Sophos Mobile 9.5 – Web-Filtering für Chromebooks u.v.m.
Sophos hat die neue Version 9.5 von Sophos Mobile vorgestellt und dabei wird erstmals das Chrome OS als neue Plattform unterstützt. Ausserdem wurde das Device Management für Android Enterprise weiter verbessert und der Name Intercept X hält Einzug in die Mobile-Apps von Sophos.
Info: Die Version 9.5 ist für die on Premises Variante bereits verfügbar, alle Central Kunden müssen sich hingegen noch ein bisschen gedulden. Ursprünglich wurde als Datum für das globale Update der 9. Dezember genannt, doch wie ich gehört habe, könnte es sogar auch erst im Januar 2020 ausgerollt werden.
WCAG 2.1 kompatibel
Auch wenn sich von der Struktur her in Sophos Mobile zum Glück nicht viel geändert hat, so wurde die Benutzeroberfläche aber WCAG 2.1 kompatibel gemacht. Das bedeutet, dass gerade Menschen mit einer Sehbehinderung die Software nun viel besser bedienen können. Sophos Mobile 9.5 wurde auf Accessibility geprüft und kann nun mit sogenannten Screenreadern problemlos bedient werden.
Chromebook Security Management
Mit der Version 9.5 unterstützt Sophos Mobile nun auch die Chrome OS Plattform. Für die Verwaltung von solchen Geräten hat Sophos den Fokus zuerst auf das Security Management gelegt und nicht dem Chromebook Management. Um mehrere Chromebooks zu verwalten, bietet Google mit der G Suite bereits eine Lösung an. Die Nutzung dieser „G Suite“ ist für alle Kunden im Education-Bereich sogar kostenlos, weshalb Chromebooks gerade bei Schulen sehr beliebt sind. Für das Corporate-Umfeld muss man hingegen eine Lizenz kaufen.
Weil Google also schon eine Lösung zur Verwaltung von Chromebooks zur Verfügung stellt, wollte Sophos sich zuerst einer Funktion widmen, die bisher gefehlt hat, nämlich einem Web-Filtering.
Die „G Suite“ stellt auch APIs zur Verfügung, womit eine spätere Integration eines „Chromebook Management“ in Sophos Mobile sehr realistisch erscheint.
Um euer Chromebook mit dem Web-Filtering von Sophos Mobile auszustatten, braucht es die Sophos Chrome Security Extension, die ihr euch aus dem Chrome Web Store herunterladen könnt. Sobald das Chromebook erfolgreich in Sophos Mobile hinzugefügt wurde, stehen euch in den Policies die gewohnten 14 Web-Filter-Kategorien zur Verfügung, wofür ihr natürlich auch eine White- oder Blacklist erstellen könnt.
Wer eine Sophos Firewall mit Sophos Central nutzt, kennt die Problematik, dass die Web-Filter-Einstellungen auf der Firewall nicht mit den Einstellungen auf dem Central Endpoint synchronisiert werden. Wer seine Computer oder mobilen Geräte auch ausserhalb des Netzwerks schützen möchte, muss das Web-Filtering zusätzlich für jede Plattform konfigurieren. Sophos arbeitet aber anscheinend daran, dass Firewall-Regeln zukünftig auf Computer, Chromebooks und Mobilgeräte übertragen werden können. 🥳
Zusätzlich zu dem Web-Filtering gibt es auch noch ein paar Compliance-Regeln, um zu überprüfen, ob sich die Chromebooks auch an die Unternehmensrichtlinien halten. Herauszuheben ist hier sicher die eingebaute „Tamper Protection“. Chrome-Extensions sind technisch ja in JavaScript geschrieben und auch nicht klar voneinander isoliert. Man könnte also theoretisch eine Extension schreiben, die die „Sophos Chrome Security“ Extension deaktiviert. Genau dafür gibt es diese „Tamper Protection“, die auf dem Chromebook regelmässig überprüft, ob die Security Extension von Sophos auch immer noch die nötigen Zugriffe hat. Mit einer weiteren Regel könnt ihr z. B. auch festlegen, welche Extensions installiert werden dürfen oder welche nicht erlaubt sind. Ihr könnt aber auch eine Richtlinie aufsetzen, dass nur Extensions erlaubt sind, die aus dem Google Play Store stammen.
Android Enterprise – QR-Code Enrollment
Für alle, die Android Enterprise einsetzen, gibt es eine neue Variante, wie ihr Android-Geräte verteilen könnt. Die neue Methode nennt sich QR Code Enrollment und ist speziell für „Fully Managed Devices“ gedacht. Um diese Variante zu nutzen, erstellt ihr euch in Sophos Mobile einen QR-Code. Dieser gilt dann aber nicht mehr für ein spezifisches Gerät oder einen bestimmten Benutzer, sondern kann für jedes neue Gerät verwendet werden.
Das QR-Code Enrollment ist sehr komfortabel und bietet gegenüber dem „Zero-Touch Enrollment“ die Möglichkeit, die WLAN-Einstellungen gleich einzubinden. So muss der Benutzer nicht im Nachhinein noch das WLAN-Passwort erfragen und manuell eingeben. Um das QR-Code Enrollment nutzen zu können, brauchen Sie nur ein Android Smartphone mit einer Kamera und müssen nicht wie beim Zero-Touch Enrollment auf spezielle Hardware achten.
Wenn ihr euch nun so einen QR-Code konfiguriert habt, könnt ihr den z. B. ausdrucken und damit den Workflow zum Ausrollen von neuen Geräten sehr effizient gestalten. Ihr müsst dann zukünftig nur noch das neue Android Smartphone aus der Verpackung nehmen, einschalten und den QR-Code scannen. Danach konfiguriert sich das Gerät komplett von selbst und der Benutzer, der dieses Smartphone bekommt, muss nur noch seinen Benutzernamen und sein Passwort eingeben. Ihr erschafft damit schon fast einen autonomen Prozess, der theoretisch auch gleich vom Mitarbeiter selbst in die Wege geleitet werden kann. Diesen QR-Code kann man ja auch in eine E-Mail kopieren und mit einer kleinen Anleitung direkt an die Mitarbeiter herausschicken. Das Auspacken eines neuen Geräts und das Scannen des QR-Codes ist so einfach, dass hier kein geschulter Mobile-Administrator gebraucht wird.
Android Enterprise – App Management
Wenn ihr neue Apps aus dem Google Play Store zu eurem erlaubten Katalog hinzufügen möchtet, könnt ihr dies in der Version 9.5 ganz komfortabel über ein iFrame erledigen. Früher war dieser Schritt relativ mühsam gelöst und diese Einstellungen mussten über „Google Play for Work“ vorgenommen werden. Auch eigene APKs, die speziell für das eigene Unternehmen entwickelt wurden, fügt man jetzt über dieses iFrame hinzu. Neben Apps aus dem Play Store oder eigenen APKs, können neu auch „Web Apps“ in den Katalog aufgenommen werden. Wenn ihr also zukünftig Verknüpfungen zu einer bestimmten Webseite auf dem Android-Homescreen eurer Mitarbeiter platzieren möchtet, ist dies nun ebenfalls möglich.
Intercept X for Mobile
Intercept X for Mobile ist nicht etwa eine neue App von Sophos, sondern eine Umbenennung der bisherigen „Sophos Mobile Security“ App. Sophos möchte unter dem Namen „Intercept X“ alle Endpoint Protection Lösungen zusammenfassen, egal ob diese auf einem Windows-Computer, Mac, Server oder mobilen Geräten laufen.
Neben dem neuen Namen hat aber auch ein komplettes Rebranding stattgefunden. Die Benutzeroberfläche der App wurde umfassen überarbeitet und im Zuge dessen auch gleich ein neuer gemeinsamer Software-Stil entwickelt. Dieses neue Design hält dann zukünftig auch Einzug auf allen Sophos-Agenten der verschiedenen Plattformen.
Wie die Benutzeroberfläche von Sophos Mobile 9.5, wurde auch beim Design der neuen Intercept X for Mobile App darauf geachtet, dass sie den Usability-Richtlinien der WCAG entspricht. Also auch diese App kann nun problemlos von Leuten bedient werden, die nicht so gut sehen können. Des Weiteren hat Sophos noch ihre „Malware Detection“ aktualisiert, die ja nur für Android-Geräte zur Verfügung steht. Dabei wurde sowohl die signaturbasierte Engine überarbeitet, wie auch neue Machine-Learning-Modelle eingespielt.
Sophos Secure Email Verbesserungen
Die „Sophos Secure Email App“ hat ebenfalls noch ein kleines Update erhalten:
- iOS & Android: Favorisierte Ordner – Bis zu 10 Ordner werden automatisch synchronisiert.
- iOS: Kontakte können nun als Favoriten gespeichert werden.
- iOS: Kalendereinträge können nun weitergeleitet werden
- iOS: Mit der Kamera aufgenommene Dokumente können an eine E-Mail angefügt werden.
Weitere Neuerungen
Ich bin in diesem Blogpost jetzt nicht auf jede Funktion im Detail eingegangen. In der folgenden Liste findet ihr noch die restlichen Neuerungen, die keine grossen Erklärungen benötigen:
- Unterstützung für Android 10 hinzugefügt
- Unterstützung für iOS 13 hinzugefügt
- Unterstützung für macOS 10.15 hinzugefügt
- Windows Server 2019 als Certification Authority Server hinzugefügt
- Unterstützung für Samsung OEM Config
- Neuer Bericht: Mehrere Geräte, z. B. Kiosk-Geräte lokalisieren
- Das Log-Level kann nun per Remote eingestellt werden
- Die Log-Dateien können nun per Remote vom Gerät gezogen werden
Entfernte Funktionen in Mobile 9.5
Zu guter Letzt gibt es noch die Verabschiedung von drei Systemen zu vermelden, die in der neuen Mobile Version nicht mehr unterstützt werden. Bei Windows Phone 8.1 lag die Entscheidung allerdings nicht bei Sophos. Hier ist es Microsoft, die den Support dieses Betriebssystems nach und nach einstellen:
- Management Support für Android Things und Win 10 IoT
- Support für Windows Phone 8.1 (Geräte bleiben ersichtlich)
