Решения Eset — проактивная защита для компании Russian Fitness Group
Автор
AM_Bot, в Общий форум по информационной безопасности
Объявления
-
Сообщения
-
От Ego Dekker · Опубликовано
ESET Cyber Security был обновлён до версии 9.0.5300. -
От AM_Bot · Опубликовано
BI.ZONE PAM 2.3 — система управления привилегированным доступом по модели «нулевого доверия» (Zero Trust). Защищает критические цифровые системы, при этом не создаёт помех для управления ИТ-инфраструктурой. Продукт BI.ZONE PAM включён в реестр отечественного ПО, сертифицирован ФСТЭК России. ВведениеФункциональные возможности BI.ZONE PAM 2.32.1. Вход в веб-интерфейс2.2. Защищённое подключение2.3. Добавление объектов контроля2.3.1. Настройка политик доступа2.3.2. Подключение через RemoteApp2.4. Динамическое управление секретами2.5. Мониторинг сеансов2.6. Просмотр SSH- и RDP-сессий2.6.1. Работа с SCP- и SFTP-сессиями2.6.2. Фиксация дополнительных данных для SOC2.7. РеагированиеФункциональные особенности для удобства пользователей3.1. Самостоятельные изменения по согласованию3.2. Массовые действия на ресурсах3.3. Application-to-Application Password Manager3.4. Поддержка сценариев автоматизации через Ansible PlaybookАрхитектура BI.ZONE PAM 2.3 и интеграция в ИТ-среду4.1. Компоненты системы4.2. Непрерывность работы, отказоустойчивость и аварийный доступ4.3. Масштабирование4.4. Установка4.5. ИнтеграцииСистемные требования и лицензирование BI.ZONE PAM 2.3Кейсы применения BI.ZONE PAM6.1. Замещение иностранного решения в масштабной ИТ-инфраструктуре6.2. Защита от ошибок ИТ-специалистов и контроль подрядчиков6.3. Безопасность в производственной компании с соблюдением требований законодательстваВыводыВведениеПривилегированные пользователи (ПП) — это не только администраторы, но и все, кто имеет расширенные полномочия в операционных системах (ОС) и ключевых компонентах инфраструктуры: от специалистов по кибербезопасности и разработчиков до бизнес-пользователей и подрядчиков. Такие права позволяют обходить стандартные меры защиты, и при компрометации привилегированных пользователей последствия для компании могут быть критическими — вплоть до потери данных, разрушения инфраструктуры и доступа к финансам.Практика показывает, что компрометация учётных записей ПП продолжает оставаться одним из ключевых факторов успешных атак на российские организации. В процессе эксплуатации информационных систем организации сталкиваются с рядом типичных, но критически важных проблем.Многие компании продолжают использовать административные учётные записи, информация о которых давно забыта или потеряна. Их пароли часто оказываются слабыми, не меняются годами. Деятельность администраторов на целевых ресурсах остается непрозрачной, а объём предоставляемых прав существенно превышает реальные потребности и зачастую не отзывается, даже когда сотрудники уже не выполняют соответствующие функции.Перечисленные риски подтверждаются данными BI.ZONE Threat Intelligence: 42 % атакующих групп используют техники, связанные с учётными записями ПП, для проникновения в инфраструктуру, а 63 % — на этапе продвижения по сети компании. Показательно, что во всех случаях разрушения ИТ-инфраструктуры, которые расследовала команда BI.ZONE DFIR в 2025 году, для нанесения масштабного ущерба использовались возможности привилегированных учётных записей. Рисунок 1. Популярность техник MITRE ATT&CK, связанных с учётными записями ПП Отдельное внимание организациям приходится уделять выполнению требований регуляторов: указа Президента России № 250, федеральных законов № 152-ФЗ и 187-ФЗ, стандартов PCI DSS, ГОСТ Р 57580 и других.С учётом выявленных проблем и роста числа атак мы в компании BI.ZONE приняли решение о создании собственной системы управления привилегированным доступом — BI.ZONE Privileged Access Management (BI.ZONE PAM).В продукте отсутствуют OEM-компоненты сторонних производителей, что исключает критическую зависимость от внешних поставщиков. Это позволяет контролировать жизненный цикл всех ключевых компонентов, оперативно устранять уязвимости и развивать функциональность без ограничений, связанных с обновлениями или поддержкой со стороны третьих лиц.Решение включено в реестр отечественного ПО (№ 16915 от 21.03.2023), сертифицировано ФСТЭК России (4-й уровень доверия, сертификат № 4844 от 19.09.2024).Функциональные возможности BI.ZONE PAM 2.3В рамках серии видео «Эволюция российских PAM» уже была распаковка платформы BI.ZONE PAM. Тогда были обозначены ключевые задачи, которые решает продукт:Управление привилегированным доступом. Доступ к ключевым системам получают исключительно нужные люди на конкретный срок.Управление секретами привилегированных учётных записей. Сотрудники и подрядчики не знают пароли от учётных записей с расширенными правами. Секреты регулярно меняются — по расписанию или после каждого подключения.Контроль активности привилегированных пользователей. Действия при работе с критическими системами фиксируются в формате видео и текстовых команд, а данные о событиях уходят в SIEM.Реагирование на атаки. Нелегитимную активность можно прекратить в ручном режиме или заблокировать автоматически по чёрному списку запрещенных команд.Рассмотрим BI.ZONE PAM 2.3 более детально.Продукт представляет собой централизованную платформу для управления привилегированным доступом, реализующую принципы «нулевого доверия». Ключевой механизм — разрыв цепочки аутентификации: сотрудники подключаются к компонентам PAM, а не напрямую к целевым системам. Таким образом, создаются два независимых плеча подключения:от пользователя к PAM — с использованием непривилегированной учётной записи;от PAM к целевому ресурсу — с применением выделенных данных для привилегированного доступа.Рисунок 2. Схема работы BI.ZONE PAM 2.3 BI.ZONE PAM 2.3 реализует принципы «нулевого доверия» на архитектурном и прикладном уровне. Пользователь не получает прямого доступа к целевым системам и не владеет учётными данными — все подключения происходят через управляемые каналы по строго заданным правилам. Доступ предоставляется только через заранее определённые аккаунты с ограниченными по контексту правами. Каждое обращение проходит проверку политик, а попытки обхода системы исключены технически. Таким образом, платформа не доверяет ни пользователю, ни его устройству, ни локальной сети и требует явной авторизации и контроля на каждом этапе.Платформа контролирует весь процесс: проверяет права, проводит аутентификацию, автоматически предоставляет доступ с необходимыми полномочиями только в рамках заранее заданных сценариев. Подключение к целевым системам осуществляется через контролируемую среду, что позволяет записывать действия пользователей, ограничивать команды, исключать несанкционированные операции.Модель «нулевого доверия» также подразумевает, что строгость контроля компенсируется удобством работы. Это требуется для того, чтобы меры безопасности не снижали эффективность и скорость выполнения бизнес-задач. Платформа BI.ZONE PAM учитывает этот аспект Zero Trust, поэтому предлагает упрощённый пользовательский путь, понятный интерфейс, поддержку сценариев автоматизации, быстрое развёртывание и интеграцию с инфраструктурой, а также механизмы для ускорения взаимодействия между командами ИТ и безопасности.Вход в веб-интерфейсНа странице аутентификации в веб-интерфейсе BI.ZONE PAM демонстрируются информационные сообщения и уведомления. Рисунок 3. Вход в интерфейс BI.ZONE PAM 2.3 Эта функциональность предназначена для оперативного информирования пользователей, как внутренних, так и внешних (например, подрядчиков), о событиях, влияющих на доступ к целевым системам. Администратор может разместить уведомление, поясняющее причины возможных сбоев в подключении. Например, проведение технических работ на стороне целевого ресурса, запуск обновлений или наложение ограничений другим оператором. Это снижает количество обращений, ошибочно направляемых в адрес PAM-системы, и позволяет пользователю самостоятельно интерпретировать причины отказа в подключении.Настройка уведомлений доступна во вкладке «Настройка» при выборе раздела «Уведомления». Рисунок 4. Настройка уведомлений в BI.ZONE PAM 2.3 После аутентификации через доменную учётную запись пользователь попадает в интерфейс решения. В зависимости от присвоенных ролей (преднастроенных или кастомных) отображаются соответствующие элементы управления. Рисунок 5. Интерфейс администратора Рисунок 6. Интерфейс пользователя Защищённое подключениеBI.ZONE PAM 2.3 поддерживает подключение к разным типам ресурсов, включая Secure Shell (SSH), Secure Copy Protocol (SCP), SSH File Transfer Protocol (SFTP), Remote Desktop Protocol (RDP), базы данных PostgreSQL, Oracle и другие. Кроме проксирования сессий SSH и RDP, есть возможность настройки подключений через публикацию приложений RemoteApp.Добавление объектов контроляСоздание нового ресурса возможно в разделе «Ресурсы». Рисунок 7. Заведение целевого ресурса в BI.ZONE PAM 2.3 Ресурс идентифицируется по типу подключения и по уникальному набору атрибутов: IP-адресу, порту, FQDN. Это исключает коллизии при доступе, особенно в случаях, когда на одном IP-адресе работают разные сервисы на различных портах.Посмотреть целевые системы, к которым пользователю настроен доступ, можно во вкладке «Мои подключения». Группировка подключений и возможность поиска по всему списку ускоряют работу с большим количеством систем. Рисунок 8. «Мои подключения» в BI.ZONE PAM 2.3 Подключение к ресурсу возможно только при наличии соответствующей учётной записи. Добавить учётные записи в PAM-систему администратор может вручную или за счет синхронизации пользователей и групп из LDAP-каталогов.Сущности «ресурс» и «учётная запись» объединяются в структуру под названием «аккаунт». Это базовая единица, с которой в дальнейшем производится управление доступом. Один аккаунт представляет собой связку между конкретной учётной записью и целевым ресурсом. Например, привилегированная учётная запись Administrator может быть связана с IP-адресом 10.8.198.216, который соответствует контроллеру домена. Рисунок 9. Учётная запись в аккаунте Рисунок 10. Ресурс, связанный с учётной записью Administrator Простой случай — это один аккаунт на один ресурс с одной учётной записью. Однако предусмотрен и другой подход: один аккаунт может включать одну учётную запись и несколько ресурсов. Рисунок 11. Добавление ресурсов для одной учётной записи Это позволяет централизованно управлять доступом, например, для административных задач в рамках проекта или службы.Настройка политик доступаПрава выдаются и отзываются через политики, настраиваемые во вкладке «Права и доступ». Рисунок 12. Вкладка «Права и доступ» в BI.ZONE PAM 2.3 В политике указывается, какие аккаунты доступны и кому — отдельным пользователям или группам. В случае использования групп права автоматически наследуются всеми участниками группы. Политики можно редактировать: отозвать доступ, удалив группу или конкретного пользователя из политики. Такой подход снижает вероятность ошибок со стороны администратора, поскольку отпадает необходимость вручную повторно связывать учётные записи с ресурсами при каждом изменении прав.Для каждой политики доступа можно задать используемый протокол подключения. Это выполняется во вкладке «Приложения». Здесь указывается, каким способом должен подключаться пользователь при доступе к определённому ресурсу. Например, RDP — для подключения к контроллерам домена Microsoft, SSH — для серверов под управлением Linux. Это позволяет системе однозначно интерпретировать, какой протокол и тип подключения применять к каждому аккаунту. Рисунок 13. Указание типа доступа в политике доступа Для снижения риска несанкционированного доступа мы рекомендуем настраивать политики доступа с многофакторной аутентификацией. Это может быть реализовано за счет встроенного механизма отправки временных кодов (TOTP) или интеграции с провайдерами многофакторной аутентификации. В качестве альтернативной или дополнительной меры система поддерживает подключение по номеру заявки (тикета). При интеграции с внешней ITSM-системой пользователь сначала создает тикет с запросом доступа к критическому ресурсу, получает согласование администратора и далее подключается к ресурсу с указанием номера тикета. Подключение через RemoteAppВ системе предусмотрена возможность использования различных типов приложений, реализованных в виде шаблонов (вкладка «Приложения»). Допустим, заказчик использует самописную систему, доступ к которой возможен только через специфичную версию браузера. В этом случае создается шаблон приложения, в котором явно указывается нужная версия Chrome и необходимые параметры запуска.Тип приложения указывается при создании шаблона — например, опубликованный браузер. В рамках шаблона могут быть описаны параметры запуска, включая конкретную версию приложения и файл конфигурации. В результате пользователь, подключаясь, открывает экземпляр браузера, настроенный по шаблону, и получает доступ к интерфейсу системы. Такой подход позволяет учитывать специфические требования заказчика. Рисунок 14. Создание приложения (типа доступа) До конца года мы планируем добавить поддержку публикации приложений через Linux‑терминальные фермы. Пользователи смогут обращаться к целевым ресурсам через эти опубликованные приложения, сохраняя централизованный контроль привилегий, аудит сеансов и безопасное управление доступом без необходимости подключаться к хостам напрямую.Динамическое управление секретамиПоддерживаются два метода аутентификации: по паролю или с использованием сертификата SSH. Все секреты, включая пароли и ключи, хранятся в хранилище секретов.Управление секретами организовано через специализированные движки, каждый из которых отвечает за хранение и выдачу определённого типа учётных данных. Например, движок по типу «ключ-значение» (key-value) — для локальных учётных записей, специализированный SSH-движок — для SSH-ключей, LDAP-движок для записей из соответствующего каталога и пр.Ротация и жизненный цикл секретов реализуются в рамках соответствующих движков: одни автоматически создают и отзывают временные учётные записи, другие позволяют версионировать и обновлять статичные значения. Логи и аудит записывают операции с секретами без раскрытия их содержимого, а API и инструменты автоматизации обеспечивают интеграцию с CI / CD и оркестраторами для централизованного управления и обновления секретов. Рисунок 15. Заведение привилегированной учётной записи в BI.ZONE PAM 2.3 Мониторинг сеансовВ интерфейсе BI.ZONE PAM 2.3 для всех сессий доступна информация о точке входа, маршруте, IP-адресе пользователя, времени начала, продолжительности сессии и другое. Рисунок 16. Вкладка «Сессии» в BI.ZONE PAM 2.3 Отображение сессий настраивается при помощи функции «Настройка отображения колонок» (в верхнем правом углу). Рисунок 17. Настройка отображения колонок в BI.ZONE PAM 2.3 Имеется возможность фильтрации информации — по дате, началу, окончании сессии, периоду активности пользователя. Рисунок 18. Фильтрация сессий по дате в BI.ZONE PAM 2.3 Также сохраняется видео- и текстовый журнал действий пользователей, который можно использовать для аудита и расследования.Просмотр SSH- и RDP-сессийПосле открытия интересующей сессии автоматически запускается модуль воспроизведения, где отображаются временная шкала и сгруппированные команды, вводимые пользователем. Команды группируются по факту выполнения.Например, при вводе команды touch она сохраняется в списке, и по клику система перемещает на соответствующий момент на таймлайне. При этом интерфейс не использует видеофиксацию — вся информация отображается в виде текста, который доступен для копирования и может использоваться для поиска, фильтрации и локализации инцидентов. Рисунок 19. Просмотр SSH-сессий в BI.ZONE PAM 2.3 Рисунок 20. Просмотр RDP-сессий в BI.ZONE PAM 2.3 Засечки на таймлайне указывают на активные действия пользователя. При наличии пауз в действиях предусмотрен режим пропуска неактивных участков — Skip idle, при включенной опции плеер автоматически перемещается между периодами активности, позволяя ускорить просмотр.В правой части экрана доступна панель метаданных, где отображаются:время начала и завершения сессии; логины пользователей;тип подключения (например, ssh-native);IP-адреса и внутренние идентификаторы;компонент подключения, использованный в конкретной сессии;привязанный тикет (если был указан при подключении).Эти данные предоставляют контекст, необходимый для анализа действий пользователя и взаимодействия с целевыми ресурсами.Работа с SCP- и SFTP-сессиямиПользователь может работать с файлами через SCP / SFTP в рамках отдельной сессии, параллельно SSH. В интерфейсе отображаются действия: загрузка, редактирование, удаление, переименование. Каждый файл фиксируется с указанием времени операции, направления передачи и изменения размера. Действия отображаются в специализированной вкладке интерфейса, где для каждого события формируется отдельная запись с подробными метаданными. Рисунок 21. Работа с файлами через SCP / SFTP в BI.ZONE PAM 2.3 Фиксация дополнительных данных для SOCЗафиксированные действия пользователей и администраторов могут быть направлены во внешние системы.По умолчанию поддерживается отправка данных через Kafka и другие каналы, включая форматы, согласуемые на этапе внедрения. Фиксируются не только успешные подключения, но и попытки доступа, включая ввод неверных учётных данных или обращения к портам подключения. Такая информация может быть использована для формирования инцидентов в SIEM-системах.РеагированиеЕсли возникает необходимость экстренного отключения пользователя (например, при выявлении компрометации), администратор может вручную отключить его через интерфейс PAM или заблокировать пользователя в стороннем каталоге. При этом политика доступа не изменяется, а пользователь просто утрачивает текущие сессии. Это позволяет оперативно реагировать на инциденты без риска нарушить общую конфигурацию доступа. Рисунок 22. Разрыв соединения через интерфейс BI.ZONE PAM 2.3 Во втором случае необходимо во вкладке «Пользователи» найти соответствующую учётную запись и воспользоваться функцией отключения. После этого пользователь теряет возможность устанавливать новые подключения к ресурсам, даже если права доступа по-прежнему присутствуют. Статус пользователя может быть синхронизирован со статусом его учётной записи из внешнего каталога пользователей. Рисунок 23. Отключение пользователя в BI.ZONE PAM 2.3 Помимо реагирования в ручном режиме, BI.ZONE PAM 2.3 предлагает также автоматическую блокировку нежелательной активности. Это реализовано через фильтрацию SSH-команд по чёрному списку. Рисунок 24. Фильтрация команд в BI.ZONE PAM 2.3 Список поддерживает регулярные выражения, доступен преднастроенный перечень. Когда пользователь вводит команду из списка, платформа может запретить действие, показать предупреждение или передать данные в SIEM. Мера повышает защиту от злоумышленников, в том числе внутренних. Ещё она позволяет ИТ‑отделам организовать плавное погружение для новых сотрудников. К примеру, можно запретить им ввод команд для перезагрузки критических систем.Функциональные особенности для удобства пользователейСреди возможностей BI.ZONE PAM 2.3 выделяются механизмы, которые способствуют балансу между безопасностью и удобством при контроле привилегированного доступа.Самостоятельные изменения по согласованию В версии 2.3 платформа BI.ZONE PAM стала поддерживать сценарий, при котором пользователи могут самостоятельно предлагать изменения, связанные с настройками системы. Администратор платформы одобряет или отклоняет такие изменения в разделе «Заявки». Механизм «второй руки» ускоряет работу, а двойной контроль исключает ошибки. Рисунок 25. Согласование заявок в BI.ZONE PAM 2.3 Массовые действия на ресурсах Во время операций над десятками серверов или баз данных ИТ-специалист может использовать варианты кеширования многофакторной аутентификации, чтобы подключаться к целевым ресурсам без повторного ввода пароля. Пользователь один раз проходит полную проверку, а затем получает возможность многократного доступа по SSH-сертификату или специальному ярлыку для RDP-подключений. Срок действия таких файлов определяет администратор платформы.Для получения SSH-сертификата необходимо во вкладке «Сертификаты» выбрать «Мои сертификаты» и нажать «Создать». Рисунок 26. Создание сертификата в BI.ZONE PAM 2.3 При этом понадобится указать название, используемый криптографический алгоритм, битовую длину ключа. Система задаст пароль для сертификата и отобразит его срок действия. Рисунок 27. Генерация сертификата Кнопка закрытия окна генерации станет доступной только после загрузки файла сертификата. Такой подход обеспечивает дополнительную гарантию, что секрет не будет утерян до его сохранения.Для RDP-сессий реализован дополнительный механизм в виде постоянных и одноразовых ярлыков подключения. Рисунок 28. Скачивание ярлыка подключения к ресурсам по протоколу RDP Постоянный ярлык можно сохранить на рабочем столе и использовать многократно, каждый раз вводя только пароль. Рисунок 29. Подключение по RDP к целевому ресурсу в BI.ZONE PAM 2.3 через ярлык Одноразовые ярлыки создаются в рамках активной сессии в веб-интерфейсе.Повторное использование одноразового ярлыка невозможно: при втором запуске система сообщает, что токен недействителен. Рисунок 30. Сообщение о том, что токен невалидный Передача ярлыка третьим лицам также исключена — токен привязан к конкретному пользователю и рассчитан на однократное использование. Это позволяет безопасно подключаться к ресурсам без повторного прохождения процедуры аутентификации, сохраняя при этом требования по контролю доступа.Application-to-Application Password ManagerСторонние приложения могут запрашивать секреты из модуля управления секретами BI.ZONE PAM по защищённому API и использовать их в работе. Это обеспечивает централизованное хранение секретов, ротацию паролей, контроль доступа по ролям и аудит вызовов API. При этом приложения получают только необходимые секреты на короткий срок, а в коде или конфигурации не хранятся данные, которые могут дать постороннему доступ к корпоративным сервисам.Поддержка сценариев автоматизации через Ansible PlaybookBI.ZONE PAM 2.3 поддерживает скрипты Ansible — популярный инструмент для выполнения типовых DevOps-операций (настройка, обновление, проверка конфигурации целевых систем и пр.).Это позволяет ускорять выполнение рутинных задач без выхода из PAM-сессии. Платформа сама обеспечивает аутентификацию скрипта в целевой системе, запуск скрипта осуществляется только в рамках прав доступа пользователя PAM, все действия контролируются политиками безопасности PAM, логируются и могут быть воспроизведены для аудита.Для запуска Ansible Playbook в рамках PAM-сессии пользователю достаточно указать в конфигурационном файле Ansible Inventory параметры подключения, предоставленные PAM (например, proxy, user, host, порт). Рисунок 31. Схема работы с Ansible Playbook Архитектура BI.ZONE PAM 2.3 и интеграция в ИТ-средуАрхитектура BI.ZONE PAM построена по микросервисному принципу с возможностью масштабирования и кластеризации компонентов, основанных на подходе container-native. Это обеспечивает отказоустойчивость и гибкость при развёртывании в инфраструктуре заказчика.Компоненты системыКомпоненты реализованы в виде контейнеров, поддерживается развёртывание в кластере OpenShift (или совместимом контейнерном окружении). Рисунок 32. Архитектура BI.ZONE PAM 2.3 Ключевые элементы архитектуры:Оркестратор предоставляет доступ к интерфейсу платформы, перечню целевых систем. Управляет конфигурацией решения, отслеживает состояние активных и завершённых сессий. Поддерживает REST-интерфейс (API) для интеграции со сторонними системами. Интерфейс един для пользователей и администраторов — доступная функциональность определяется ролевой моделью. Также в оркестратор встроен модуль аутентификации с поддержкой внешних каталогов (например, Microsoft Active Directory, FreeIPA) и внутренней реализацией многофакторной аутентификации по протоколу TOTP.Компонент управления отвечает за контроль и координацию активных сессий, получает секреты из модуля управления секретами, контролирует взаимодействие с компонентом подключений, обеспечивает запись и чтение данных сессий.Компонент подключений реализует проксирование пользовательских сессий по различным протоколам. В версии 2.3 это RDP (включая RemoteApp через терминальные приложения Microsoft) и SSH, SCP и SFTP. Все действия пользователей фиксируются как в текстовом виде, так и в формате видеозаписей, что позволяет обеспечить полный аудит активности.Кластер баз данных хранит конфигурационные данные платформы и настройки прав доступа и разрешений на подключение к целевым ресурсам.Модуль управления секретами отвечает за хранение и ротацию учётных данных привилегированных пользователей.Непрерывность работы, отказоустойчивость и аварийный доступЗа счёт микросервисной архитектуры BI.ZONE PAM сохраняет работоспособность при обслуживании и изменении настроек: отдельные компоненты можно обновлять, настраивать или перезапускать без остановки всей системы. Это же помогает сохранять работоспособность системы даже при сбое её отдельных компонентов.Для дополнительных гарантий непрерывности бизнес-процессов платформа поддерживает различные схемы высокой доступности, включая резервирование Active-Active, Active-Passive и N+1, в зависимости от требований конкретной организации. При выходе из строя одного из компонентов резервный узел активируется мгновенно.Для распределённых инсталляций с несколькими компонентами подключения в интерфейсе предусмотрена настройка балансировки. В таких сценариях балансировщик принимает входящие подключения от пользователей и распределяет их между доступными нодами, обеспечивая отказоустойчивость и равномерную загрузку системы. Добавление балансировщиков производится через «Права и доступ» при выборе одноименного раздела. Рисунок 33. Раздел «Балансировщик» во вкладке «Права и доступ» Аварийные сценарии включают механизм резервного доступа. Он реализован по аналогии с концепцией «золотого тикета» (Golden Ticket). В рамках политики доступа можно предусмотреть учётную запись, к которой предоставляется доступ даже в случае недоступности основной инфраструктуры PAM. Такая запись создаётся заранее, она может быть использована, например, в случае отказа контроллера домена или самого PAM-сервера. Рисунок 34. Вкладка «Резервный доступ» в BI.ZONE PAM 2.3 При попытке подключения система сначала проверяет наличие тикета в собственном списке резервного доступа. Если тикет найден, доступ предоставляется. Если нет — инициируется обращение во внешнюю тикетницу. Такой подход позволяет обеспечить непрерывность доступа даже при сбоях во внешних системах или в рамках плановых работ.МасштабированиеМикросервисная архитектура BI.ZONE PAM позволяет создать инсталляцию, охватывающую всю информационную инфраструктуру организации и готовую к высокой нагрузке. Например, одна из подтверждённых инсталляций BI.ZONE PAM охватывает сотни тысяч серверов и десятки тысяч одновременных сессий.Как следствие:Возможности горизонтального масштабирования зависят от доступных вычислительных ресурсов заказчика, а не от ограничений самого программного обеспечения.Горизонтальное масштабирование не требует приобретения дополнительных лицензий.Чтобы расширить вычислительные ресурсы для поддержки большего количества подключений и распределения нагрузки, достаточно добавить в систему дополнительный компонент подключений. Управление всеми компонентами, в том числе геораспределёнными, доступно в едином веб-интерфейсе.Установка Система BI.ZONE PAM может быть установлена в инфраструктуре заказчика на виртуальной машине, выделенном физическом сервере или в контейнерной среде. Готовые скрипты развёртывания позволяют подготовить платформу к добавлению систем и учётных записей за десятки минут. За счёт микросервисной архитектуры возможна доработка скриптов инсталляции под конкретную инфраструктуру, от схем all-in-one (инсталляция на одной виртуальной машине) до отказоустойчивых инсталляций с георезервированием.Интеграции«Из коробки» поддерживаются интеграции: с источниками учётных записей AD, FreeIPA, Avanpost DS, ALD Pro, РЕД АДМ, «Атом.ДОМЕН», «Альт Домен», Dynamic Directory, «Эллес» (также система располагает внутренним каталогом пользователей); провайдерами двухфакторной аутентификации в дополнение к встроенной 2FA — по протоколам OpenID Connect, OAuth 2.0, SAML; SIEM-системами; ITSM-системами (тикетницами).Дополнительные интеграции можно реализовать через REST API: в разработке команда BI.ZONE PAM придерживается подхода API-first.Системные требования и лицензирование BI.ZONE PAM 2.3Решение совместимо с корпоративной ИТ-инфраструктурой на базе операционных систем семейств Windows NT и Linux / Unix, в том числе основных российских Linux‑дистрибутивов.Для определения необходимого количества компонентов Worker рекомендуется учитывать, что один Worker SSH рассчитан на обслуживание до 250 одновременных сессий. Worker RDP чувствителен к количеству ЦП, стабильно держит 6 сессий на 1 ЦП. Таблица 1. Минимальные требования к аппаратному обеспечениюКомпонентBI.ZONE PAM docker composeRAM (ГБ)16CPU (ядер)8SYS SSD600ОСUbuntu 22.04ПримечаниеВиртуальная машина Лицензирование производится по количеству одновременных активных сессий привилегированных пользователей, подключающихся к целевым системам, и числу привилегированных пользователей.Кейсы применения BI.ZONE PAMВнедрение BI.ZONE PAM выполняется поэтапно и начинается с определения целей проекта. На этом этапе устанавливаются объём и границы предстоящих работ, а также фиксируются критерии, по которым будет оцениваться успешность внедрения. После согласования целевых параметров и ожиданий заказчика осуществляется развёртывание и настройка системы: устанавливаются необходимые компоненты, добавляются и конфигурируются привилегированные учётные записи, настраиваются политики и параметры доступа в соответствии с архитектурой инфраструктуры.Следующий этап — функциональное тестирование. Команда BI.ZONE проверяет соответствие реализованной конфигурации поставленным задачам, корректность работы механизмов аутентификации, мониторинга и управления доступом.После подтверждения работоспособности и завершения основных настроек осуществляется закрытие проекта. На этом этапе готовится отчётная документация, итоговый протокол.Рассмотрим кейсы внедрения BI.ZONE PAM в организациях различного масштаба и отраслевой принадлежности.Замещение иностранного решения в масштабной ИТ-инфраструктуреВ «Сбере» внедрение BI.ZONE PAM преследовало цель заменить зарубежное решение для управления привилегированным доступом на отечественное, сохранив привычные возможности продукта и высокий уровень безопасности. Проект потребовал учесть три ключевых фактора:масштаб инфраструктуры; невозможность остановки работы даже на непродолжительное время;сроки, т. к. миграция инфраструктуры такого масштаба занимает несколько лет, а на проект отводилось только 1,5 года.Переход осуществлялся поэтапно. Каждая новая функция проходила предварительную валидацию в тестовом контуре, после чего внедрялась в промышленную среду для ограниченной фокус-группы из 3–5 человек. На следующем этапе происходило масштабирование на группу около 100 пользователей, а затем — на всю целевую аудиторию, охваченную BI.ZONE PAM. Такой подход позволил избежать простоев и исключить сценарии, при которых привилегированный доступ временно оставался бы вне контроля PAM-системы.Внедрение BI.ZONE PAM не только сохранило привычную функциональность, но и улучшило пользовательский опыт сотрудников «Сбера». Один из примеров — оптимизация массовых подключений: DevOps-, SRE-инженерам и администраторам стало требоваться меньше действий для одновременного подключения к большому числу систем. С деталями кейса можно ознакомиться по ссылке.Защита от ошибок ИТ-специалистов и контроль подрядчиковДля организации среднего бизнеса из сферы ИТ и телекоммуникаций основной задачей внедрения PAM-системы было обезопасить инфраструктуру от нежелательных изменений в критически важных сервисах. Подразумевался не только умышленный вред, но и случайные действия: в силу специфики компании почти половина её сотрудников работает с ключевыми для бизнеса системами, и это повышает вероятность ошибки. Из-за этой же специфики требовалось, чтобы меры контроля не ломали привычный пользовательский опыт для разработчиков и DevOps-инженеров, обеспечив им бесшовный доступ к серверам и другим защищаемым системам.Команда BI.ZONE PAM помогла скорректировать процессы управления доступом в соответствии с моделью Zero Trust, оптимизируя контроль внешних подключений со стороны подрядчиков. Благодаря поддержке беспарольной аутентификации, изменений по согласованию (механизм «второй руки») и Ansible-скриптов удалось минимизировать воздействие защитных мер на удобство выполнения рутинных задач ИТ-команды.Безопасность в производственной компании с соблюдением требований законодательстваПромышленная организация искала PAM-решение для защиты геораспределённых площадок. Требования по контролю привилегированного доступа учитывали внимание регуляторов (152-ФЗ, приказы ФСТЭК России № 21, № 31, № 239 и т. д.).BI.ZONE PAM отвечает этим запросам. За счёт микросервисной архитектуры можно развернуть систему в нескольких филиалах по финансово выгодной схеме — в рамках единой лицензии. Решение сертифицировано ФСТЭК России по 4-му уровню доверия и помогает выполнять требования законодательства, усиливая необходимые меры защиты.ВыводыBI.ZONE PAM решает ключевые задачи в области управления привилегированным доступом и защиты критических ресурсов. Для повышения безопасности реализовано динамическое управление секретами: пароли и сертификаты автоматически обновляются при каждом подключении. Действия администраторов и подрядчиков фиксируются в процессе работы с критической информацией, что позволяет контролировать выполнение операций и повышать прозрачность.События кибербезопасности передаются в системы централизованного мониторинга, обеспечивая оперативное реагирование со стороны центра мониторинга и реагирования на инциденты.Достоинства:Поддержка разных протоколов подключения — SSH, SCP / SFTP, RDP, PostgreSQL, Oracle и другие.Предоставление доступа к критическим данным только определённым сотрудникам на нужный срок.Совместимость с корпоративной ИТ-инфраструктурой на базе операционных систем семейств Windows NT и Linux / Unix, в т. ч. основных российских Linux‑дистрибутивов.Встроенная поддержка двухфакторной аутентификации по протоколу TOTP.Внутренний каталог для внесения в PAM-систему локальных учётных записей пользователей.Удобный просмотр записанных текстовых и графических сессий и быстрое перемещение по событиям внутри записанной сессии.Сервисы самостоятельных изменений по согласованию.Поддержка сценариев автоматизации и DevOps (container-native, скрипты Ansible, подход API-first и пр.).Горизонтальное масштабирование без необходимости приобретения дополнительных лицензий.Отказоустойчивость и готовность к высокой нагрузке за счёт микросервисной архитектуры.Простая установка с готовыми скриптами развёртывания и помощью опытной команды техподдержки.Поддержка непрерывной работы системы при проведении технического обслуживания и изменении конфигурации.Отсутствие зависимости от OEM-компонентов сторонних производителей при развитии продукта.Присутствие в реестре отечественного ПО, наличие сертификата ФСТЭК России.Недостатки:Для использования режима RemoteApp требуется наличие терминальной инфраструктуры Microsoft.Не реализована функция формирования отчётов по действиям пользователей и сессиям.Отсутствие функциональности управления привилегированным доступом к Kubernetes через PAM.Реклама, 18+. ООО «БИЗон» ИНН 9701036178ERID: 2VfnxwHjuzxЧитать далее -
От demkd · Опубликовано
---------------------------------------------------------
5.0.2
---------------------------------------------------------
o Обновлен формат образа автозапуска до v5.
o Утилита cmpimg обновлена до версии 1.05 для поддержки нового формата образов автозапуска.
o Утилита uvs_snd обновлена до версии 1.06 для поддержки нового формата образов автозапуска.
o В окне монитора активности процессов теперь отображается:
o Точная информация о занятой процессом памяти и загрузке GPU для актуальных версий Win10/11.
(старые версии uVS и стандартный диспетчер задач Windows в некоторых случаях отображают очень далекие от реальности цифры).
o Занятая процессом видеопамять (VRAM).
(!) Для получения данных uVS не использует счетчик производительности, поэтому значение может немного отличаться от того что показывает Диспетчер задач.
(!) Доступно только для дискретных видеокарт.
o Суммарная загрузка процессами RAM/VRAM(сумма НЕ равна всей занятой физической памяти, учитывается только то что занято процессами)/cpu/gpu
при выбранной сортировке по соответствующему столбцу с данными.
o Исправлена критическая ошибка в работе серверной части uVS при установленном флаге bReUseRemote.
При отключении клиента могло произойти аварийное завершение серверной части uVS из-за сбоя синхронизации потоков, что в свою очередь могло
привести к подвисанию процесса клиентской части uVS на несколько минут.
o Предупреждение о внедренном потоке в процесс с измененным кодом перенесено из информации базового файла в информацию
о фейковом процессе с соответствующим pid.
o В функцию очистки диска от временных файлов добавлен каталог C:\Windows\SystemTemp
-
От demkd · Опубликовано
да, эта дыра существует еще с висты, странно что до сих пор ее не закрыли. -
От AM_Bot · Опубликовано
Отечественная платформа корпоративных коммуникаций eXpress позволяет пользователям организовывать видеоконференции, осуществлять звонки, обмениваться сообщениями и работать с корпоративной почтой. Система предназначена для импортозамещения Microsoft Teams, Slack, Zoom и других подобных продуктов. ВведениеФункциональные возможности eXpress 3.482.1. Видеоконференции и чаты2.2. Пользовательские настройки2.3. Ролевая модель2.4. Интеграция с DLP-системами2.5. Поддержка ОС «Аврора»Архитектура eXpress 3.48Системные требования eXpress 3.48Лицензирование eXpress 3.48Сценарии использования eXpress 3.486.1. Вход пользователя6.1.1. Работа с контактами6.1.2. Работа с чатами6.1.3. Работа с файлами6.1.4. Работа со звонками6.2. Работа администратора6.2.1. Работа с пользователями6.2.2. Аудит6.2.3. Запросы на выход (логаут)6.2.4. Настройка сервераВыводыВведениеБезопасность и удобство корпоративных коммуникаций являются актуальными задачами для большинства компаний, вне зависимости от их размера и сегмента, в котором они работают. Во многом это обусловлено распространенностью западных публичных мессенджеров и бытовыми привычками пользователей. Основными рисками при использовании публичных мессенджеров, не предназначенных для корпоративного применения, являются утечка конфиденциальной информации организации, распространение вредоносных программ с пользовательских устройств, которые могут оказаться в инфраструктуре компании, отсутствие контроля средствами предотвращения утечек (DLP) при использовании мобильных устройств, а также уязвимости программной части мессенджеров.Наша редакция уделяет особое внимание теме безопасности корпоративных коммуникаций. Так, в 2025 году в нашей студии представители отечественных производителей собирались на эфире AM Live для обсуждения этой проблемы. Тезисы, прозвучавшие в ходе эфира, для вашего удобства сведены в отдельной статье, с которой вы можете ознакомиться, перейдя по ссылке. В ходе дискуссии проводились опросы, чтобы выяснить имеющуюся практику и ожидания заказчиков от платформ корпоративных коммуникаций.Так, по данным опроса респондентов, 35 % участников мероприятия хотели бы в первую очередь внедрить систему унифицированных коммуникаций (аналог Microsoft Teams). 28 % отдали предпочтение почтовым системам (аналогам Microsoft Exchange). 8 % указали на необходимость внедрения мессенджеров. Еще один немаловажный фактор — трудности, связанные с переходом на российские корпоративные платформы коммуникаций. 14 % опрошенных отметили, что слишком высока стоимость таких решений. 8 % сообщили о низкой функциональности, 21 % указали на недостаточную надёжность. 13 % респондентов не видят никаких препятствий и всем довольны. На рисунке ниже представлены результаты аналогичного опроса в 2024 году. Сравнивая результаты, можно прийти к выводу, что за прошедший год снизилось количество респондентов, недовольных функциональностью и стоимостью отечественных систем, однако выросла доля тех, кого не устраивает надёжность. Рисунок 1. Результат опроса зрителей о проблемах отечественных систем коммуникаций Действительно, отечественные производители долгое время отставали от зарубежных в части функциональных возможностей, надёжности и других параметров, однако тренд на импортозамещение привёл к скачку в развитии российских платформ корпоративных коммуникаций.Одна из таких платформ — eXpress, разрабатываемая в России с 2015 года. Ранее мы готовили обзор на предыдущую версию этой системы. Рассмотрим возможности и особенности обновленной версии продукта — eXpress 3.48.Функциональные возможности eXpress 3.48Система eXpress является супераппом, т. е. сочетает в себе функции нескольких приложений. Так, на официальном сайте вендора заявлены следующие функциональные возможности: обмен сообщениями в персональных и групповых чатах, отправка документов, совершение аудиозвонков, организация видеоконференций (ВКС), смарт-приложения (Smart Apps) и чат-боты (например, встроенные кадровые сервисы), а также работа на собственном распределенном протоколе Федерации для бесшовного общения с пользователями приложения из других компаний.Видеоконференции и чатыС момента предыдущего обзора в системе были доработаны возможности, связанные с проведением видеоконференций.Во-первых, добавлен таймер обратного отсчёта конференции. Это важно для соблюдения тайминга её участниками и позволит не нарушать запланированный распорядок рабочего дня. За 10 минут до конца конференции отображается предупреждение. По истечении времени выводится уведомление «Время конференции вышло» (при этом конференция не завершается автоматически). Рисунок 2. Таймер обратного отсчёта в eXpress 3.48 Во-вторых, для пользователей, находящихся дома или в общественных местах, добавлена функция размытия фона и индивидуальные виртуальные фоны. Рисунок 3. Выбор виртуального фона в eXpress 3.48 В-третьих, для предотвращения утечек конфиденциальных данных приложение сигнализирует, если в чате находится пользователь публичного сервера. Рисунок 4. Предупреждение о нахождении пользователя публичного сервера в eXpress 3.48 Удобными нововведениями стали возможность создания опросов и викторин непосредственно в чате или канале без использования ботов, а также автоматический статус «в звонке», если вы разговариваете с кем-то в eXpress или находитесь в конференции. Рисунок 5. Создание опроса в чате eXpress 3.48 В новой версии eXpress значительно расширил возможности общения для публичных пользователей: им стали доступны индивидуальные и групповые звонки с видео без ограничений. Ранее публичные пользователи могли созваниваться только с корпоративными пользователями. Теперь они могут могут созваниваться друг с другом в персональных и групповых звонках. Конференции по-прежнему доступны только корпоративным пользователям.Пользовательские настройкиДля многих пользователей важны не только функции мессенджера для взаимодействия с другими пользователями, но и дополнительные возможности для его настройки «под себя». В связи с этим в новой версии eXpress появилась возможность сменить аватар и установить пользовательский статусв: доступны шаблоны, индивидуальные статусы, срок действия, автоответ и настройки уведомлений о сообщениях и звонках. Рисунок 6. Создание статуса в eXpress 3.48 Ролевая модельДля предотвращения утечек данных и для управления доступами к функциям приложений по различным атрибутам, в eXpress 3.48 доработана ролевая модель, в которой настраиваются политики безопасности для различных групп пользователей.Областью действия ролевой модели могут быть чаты, каналы и обсуждения. На втором этапе разработки ролевой модели предусмотрены следующие типы правил: запрет возможности переслать / поделиться / сохранить вложения в память устройства, ограничения возможности скачивать вложения от пользователей «чужого» корпоративного сервера (CTS), запрет загрузки / просмотра вложений, запрет отправки / пересылки вложений, обязательный ПИН-код.Ролевая модель позволяет гибко настраивать доступы и определенные действия как для всех пользователей, чатов и Smart Apps, так и выборочно. Рисунок 7. Настройка ролевой модели в eXpress 3.48 Интеграция с DLP-системамиВ новом релизе eXpress добавлена возможность включения проверки файлов и сообщений DLP-системами, а новая функция «DLP в разрыв» не только информирует специалиста по безопасности компании об отправке опасных сообщений, но и способна остановить отправку чувствительных данных. Таким образом, в системе есть возможность работы с сообщениями, медиафайлами, документами, а также создание личных дел. Используя журнал аудита, администратор может просматривать около 30 видов событий. Рисунок 8. Настройка интеграции с DLP-системами Платформа интегрируется с DLP-системами компаний «Стахановец», Falcongaze, InfoWatch, SearchInform, «Солар».Поддержка ОС «Аврора»Начиная с января 2025 г. eXpress стал доступен для пользователей устройств на базе отечественной ОС «Аврора». В силу тренда на импортозамещение, в том числе операционных систем мобильных устройств, подобная возможность стала весьма своевременной. Клиент для устройств, использующих указанную операционную систему, на данный момент позволяет работать с чатами, вложениями, чат-ботами, сообщениями и другими элементами продукта.Архитектура eXpress 3.48Типовая архитектура eXpress состоит из следующих серверов: медиасервер, предназначенный для организации видео- и аудиосвязи между пользователями; сервер для транскодирования записей звонков и конференций в файлы (форматы MP4 для видеоконференций и AAC для аудиоконференций); CTS-сервер, он же корпоративный сервер eXpress.В общем случае медиасервер должен быть размещён в «демилитаризованной зоне» (DMZ), т. к. требуется его публикация в интернете. Если в архитектуре используется единый корпоративный сервер Single CTS, то сервер транскодирования должен быть размещён в том же сетевом сегменте, что и Single CTS. Если в архитектуре используется разделённый корпоративный сервер (Front CTS и Back CTS), то в этом случае сервер транскодирования должен быть в том же сетевом сегменте, что и сервер Back CTS. Рисунок 9. Типовая схема архитектуры eXpress при использовании Front CTS и Back CTS Компоненты eXpress представлены следующими Docker-контейнерами: coturn (сервис STUN / TURN),janus (сервис для групповых звонков), redis (KV-хранилище), transcoding (отвечает за перекодировку записи в выходной формат), transcoding_storage (сервис временного хранения записей), nginx (веб-сервер, который отвечает за маршрутизацию внутренних подключений), traffic (отвечает за терминацию TLS на входе).Полное описание архитектуры продукта содержится в руководстве администратора, размещенном на официальном сайте вендора.Системные требования eXpress 3.48Системные требования для установки eXpress в инфраструктуре зависят от количества пользователей. Начиная со 100 пользователей необходимо выделить отдельный сервер транскодирования. Пропускная способность сети при проведении видеоконференций для входящего трафика рассчитывается как количество участников, умноженное на 1,5 Мбит/с. Исходящий трафик зависит от типа звонка и раскладки экрана у участников. Если у участников воспроизводится мультиэкран (мозаика), то на каждого участника приходится произведение количества ячеек в мозаике (максимально — 20) на 140 кбит/с (низкое качество). Для звукового канала необходимо 16 кбит/с. Демонстрация экрана зависит от характера картинки: для статичных презентаций — 30–50 кбит/с, для динамичных максимальные значения могут достигать 2 Мбит/с на каждого участника.Ниже приведены несколько таблиц с системными требованиями к серверам в зависимости от количества пользователей. Более точную информацию можно получить в справочных материалах вендора. Таблица 1. Системные требования к распределенной инсталляции на 100 пользователейКомпонентПроцессор, количество ядерОперативная память, ГБЖесткий диск, ГБВвод-вывод, операций в секундуFront CTS114513Media324513Transcoding246513Back CTS41035843Bot24859 Таблица 2. Системные требования к распределенной инсталляции на 500 пользователейКомпонентПроцессор, количество ядерОперативная память, ГБЖесткий диск, ГБВвод-вывод, операций в секундуFront CTS214513Media19104513Transcoding446513Back CTS81679773Bot4714515 Таблица 3. Системные требования к распределенной инсталляции на 1000 пользователейКомпонентПроцессор, количество ядерОперативная память, ГБЖесткий диск, ГБВвод-вывод, операций в секундуFront CTS224513Media 118104513Media 218104513Transcoding646513Back CTS12241530123Bot61224525 Для функционирования указанных компонентов требуется одна из перечисленных ОС: Ubuntu 22.04 LTS и выше, CentOS 7 и выше, CentOS Stream 8 и выше, RHEL 7.1 и выше, РЕД ОС 7.2 и выше, Astra Linux Special Edition 1.7 и выше (в редакциях «Воронеж» и «Смоленск» запуск возможен только при индивидуальной настройке окружения).Лицензирование eXpress 3.48Лицензирование eXpress производится по пользователям. Пользовательские лицензии eXpress приобретаются по количеству пользователей суммарно на всю инсталляцию. Корпоративные серверы не лицензируются, количество серверов CTS не лимитируется. По желанию заказчика в рамках eXpress могут быть разработаны и выпущены отдельные брендированные мобильные приложения, что потребует развертывания корневого сервера федерации eXpress ETS. Серверная лицензия eXpress ETS приобретается дополнительно к пользовательским лицензиям. Для платформы есть два вида лицензий.Срочные, на 12 месяцев с ежегодным продлением. В стоимость включено право использования любых обновлений и новых версий eXpress (Software Assurance) в течение всего срока действия лицензии. Бессрочные (eXpress Perpetual), с включенным Software Assurance на 1 год или 3 года. По истечении этого срока Software Assurance должно быть продлено отдельно.Сценарии использования eXpress 3.48Рассмотрим, как функциональные возможности, которыми оснащена система, можно использовать в инфраструктуре на практике. Вход пользователяДля начала работы в eXpress пользователю необходимо пройти процедуру входа одним из четырех способов. Вендор рекомендует вход по номеру телефона, т. к. в этом случае вводится дополнительный фактор в виде СМС-сообщения, что дополнительно защищает учетную запись. Рисунок 10. Способы входа в eXpress 3.48 Работа с контактамиПоиск аккаунтов в системе достаточно прост — после ввода нескольких символов пользователю предоставляется выбор предположительных контактов. При этом в выдаче сначала отображаются пользователи по полному совпадению, затем происходит обнаружение контактов, загруженных локально, после чего выдаётся результат поиска на текущем корпоративном сервере. В последнюю очередь выполняется выдача с доверенных корпоративных серверов. Рисунок 11. Карточка контакта в eXpress 3.48 Корпоративную информацию в карточке можно скрыть на уровне сервера от сторонних компаний либо настроить гибкий доступ — только для своих коллег по организации, для пользователей доверенных серверов или для всех без исключений.В системе можно обмениваться контактами через ссылку или куар-код. Рисунок 12. Обмен контактами в eXpress 3.48 Работа с чатамиПользователи по-разному могут взаимодействовать друг с другом в eXpress. В их распоряжении есть персональные чаты, групповые чаты для регулярного общения, каналы для новостей, и, наконец, комнаты, являющиеся чатами конференций, в которых хранится переписка и материалы идущей или прошедшей встречи. Для обеспечения конфиденциальности в чатах может быть включено сквозное шифрование (когда все сообщения зашифрованы личными ключами участников, а не общим серверным ключом). Есть и определенные особенности по управлению беседами. Например, в чате с включенным сквозным шифрованием может быть не более 128 участников из-за технических ограничений. Администратор не может удалять сообщения участников в чате, но в канале такое право у него есть. Пользователь может сохранять избранные сообщения в чате «Сохранённые сообщения». Рисунок 13. Работа с чатами в eXpress 3.48 В случае необходимости можно настроить автоматическое удаление сообщений, используя режим конфиденциальности. Работа с файламиВ eXpress пользователи могут передавать файлы друг другу. Корпоративные пользователи могут обмениваться файлами объёмом не более 1 ГБ, для пользователей личных аккаунтов это ограничение составляет 250 МБ. Для корпоративных пользователей можно настроить ролевую модель и определять запреты по пересылке, просмотру, скачиванию файлов. Можно установить запреты на скриншоты, буфер обмена.Чтобы минимизировать вероятность того, что мессенджер будут использовать как инструмент для организации атак, настраиваются интеграции с антивирусами и системами класса DLP.По умолчанию хранение файлов — бессрочное, но во избежание нехватки места на сервере, есть возможность настройки автоматической очистки.Работа со звонкамиПользователи eXpress могут проводить персональные и групповые звонки, а также конференции. При этом групповые звонки для всех могут организовывать как корпоративные, так и публичные пользователи, в то время как конференции — только корпоративные, а некорпоративные подключаются к ним по гостевой ссылке или по приглашению. Рисунок 14. Работа с конференциями в eXpress 3.48 При создании конференции можно установить срок действия ссылки, а также её доступность. Ссылка может быть доступна всем, включая гостей, любым корпоративным серверам или же доверенным корпоративным серверам. Чтобы минимизировать риски попадания в звонок нежелательных лиц, можно установить пароль на конференцию. Кроме ссылки, можно отправить приглашение на встречу в виде куар-кода. Чтобы облегчить работу с системой, есть надстройка к Outlook для проведения конференций, которая позволяет создавать приглашения на них непосредственно из почтового клиента.Работа администратораАдминистратор может управлять пользователями и ограничениями для них, видимостью корпоративных данных, настройками приложения и корпоративного сервера. Все эти действия производятся в веб-консоли eXpress, доступ к которой может быть как у системных администраторов, так и у поддержки вендора, если это было оговорено заранее.Далее рассмотрим некоторые разделы консоли администратора.Работа с пользователямиРабота с пользователями в системе ведется в соответствующем разделе интерфейса. Можно искать учетные записи сотрудников по имени, почте, идентификатору. Рисунок 15. Пользователи в eXpress 3.48 Для каждого пользователя в системе создается личный профиль, в котором есть информация о серверах, с которыми связан аккаунт, можно управлять сессиями на клиентских устройствах, просматривать события блокировок пользователя, получать информацию об открытых ключах пользователя и так далее. Рисунок 16. Карточка пользователя в eXpress 3.48 Из этого же раздела можно отправить команду на логаут — отключение пользовательской учетной записи от сервера с последующей потерей доступа к корпоративным перепискам и другим данным, хранящимся на платформе. Такой сценарий весьма распространен при увольнении сотрудников. АудитВ разделе аудита администратор может просматривать все события, связанные с пользователями: ошибки, события по пользователям, их действиям. Раздел имеет фильтры для выбора событий. Нажав на соответствующую строчку лога, можно посмотреть детали события. Отфильтрованные записи можно экспортировать в формат CSV. Рисунок 17. Раздел аудита и карточка события в eXpress 3.48 Запросы на выход (логаут)Запросы на выход могут поступать от пользователя, администратора, автоматически из Active Directory или OpenID либо в случае самостоятельного удаления аккаунта. После принятия запроса администратором аккаунт перестаёт быть связан с сервером и теряет доступ к корпоративной переписке. Рисунок 18. Запросы на логаут в eXpress 3.48 Настройка сервера В этом разделе администратор определяет настройки платформы в целом и сервера в частности. Так, можно настроить аватар сервера и фоны чатов, включение сквозного шифрования по умолчанию в чатах и каналах, указать контакты администратора и поддержки и определить значения иных параметров. Для контроля версий клиентского ПО администратор может запретить подключение к серверу с устаревшей версией клиентского приложения eXpress. Рисунок 19. Страница настроек сервера в eXpress 3.48 Рисунок 20. Настройка регистрации пользователей в eXpress 3.48 Для усиления безопасности при использовании системы можно настроить многофакторную аутентификацию: по номеру телефона, средствами Active Directory / Keycloak на корпоративном сервере. Кроме этого, сами пользователи могут установить личный пароль и ПИН-код, который также можно сделать обязательным, используя соответствующее правило ролевой модели.ВыводыПлатформа eXpress 3.48 представляет собой гибкий инструмент для предоставления коммуникационных сервисов как внутри компании, так и за её пределами. Используя систему, можно организовывать звонки, чаты, видеоконференции, а также интегрировать внутренние сервисы компании, используя боты и Smart Apps.Для обеспечения информационной безопасности в eXpress реализована многофакторная аутентификация, режим повышенной конфиденциальности, можно установить сроки действия ссылок и автоудаление сообщений. Поддерживается интеграция с DLP и антивирусом, реализована ролевая модель.Для удобства разных категорий пользователей система поддерживает работу на всех популярных ОС: Windows, macOS, Android, iOS, «Аврора». Реализованы такие опции, как размытие фона и пользовательские виртуальные фоны, возможность смены аватара пользователя, установки статуса, проведения опросов в чате и много других полезных функций.Достоинства:Развитые функции безопасности.Большое количество поддерживаемых ОС.Возможность брендирования по запросу заказчика.Гибкая модель лицензирования.Разнообразие пользовательских возможностей: управление фонами, аватарами, статусами.Недостатки:Отсутствие режима вебинара.Количество одновременно подключаемых пользователей в режиме видеоконференции — не более 256.Ограниченные функциональные возможности для приложений в ОС «Аврора».Возможность автоматического логаута отсутствует, но ожидается в следующих версиях.Реклама, 18+. Рекламодатель: АО «Анлимитед Продакшен» ИНН 9707047232ERID: 2VfnxxWSnQYЧитать далее
-