Gestión de equipos (MDM) con software libre: cómo controlar portátiles Windows, Mac y Linux con Fleet

Mientras los ordenadores de la empresa caben en una mano, se sabe cuál es cada uno y qué lleva. Cuando son quince portátiles que entran y salen de la oficina, con Windows, algún Mac y algún Linux, nadie puede decir sin mirar uno por uno cuáles tienen el disco cifrado, cuáles van atrasados con las actualizaciones o quién ha instalado qué. Para eso existen las herramientas de gestión de equipos, conocidas como MDM. En este artículo explicamos qué resuelven, cómo funciona Fleet, una alternativa de código abierto, y cuándo no merece la pena.

Qué resuelve un MDM

En un despacho o una pyme, las preguntas son sencillas y casi siempre llegan tarde: ¿qué portátil tenía la persona que se ha ido?, ¿estaba cifrado el que se ha perdido?, ¿cuántos equipos siguen sin la última actualización de Windows? Con un MDM, las respuestas están en un panel y no en la memoria de alguien.

En una empresa de software, el motivo suele ser otro: los clientes y las auditorías (ISO 27001, ENS o los cuestionarios de seguridad) preguntan por los portátiles del equipo de desarrollo. Hay que demostrar que tienen el disco cifrado, el bloqueo de pantalla activo y el sistema al día, y que se sabe qué software hay instalado y si tiene vulnerabilidades conocidas.

En los dos casos, un MDM cubre lo mismo:

• Inventario: qué equipos hay, con qué hardware, qué sistema y qué programas.
• Actualizaciones: qué equipos van atrasados y, según la herramienta, forzarlas.
• Cifrado del disco: comprobar que está activo y guardar las claves de recuperación.
• Configuración: bloqueo de pantalla, firewall y otras reglas aplicadas igual en todos.
• Vulnerabilidades: qué programas instalados tienen fallos de seguridad conocidos.

Cómo funciona Fleet

Fleet tiene dos partes. En cada equipo se instala su agente, fleetd, que incluye osquery: una herramienta que permite consultar el estado del sistema operativo como si fuera una base de datos, con SQL. En un servidor corre Fleet, que recibe los datos de todos los agentes, los guarda en MySQL, usa Redis para las colas y ofrece el panel, una API y la herramienta de línea de órdenes fleetctl.

Sobre esa base, lo más útil son las políticas: preguntas de sí o no que se hacen a todos los equipos. Por ejemplo, esta comprueba que la unidad C: de un Windows está protegida con BitLocker:

SELECT 1 FROM bitlocker_info WHERE drive_letter = 'C:' AND protection_status = 1;

Si la consulta devuelve una fila, el equipo cumple; si no, aparece en la lista de los que fallan. Con políticas así se comprueban el cifrado, el firewall, la versión del sistema o la presencia de un programa concreto. Cuando un equipo falla, se le puede lanzar un script para corregirlo, a mano o de forma automática la primera vez que falla la política; repetirlo en cada comprobación mientras siga fallando es de Fleet Premium.

Además, Fleet cruza el software instalado en cada equipo con las bases de datos de vulnerabilidades conocidas (CVE) y muestra qué programas hay que actualizar y dónde. Y toda la configuración, políticas, consultas, scripts y perfiles, se puede llevar en un repositorio con GitOps, de modo que cada cambio queda revisado y se puede deshacer.

Para los Mac, iPhone e iPad, Fleet funciona también como MDM de Apple, para lo que hay que conectarlo con el servicio de notificaciones de Apple mediante un certificado que se renueva cada año. En Windows puede dar de alta los equipos en su MDM con su propio agente, sin necesidad de Intune.

Qué es gratis y qué es de pago

Fleet tiene una versión gratuita con licencia MIT y funciones de pago, Fleet Premium, con licencia comercial. La frontera, según la tabla de funciones del propio fabricante, queda más o menos así:

Para muchas empresas, la versión gratuita basta: lo importante es saber qué equipos no cumplen, y corregirlos con un script o a mano. Si necesitáis que el cifrado o las actualizaciones se impongan solos, o poder borrar un portátil robado, entonces hace falta Premium, que se licencia por número de equipos.

En vuestro servidor o en la nube del fabricante

Fleet se puede instalar en cualquier servidor: necesita MySQL, Redis y un certificado TLS. El fabricante también lo aloja como servicio, pero según su documentación solo para instalaciones de más de 700 equipos, así que para una pyme o una empresa de software mediana la opción realista es tenerlo en un servidor propio o en vuestra cuenta cloud.

Un detalle importante: los portátiles tienen que poder llegar al servidor desde cualquier sitio, no solo desde la oficina. Si el servidor solo es accesible dentro de la red de la oficina, los equipos dejan de informar en cuanto se los llevan a casa.

Límites que conviene conocer

• No es un antivirus ni un sistema de detección de amenazas. Fleet dice cómo está cada equipo; para detectar ataques hace falta otra herramienta, como un SIEM.
• Alguien tiene que mirar los resultados. Un panel con políticas en rojo que nadie revisa no protege nada.
• El certificado de Apple caduca cada año. Si se renueva tarde, o con otra cuenta de Apple, los Mac dejan de recibir órdenes.
• Imponer cuesta dinero. Con la versión gratuita se comprueba y se corrige; imponer es de Premium.
• Es un servidor más que mantener. Base de datos, copias, actualizaciones y certificado.

Cuándo no compensa

Con tres o cuatro ordenadores, una hoja con el inventario y una revisión periódica suelen ser suficientes. Si ya pagáis Microsoft 365 con Intune y todos los equipos son Windows, conviene aprovecharlo antes de añadir otra herramienta. Fleet tiene más sentido cuando hay equipos de varios sistemas, cuando os piden evidencias de que los portátiles cumplen unas reglas o cuando queréis que los datos de los equipos se queden en vuestro servidor.

En la página de Fleet gestionado contamos cómo lo montamos y lo mantenemos. En una oficina, entra en el mantenimiento informático para empresas; en una empresa de software, el inventario de los portátiles completa la gestión de vulnerabilidades. Si queréis saber si os compensa, escribidnos un email.

Preguntas frecuentes

¿Fleet ve lo que hace cada persona?

No. Recoge datos del equipo: hardware, sistema, programas, configuración y el resultado de las políticas. Fleet explica que no recoge pulsaciones de teclado, correos ni la cámara. Aun así, conviene informar al equipo de qué se recoge y para qué.

¿Sirve también para servidores?

Sí. El agente funciona igual en servidores Linux y Windows, y las mismas políticas sirven para comprobar su configuración. En servidores, eso sí, el MDM tiene menos sentido que el inventario y las políticas.

¿Hace falta Intune para gestionar los Windows?

No. Fleet puede dar de alta los equipos Windows con su propio agente. Solo si se quiere el alta automática con Entra o Autopilot hacen falta Fleet Premium y una licencia Microsoft Entra ID P1 por persona.

Referencias

• Fleet en GitHub: código, licencia y plataformas compatibles.
• Fleet: funciones de la versión gratuita y de Fleet Premium.
• Fleet documentation: Reference architectures, requisitos del servidor (MySQL, Redis y TLS).
• Fleet: configuración del MDM de Apple y del MDM de Windows.