Borrado remoto y lo que el MDM registra para el SOC

Las acciones remotas disponibles son pocas y conviene conocer su límite. El bloqueo con mensaje y el borrado (completo o selectivo) los ejecuta el MDM, y necesitan que el aparato tenga conexión para recibir la orden: hasta entonces, la orden queda pendiente. Revocar las sesiones de la cuenta, en cambio, lo hace el servicio de identidad en la nube y no depende del aparato: invalida los tokens y la persona o quien tenga el teléfono deja de poder entrar a lo que ya tenía abierto.

Por eso el orden importa. Ordenar el borrado es necesario, pero mientras el móvil no se conecte no ha ocurrido nada. Lo que se puede hacer ya, sin esperar, es cortar lo que la cuenta tiene abierto. Abre el laboratorio, lee la tabla acciones y comprueba qué requiere conexión y qué no.

Cada orden que da un administrador del MDM queda en el registro con un identificador, el actor que la dio, el origen desde el que la dio y su estado. Ese identificador es el hilo para seguir la orden de principio a fin: cuándo se emitió, cuánto estuvo pendiente y cuándo el dispositivo la confirmó.

En el registro del móvil perdido hay más de una orden: un bloqueo con mensaje y un borrado. No son lo mismo: el bloqueo deja los datos en el aparato y solo tapa la pantalla; el borrado es el que los destruye. Para el informe hay que citar la orden correcta.

Cuando un dispositivo con una orden pendiente por fin se conecta, el MDM registra un contacto y la dirección de origen. Esa dirección es un dato que el SOC sabe usar: dice desde qué red apareció el aparato, y compararla con las redes conocidas de la persona (casa, oficina, transporte) distingue «se conectó en su casa y se borró» de «apareció en una red que nadie había visto».

No es una prueba de nada por sí sola: es un pivote. Se anota, se compara con otras fuentes (el registro del servicio de identidad, el del proxy) y se decide si hay algo más que investigar.

La métrica que más dice de la respuesta a un móvil perdido es el tiempo entre la orden y la confirmación de que se ejecutó: es el periodo durante el cual el aparato estuvo, a todos los efectos, con sus datos. No mide la culpa de nadie: mide la exposición, y es la razón por la que las demás acciones (revocar sesiones, bloquear) no esperan.

Calcula los minutos entre la hora de la orden de borrado completo y la hora en que el dispositivo la confirmó, ambas en el registro del MDM.

El MDM no es solo una herramienta de TI: es una fuente de telemetría sobre el parque de móviles, y el SOC necesita leerla. Los eventos que más valen son los que cambian el estado de las cosas: inscripciones de dispositivos nuevos (¿alguien dio de alta un aparato que no debía?), cambios de cumplimiento (¿qué móviles dejaron de cumplir?) y, sobre todo, las órdenes de los administradores con su resultado: un borrado masivo, o una orden dada desde una dirección rara, es exactamente lo que un atacante con una cuenta administrativa haría.

Los contactos periódicos de los dispositivos son los más numerosos y los menos informativos por separado; sirven de contexto, como el último contacto de un aparato que deja de aparecer.