          Für den Test verwendeten wir ei­     sen. Da der Link zu diesem Por­
der Cloud­basierten Manage­           ne Trial­Version von Pulse One.      tal bereits direkt in die Apple
ment­Konsole Pulse One und            Diese steht unter https:// www.      MDM Cert­Page integriert wur­
banden dort unser mobiles End­        pulsesecure.net/ trynow/ pulse­      de, lässt sich diese direkt aufru­
gerät in die Konfiguration ein.       one­ short­ form­ demo/ ?source      fen und die zuständigen Mitar­
Anschließend erstellten wir einen     zur Verfügung. Nachdem wir sie       beiter müssen nicht erst nach der
App­Katalog, fügten diesem An­        aktiviert hatten, war es im nächs­   dazugehörigen URL suchen.
wendungen hinzu und installier­       ten Schritt erforderlich, zunächst
ten diese dann auf dem Endgerät.      einmal unsere PCS­Appliance          Bei dem Portal mussten wir uns
                                      zum System hinzuzufügen.             zunächst mit unserer Apple­ID
Zusätzlich verteilten wir eine E­                                          anmelden, danach konnten wir in
Mail­ und eine VPN­Konfigurati­       Dazu wechselten wir in Pulse         den Bereich „Create a new Certi­
on. Zum Schluss sahen wir uns         One nach "Appliances / Applian­      ficate“ wechseln, die Nutzungs­
an, wie die tägliche Arbeit mit       ces" und selektieren dort den Be­    bedingungen akzeptieren und un­
dem Produkt ablief, nahmen die        fehl "Add Appliance". Anschlie­      seren CSR hochladen. Daraufhin
Log­ und Analysefunktionen der        ßend fragte uns das System nach      bot uns das Portal eine PEM­Da­
Lösung unter die Lupe und sperr­      einem Namen für die Appliance        tei mit dem neuen Zertifikat zum
                                                      2

Download an. Dieses luden wir       daran machen, die Funktionalität         Das Verteilen eines Mail­Profils
dann in der Pulse One­Konsole       von Pulse Workspace unter die            Um nun die Konfiguration unse­
hoch, danach war der Vorgang        Lupe zu nehmen. Dazu fügten              res Mail­Kontos auf das iPhone
abgeschlossen. Im Test nahm er      wir erst einmal zum Testen die           zu übertragen, gingen wir ähnlich
keine Minute in Anspruch.           Client App des Cloud­Webspei­            vor. Wir wählten wieder unsere
                                    chers „Box“ zu unserem Profil            Policy aus und wechselten nach
Jetzt fügten wir als nächstes un­   hinzu und verteilten sie auf das         „Properties / iOS POP/IMAP“.
ser iPhone zu unserer Umgebung      iPhone.                                  Dort konnten wir anschließend
hinzu. Dazu loggten wir uns er­                                              die Konfigurationsdaten wie
neut bei dem Pulse One­Portal       Dazu steht unter Workspaces der          IMAP­ und SMTP­Server, Au­
ein,       wechselten        nach   Reiter „App Catalog“ zur Verfü­          thentifizierung, Verschlüsselung,
„Workspaces“ und selektierten       gung. Dort selektierten wir den          verwendete Ports und so weiter
das (zuvor mit Benutzernamen        Befehl „Add App from Store“,             eingeben. Nach dem nächsten
und Mail­Adresse angelegte)         wählten über die Suchfunktion            Veröffentlichen der Policy wur­
Test­Benutzerkonto, dem wir das     die Box App aus, erlaubten direk­        den die Angaben auf das iPhone
iPhone zuordnen wollten. Dann       ten Netzwerkzugriff (statt „Per          übertragen und wir mussten dort
klickten wir auf „Add Space“
und aktivierten die Funktion, die
dem Benutzer eine Willkommens
E­Mail auf seinem Mail­Account
zukommen lässt. Alternativ kann
man die Willkommensbotschaft
auch als SMS verschicken.

Nachdem die Mail auf unserem
iPhone eingegangen war, klick­
ten wir auf den darin enthaltenen
Registrierungslink,    woraufhin
das System in den Apple App
Store wechselte und auf dem
Smartphone die Pulse Secure­
App einspielte. Danach starteten
wir diese App und gaben auf dem
Willkommensbildschirm unsere
E­Mail­Adresse und den in der
Willkommensmail       enthaltenen
Aktivierungsschlüssel an.
                                    Die Policies bieten den zuständigen Mitarbeitern die Möglichkeit, eine Vielzahl
Jetzt mussten wir nur noch das      von Parametern auf den Endpoints zu konfigurieren
BYOD­Policy­Agreement akzep­        App VPN“) und klickten auf               nur noch unsere Mail­Passwort
tieren, der App erlauben, den       „Add“. Danach fand sich die App          eingeben, um das Mail­Konto zu
Workspace zu installieren und       in der Liste des App­Katalogs            der Mail­App hinzuzufügen.
dem Zertifikat vertrauen. Damit     wieder. Jetzt mussten wir nur
war der Prozess abgeschlossen       noch auf den Reiter „Policies“           VPN­Verbindungen
und das iPhone erschien an­         wechseln und die App zu unserer          Nachdem wir die Apps und Mail­
schließend in der Übersicht der     aktiven Policy hinzufügen. Nach          Konten auf unser Endgerät aus­
verwalteten Geräte.                 einem Klick auf „Publish“ wurde          gebracht hatten, richteten wir
                                    die App auf das iPhone geladen.          zum Schluss noch eine VPN­
Die Arbeit mit den Profilen         Auch hier ging der Prozess wie­          Verbindung über die zuvor er­
Nachdem wir jetzt ein Gerät zum     der schnell von der Hand und             wähnte PCS­Appliance in unser
Verwalten in unsere Umgebung        war nach wenigen Minuten abge­           Testnetzwerk ein, um die Daten­
eingefügt hatten, konnten wir uns   schlossen.                               übertragungen zwischen dem im
                                                     3

Test verwendeten mobilen End­         Unter "Dashboard / Workspaces"      Option, unter "Workspaces / De­
point und den Assets bei uns im       finden sich Informationen zu den    vices" ein verwaltetes Gerät aus­
Netz abzusichern. Das funktio­        zehn am meisten und am wenigs­      zuwählen und über den Eintrag
niert so ähnlich wie das Verteilen    ten benutzten Apps sowie der        "Activities" ein Log einzusehen,
der Mail­Zugangsdaten. Zu­            Zahl der Benutzer und der           das Informationen über das Ver­
                                                                          teilen der Policies, die Com­
                                                                          pliance und so weiter gibt. Es ist
                                                                          für Administratoren also kein
                                                                          Problem, über alle wesentlichen
                                                                          Punkte auf dem Laufenden zu
                                                                          bleiben.

                                                                          Der Abschluss des Tests
                                                                          Zum Abschluss des Tests simu­
                                                                          lierten wir noch ein verlorenes
                                                                          Phone. Selektiert der Adminis­
                                                                          trator unter "Workspaces / Devi­
                                                                          ces" das betroffene Gerät, so
                                                                          kann er verschiedene Aktionen
                                                                          durchführen, wie beispielsweise
                                                                          "Delete Workspace", "Revoke
                                                                          VPN        Certificate",   "Wipe
                                                                          Workspace" oder auch "Lock
                                                                          Device". Nachdem wir den
                                                                          "Lock Device"­Befehl aufgeru­
Der App Katalog von Pulse Workspace
                                                                          fen hatte, war das iPhone, wie zu
nächst einmal wechselten wir un­      Workspaces, der blockierten         erwarten war, anschließend sofort
ter "Workspaces / Policies" auf       Spaces, der Geräte, die nicht den   gesperrt und ließ sich erst durch
die von uns verwendete Test­Po­       Compliance­Vorgaben entspre­        ein "Reset Passcode" wieder zum
licy und trugen dort unter "Pro­      chen und vieles mehr.               Leben erwecken.
perties / VPN" den VPN­Host
(also unsere PCS­Appliance),          Darüber hinaus informieren Gra­     Fazit
den Namen des VPNs und ähnli­         fiken über die vorhandenen Ge­      Pulse Workspace konnte uns im
ches ein. Anschließend verteilten     räte mit ihren Betriebssystemen,    Test überzeugen. Die Arbeit mit
wir die neuen Informationen wie­      die Carrier und die Hersteller.     dem App Catalog und den Profi­
der über den Button "Publish"         Unter "Analytics" haben die zu­     len gestaltet sich einfach, die Lö­
auf unser Endgerät. Nachdem die       ständigen Mitarbeiter Gelegen­      sung bringt die wichtigsten Si­
Policy verteilt worden war, konn­     heit, sich über die Login­Versu­    cherheitsfunktionen wie Lock­
ten wir auf unserem iPhone eine       che bei der PCS­Appliance, die      und Wipe­Device mit und die
VPN­Verbindung aufbauen, uns          Appliance Health und die App­       Analyse­ und Log­Funktionen
bei dem VPN einloggen und auf         liance­Aktivitäten zu informie­     sorgen dafür, dass die Adminis­
die Assets in unserem Testnetz­       ren.                                tratoren immer wissen, was in
werk zugreifen. Bei Bedarf prüft                                          ihrer Umgebung abläuft. IT­Mit­
ein Host Checker, ob der verwen­      Der Eintrag "App Visibility" gibt   arbeiter, die auf der Suche nach
dete Endpoint die vorgegebenen        im Gegensatz dazu unter ande­       einer Management­Lösung für
Compliance­Regeln erfüllt.            rem darüber Aufschluss, welche      mobile Geräte sind, sollten auf
                                      der im App­Katalog aufgeführten     jeden Fall einen Blick auf das
Die Analysewerkzeuge von Pul­         Anwendungen       in     welchen    Produkt werfen. Aufgrund der
se Workspace                          Workspaces installiert wurde und    einfachen Bedienung und der
Wenden wir uns nun den Dash­          welche Versionen der App dabei      nützlichen Funktionen verleihen
boards, Logs und Analysefunk­         zum Einsatz gekommen sind.          wir dem Produkt das Attribut
tionen von Pulse Workspace zu.        Außerdem gibt es auch noch die      "IAITested and recommended".

                                                     4