Перейти к содержанию
Михаил Орешин

Windows на ноутбуках

Recommended Posts

Михаил Орешин
Российское общество защиты прав потребителей «Общественный контроль» подала в суд на Microsoft и производителей ноутбуков Samsung, Acer, HP, а также ООО «Инфомаш».

Несколько лет назад я осознал, что рынок поставки OEM лицензий сурово отличается от поставок корпоративных лицензий. OEM покупатели, тот же Ровер, воспринимают любой софт в свой ноут, как простую комплектуху ни чем ни отличающеюся от dvd, mb или камеры. Если я правильно помню, поправьте, OEM продукты и сейчас идут как товар, а не как лицензия. Ну да ладно, сие практика рынка…

Я уже месяца 2 пытаюсь на что-то поменять свой телефон на что-нибудь другое, но вот в чем проблема – нет ни хрена вменяемого на windows mobile 6.1 на российском рынке – а другое не устраивает. И не могу я придти с требованием установить на IPhone или Nokia- WM 6.1 :( Далее глянул на свой ноутбук, а там разъем RJ 11 и встроенный модем, но я модемом не пользовался уже лет 10, а мне его втюхали. А еще тут в Португалию лечу, хотел S7 полететь ну или Аэрофлотом, а туда только FTAP летает – в ФАС пожаловаться ? А в моем WITU по умолчанию был гугл мэп поставлен , а не yandex карты, что за хрень ?

Все помнят как сотовым операторам «приказали» отменить платные за входящие ? Чем закончилось ? Операторы взяли под козырек, переиграли тарифы и подняли еще денег, полностью выполнив закон, а депутаты первые дни ходили с выражением лица: «Нас кинули ! Нас кинули !». Примерно то-же самое получится, не дай боже, с этой игрой. Если отыграют что компьютер можно продавать только голый, появятся комнатки в любом магазине где OS будут устанавливать за деньги: «79$ лицензия плюс 30$ за установку» - потребитель проиграет, зато будут соблюдены правила конкуренции. Десятки «яйцеголовых» возрадуются что на некий потенциальный компьютер они смогут воздвигнуть что-то условно-бесплатное… Но если я правильно помню законы пишутся для большинства.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Yen-Jasker
Примерно то-же самое получится, не дай боже, с этой игрой. Если отыграют что компьютер можно продавать только голый, появятся комнатки в любом магазине где OS будут устанавливать за деньги: «79$ лицензия плюс 30$ за установку» - потребитель проиграет, зато будут соблюдены правила конкуренции. Десятки «яйцеголовых» возрадуются что на некий потенциальный компьютер они смогут воздвигнуть что-то условно-бесплатное… Но если я правильно помню законы пишутся для большинства.

Винду поставит любая обезьяна, чуть-чуть понимающая в компьютерах, поставить на чистый комп это просто.

Если производитель будет играть честно и будет обеспечивать ноут диском со всеми необходимыми драйверами, за этим должны следить.

30 баксов эта услуга не стоит, тот кто заплатит такую сумму не будет о ней жалеть (потому что у него много денег). Но если предоставляется услуга, придется давать на нее гарантию, производитель не рискнет этого делать, поэтому все эти пугалки м., нужно не принимать всерьез.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
пользователь
Винду поставит любая обезьяна, чуть-чуть понимающая в компьютерах, поставить на чистый комп это просто.

Йен, у вас чересчур мало опыта, чтобы делать такие утверждения.

К тому же, называть какого-нибудь профессора, художника или хирурга обезьяной (только на том основании, что он умеет работать с микрософт офисом или фотошопом, но не умеет устанавливать винду) - это несколько чересчур. Не находите?

Если производитель будет играть честно и будет обеспечивать ноут диском со всеми необходимыми драйверами, за этим должны следить.

Вы шутите? Одно дело, когда в комплекте идет диск восстановления, который восстанавливает полностью винду, а другое дело, когда неизвестно, что за диск с виндой будет использован (XP без сервиспака, с 1,2 или третьим сервиспаком, Win 2000 разных версий, виста, win98, linux и тп.). Потребуется учесть все возможные нюансы, протестировать и тп. Имхо - такой диск будет для потребителя стоить не намного меньше, а то и больше, чем лицензия винды.

30 баксов эта услуга не стоит, тот кто заплатит такую сумму не будет о ней жалеть (потому что у него много денег). Но если предоставляется услуга, придется давать на нее гарантию, производитель не рискнет этого делать, поэтому все эти пугалки м., нужно не принимать всерьез.

Уважаемый, я знаю случаи, когда "компутерщики" разводили не самых богатых людей на пару сотен баксов. Обычный обыватель не знает, сколько стоит установить винду. Так что, 30 баксов - это еще оптимистично.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Deja_Vu
... Десятки «яйцеголовых» возрадуются что на некий потенциальный компьютер они смогут воздвигнуть что-то условно-бесплатное… Но если я правильно помню законы пишутся для большинства.

Вот именно.

Начнут например вместе с ноутами давать "бесплатный" диск с линуксом, но почему то цена ноута возрастет -((

Уважаемый, я знаю случаи, когда "компутерщики" разводили не самых богатых людей на пару сотен баксов. Обычный обыватель не знает, сколько стоит установить винду. Так что, 30 баксов - это еще оптимистично.

Я знаю случаи, когда компьютер за 10 тысяч рублей продавали за 80 -))

Чем больше гемороя для OEMшиков, тем сильнее и сильнее они будут взвинчивать цены. Зависимость сложность - цена не линейна.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka

Остается владельцам автомобилей подать в суд на компании-производителей машин(особенно "япошек")- за то,что там встроенная аудио система-а я блин хочу свою влепить- но нельзя-пол панели приборов разворотить можно.....

ИМХО-99% что потребитель выйграет его,т.к.производитель навязывает аудиосистему не всегда самого высокого качества-потребителю.А другую поставить нельзя-так как не то что гарантии лишат,а это просто не реально без потери внешнего вида панели приборов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
Остается владельцам автомобилей подать в суд на компании-производителей машин(особенно "япошек")- за то,что там встроенная аудио система-а я блин хочу свою влепить- но нельзя-пол панели приборов разворотить можно.....

Аналог не совсем удачный, Danilka. Audio в машине не главное. Вы можете не включить этот Audio, даже вырывать его, но машина будет всё равно выполнять свои основные задачи.

С Оперативной Системой немного другое: без ОС ваш комп будет просто никому не нужная тумбочка для цветов.

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka

Paul я это так к слову-пример действительно не удачный в плане компьютеров,но удачный в плане всех этих судов и т.д.

А вот с ПК- я полностью за то чтобы продавали без ОС- мобильники продают же без сим-карт,да есть встроенные,но они и продаются только у оператора в ихнем салоне. Так и тут.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
пользователь
Чем больше гемороя для OEMшиков, тем сильнее и сильнее они будут взвинчивать цены. Зависимость сложность - цена не линейна.

Полностью согласен.

А вот с ПК- я полностью за то чтобы продавали без ОС

Это зря.

мобильники продают же без сим-карт,да есть встроенные,но они и продаются только у оператора в ихнем салоне. Так и тут.

Опять плохое сравнение.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka
Это зря.

Опять плохое сравнение.

1) Чем же? Лишние проблемы конечному пользователю? Зато другие заработают+ может я не хочу именно этот ПК именно с этой ОС-зачем мне платить за нее еще-это как пакеты в магазине-они бесплатны,но включены в цены продуктов(хотя сейчас эту практику убрали кое по каким причинам).

2)Не согласен- без симкарты мобильник тоже работать не будет- только установка симки не трудная задача и она бесплатна.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
пользователь
1) Чем же? Лишние проблемы конечному пользователю?

Не только. Прочти сообщение Deja_Vu.

Зато другие заработают

Мне до этих других - дела нет.

+ может я не хочу именно этот ПК именно с этой ОС-зачем мне платить за нее

Данила, я а хочу имено этот телефон, но серо-буро-малинового цвета. Или хочу точно такой же смартфон, но не с симбианом, а с виндоус мобайл. Я покупатель? А покупатель всегда прав?

еще-это как пакеты в магазине-они бесплатны,но включены в цены продуктов(хотя сейчас эту практику убрали кое по каким причинам).

Денег экономят.

2)Не согласен- без симкарты мобильник тоже работать не будет- только установка симки не трудная задача и она бесплатна.

Да ладно? Неужели нельзя будет воспользоваться записной книжкой или просмотреть календарь?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka
Не только. Прочти сообщение Deja_Vu.

Да? Ну если будут покупать без ОС,но дороже- то флаг в руки таким покупателям. :D

Данила, я а хочу имено этот телефон, но серо-буро-малинового цвета. Или хочу точно такой же смартфон, но не с симбианом, а с виндоус мобайл. Я покупатель? А покупатель всегда прав?

Покупатель,как говорится, всегда прав. ;) Спрос-рождает предложение,а не наоборот.

А цены завышены и так- и на все технику и не важно с Виндой она или нет-бабла заработают все равно,но факт остается фактом- лишние услуги не нужны.

Приведу пример развода- помните как только появилась Nokia 8800- сколько она стоила?Около 75-90 т.р. и это реально, а закупка ее была около 10 т.р... Делаем выводы.

Да че далеко ходить- АКБ на ту же Nokia 8800 Сироко стоило не так давно(пол года назад)- 1900,а по закупке 200р.

Само собою- дешевле может не станет-но факт будет заметен- с ОС стоил 35000 без ОС 36000- стоит задуматься об продавце.. а? А у когото за углом такойже но без ОС-33000. И куда все побегут?

Денег экономят.

Нет,раньше платили мы скрыто,а теперь в открытую.

Да ладно? Неужели нельзя будет воспользоваться записной книжкой или просмотреть календарь?

А нафига покупать мобилу чтобы пользоваться календарем и т.д.?

Кость,разговор не об этом- тут мы останемся все равно при своих. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Yen-Jasker
Йен, у вас чересчур мало опыта, чтобы делать такие утверждения.

К тому же, называть какого-нибудь профессора, художника или хирурга обезьяной (только на том основании, что он умеет работать с микрософт офисом или фотошопом, но не умеет устанавливать винду) - это несколько чересчур. Не находите?

Чересчур - это передергивать мои слова и делать намеки о моем опыте. Но гуРАМ делаю скидку, меряйтесь на здоровье.

Любой, кто освоил Офис или Фотошоп, поставит винду на чистый комп, для этого MS придумала Мастер и подсказки. Только если не будет слушать опытных Одминов, которые будут пугать пользователя, пытаясь навязаться со своей помощью и заработать себе на пивко.

Очень специфические случаи с особенным железом рассматривать не будем, устанавливая винду на такое железо любой Одмин провозиться те же два часа, что и пользователь-чайник, возможно без результата.

Вы шутите? Одно дело, когда в комплекте идет диск восстановления, который восстанавливает полностью винду, а другое дело, когда неизвестно, что за диск с виндой будет использован (XP без сервиспака, с 1,2 или третьим сервиспаком, Win 2000 разных версий, виста, win98, linux и тп.). Потребуется учесть все возможные нюансы, протестировать и тп. Имхо - такой диск будет для потребителя стоить не намного меньше, а то и больше, чем лицензия винды.

Это вы шутите. Сейчас на ноут будут ставить Висту или XP (о 7-ке чайник не знает), тот кто покупает ноут без винды, знает где достать нормальный диск (у соседа за спасибо, а не за 30 баксов ламеру из магазина). Ньюансы нужны Одминам, потому что им не хватает на пивко :).

Уважаемый, я знаю случаи, когда "компутерщики" разводили не самых богатых людей на пару сотен баксов. Обычный обыватель не знает, сколько стоит установить винду. Так что, 30 баксов - это еще оптимистично.

Хорошо, что таких "компьютерщиков" периодически разводят менты, приглашая поставить винду и предъявляя обвинение в пиратстве. Такие люди должны знать свое место.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Орешин
Винду поставит любая обезьяна, чуть-чуть понимающая в компьютерах, поставить на чистый комп это просто.

Это не так - компьютер уже давно довели до уровня бытовой техники a-la телевизор или DVD - купил и работает

Вот именно.

Начнут например вместе с ноутами давать "бесплатный" диск с линуксом, но почему то цена ноута возрастет -((

Точнее не уменьшится...

Остается владельцам автомобилей подать в суд на компании-производителей машин(особенно "япошек")- за то,что там встроенная аудио система-а я блин хочу свою влепить- но нельзя-пол панели приборов разворотить можно.....

Я о том же... Так же еще шины втюхивают... В целом нужно быть последовательными !

А вот с ПК- я полностью за то чтобы продавали без ОС- мобильники продают же без сим-карт

Да но мобильники продают уже со встроенной OS, я привел этот пример в первом посте - WM, Symbian etc.

может я не хочу именно этот ПК именно с этой ОС-зачем мне платить

Берите другой ПК

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u

@ Михаил Орешин

Я вижу это по-другому: это всё-таки способ Майкрософта ЗАСТАВИТЬ пользователя купить новую ОС и таким образом сохранять себе рынок. Вы когда-нибудь попробовали на ноутбук 'для Vista' поставить свою 'старую' но честно купленную XP? Вот это для среднего чайника уже выше крышы. Если такой схемы не было бы, многие при покупке нового компьютера просто остались бы на то, что им действительно нравится, и нашли бы друга, который им эту ОС установил бы. Скрытый монополизм это со стороны Майкрософта, а ни что иное, и для оправдания этой политики нечестной конкуренции требуется немало цинизма... :)

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Yen-Jasker
Это не так - компьютер уже давно довели до уровня бытовой техники a-la телевизор или DVD - купил и работает

В реальной жизни это не так. Это только М. постарались настолько отупить домохозяек, чтобы они так думали. Поэтому сохранение документов на рабочий стол - это считается нормальным. Format C: потому что "винда глючит и ее нужно раз в месяц переустанавливать" - тоже нормально.

Потому приходит гуРА по объявлению, который обещает за большие деньги восстановить данные, обделавшись уходит. Хорошо если профи сможет что-то выковырять, но после ручек гуРЫ обычно ничего не получается.

Случай из жизни - как-то позвонил друг, типа спасай, у меня винда не грузится. Оказалось что он удалил ntldr.

Я взял свой WinPE, достал файл из дистрибутива винды этого друга, положил его на место, все заработало. На все про все - 20 минут.

Друг тащится, потому что его рабочие Одмины из банка уже насоветовали ему ставить винду заново, но как и положено Опытным Одминам не предупредили, что будет с его файлами на Рабочем столе. Хорошо что не их послушал, а мне позвонил. Я не Одмин и не гуРА, ремонтом компом ни за так, ни за деньги не занимаюсь, но сам в свое время глупостей на своем компе наделал, поэтому многие ошибки чайников (бывшие свои) знаю и умею решать проблему с минимальными потерями, потому что учился этому для себя, чтобы гуР не слушать.

@ Михаил Орешин

Я вижу это по-другому: это всё-таки способ Майкрософта ЗАСТАВИТЬ пользователя купить новую ОС и таким образом сохранять себе рынок. Вы когда-нибудь попробовали на ноутбук 'для Vista' поставить свою 'старую' но честно купленную XP? Вот это для среднего чайника уже выше крышы.

Потому что производитель ноутбука не предоставил ему драйвера для XP. Или еще хуже - для некоторых ноутбучных железок драйвера под XP вообще не выпускаются.

Виста и только Виста, даже если на этом ноутбуке всего 512 или гигабайт оперативной памяти :lol:.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Орешин
Скрытый монополизм это со стороны Майкрософта, а ни что иное, и для оправдания этой политики требуется немало цинизма...

Гм, да какой-же он скрытый ? :) Просто метода ударит по конечному пользователю а не по Microsoft. И цель главное не понятно, ну кроме как создать всем гемморой, и дать псевдогуру подзаработать на установке OS на новые ноутбуки.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
пользователь
Да? Ну если будут покупать без ОС,но дороже- то флаг в руки таким покупателям.

Данила, не покупать дороже, а продавать дороже.

Покупатель,как говорится, всегда прав. ;) Спрос-рождает предложение,а не наоборот.

Давай рассмотрим ситуацию:

1. ПК без ОС - это эксклюзив.

2. Эксклюзив всегда стоит дороже.

3. Но так как этот ПК без ос, то он должен стоить дешевле, чем ПК с ОС.

Поэтому, этот эксклюзив будет оплачиваться из кармана тех, кому этот эксклюзив нахрен не уперся.

Поэтому, ПК без винды будут продаваться дешевле, чем ПК с виндой, а ПК с виндой, просто напросто - подорожают. Издержки будут размазаны ровным слоем по всем покупателям. Экономный покупатель купивший ПК без ос - в выигрыше, а все остальные?

А цены завышены и так- и на все технику и не важно с Виндой она или нет-бабла заработают все равно,но факт остается фактом- лишние услуги не нужны.

Ну какие же это услуги? Если не хочешь покупать с ОС - пойди и купи ПК без ОС. Кто тебе это мешает сделать?

А то, что ты не можешь найти, где продают ПК без ОС - это твои личные проблемы. Ищите и обрящите.

Приведу пример развода- помните как только появилась Nokia 8800- сколько она стоила?Около 75-90 т.р. и это реально, а закупка ее была около 10 т.р... Делаем выводы.

Да че далеко ходить- АКБ на ту же Nokia 8800 Сироко стоило не так давно(пол года назад)- 1900,а по закупке 200р.

Спрос рождает предложение. Только этот пример скорее мою правоту доказывает.

Само собою- дешевле может не станет-но факт будет заметен- с ОС стоил 35000 без ОС 36000- стоит задуматься об продавце.. а? А у когото за углом такойже но без ОС-33000. И куда все побегут?

Даня, мы говорим не про розницу. Я не понимаю, за счет чего производство ПК без ос должно быть дешевле, чем ПК с ОС?

А нафига покупать мобилу чтобы пользоваться календарем и т.д.?

Кость,разговор не об этом- тут мы останемся все равно при своих. :)

Даня, это был изначально неудачный пример. В общем - не трожь мобилы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
Гм, да какой-же он скрытый ? :)

Майкрософт договорилась (за деньги) с некоторыми крупными производителями ноутбуков о модификации их ноутбуков так, чтобы ничего другого не установилось. :)

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka
Да но мобильники продают уже со встроенной OS, я привел этот пример в первом посте - WM, Symbian etc.
Тут нет выбора- на телефоне нельзя сменить ОС. Как на ПК вместо XP взять Висту или наоборот,или вообще Линукс.
Берите другой ПК

А нету- пока нет закона- всех разводят на бабло,но не все.

Вот в данный момент веду дискуссию с другом по поводу этого- Dell продает ПК без винды дороже чем с ней- мое мнение это развод клиентов- а вот "Форум" продает свои сборки - без винды дешевле чем с Виндой.

Все дело в марке,а качество и там и там может быть индентичное-но это уже нюансы.

Факт в том,что пока нет закона крупные компании наживаются на клиентах тем,что продают ПК без ОС дороже чем с ней.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
пользователь
Чересчур - это передергивать мои слова и делать намеки о моем опыте. Но гуРАМ делаю скидку, меряйтесь на здоровье.

Любой, кто освоил Офис или Фотошоп, поставит винду на чистый комп, для этого MS придумала Мастер и подсказки. Только если не будет слушать опытных Одминов, которые будут пугать пользователя, пытаясь навязаться со своей помощью и заработать себе на пивко.

Очень специфические случаи с особенным железом рассматривать не будем, устанавливая винду на такое железо любой Одмин провозиться те же два часа, что и пользователь-чайник, возможно без результата.

Йен, у меня есть друзья, которые умеют работать в ворде и экселе, но не умеют устанавливать винду. При этом - они не дураки. Просто они специалисты в тех областях, про которые вы даже не слышали в силу своей ограниченности.

Это вы шутите. Сейчас на ноут будут ставить Висту или XP (о 7-ке чайник не знает), тот кто покупает ноут без винды, знает где достать нормальный диск (у соседа за спасибо, а не за 30 баксов ламеру из магазина). Ньюансы нужны Одминам, потому что им не хватает на пивко :).

Глупость.

Хорошо, что таких "компьютерщиков" периодически разводят менты, приглашая поставить винду и предъявляя обвинение в пиратстве. Такие люди должны знать свое место.

И в этом вы некомпетентны. Нетрудно развести так, что и придраться ни к чему нельзя будет.

Я же не сказал, что эти "компутерщики" толкают контрафакт? Просто они грамотно разводят.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Vadim Fedorov

А что мешает поставлять компьютеры с предустановленной, неактивированой версией Windows,

работающей без активации в течении 30 дней. В том случае, если покупателю необходима ОС Windows,

он доплачивает необходимую сумму за лицензию при покупке ПК, получая при этом активационный код.

Не вижу никаких проблем для реализации подобного механизма компанией Microsoft и ее партнерами по бизнесу.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka
Майкрософт договорилась (за деньги) с некоторыми крупными производителями ноутбуков о модификации их ноутбуков так, чтобы ничего другого не установилось. :)

Paul

И + MS имеет договора с крупными OEM партнерами- и платит им денюжки за продажу ПК с Windows нежели без нее.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
А что мешает поставлять компьютеры с предустановленной, неактивированой версией Windows,

работающей без активации в течении 30 дней. В том случае, если покупателю необходима ОС Windows,

он доплачивает необходимую сумму за лицензию при покупке ПК, получая при этом активационный код.

Не вижу никаких проблем для реализации подобного механизма компанией Microsoft и ее партнерами по бизнесу.

Думаю, что изначально такую бизнес-модель уже обдумали, но поняли, что это будет катастрофа, особенно если на этой железке ничего другое не устанавливается. :)

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka
А что мешает поставлять компьютеры с предустановленной, неактивированой версией Windows,

работающей без активации в течении 30 дней. В том случае, если покупателю необходима ОС Windows,

он доплачивает необходимую сумму за лицензию при покупке ПК, получая при этом активационный код.

Не вижу никаких проблем для реализации подобного механизма компанией Microsoft и ее партнерами по бизнесу.

Не вариант- MS на это врятли пойдет- тогда им придется тупо выкладывать дистрибутивы в свободный доступ, а многим это только и нужно будет- кряки и активаторы и т.д. никто не отменял- убытки на лицо.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
пользователь
А что мешает поставлять компьютеры с предустановленной, неактивированой версией Windows,

работающей без активации в течении 30 дней. В том случае, если покупателю необходима ОС Windows,

он доплачивает необходимую сумму за лицензию при покупке ПК, получая при этом активационный код.

Проблема в отсутствии оем наклейки на ПК.

А так как оем винда покупается только с оборудованием, то придется покупать не оем, а бокс и это уже совсем другие деньги.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • AM_Bot
      NGFW (Next Generation Firewall) изменили парадигму оперативного контроля внешнего сетевого трафика, предоставив компаниям возможность отсекать пакеты данных из определённых источников, а также анализировать сами передаваемые данные, проверять их на наличие вредоносных сигнатур, ограничивать работу с нежелательными ресурсами. Рассматриваем функции современного межсетевого экрана на примере представителя систем этого класса UserGate Next Generation Firewall.   ВведениеФункциональные возможности UserGate Next Generation Firewall2.1. Фильтрация контента по правилам2.2. Анализ трафика2.3. Защита от DoS2.4. Контроль интернет-приложений2.5. Антивирус2.6. Реагирование2.7. Собственная ОС2.8. Варианты поставкиСценарии использования UserGate Next Generation Firewall3.1. Основные настройки UserGate Next Generation Firewall3.2. Создание политик3.3. Работа со сценариямиВыводыВведениеКлассические межсетевые экраны, или файрволы, предназначены для фильтрации трафика между двумя сегментами сети на основании относительно простых принципов. Получив пакет данных из внешнего, небезопасного, сегмента, межсетевой экран определяет возможность его дальнейшей передачи в локальную сеть на основании IP-адреса и порта источника либо назначения. Такое взаимодействие соответствует третьему, сетевому уровню модели OSI.Использование классического межсетевого экрана, строящего свою работу на списках запрещённых и разрешённых адресов, никак не защищает ото множества других угроз, связанных с сетевым трафиком. Такая система совершенно прозрачна для вредоносных программ, фишинговых писем, трафика связанного с определёнными приложениями и сервисами. Первоначальная концепция предполагала, что купированием этих угроз займутся инструменты информационной безопасности за файрволом: антивирусы, почтовые сканеры, системы предотвращения вторжений и другие средства.Такой подход таит в себе определённые проблемы. Сам факт попадания вредоносной нагрузки за периметр безопасности уже несёт определённые угрозы. При этом значительная часть векторов атаки сегодня вообще не связана с какими-либо нелегитимными инструментами, а базируется на действиях инсайдеров или использовании взломанных аккаунтов. Безусловно, и для таких угроз существуют отдельные средства безопасности, однако не лучше ли предотвращать атаки на рубежах доверенного сетевого окружения?Именно такую концепцию принесли на рынок межсетевые экраны нового поколения (Next Generation Firewall, NGFW). В отличие от классических файрволов, анализирующих только заголовок пакета, NGFW способны разбирать и его содержимое. Это значительно расширяет круг возможностей межсетевого экрана. Современные NGFW представляют собой многофункциональные комплексы сетевой защиты, поскольку могут иметь в своём составе самые разнообразные модули:антивирусы,системы обнаружения и предотвращения вторжений (IDPS),собственный прокси-сервер,средства контроля почтового трафика,инструменты морфологического анализа,средства защиты от DoS-атак.Одним из пионеров разработки межсетевых экранов нового поколения в России является компания UserGate, имеющая 13-летний опыт в этой сфере. Ключевые компетенции UserGate находятся именно в области разбора трафика, в том числе зашифрованного. Флагманский продукт вендора UserGate Next Generation Firewall является основой экосистемы корпоративной кибербезопасности и может служить хорошим примером полнофункционального межсетевого экрана, обеспечивающего комплексную защиту и фильтрацию трафика до его попадания в локальную сеть. В этом материале мы кратко рассмотрим основные возможности системы на примере версии 6, а также познакомимся с несколькими сценариями её использования.Функциональные возможности UserGate Next Generation FirewallНабор функциональных возможностей UserGate Next Generation Firewall охватывает разнообразные потребности в сфере защиты трафика и фильтрации контента. Гибкие механизмы настройки межсетевого экрана позволяют выстраивать сложные логические схемы обработки данных и в автоматическом режиме реагировать на потенциально опасные или нелегитимные действия. Кратко остановимся на наиболее важных аспектах работы UserGate Next Generation Firewall.Фильтрация контента по правиламФильтрование трафика в UserGate Next Generation Firewall основывается на механизме правил — по сути, политик безопасности, описывающих действия системы при наступлении тех или иных заданных условий. Правила фильтрации могут блокировать или, наоборот, разрешать движение данных в зависимости от их типа, источника, получателя, приложения, категории и других параметров. Правила могут применяться к одному или нескольким пользователям и выполняются последовательно, что даёт возможность строить гибкую систему обеспечения кибербезопасности и осуществлять контроль работы сотрудников.При помощи правил можно не только создавать белые и чёрные списки ресурсов, но и контролировать множество параметров передаваемых пакетов, например тип используемого браузера, наличие определённых словоформ или типов информации. Правила используются не только для фильтрации контента, но и в других функциональных блоках системы — межсетевом экране, подсистеме ограничения пропускной способности и пр.Анализ трафикаГлубокий разбор трафика является ключевой функцией NGFW, основным источником данных для других подсистем. UserGate Next Generation Firewall способен детально исследовать нагрузку каждого передаваемого пакета, «на лету» определяя потенциально небезопасное содержимое, а также триггеры, по которым активируются заранее заданные правила и сценарии. Помимо обычного трафика система расшифровывает и защищённые SSL пакеты, работая с протоколами HTTPS, SMTPS и POP3S. При этом сервер NGFW осуществляет подмену оригинального сертификата на собственный, отдавая на сторону пользователя по-прежнему защищённый контент.Защита от DoSОдним из механизмов безопасности в UserGate Next Generation Firewall является функция ограничения числа соединений, открытых одним пользователем. Так же как и многие другие элементы NGFW, она реализована при помощи механизма правил и сценариев, что позволяет гибко настраивать чувствительность системы в соответствии с особенностями конкретной компании. Ограничение на количество одновременно открытых пользователем сеансов обеспечивает эффективное противостояние возможным DoS-атакам (Denial of Service) через пользовательские или гостевые учётные записи.Контроль интернет-приложенийUserGate Next Generation Firewall работает с приложениями на седьмом уровне сетевого взаимодействия модели OSI. Система идентифицирует приложения и даёт администратору возможность ограничивать их использование. Например, NGFW способен полностью заблокировать работу мессенджеров, торрент-клиентов и других нежелательных программ. Собственная база обновляемых сигнатур позволяет помимо этого защищать локальную сеть от угроз связанных с теми программами, которые работают с интернетом.АнтивирусВ состав UserGate Next Generation Firewall входит потоковый антивирус, который может проверять внешний трафик на наличие вредоносных программ. Анализ ведётся при помощи собственной базы сигнатур, что обеспечивает достаточную надёжность и блокировку основных угроз до того, как данные пересекут контур безопасности. С другой стороны, использование лёгкого сигнатурного антивирусного ядра минимально нагружает систему, что даёт возможность, при необходимости, проверять весь трафик полностью. Антивирусная защита использует механизм правил безопасности NGFW.РеагированиеВ UserGate Next Generation Firewall встроена система предотвращения вторжений, которая способна в настоящем времени реагировать на атаки киберпреступников, эксплуатирующих известные уязвимости. UserGate Next Generation Firewall даёт администратору возможность создавать различные наборы сигнатур для защиты различных сервисов, а также формировать на базе универсального механизма правил собственные сценарии для каждого типа трафика. Это позволяет не только формировать реакции на кибератаки, но и контролировать вредоносную активность внутри сети.Собственная ОСВ основе UserGate Next Generation Firewall лежит оригинальная операционная система UGOS, оптимизированная для задач быстрой и эффективной обработки трафика. Платформа создана на базе дистрибутива Linux и не использует готовых комплексных модулей: все подсистемы безопасности разработаны программистами UserGate и не содержат стороннего кода. С одной стороны, это позволяет быстро адаптировать её под требования заказчика, а с другой — существенно снижает вероятность атак на систему с использованием общеизвестных уязвимостей.Варианты поставкиUserGate Next Generation Firewall может поставляться как в виде виртуального межсетевого экрана, развёрнутого на одном из гипервизоров (VMware, Hyper-V, Xen, KVM, OpenStack, VirtualBox, отечественные разработки), так и в виде программно-аппаратного комплекса, созданного UserGate. Производитель предлагает несколько вариантов исполнения таких NGFW, предназначенных для организаций разного масштаба — от компаний сегмента СМБ до крупных предприятий и дата-центров.Сценарии использования UserGate Next Generation FirewallОсновные настройки UserGate Next Generation FirewallПервоначальные настройки UserGate Next Generation Firewall не займут много времени и сводятся в общем случае к конфигурации портов для работы с интернетом и локальными ресурсами, добавлению DNS-серверов, определению доменных записей для страниц блокировки и авторизации, а также указанию параметров работы механизма SSL-фильтрации. Кратко рассмотрим каждое из этих действий.Задание параметров портов выполняется в секции «Сеть — Интерфейсы» раздела «Настройки» UserGate Next Generation Firewall. Здесь собраны все физические и виртуальные порты, имеющиеся в системе. Для каждого интерфейса можно выбрать тип («Layer 3» или «Mirror»), назначить ему определённую зону и указать профиль Netflow, который будет использоваться для отправки данных на коллектор, учитывающий сетевой трафик. Тут же задаётся тип IP-адреса порта — динамический, получаемый через DHCP, или заранее определённый, статический. При необходимости можно настроить работу DCHP Relay, который будет раздавать адреса со внешнего сервера устройствам своего сегмента сети. Рисунок 1. Настройка свойств порта в UserGate Next Generation Firewall Для настройки DNS-серверов необходимо выбрать пункт меню «Сеть — DNS» в разделе «Настройки», нажать кнопку «Добавить» и задать адрес соответствующего хоста. При необходимости UserGate Next Generation Firewall может перехватывать DNS-запросы пользователей и изменять их. Для этого следует задать параметры работы DNS-прокси. Важно, что для фильтрации DNS-запросов необходимо приобрести отдельный модуль и создать соответствующие правила. Рисунок 2. Раздел настройки DNS в UserGate Next Generation Firewall Авторизация неизвестных пользователей (не идентифицированных Windows или агентами терминальных серверов либо не имеющих явно указанного IP-адреса в свойствах) осуществляется в UserGate Next Generation Firewall при помощи перехватывающего портала. Применяются правила заданные администратором, однако для корректной работы сервиса следует настроить доменные имена страниц аутентификации, блокировки и выхода из системы. Этот шаг можно пропустить, если в качестве DNS-сервера используется сервер UserGate Next Generation Firewall. Если же применяется собственный DNS-сервер, то необходимо создать на нём три соответствующие A-записи и указать в них IP-адрес и порт подключения к локальной зоне.Корректная работа системы фильтрации контента UserGate Next Generation Firewall возможна только при настроенной инспекции данных передаваемых по шифрованным протоколам, таким как HTTPS, SMTPS или POP3S. Файрвол дешифровывает указанный трафик, после чего анализирует его на предмет наличия ограничений, заданных правилами. После дешифровки и анализа данные повторно кодируются при помощи собственного сертификата. Обязательно нужно добавить его в список доверенных корневых сертификатов, иначе браузеры пользовательских устройств будут сигнализировать о возможной подмене SSL-удостоверения. Рисунок 3. Раздел «Инспектирование SSL» в UserGate Next Generation Firewall Чтобы настроить режим проверки шифрованного трафика, необходимо перейти в пункт «Политики безопасности — Инспектирование SSL» раздела «Настройки» и добавить новое правило, описывающее процесс работы с SSL-трафиком. Для каждого трафика, среди прочего, можно задать:Пользователя, группу пользователей или тип пользователей, для которых применяется правило.Список доменов, чей трафик подлежит инспектированию.Списки IP-адресов источников и назначения трафика.Возможность блокировки внешних сертификатов, не вызывающих доверия (самоподписанных, отозванных, с истекшим сроком действия).Создание политикОсновным инструментом фильтрации контента в UserGate Next Generation Firewall являются правила, объединённые в политики безопасности. Это универсальный механизм, который может инициировать определённые действия системы по ряду заданных параметров. Файрвол анализирует трафик, после чего блокирует его (или, наоборот, разрешает передачу данных) при срабатывании одного из триггеров. Правила применяются последовательно, в соответствии с очерёдностью, установленной их списком. Такой подход даёт возможность гибко настраивать обработку данных по разным параметрам.Для создания нового правила необходимо выбрать пункт «Политики безопасности — Фильтрация контента», находящийся в разделе «Настройки». Каждая политика может выполнять одно из трёх действий:Блокировать доступ к веб-странице («Запретить»).Предоставить доступ к веб-странице («Разрешить»).Показать пользователю предупреждение о нежелательности посещения этой страницы («Предупредить»).Рисунок 4. Настройка правила фильтрации контента в UserGate Next Generation Firewall Частным случаем действия «Запретить» является проверка трафика встроенным антивирусом. Если в передаваемых данных будет обнаружена сигнатура вредоносной программы, содержащая её страница не будет открыта.После выбора действий необходимо указать одно или несколько условий, которые будут инициировать срабатывание правила. Каждое условие добавляется в правило через логическое «И», то есть правило выполняется только при срабатывании всех указанных в нём условий. Например, можно ограничить трафик определённой категории сайтов для определённого пользователя. При этом для всех остальных категорий передача данных этому пользователю будет разрешена. Ниже приведена краткая характеристика основных условий, доступных в правилах фильтрации контента UserGate Next Generation Firewall.Источник трафика: список IP-адресов или доменов, откуда идёт трафик. Разрешение доменных имён в IP-адреса производится каждые пять минут, а результат хранится в течение жизни DNS-записи.Назначение трафика: список IP-адресов или доменов, являющихся получателями трафика. Порядок работы системы с ними — такой же, как для источников.Пользователи или группы пользователей, для которых применяется правило. Допускается использование таких масок, как «Any» (любой пользователь), «Known» (известный, то есть идентифицированный, пользователь), «Unknown» (неидентифицированный пользователь).Категории электронных ресурсов. Трафик проверяется по крупнейшей базе электронных ресурсов, разбитых на более чем 70 категорий. Например, правило может срабатывать на социальные сети, порнографию, онлайн-казино и другие сайты. Администратор может переопределить категорию любого сайта. Для фильтрации по категориям необходима отдельная лицензия на базу данных UserGate URL Filtering.Списки URL: чёрные и белые. Администратор может создавать собственные списки или приобрести готовые.Тип контента. Данное условие срабатывает при передаче аудио, видео, исполняемых файлов и пр. Для описания видов контента используется формат MIME. Морфологические базы для проверки передаваемого контента на наличие определённых слов, словоформ и выражений.Кроме того, можно задавать время работы правила, значение User-Agent, HTTP-метод и рефереры открываемой страницы.Работа со сценариямиДля определённых типов правил можно использовать дополнительные условия, сценарии. Однако прежде чем перейти к описанию работы с ними, кратко остановимся на базовых свойствах правил межсетевого экрана и правил пропускной способности, где, собственно, и используются сценарии.Правила межсетевого экрана регулируют обработку транзитного трафика, проходящего через UserGate Next Generation Firewall. В качестве условий, при срабатывании которых система блокирует или, наоборот, разрешает передачу данных, могут выступать пользователи, сервисы, приложения, а также зоны и IP-адреса источника трафика или его назначения. Правила пропускной способности, основываясь на тех же параметрах, способны ограничивать канал передачи данных. Рисунок 5. Окно свойств правил межсетевого экрана в UserGate Next Generation Firewall Сценарии позволяют UserGate Next Generation Firewall реагировать не только на одномоментные события, но и на произошедшие за некоторый интервал времени — например, несколько попыток использования одного приложения. Для создания нового сценария необходимо нажать кнопку «Добавить» в меню «Политики безопасности — Сценарии» раздела «Настройки». Сценарий может действовать только для того пользователя, на котором он сработал, или распространяться на всех пользователей, указанных в правиле. Можно также задать срок работы сценария после его активации. После создания сценария его необходимо указать в том правиле, для которого он будет применяться. Рисунок 6. Окно настройки сценария в UserGate Next Generation Firewall В качестве условий сценария может выступать срабатывание системы обнаружения вторжений или появление следующих сущностей в трафике пользователя:URL заданных категорий.Вирусы.Приложения.Определённые типы контента.Пакеты данных, превышающие определённый размер.Количество сессий с одного IP-адреса, превышающее некоторое значение.Объём трафика за единицу времени, превышающий определённое значение.Доступность определённого ресурса.С таким перечнем удобно выстраивать логику регулирования трафика. Например, при помощи сценариев можно переключить сеть на работу с запасным шлюзом, в случае недоступности основного.ВыводыUserGate Next Generation Firewall представляет собой полнофункциональный комплекс защиты внешних периметров сети и управления сетевым трафиком. Система даёт возможность построить сложные сценарии обработки и анализа сетевых пакетов на основе универсальных политик безопасности. С её помощью специалисты по информационной безопасности могут фильтровать поступающие извне данные на основе вердиктов антивирусного ядра, морфологического анализа, информации о приложении и других параметров. Различные триггеры можно собирать в цепочки, связанные логическим «И» (условия в рамках одного правила), а также логическим «ИЛИ» (последовательность нескольких правил).Ещё одним средством кибербезопасности является система ограничения количества одновременных сеансов, что полезно для эффективного противодействия DoS-атакам. При этом простой фиксацией проблем возможности UserGate Next Generation Firewall не ограничиваются. Используя тот же механизм правил и сценариев, можно настроить варианты реагирования NGFW на определённые события в информационной безопасности или нелегитимную сетевую активность.Помимо защитных функций UserGate Next Generation Firewall предоставляет администратору возможность контролировать сетевую активность пользователей, запрещая работу с определёнными ресурсами или приложениями. Это важно не только для ИБ, поскольку позволяет отсекать нерабочую активность персонала — использование соцсетей, игровых платформ, торрентов. Дополнительно NGFW может ограничивать пропускную способность канала при достижении пользователем определённых объёмов трафика, а также переключаться между разными интернет-провайдерами при выполнении заданных условий.UserGate Next Generation Firewall занимает передовые позиции в секторе NGFW российского рынка информационной безопасности и может конкурировать с ведущими зарубежными аналогами. Компетенции компании UserGate в сфере анализа сетевого трафика позволили ей создать зрелый продукт, способный стать существенным препятствием для кибератак, универсальным инструментом первой необходимости, который сможет обезопасить компанию от большого числа инцидентов даже при частичной недоступности других инструментов информационной безопасности.Читать далее
    • Ego Dekker
      Домашние антивирусы для Windows были обновлены до версии 16.0.26.
    • demkd
      ---------------------------------------------------------
       4.13
      ---------------------------------------------------------
       o Добавлена поддержка Windows 10 2004 ADK для создания загрузочных дисков.
         (!) Это последний пакет Windows PE x86, все что старше это x64, в котором запуск 32-х битных приложений невозможен.
         Для создания дисков требуются установить следующие пакеты:
         o Три компонента из Windows ADK для Windows 10 версии 2004
           o средства развертывания
           o средства миграции (USMT)
           o набор средств оценки производительности Windows
         o Windows надстройка PE для ADK версии 2004
         (Скачать оба пакета можно в окне создания загрузочной флешки/ISO)
         (!)Если не удается установить Windows ADK с ошибкой "Could not acquire privileges; GLE=0x514"
            то следует запустить adksetup из под системной учетки, что можно сделать с помощью uVS, запущенного под LocalSystem.  o Исправлена ошибка, которая в очень редких случаях приводит к переполнению буфера при чтении строк из реестра.  
    • AM_Bot
      Ankey ASAP (Advanced Security Analytics Platform) предназначен для углублённого изучения событий по информационной безопасности с функциями поведенческого анализа. Программный комплекс получает данные от СЗИ и информационных систем, формирует контент для помощи в расследовании киберинцидентов и анализирует поведение пользователей и компонентов корпоративной сети. У продукта появились новые возможности, расскажем о них.    ВведениеИнтерфейс Ankey ASAPМодуль UEBA3.1. Анализатор терминальных команд3.2. Анализатор первых действий3.3. Анализатор базовой линии3.4. Работа анализаторов в действии3.5. Возможности по разработке собственного UEBA-контентаВыводыВведениеУвеличивающиеся риски целевых атак, новые требования регуляторов вместе с уходом иностранных вендоров с российского рынка заставили отечественные компании существенно пересмотреть подход к существующим внутри организаций средствам и методам обеспечения информационной безопасности. Не менее острой за прошедший год стала проблема определения и предотвращения инсайдерских атак. В некоторых случаях детектировать их имеющимися СЗИ представляется почти невозможным, так как во многих случаях это требует детального анализа пользовательского поведения внутри корпоративной сети, что, несомненно, влечёт за собой значительное увеличение затрат на обеспечение ИБ в организации. Одним из возможных решений проблемы можно назвать внедрение системы поведенческого анализа пользователей (UEBA).Ankey ASAP — программный комплекс, являющийся аналитической платформой кибербезопасности с функциями поведенческого анализа. Основываясь на данных, которые поставляются в систему в нормализованном виде из SIEM и иных средств защиты информации, Ankey ASAP анализирует поведение различных пользователей, устройств, других систем корпоративной сети с целью выявить признаки потенциальных киберугроз и целевых атак, а также злонамеренных действий инсайдеров. С момента последней публикации на Anti-Malware.ru статьи об Ankey ASAP платформа была комплексно переработана: от интерфейса до функциональных решений. Рассмотрим подробнее эти изменения.Интерфейс Ankey ASAPUX- / UI-дизайн системы претерпел комплексный рефакторинг, начиная от страницы аутентификации и заканчивая панелью визуализации инцидентов. Минимизация рабочей нагрузки на операторов системы (администраторов ИБ, аналитиков) путём частичного перекладывания ряда рабочих задач на платформу является одним из главных принципов при разработке системы. В этом Ankey ASAP помогают расширенные средства визуализации, навигации и работы со внутренним контентом. Рисунок 1. Панель визуализации инцидентов Удобная навигация между карточками позволяет легко ориентироваться во всех активах, а также связанных с инцидентами событиях. Система способна получать скоррелированные события изо внешних систем типа SIEM и выявлять ИБ-инциденты, происходящие в корпоративной сети, на основе алгоритмов поведенческого анализа. Благодаря средствам расширенной визуализации и обновлённым виджетам оператор платформы может выделить для себя наиболее значимые объекты анализа. В определении наиболее значимых инцидентов ему призваны помочь система гибкого скоринга и тесно связанная с ней система генерации уведомлений. Не стоит забывать и о постоянно растущем списке поддерживаемых системой источников.Модуль UEBAБыла существенно переработана функциональная часть Ankey ASAP. Изменения коснулись как отдельных компонентов архитектуры проекта, так и принципов работы ряда анализаторов, входящих в технологический блок UEBA-системы. О действующей функциональности этих анализаторов и пойдёт речь далее в статье. Рисунок 2. Подробные сведения об инцидентах Анализатор терминальных командЗа детектирование аномального поведения объектов наблюдения в Ankey ASAP отвечает ряд анализаторов, разделяемых по функциональному назначению. Одним из них является анализатор терминальных команд, призванный в первую очередь детектировать попытки реализации атак типа «Living-off-the-Land», то есть выявлять выполнение деструктивных терминальных команд при использовании легитимных или встроенных системных утилит (CMD, PowerShell, netcat и другие). На вход анализатора подаются события запуска процесса, а он по обученной заранее модели проводит классификацию: похоже это на LotL-атаку или нет. Рисунок 3. Принцип работы анализатора терминальных команд При сравнении методов работы существующих решений по безопасности следует особо отметить, что детектировать LotL-атаки возможно также и сигнатурными методами, однако там основой служат константные выражения в терминальных командах. Иначе говоря, для детектирования с помощью SIEM LotL-атаки с применением netcat необходимо, чтобы введённая команда содержала «nc» и некоторые определённые флаги. Переименовываем «netcat» в «моя секретная программа» — правила SIEM перестают работать; в ASAP же модель для классификации лишь немного потеряет в степени уверенности, что применяется именно netcat. Она также вынесет вердикт по оставшейся информации — например, по тем же самым флагам, которые были переданы в качестве аргументов.Анализатор первых действийГоворя о сигнатурных методах определения злонамеренной пользовательской активности, стоит также упомянуть, что рассматриваемые решения обычно позволяют детектировать уже реализованную угрозу. Однако одной из основных задач системы поведенческой аналитики является определение и пресечение потенциальной угрозы на более ранних этапах киберцепочки угроз (Cyber Kill Chain). Частично за выполнение этой задачи в Ankey ASAP отвечает анализатор первых действий сущностей. Внутренний контент платформы содержит в себе уже описанные аналитиками триггеры первых пользовательских действий, которые по всем своим признакам могут соответствовать легитимной модели поведения, однако их нетипичность применительно к определённым временным промежуткам свидетельствует об определённой степени «аномальности» подобного поведения.Такими триггерами могут быть:первое переключение пользователя в «root»;подключение к ИС нового съёмного носителя;обращение изо внутренней сети к новому внешнему хосту и др.Такие события вызывают в системе значительное изменение скоринга карточки анализируемого актива. Обо всех резких изменениях скоринга, а также о превышении определённого «безопасного» порога система сигнализирует соответствующими уведомлениями на информационной панели, что помогает оператору платформы своевременно реагировать и детектировать нетипичное для пользователя поведение.Анализатор базовой линииНа основе множества показателей, к которым относятся как собственное типичное поведение (например, учёт рабочего времени, проводимого конкретным пользователем за рабочим местом), так и признаки свойственные определённым группам сущностей (администратор, внешний нарушитель, вредоносные программы), анализатор формирует так называемые профили поведения для каждого объекта анализа. Так, любое отклонение поведения объекта от базового будет вызывать рост его скоринга в соответствии с описанной для данного сценария моделью.Анализатор позволяет предотвращать и детектировать инциденты в информационной безопасности, основываясь, например, на:нетипичном времени входа в систему;нетипичных операциях с сетевыми папками;нетипичных действиях по управлению политиками и др.Работа анализаторов в действииДля наглядности описания продемонстрируем работу анализаторов в одном из возможных сценариев. Находясь в разделе «Мониторинг» или «Инциденты», оператор платформы обнаруживает созданный системой инцидент о превышении скоринга для учётной записи «barbar». Рисунок 4. Раздел «Инциденты» в Ankey ASAP Перейдя к самой карточке учётной записи и установив фильтр по датам на интересующий нас временной промежуток, видим зафиксированные сигналы об аномальном поведении учётной записи, а также о начислении скоринга по каждому из них. Рисунок 5. Карточка инспектируемой учётной записи Обратимся к началу списка уведомлений, зарегистрированных для данной учётной записи. Рисунок 6. Список сгенерированных уведомлений для учётной записи Анализатор базовой линии фиксирует вход в нетипичное для данного пользователя время, о чём свидетельствует соответствующий сигнал. Затем уже следующий анализатор (первых действий) фиксирует просмотр и копирование содержимого сетевых папок, с которыми прежде пользователь не взаимодействовал. Уже на данном этапе система создаёт инцидент о резком росте скоринга в сутки (выше допустимых 100 баллов). Рисунок 7. Результат работы анализатора первых действий Двигаемся дальше: видим сгенерированное уведомление о попытке отправки архива через электронную почту. Инцидент, поступивший из SIEM, свидетельствует о том, что это действие было зарегистрировано DLP-системой, вследствие чего произошла блокировка отправки данных. Затем система отмечает подключение USB-накопителя, совершаемое впервые. Следующая за ним попытка копирования данных на съёмный носитель также зарегистрирована и блокирована DLP-системой. Больше никаких инцидентов от SIEM не поступало, поэтому можно посчитать, что отправка данных была успешно заблокирована.Однако, обращаясь к следующим сигналам, можно увидеть результат работы анализатора базовой линии: пользователь скопировал нетипичное для себя количество данных. Рисунок 8. Результат работы анализатора базовой линии Сразу за ним следует уведомление от анализатора терминальных команд. Видим, что пользователь всё же отправил данные во внешний репозиторий в обход DLP-защиты, применяя низкоуровневые механизмы взаимодействия (в данном случае — при помощи утилиты datasvcutil). DLP-система не регистрирует это событие, так как используемая утилита является штатной, что в данной ситуации эквивалентно «легитимной». Поскольку каждый сгенерированный системой сигнал вызывал своим появлением увеличение скоринга пользователя, Ankey ASAP создаёт инцидент по превышению скоринга, с чего и начинается расследование.Таким образом, в примерах из этого сценария мы можем разглядеть поведение типичного инсайдера. Анализируя события и инциденты в области безопасности раздельно, администратор ИБ может не получить полноценной картины проводимой атаки, особенно в тех случаях, когда злонамеренные действия пользователя сильно размыты во времени. Ситуация может быть осложнена тем, что некоторые СЗИ, использующие в своей работе сигнатурные методы обнаружения, порой упускают важный контекст из обрабатываемой информации, как, например, в описанном выше методе реализации LotL-атаки. Используемые в Ankey ASAP технологии машинного обучения, возможность подключения различных источников, аккумулирующий эффект скоринга способны значительно снизить подобные риски.Возможности по разработке собственного UEBA-контентаОтдельное внимание разработчики уделили созданию собственного внутреннего контента для платформы. Её функциональность может расширяться со стороны не только разработчика системы, но и пользователей. Для просмотра и редактирования существующего контента в платформе используется внутренний редактор конфигурационных правил. При необходимости администратор может править существующие модели, поставляемые вместе с платформой, а также на основе уже имеющихся создавать свои собственные. В этом разработчику контента способен помочь набор внутренних функций, используемых анализаторами. Все доступные функции подробно описаны в эксплуатационной документации.ВыводыИспользование платформ наподобие Ankey ASAP администраторами или аналитиками по ИБ способно значительно оптимизировать их рабочие процессы. Ankey ASAP помогает администратору выявлять аномальные или вредоносные действия пользователей или устройств: платформа может быть как инструментом активного мониторинга защищённости сети, так и конечной точкой аккумуляции всех сведений, которые необходимы для проведения расследований.В настоящее время активно ведётся работа по расширению уже имеющейся функциональности Ankey ASAP. Из планов на ближайшее будущее стоит выделить:поддержку новых источников данных, в частности — программного комплекса для мониторинга рабочего времени сотрудников StaffCop (ООО «Атом Безопасность»);расширение библиотеки анализаторов поведения;расширение имеющейся библиотеки виджетов панели мониторинга;реализацию отдельного дашборда по матрице MITRE ATT&CK;интеграцию с продуктами ООО «Газинформсервис» (линеек Ankey и Efros).Авторы:Андрей Шабалин, аналитик ИБ, компания «Газинформсервис»Расул Манкаев, инженер-аналитик, компания «Газинформсервис»Читать далее
    • AM_Bot
      Средство защиты информации «Блокхост-Сеть 4» комплексно и многофункционально обеспечивает безопасность информационных ресурсов рабочих станций и серверов, контролирует съёмные машинные носители информации, противодействует несанкционированному доступу.      ВведениеАрхитектура и системные требования «Блокхост-Сеть 4»Соответствие требованиям регуляторовФункциональные возможности «Блокхост-Сеть 4»4.1. Централизованное развёртывание клиентов и внешних пакетов4.2. Установка клиента «Блокхост-Сеть»4.3. Установка сторонних программ4.4. Построение иерархии серверов управления4.5. Общее описание политик4.6. Наследование политик в иерархии групп и серверовУправление политиками механизмов безопасности на примере контроля USB5.1. Разграничение доступа к USB-устройствам5.2. Формирование доверенного списка устройствУправление жизненным циклом токенов (смарт-карт) и сертификатов6.1. Жизненный цикл управления токенами и сертификатами6.1.1. Приостановка и возобновление использования токена6.1.2. Вывод токена из использования6.1.3. Изъятие токена6.1.4. Выпуск носителя для аутентификации по сертификату6.1.5. Удалённое управление токеном пользователя6.1.6. Двухфакторная аутентификация с сохранённым паролем6.1.7. Формирование актов выдачи / изъятия токенов6.1.8. Отображение информации о сертификатах6.1.9. Оповещение по почте6.1.10. Инициализация токеновСбор аудита по иерархии управления7.1. Архивирование событий аудита7.2. Сбор событий в SIEM головного сервераНовое в «Блокхост-Сеть 4»8.1. Централизованная установка клиентов управления в Linux-системах8.2. Аутентификация по паролю на токене (смарт-карте) в Linux-системах8.3. Аутентификация по сертификату на смарт-карте в Linux-системах8.4. Централизованное управление доверенной загрузкой8.4.1. Управление политиками механизмов безопасности8.4.2. Прямое управление до загрузки ОС8.4.3. Централизованный сбор аудитаВыводыВведениеСегодня вопросы обеспечения информационной безопасности становятся предметом особого внимания. На территории Российской Федерации операторы информационных систем давно обязаны блокировать попытки несанкционированного доступа к данным, а также на постоянной основе осуществлять мониторинг защищённости ИТ-инфраструктуры. При этом борьба с угрозами не может исчерпываться принятием только организационных мер. Для реализации технических мер характерно использование различных программных и программно-аппаратных средств. Средство защиты информации «Блокхост-Сеть 4» предназначено для защиты информационных ресурсов рабочих станций и серверов в соответствии с требованиями ФСТЭК России.Архитектура и системные требования «Блокхост-Сеть 4»Компоненты «Блокхост-Сеть 4» устанавливаются на компьютеры с процессорами архитектур x86 и AMD64 под управлением ОС Microsoft Windows 2008R2 / 7 / 8.1 / 2012 / 2012R2 / 10 / 2016 / 2019, Astra Linux SE («Смоленск»), «Альт 8 СП».В состав продукта входят консоль и сервер управления, клиент СЗИ, а также клиент аутентификации и управления.Сервер управления «Блокхост-Сеть 4» устанавливается на серверы безопасности под управлением ОС Windows. С сервера осуществляются централизованное развёртывание клиентов, управление настройками клиентов СЗИ и клиентов управления, выпуск средств двухфакторной аутентификации пользователей, в том числе с записью цифровых сертификатов, а также сбор сведений для аудита безопасности и их передача во внешние системы корреляции событий.Консоль устанавливается на рабочее место администратора (ОС Windows или Linux) и позволяет управлять всеми возможностями серверов безопасности.Клиент «Блокхост-Сеть 4» устанавливается на рабочие станции под управлением ОС Windows и реализует весь спектр функций безопасности продукта.Клиент аутентификации и управления устанавливается на рабочие станции с сертифицированными ОС Linux и обеспечивает двухфакторную аутентификацию и централизованное управление средством доверенной загрузки.Для двухфакторной идентификации и аутентификации пользователей поддерживаются персональные электронные идентификаторы eToken, ruToken, JaCarta, eSmart, Avest Token.Соответствие требованиям регуляторовСЗИ от НСД «Блокхост-Сеть 4» имеет сертификат № 4374 ФСТЭК России:5-й класс защищённости для средств вычислительной техники (СВТ) в соответствии с руководящим документом «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищённости от несанкционированного доступа к информации» (Гостехкомиссия России, 1992);4-й уровень доверия в соответствии с документом «Требования по безопасности информации, устанавливающие уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий» (утверждён приказом ФСТЭК России от 02 июня 2020 г. № 76);4-й класс защиты в соответствии с методическим документом «Профиль защиты средств контроля подключения съёмных машинных носителей информации четвёртого класса защиты ИТ.СКН.П4.ПЗ» (ФСТЭК России, 2014).Продукт обеспечивает возможность защиты от несанкционированного доступа к информации для автоматизированных систем (АС) класса защищённости до 1Г включительно и позволяет выполнять требования приказов ФСТЭК России:№ 17 по защите государственных информационных систем (ГИС), для объектов до 1-го класса защищённости включительно;№ 21 по защите информационных систем персональных данных (ИСПДн), для объектов до 1-го уровня защищённости включительно;№ 31 по защите автоматизированных систем управления технологическим процессом (АСУ ТП), для объектов до 1-го класса защищённости включительно;№ 239 по защите значимых объектов критической информационной инфраструктуры (КИИ), для объектов до 1-й категории включительно.Функциональные возможности «Блокхост-Сеть 4»Ключевыми возможностями «Блокхост-Сеть 4» являются:Идентификация и аутентификация пользователей информационной системы при попытках входа на защищаемые станции под управлением служб каталогов Microsoft Active Directory, FreeIPA, Samba, ALD Pro.Контроль прав доступа пользователей к защищаемой информации на компьютерах.Контроль подключения и использования съёмных носителей на защищаемых компьютерах.Двухфакторная аутентификация пользователей информационной системы при входе на защищаемые станции с помощью USB-токенов и смарт-карт.Управление жизненным циклом двухфакторной аутентификации для поддерживаемых Windows- и Linux-систем, в том числе с использованием цифровых сертификатов.Централизованный выпуск цифровых сертификатов удостоверяющих центров Microsoft CA и Dogtag для двухфакторной аутентификации.Централизованное управление средством доверенной загрузки SafeNode System Loader.Централизованное развёртывание клиентов и внешних пакетовВ «Блокхост-Сеть 4» предусмотрена возможность централизованного развёртывания клиентов с сервера безопасности, для чего необходимо выполнить задачу на установку агентов развёртывания на защищаемые рабочие станции, а затем — на установку клиентов средства защиты. Рисунок 1. Создание задачи на изменение программы в «Блокхост-Сеть 4» Список рабочих станций для установки агентов развёртывания может быть сформирован поиском по IP-адресам, запросом из службы каталогов или по списку клиентов «Блокхост-Сеть», зарегистрированных на сервере СЗИ. Рисунок 2. Редактирование задач в «Блокхост-Сеть 4» Для установки агентов развёртывания требуется указать учётные записи пользователей с административными правами, от имени которых будет производиться установка.Для выбора удобного времени установки предусмотрена возможность задать параметры запуска с помощью планировщика. Рисунок 3. Выполнение задач в «Блокхост-Сеть 4» Задачи установки пакетов могут быть связаны и запускаться последовательно. Рисунок 4. Редактирование задач в «Блокхост-Сеть 4» Установка клиента «Блокхост-Сеть»Для инсталляции клиента «Блокхост-Сеть» уже создана одноимённая предустановленная задача. Рисунок 5. Установка клиента в «Блокхост-Сеть 4» Модули безопасности «Блокхост-Сеть 4» могут устанавливаться по отдельности, так что в задаче установки доступен выбор тех из них, которые нужны для защиты рабочих станций. Рисунок 6. Выбор модулей для установки на рабочие станции в «Блокхост-Сеть 4» Инсталляция клиента «Блокхост-Сеть» происходит на станции с установленным агентом. Рисунок 7. Добавление рабочих станций в список установки клиента в «Блокхост-Сеть 4» При формировании списка рабочих станций доступен экспорт / импорт, в т. ч. их перечня из другой задачи.В планировщике предусмотрена возможность управлять временем перезагрузки операционной системы после установки клиента. Рисунок 8. Вкладка «Перезагрузка системы» окна редактирования параметров задачи в «Блокхост-Сеть 4» Результаты выполнения задач установки отображаются на круговой диаграмме. Рисунок 9. Результат выполнения задачи в «Блокхост-Сеть 4» На случай неуспешной установки предусмотрена возможность просмотреть историю операций и автоматически получить системные журналы аудита с рабочих станций. Рисунок 10. Просмотр результатов выполнения задачи в «Блокхост-Сеть 4» Установка сторонних программПомимо инсталляции клиентов СЗИ доступна возможность создания задач по установке стороннего программного обеспечения на клиентские рабочие станции. Это могут быть, например, обновления и драйверы устройств. Также можно централизованно устанавливать средство доверенной загрузки SafeNode System Loader и выполнять скрипты на подконтрольных станциях.Построение иерархии серверов управленияОбщий принцип построения иерархии, содержащей головной и подчинённые серверы, а также клиентские рабочие станции, изображён на рисунке. Рисунок 11. Иерархия серверов в «Блокхост-Сеть 4» Вся иерархия серверов управления отображается в левой части «Менеджера иерархий». Доступны операции по созданию групп в иерархии, поиску клиентских рабочих станций. Рисунок 12. Отображение иерархии в «Блокхост-Сеть 4» Серверы «Блокхост-Сеть 4» могут быть включены в иерархию в качестве головного или родительского сервера. Рисунок 13. Построение иерархии серверов в «Блокхост-Сеть 4» Подключение подчинённого сервера позволяет применить политики как к его рабочим станциям, так и к серверу в целом.Подчинённые серверы в общем дереве менеджера иерархий отображаются наравне с рабочими станциями. Рисунок 14. Подчинённые серверы в «Блокхост-Сеть 4» Общее описание политикЦентрализованное управление осуществляется посредством политик.В СЗИ существует три типа политик: серверная (определяет параметры работы серверов), клиентская (определяет параметры работы клиентских машин) и политика SafeNode System Loader (позволяет централизованно управлять средством доверенной загрузки ОС, где установлен клиент «Блокхост-Сеть 4»). Рисунок 15. Отображение политик в интерфейсе «Блокхост-Сеть 4» Настройки и параметры политик корневой группы «Все компьютеры» оказывают влияние на все группы в иерархии, если установлено принудительное наследование или если в этих группах нет собственных политик.Любая политика, кроме корневой группы «Все компьютеры», может быть неактивной и не влиять на работу серверов или клиентских рабочих станций.Наследование политик в иерархии групп и серверовНа сервере управления реализована возможность принудительного наследования отдельных параметров или разделов политик родительских групп политиками нижестоящих групп.  Рисунок 16. Принудительное наследование параметров типа «флаг» в «Блокхост-Сеть 4» На иллюстрации выше символ открытого замка означает, что администраторам нижестоящих уровней иерархии можно изменять параметры или разделы. Закрытый замок на каком-либо параметре или разделе политики обозначает невозможность перезаписи параметра или раздела на всех нижестоящих уровнях иерархии.В случае принудительного наследования параметров политик типа «флаг» значение параметра политики станет идентичным тому значению, которое задано в политике верхнего уровня. Рисунок 17. Пример иерархии в «Блокхост-Сеть 4» Как видно, в «Клиентской политике 1» включён контроль установки или удаления программ, полученный из политики верхнего уровня.При наследовании списков «замок» может быть установлен как на весь список, так и на отдельные его элементы. Рисунок 18. Принудительное наследование после удаления элемента списка для текущей политики в «Блокхост-Сеть 4» Управление политиками механизмов безопасности на примере контроля USBВ «Блокхост-Сеть 4», как и во многих средствах защиты подобного класса, реализован механизм контроля устройств, предназначенный для разграничения доступа пользователей к отчуждаемым носителям информации, формирования списков разрешённых устройств на чтение / запись для пользователей или их групп, наследование списков которых также доступно в иерархии управления.Разграничение доступа к USB-устройствамВ политике контроля доступны для управления различные классы USB-устройств: съёмные USB-носители, WPD-устройства (телефоны, фотокамеры, музыкальные проигрыватели), адаптеры Wi-Fi и Bluetooth, смарт-карты и считыватели, клавиатуры, мыши и планшеты, а также прочие (не входящие ни в один из перечисленных классов). Рисунок 19. Разграничение доступа выбранного пользователя в «Блокхост-Сеть 4» Для накопителей и переносных устройств доступно разграничение по чтению и записи на уровне пользователей и их групп.Также возможно установить общий запрет или разрешение на доступ к выбранному классу устройств для всего сформированного списка пользователей (флаг «Доступ разрешён»).Для аудита предусмотрена возможность задать перечень фиксируемых событий. Рисунок 20. Настройка разграничения доступа к USB-устройствам в «Блокхост-Сеть 4» Можно организовать принудительное наследование параметров (установка «замка») всеми политиками, являющимися дочерними по отношению к текущей: для всего раздела USB-устройств, для общего запрета / разрешения на доступ к выбранному классу устройств, для пользователя в сформированном списке, а также для регистрируемых событий аудита.Формирование доверенного списка устройствНакопители и переносные устройства могут настраиваться индивидуально, путём формирования доверенного списка для выбранного пользователя или группы. Доступ к устройству из этого списка не зависит от ограничений, которые заданы для классов USB-устройств. Рисунок 21. Контроль устройств в «Блокхост-Сеть 4» Добавление в список разрешённых доступно для тех устройств, которые подключены к рабочей станции в настоящий момент (индикация зелёным цветом) или подключались к ней ранее. Рисунок 22. Добавление в список разрешённых устройств в «Блокхост-Сеть 4» Для разрешённых устройств доступно разграничение по типам доступа: чтение и запись. Рисунок 23. Разграничение доступа пользователей к выбранному устройству в «Блокхост-Сеть 4» Принудительное наследование параметров (установка «замка») всеми политиками, являющимися дочерними по отношению к текущей, также доступно для всего списка доверенных устройств или для каждого отдельно.Для простого формирования доверенного списка устройств предусмотрена возможность импорта из файла и экспорта в файл.Управление жизненным циклом токенов (смарт-карт) и сертификатовИспользование двухфакторной аутентификации позволяет существенно усилить защищённость информационной системы, но при большом количестве идентификационных устройств управление этой информационной системой начинает требовать всё больше ресурсов для их учёта и сопровождения.В «Блокхост-Сеть 4» есть опция управления жизненным циклом смарт-карт, USB-токенов и цифровых сертификатов инфраструктуры открытых ключей.Доступны следующие операции:Добавление токена (с возможностью инициализации).Назначение токена пользователю для учёта, а также для входа по паролю, сохранённому на токене, по управляемому сертификату, выпущенному на сервере СЗИ, или по стороннему сертификату.Приостановка / возобновление использования токена.Выведение токена из использования с отзывом записанных сертификатов.Изъятие токена и удаление связи с пользователем.Жизненный цикл управления токенами и сертификатамиПри подключении сервера управления к службе каталогов с развёрнутым центром сертификации (Microsoft AD и CA либо FreeIPA и Dogtag) можно централизованно выпускать управляемые сертификаты на USB-токены и смарт-карты пользователей.Токен с управляемым сертификатом может быть в следующих состояниях: «не зарегистрирован», «зарегистрирован», «используется», «выключен», «отозван». Перечень возможных действий с токеном определяется его состоянием. Рисунок 24. Жизненный цикл токена с выпуском управляемого сертификата Приостановка и возобновление использования токенаНазначенный пользователю токен можно временно отключить, например на время отпуска. Рисунок 25. Выключение токена в «Блокхост-Сеть 4» Приостановка и возобновление использования токена не требует его подключения к компьютеру.Вывод токена из использованияНазначенный пользователю токен выводится из использования в случае утери или неисправности. При этом все сертификаты, записанные на него, отзываются без возможности восстановления.Изъятие токенаПри изъятии токена его привязка к пользователю удаляется и он становится доступен для назначения другому сотруднику. Рисунок 26. Поиск устройств в «Блокхост-Сеть 4» Предусмотрена возможность аварийного изъятия токена, если по какой-либо причине не удаётся установить соединение с центром сертификации. При этом токен изымается без выполнения операции отзыва / временного отзыва сертификата для входа.Выпуск носителя для аутентификации по сертификатуНазначение токена пользователю для аутентификации на рабочих станциях заключается в привязке устройства к конкретному сотруднику, например, из окна токенов. Рисунок 27. Выпуск токена в «Блокхост-Сеть 4» Пользователю может принадлежать несколько токенов, но токен не может принадлежать нескольким пользователям. Рисунок 28. Шаги выпуска токена в «Блокхост-Сеть 4» Удалённое управление токеном пользователяДля USB-токенов и смарт-карт, которые подключены к рабочим местам пользователей, реализована возможность удалённого управления. Операция доступна при выборе рабочей станции через «Менеджер иерархий». Рисунок 29. Менеджер иерархий в «Блокхост-Сеть 4» Рисунок 30. Управление токенами в «Блокхост-Сеть 4» При удалённом управлении токенами администратору доступны следующие операции: назначение пользователю, приостановка и возобновление использования, вывод из использования, изъятие.При удалённом управлении токеном от пользователя потребуется ввести ПИН-код на своей рабочей станции. Рисунок 31. Запрос ПИН-кода пользователя администратором Операция будет завершена только после корректного ввода ПИН-кода токена.Двухфакторная аутентификация с сохранённым паролемПомимо аутентификации пользователя по смарт-карте и USB-токену с цифровым сертификатом в развёрнутой инфраструктуре открытых ключей «Блокхост-Сеть 4» позволяет обеспечить двухфакторную аутентификацию пользователей даже в том случае, если инфраструктура открытых ключей в локальной сети не развёрнута. Это делается за счёт использования сложного сгенерированного пароля, хранимого на токене.При первом входе с использованием токена с сохранённым паролем пользователю необходимо ввести ПИН-код к ключевому носителю и пароль. Последний будет заменён на сгенерированный средством защиты информации и сохранён на токен. Тогда вход пользователя в ОС будет доступен на клиентской рабочей станции только с предъявлением назначенного сотруднику токена и со вводом ПИН-кода. При этом доменные политики по смене пароля будут отрабатываться клиентом «Блокхост-Сеть 4» без участия пользователя. Рисунок 32. Назначение токена для безопасного входа по паролю в «Блокхост-Сеть 4» После успешного назначения токена для безопасного входа по паролю в карточке пользователя отобразится назначенное устройство. Рисунок 33. Отображение токена для учёта в карточке пользователя в «Блокхост-Сеть 4» Формирование актов выдачи / изъятия токенов Для документального сопровождения процессов передачи и изъятия USB-токенов в системе предусмотрена возможность автоматически формировать акты приёма-передачи токена, синхронизации, изъятия и удаления из системы, возврата, записи сертификата, удаления сертификата, уничтожения токена. Рисунок 34. Настройка шаблонов печати в «Блокхост-Сеть 4» Предусмотрен широкий перечень переменных для автоматизированного заполнения актов. При необходимости администратор может отредактировать предустановленные шаблоны актов, добавить или удалить автоматически заполняемые переменные. Рисунок 35. Отображение переменных-закладок в актах Отображение информации о сертификатахПосмотреть информацию о выданных токенах и сертификатах на них можно в карточке пользователя. Доступны управляемые сертификаты, выданные на сервере «Блокхост-Сеть 4» и используемые для входа пользователя в систему, а также наблюдаемые сертификаты, выданные сторонними средствами и применяемые для проставления электронной подписи в юридически значимом документообороте или для аутентификации при входе пользователя. Рисунок 36. Отображение сертификатов на токене в «Блокхост-Сеть 4» Предусмотрена индикация, указывающая администратору на появление нового сертификата на выбранном токене или удаление уже зарегистрированного в системе сертификата с токена. Рисунок 37. Информация о сертификатах на токене в «Блокхост-Сеть 4» По каждому сертификату можно получить информацию о назначении, владельце, удостоверяющем центре, выдавшем сертификат, состоянии, сроке действия.Оповещение по почтеДля контроля истекающих сертификатов пользователей предусмотрено оповещение администраторов и владельцев сертификатов о приближении срока окончания их действия. Рисунок 38. Настройки оповещений в «Блокхост-Сеть 4» Инициализация токеновПри добавлении токена можно выполнить инициализацию подключённого устройства, при которой все данные на нём удаляются. Это делается с использованием созданного заранее профиля инициализации или без него.При инициализации токена без использования профиля необходимо указать политики, которые будут действовать на устройстве. Рисунок 39. Инициализация токена в «Блокхост-Сеть 4» В случае использования готового профиля инициализации политики будут загружены из него. Рисунок 40. Добавление токена в «Блокхост-Сеть 4» Профили дают возможность настроить параметры инициализации для каждого типа устройств, поддерживаемого подсистемой жизненного цикла токенов. Рисунок 41. Профиль инициализации в «Блокхост-Сеть 4» Параметры профиля позволяют задать типовые ПИН-коды, параметры их ввода и политику их смены. Рисунок 42. Создание профиля в «Блокхост-Сеть 4» Рисунок 43. Политика ПИН-кода в «Блокхост-Сеть 4» Сбор аудита по иерархии управленияПолитика аудита позволяет сформировать список событий, которые нужно собирать по всей иерархии подчинённых серверов, и расписание их сбора.В подсистеме сбора событий администратору доступны:формирование сводного отчёта с информацией о состоянии клиентов, подключённых к серверам иерархии;сбор событий аудита с клиентов на сервер СЗИ;просмотр и фильтрация событий аудита, собранных с клиентских компьютеров на сервер;просмотр и фильтрация событий аудита напрямую из журнала клиентского компьютера;передача событий аудита вверх по иерархии серверов вплоть до головного сервера с последующей отправкой в SIEM-систему.В серверной политике администратор может выбрать события, которые будут собираться с подчинённых серверов или клиентских рабочих станций под управлением ОС Windows / Linux, включая произошедшие до запуска операционной системы на станциях с установленным средством доверенной загрузки, а также определить расписание сбора событий с клиентов и подчинённых серверов. Рисунок 44. Сбор событий в «Блокхост-Сеть 4» Архивирование событий аудитаДля долгосрочного хранения событий предусмотрена автоархивация. Система позволяет настроить время первого её запуска и интервал в днях, а также выбрать события для помещения в архив и действия над ними. Рисунок 45. Менеджер иерархий в «Блокхост-Сеть 4» Сбор событий в SIEM головного сервера«Блокхост-Сеть 4» позволяет передавать события аудита вверх по всей иерархии серверов управления и экспортировать их в SIEM-систему по протоколу CEF. Рисунок 46. Передача событий в «Блокхост-Сеть 4» Предусмотрена возможность выбора событий аудита для передачи в SIEM. Рисунок 47. Выбор типов событий для передачи в SIEM в «Блокхост-Сеть 4» Новое в «Блокхост-Сеть 4»Централизованная установка клиентов управления в Linux-системахЦентрализованная установка агента развёртывания и клиента «Блокхост-Сеть» с помощью подсистемы развёртывания СЗИ от НСД «Блокхост-Сеть 4» теперь доступна для ОС Astra Linux SE и «Альт 8 СП».Установка агента развёртывания на станции под управлением ОС Linux требует учётной записи и включённого SSH. Рисунок 48. Установка агентов развёртывания в «Блокхост-Сеть 4» В результате выполнения задачи на всех указанных в списке рабочих станциях под управлением ОС Linux будет установлен агент развёртывания. После этого на них уже можно будет установить клиенты «Блокхост-Сеть», для чего формируются пакет установки клиента и задача на установку программы. Рисунок 49. Установка программы в «Блокхост-Сеть 4» Клиент «Блокхост-Сеть» тоже будет установлен на всех указанных в списке рабочих станциях под управлением ОС Linux в результате выполнения соответствующей задачи.Аутентификация по паролю на токене (смарт-карте) в Linux-системахВ «Блокхост-Сеть 4» реализована возможность использования двухфакторной аутентификации с сохранением пароля пользователя на токене, доступная в доменах Microsoft AD, FreeIPA, ALD Pro и Samba DC AD, для Linux-систем по аналогии с Windows-клиентами. При первом входе пользователя с использованием аутентификации по паролю на токене «Блокхост-Сеть 4» потребует ввода пароля учётной записи и ПИН-кода к токену, в результате чего будет сгенерирован и записан на токен новый пароль. При последующих входах сотрудник предъявляет токен и вводит PIN-код, а пароль пользователя в операционной системе автоматически загружается с токена.Аутентификация по сертификату на смарт-карте в Linux-системахLinux-клиенты «Блокхост-Сеть 4» теперь могут проводить двухфакторную аутентификацию пользователей с использованием цифровых сертификатов.На сервере безопасности можно настроить централизованный выпуск сертификатов удостоверяющего центра Microsoft Certificate Authority для пользователей Microsoft Active Directory и сертификатов удостоверяющего центра Dogtag для пользователей FreeIPA. В обоих случаях потребуется служебная учётная запись, обладающая правами на выпуск сертификатов пользователей. Рисунок 50. Настройка центрального выпуска сертификатов в «Блокхост-Сеть 4» После подключения удостоверяющего центра появится возможность выпускать токен для входа по управляемому сертификату с помощью консоли управления.При аутентификации по сертификату на Linux-станциях пользователь подключает токен, содержащий выпущенный сертификат, и вводит ПИН-код токена. Остальные данные будут автоматически считаны с токена.Как и для Windows-станций, для Linux-клиентов доступен удалённый выпуск сертификатов на подключённые к рабочим станциям пользователей токены.Централизованное управление доверенной загрузкойС помощью подсистемы развёртывания СЗИ от НСД «Блокхост-Сеть 4» на клиентские рабочие станции можно централизованно установить средства доверенной загрузки SafeNode System Loader.Для установки SafeNode System Loader мастером создания пакетов формируются инсталляционные пакеты для ОС Windows (*.msi), Astra Linux SE (*.deb) и «Альт 8 СП» (*.rpm).Для подключения централизованного администрирования уже установленных экземпляров SafeNode System Loader предусмотрена задача взятия выбранных рабочих станций под управление.Управление политиками механизмов безопасностиПолитики SafeNode System Loader позволяют управлять параметрами механизмов безопасности средства доверенной загрузки, выполняемыми до запуска операционной системы. Можно устанавливать дополнительный этап аутентификации пользователей, управлять политиками пароля пользователя и администратора при прохождении аутентификации в SafeNode System Loader, а также параметрами контроля целостности аппаратной и программной конфигурации рабочей станции: объектов файловой системы, реестра ОС, аппаратных устройств ЭВМ, загрузочных секторов устройств хранения данных, переменных и драйверов UEFI. Рисунок 51. Изменение политик модуля SafeNodeSL в «Блокхост-Сеть 4» Рисунок 52. Контроль целостности в «Блокхост-Сеть 4» Рисунок 53. Изменение аппаратной среды в «Блокхост-Сеть 4» Прямое управление до загрузки ОСЕсть возможность удалённого управления разблокировкой пользователей на клиентских рабочих станциях.После удалённой разблокировки администратором пользователю будет доступен ввод данных в соответствии с назначенной политикой аутентификации.Централизованный сбор аудитаВ серверной политике предусмотрен раздел с параметрами сбора событий аудита, произошедших до загрузки операционной системы, со станций, которые защищены средством доверенной загрузки SafeNode System Loader. Рисунок 54. Сбор событий СДЗ в «Блокхост-Сеть 4» Выводы«Блокхост-Сеть 4» начиная с обновления 4.2 позволяет решать широкий класс задач на разных стадиях функционирования рабочих станций, начиная с централизованного управления доверенной загрузкой и контролем целостности загружаемой программной и аппаратной среды, обеспечения защиты при функционировании операционной системы, заканчивая управлением жизненным циклом двухфакторной аутентификации, в том числе в отсутствие инфраструктуры открытых ключей, как на платформе Windows, так и на сертифицированных отечественных операционных системах с ядром Linux, функционирующих в доменных структурах на основе Microsoft Active Directory, FreeIPA, ALD Pro, Samba AD DC.Достоинства:Сертифицировано ФСТЭК России, что позволяет использовать его для выполнения требований приказов ФСТЭК России № 17, № 21, № 31, № 239.Благодаря встроенной подсистеме развёртывания позволяет быстро внедрить как само СЗИ на ландшафте любой сложности с неограниченным числом серверов и рабочих станций, так и дополнительные программные компоненты сторонних разработчиков на рабочие станции.Обеспечивает для Linux- и Windows-клиентов единообразное управление двухфакторной аутентификацией и доверенной загрузкой.Осуществляет сбор событий аудита в крупных распределённых сетях по всей иерархии серверов безопасности и подчинённых рабочих станций, передаёт события аудита в системы корреляции для выявления инцидентов в безопасности.Позволяет управлять всей иерархией серверов безопасности подчинённых станций из единой консоли администрирования головного сервера.Недостатки:Нет возможности централизованно выпускать средства осуществления двухфакторной аутентификации с использованием криптоалгоритмов ГОСТ.Читать далее
×