Muchas compañías instalan un agente UEM en la computadora portátil de un empleado para realizar un seguimiento del estado de la computadora portátil. Y permiten que la computadora portátil se conecte a la red interna si este UEM devuelve el estado "Correcto" al servidor.
Si un dispositivo está comprometido, el atacante obtuvo el privilegio de nivel de SO. ¿Cómo podemos evitar que el atacante mate al agente de UEM y envíe al servidor el tráfico falso y "falso"?
Mis ideas:
-
El tráfico se puede cifrar con la clave pública del servidor, pero esto no importa ya que el atacante puede obtener la clave pública en su máquina con acceso al sistema operativo.
-
Use la clave Yubico (U2f) para autenticar al agente antes de iniciar una sesión con el servidor. Esto ayuda un poco porque este ataque de duplicación de sesión evitado, el atacante solo podía realizar la sesión. (la clave privada no se almacena en el sistema) ¿Pero qué sucede si el atacante parcha al agente en lugar de matarlo?
-
¿No confías en tu estado UEM?