SEP+NAC+ForeFront

[Sol 0]

Подскажите пожалуйста.

Ситуация: Всего рабочих станций в домене (AD) около 2000. SEP+NAC(програмный) установлен на 1500 ПК. На оставшихся установлен ForeFront, есть единичные ПК с антивирусами других вендоров. Создаю политику "целостности хоста" указываю, если установлен не SEP, то высвечивать информационное сообщение. Ничего не происходит. Добавил руками ПК с касперским в группу где применяется политика. Ничего не происходит информацию о ПК в свойствах не выдает. В домене есть учетная запись с правами локального администратора, но как это можно использовать не додумался.

Для чего требуется: Пользователь пользуется к примеру ноутбуком дома, раз в полгода приносит его в корпоративную сеть (ноутбук в домене), но за это время он мог спокойно грохнуть антивирус или его сожрали вирусы. При включении в сеть происходит проверка, естьли на ПК хоть какой-нибудь антивирус, если нет, то доступ в сеть блокируется и на экране выскакивает сообщение с кем ему необходимо связаться.

[Олег Шабуров 56]

Создаю политику "целостности хоста" указываю, если установлен не SEP, то высвечивать информационное сообщение. Ничего не происходит. Добавил руками ПК с касперским в группу где применяется политика. Ничего не происходит информацию о ПК в свойствах не выдает.

Все правильно. Так и должно быть.

У SNAC есть несколько вариантов использования:

- так называемый self-enforcement, т.е. сам клиент SEP проверяет рабочую станцию и сообщает о несоответствии требованиям и выполняет заданные требования

- несколько вариантов с использованием апплайнсов, называемых enforcer:

1. при получении IP от DHCP-сервера

2. при установлении удаленного доступа, например, через VPN-сервер

3. при физическом подключении к сетевому оборудованию (через интеграцию с 802.1x).

У вас, видимо, смешались способы self-enforcement и способы с использованием энфорсеров.

Если на клиенте не установлен SEP, то его можно проверять только с использованием энфорсеров, а вы похоже их не используете.

Описанный вами сценарий - как раз стандартный вариант использования №3 (т.е. с использованием 802.1х).

Если нужно больше деталей - пишите, распишу поподробнее.

[Sol 0]

Спасибо огромное за ответ. Я правильно понял, что для реализации 3 варианта, програмного модуля мало, требуется докупка програмно-аппаратного комплекса? В любом случае, можно поподробнее про данный вариант.