La gestión de dispositivos (MDM) como fuente del SOC

La gestión de dispositivos de Apple funciona con perfiles de configuración (cada uno con una o varias cargas útiles de ajustes), órdenes que el servidor envía al equipo y consultas de información. El servidor puede conocer el inventario, la versión del sistema, las aplicaciones instaladas, la configuración de red y de seguridad y el estado de cumplimiento; y puede instalar o retirar perfiles, bloquear o borrar un equipo. El equipo se comunica con el servicio mediante las notificaciones push de Apple, por lo que necesita estar encendido, inscrito y con red.

Eso describe el estado y la configuración, no cada cosa que ocurre en el equipo. Para saber qué proceso lanzó otro, la fuente es el agente; para saber si el agente tiene lo que necesita, la fuente es el MDM. Se complementan.

Cada consulta o inscripción activa deja una fecha de última conexión. Un equipo que lleva días sin conectarse puede estar apagado, de vacaciones, sin red o, lo que le importa al SOC, fuera de control: sin que el MDM pueda enviarle órdenes ni recibir su estado.

Abre la consola. La tabla inventario_mdm trae cada Mac, su usuario y la fecha de su última conexión. Ejecuta inventario_mdm | sort by ultima_conexion asc | take 1 para ver el equipo con la conexión más antigua.

Los perfiles se pueden instalar y retirar. El perfil de política de privacidad (PPPC) es el que entrega permisos de TCC por gestión; Apple documenta que solo se aplica con una inscripción aprobada por el usuario o automatizada. Si ese perfil desaparece de un equipo, el agente de seguridad pierde el permiso y deja de recibir eventos aunque siga instalado.

Ejecuta perfiles_instalados | where estado == "retirado" y lee qué perfil falta y en qué equipo.

Ahora cruza tres hechos que ya viste en las salas anteriores: ese equipo reportaba la protección de integridad del sistema deshabilitada, le retiraron el perfil del permiso del agente y lleva días sin conectarse al MDM. Ninguno prueba por sí solo que haya algo malo; juntos describen un equipo del que el SOC ya no recibe nada fiable.

Ejecuta comandos_mdm para ver las órdenes de las últimas semanas y quién las envió.

Hoy es 5 de octubre. El SOC mide la ceguera en días: cuántos días lleva un equipo sin que se le pueda gestionar ni escuchar. Tomas la fecha de última conexión de ese equipo en la tabla inventario_mdm y cuentas hasta hoy; para este ejercicio los meses de septiembre y octubre se cuentan con sus días reales.