O EPM (Endpoint Privilege Manager) macOS implementa um sistema de gerenciamento de privilégios multicamadas que opera diretamente no recurso de listas de acesso através de listas de controle de acesso hierárquicas com regras de precedência rigorosas. O sistema elimina a necessidade de privilégios administrativos permanentes ao fornecer elevação just-in-time baseada na avaliação dinâmica de políticas.
De forma geral, o EPM macOS utiliza listas de controle de acesso hierárquicas (ACLs). Essas ACLs são estruturadas para definir e aplicar permissões para aplicações, processos e ações de usuário em todo o ambiente macOS. Cada camada dentro desta hierarquia é projetada para fornecer um nível específico de controle, desde políticas de sistema até permissões altamente específicas no nível de aplicação. Esta abordagem em camadas garante cobertura abrangente e controle preciso sobre privilégios de endpoints.
Ordem de prioridade em uma lista de acesso
Quando um processo aparece em múltiplas listas de acesso dentro do EPM macOS, o sistema segue uma ordem de avaliação hierárquica rigorosa para resolver conflitos e garantir decisões de segurança consistentes.
A seguinte lista exibe a ordem de prioridade na avaliação de um processo quando ele aparece em mais de uma lista de acesso:
- AllowList (Usuário): Concede permissão de execução de uma aplicação a usuários individuais com base em sua identidade única e requisitos de função.
- AllowList (Dispositivo): Permite aplicações específicas e operações baseadas em características do dispositivo.
- AllowList (Geral): Estabelece permissões que se aplicam amplamente entre usuários e dispositivos.
- Denylist (Usuário): Bloqueia usuários específicos de acessar aplicações devido a razões de segurança, conformidade ou disciplinares.
- Denylist (Dispositivo): Restringe acesso de dispositivos específicos que podem estar comprometidos, não conformes ou não autorizados.
- DenyList (Geral): Implementa políticas de segurança organizacionais ao bloquear recursos perigosos ou proibidos em todos os usuários e dispositivos.
- Graylist: Cria uma zona de acesso condicional onde recursos requerem verificação adicional, aprovação ou monitoramento antes de serem permitidos.