Инсталиране на агента за записване за Windows¶

Агентът за записване за Windows се използва от CyberElements Bastion за добавяне на нови функции за RDP сесиите:

Възможност за филтриране на потоците TCP и UDP, достъпни за потребителя
Възможност за задействане на записване на сесията за всеки потребител, който се свързва със сървъра, без да минава през потребителския портал или клиента Desktop (функция direct access)

Освен това по време на потребителските сесии се улавят допълнителни събития:

Отваряне на прозорец
Затваряне на прозорец
Стартиране на програма
Затваряне на програма
Съдържание на клипборда
Активност на потребителя

Предварителни изисквания¶

Съвместимост на клиента

За да разберете дали агентът е съвместим с различните операционни системи Microsoft Windows, вижте матрицата за съвместимост.

Агентът за записване има няколко предварителни изисквания, за да работи правилно. Някои от тях се отнасят само до функцията за записване чрез агент за приложенията RDP и HTML5 RDP, а други – до директния достъп чрез агент.

Общи предварителни изисквания¶

Агентът за записване изпраща записа на потребителската сесия обратно към CyberElements Bastion, като се свързва с компонента Edge Gateway на порт TCP 8443. Това изисква мрежовият поток между двата компютъра да бъде отворен.

За да изпрати сигурно записа обратно към компонента Edge Gateway, агентът за записване установява защитена връзка с него чрез TLS. TLS разчита на използването на сертификати и следните условия трябва да бъдат изпълнени, за да се счита връзката за надеждна и защитена:

Сертификатът на сървъра, в случая Edge Gateway, не трябва да е изтекъл (максимална дата на валидност).

Сертификатът на сървъра, в случая Edge Gateway, трябва да е издаден от сертифициращ орган, признат за надежден от компютъра, на който е инсталиран агентът за записване.

Допълнителна информация

Сървърът, на който е инсталиран агентът за записване, трябва да има поне главния сертифициращ орган (CA) на сертификата на сървъра за записване в своето локално хранилище на доверени сертифициращи органи.

Затова е необходимо:

Да извлечете главния CA на сертификата от услугата за записване в Edge Gateway.
Да качите този CA на сървъра, на който е инсталиран агентът за записване.
Да инсталирате CA в хранилището за сертификати „Trusted Root Certification Authorities“ на локалния компютър.

Пример с PowerShell

Можете лесно да импортирате сертификат във формат .cer чрез PowerShell.
За целта отворете терминал на PowerShell като администратор на компютъра и изпълнете следната команда:

Import-Certificate -FilePath "<PAHT_TO_CERT>" -CertStoreLocation "Cert:\LocalMachine\Root"

Заменете <PATH_TO_CERT> с пътя до файла на сертификата.

Пример с PowerShell за сертификата на Systancia без изпращане на файлове

Този пример включва инсталирането на главния сертифициращ орган (CA) на Systancia, който се използва от клиентите на CyberElements Bastion, използващи сертификати, предоставени от Systancia.

Възможно е също сертификатът да се импортира, без да е необходимо файлът да се изпраща/изтегля на компютъра, на който е инсталиран агентът за записване.
За целта отворете терминал на PowerShell като администратор на компютъра и изпълнете следните команди:

# Systancia Root certificate
$base64Cert = "MIIFIDCCBAigAwIBAgIBADANBgkqhkiG9w0BAQUFADCBjTELMAkGA1UEBhMCRlIx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"

# Convert the certificate and store it in memory
$certBytes = [Convert]::FromBase64String($base64Cert)

# Create a certificate object
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
$cert.Import($certBytes)

# Open the trusted root certificate store on the local machine and add the Systancia root certificate
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
$store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
$store.Add($cert)
$store.Close()

За да използвате този метод с друг CA, променете стойността на променливата base64Cert на кодиран в base64 сертификат по ваш избор.

Сертификатът на сървъра, в случая Edge Gateway, не трябва да е анулиран.
Компютърът, на който е инсталиран агентът за записване, трябва да може да се свърже със сървъра, в случая Edge Gateway, чрез DNS име или IP адрес, обхванат от сертификата на сървъра чрез неговото поле Common Name (CN).

Специфични предварителни изисквания за приложения RDP с агенти, използвани на потребителска работна станция с macOS или Ubuntu¶

Предупреждение

Следните предварителни изисквания са необходими само ако потребителят стартира приложение RDP с агент и работната му станция не е с Windows (macOS или Ubuntu).

Ако работните станции на потребителите на CyberElements Bastion работят изключително с Windows или, ако не е така, потребителите използват изключително HTML5 RDP приложения, следващите предварителни изисквания могат да бъдат пропуснати.

Следните ключове от системния регистър са необходими на целевия сървър, на който е внедрен агентът за записване.

Първият ключ ще деактивира списъка с разрешени програми при стартиране (документ на Microsoft). По подразбиране компютър с Windows разрешава само explorer.exe като програма при стартиране.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\TSAppAllowList]
"fDisabledAllowList"=dword:00000001

Ако компютърът не е сървър RDS, винаги се препоръчва да се приложи следният ключ от системния регистър, за да може агентът за записване да се отваря като програма при стартиране:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"HonorLegacySettings"=dword:00000001

Специфични изисквания за директния достъп¶

Функция за директен достъп

Функцията за директен достъп ви позволява да задействате записване на сесията на потребителя при RDP или конзолен достъп (физическа връзка с компютъра или чрез конзолния режим на хипервизора), който не минава директно през CyberElements Bastion.

Ако потребителят има разрешение за достъп до сървъра, сесията му ще бъде записана. Ако не е така, по подразбиране потребителят ще бъде прекъснат.

За да работи агентът за записване в режим на директен достъп, е необходим сертификат x509. Този сертификат трябва да отговаря на следните изисквания:

Сертификатът трябва все още да е валиден (периодът на валидност не е изтекъл).
Сертификатът трябва да е от типа (поле за разширено използване на ключа) client authentication (OID: 1.3.6.1.5.5.7.3.2).
Сертификатът не трябва да е анулиран.
Ограниченията, произтичащи от ниво на защита 2 на OpenSSL, означават, че:
- Сертификатът трябва да има частен ключ от поне 2048 бита при шифрите RSA, DSA и DH; ключовете с елиптични криви (ECC) трябва да са от поне 224 бита.
- Подписът на сертификата не трябва да бъде MD5 или SHA-1 (за предпочитане е SHA-512).
Сървърът за записване ще използва полето Common Name (CN), за да идентифицира сертификата, а оттам и компютъра, на който се задейства директно записване. Това поле трябва да бъде попълнено.

Единично ръчно инсталиране¶

Необходими са администраторски права

За инсталирането на агента са необходими администраторски права.

Преди да инсталирате агента, трябва да го изтеглите от административната конзола:

Влезте в работното пространство „Configurations“ с бутона в горния ляв ъгъл:
Отворете плочката „Toolbox“
В първия раздел, „Integration Tools“, изберете инсталационната програма, подходяща за желаната операционна система

След като агентът бъде изтеглен, изпълнете следните стъпки:

Стартирайте инсталационната програма setup_CleanroomAgent.exe на компютъра, на който искате да инсталирате агента за записване.
Щракнете върху Next в първия прозорец:
Приемете условията за ползване:
На третия екран при необходимост променете директорията за инсталиране на агента:
Четвъртият екран показва опциите за инсталиране на агента в режим на директен достъп:

Enable Direct Access

Активиране на функцията за директен достъп на агента.

Recorded Sessions

Свободно поле, което приема три различни стойности, определящи кога да се задейства записването на директния достъп:
- none: няма да се извършва записване на директния достъп.
- remote: всеки достъп RDP до компютъра ще задейства записването.
- all: записването ще се задейства както от достъп RDP, така и от конзолен достъп (физически достъп до компютъра или от конзолния режим на хипервизора).
Logoff On Failure

Опция за прекъсване на сесията на потребителя, ако записването не може да бъде стартирано, бъде прекъснато или потребителят не е упълномощен да се свързва към компютъра.

Препоръка

При първоначални инсталации или ако не е сигурно, че предварителните изисквания са изпълнени, е най-добре тази опция да остане без отметка. В противен случай, при проблем с предварителните изисквания или настройките, новите връзки към сървъра веднага ще прекъсват потребителя (в зависимост от настройките на Recorded Sessions).

Информация

Функцията за директен достъп може да бъде активирана и след инсталирането. За целта вижте настройките на ключовете в системния регистър на агента.
Накрая, на петия екран, инсталирането започва след щракване върху бутона Install:

След инсталирането агентът изисква допълнителна конфигурация: Конфигурирайте агента

Внедряване от административната конзола¶

Необходими са администраторски права

За инсталирането на агента са необходими администраторски права на целевия компютър.

Допълнително предварително изискване

Агентът се внедрява на целевия компютър чрез протокола SMB. Следователно потокът SMB (TCP 445) трябва да бъде отворен между Edge Gateway и този целеви сървър.

Внедряване на един сървър¶

Агентът може да бъде внедрен поотделно от две места в административната конзола. Това позволява предварителното му конфигуриране за два начина на използване:

Използване с приложения RDP и HTML5 RDP: подготовка на агента така, че да може да записва сесиите на потребителите, които стартират приложения RDP и HTML5 RDP.
Използване в режим на директен достъп: подготовка на агента така, че освен при предходното използване да може да записва и сесиите на потребителите, които се свързват директно към сървъра RDP.

За използване с приложения RDP и HTML5 RDP¶

Когато приложение RDP или HTML5 RDP е конфигурирано да работи с агента, избирането на приложението отключва възможността за внедряване на агента:

След щракване върху бутона за внедряване на агента се появява нов прозорец, който изисква следната информация:

Target server: IP адрес или DNS име на целевия сървър, на който трябва да бъде внедрен агентът за записване. По подразбиране това поле използва данните на сървъра, посочен в приложението RDP или HTML5 RDP.
Target drive: Буквата на диска на Windows, на който ще бъде внедрен агентът. Обикновено това е буквата C, използвана за внедряване на агента на диска C:\.
Target directory: Път до директорията за инсталиране на агента; ако тя не съществува, ще бъде създадена. Местоположението по подразбиране за агента на CyberElements Bastion е Program Files (x86)\Systancia\Safe.
Gateway: Посочете Edge Gateway, който да се използва за внедряването на агента.
Domain: Име на домейна, в който се намира администраторският акаунт, използван за инсталиране на агента.
Username: Име на администраторския акаунт, който да се използва за инсталиране на агента. Този акаунт трябва да може да инсталира програми на целевия сървър.
Password: Парола на администраторския акаунт.

След като цялата информация бъде въведена, внедряването на агента може да бъде стартирано. Последен прозорец ще покаже дали внедряването на агента на целевия сървър е било успешно.

Може да са необходими допълнителни настройки. Вижте следната част: Конфигурирайте агента

За използване в режим на директен достъп + приложения RDP и HTML5 RDP¶

В Machine management на екрана за директен достъп има бутон, който позволява внедряването на агента:

След щракване върху бутона за внедряване на агента се появява нов прозорец, който изисква следната информация:

Target server

IP адрес или DNS име на целевия сървър, на който трябва да бъде внедрен агентът за записване. По подразбиране това поле използва данните на сървъра, посочен в приложението RDP или HTML5 RDP.

Target drive

Буквата на диска на Windows, на който ще бъде внедрен агентът. Обикновено това е буквата C, използвана за внедряване на агента на диска C:\.

Target directory

Път до директорията за инсталиране на агента; ако тя не съществува, ще бъде създадена. Местоположението по подразбиране за агента на CyberElements Bastion е Program Files (x86)\Systancia\Safe.

Gateway

Посочете Edge Gateway, който да се използва за внедряването на агента.

Domain

Име на домейна, в който се намира администраторският акаунт, използван за инсталиране на агента.

Username

Име на администраторския акаунт, който да се използва за инсталиране на агента. Този акаунт трябва да може да инсталира програми на целевия сървър.

Password

Парола на администраторския акаунт.

Sessions to record

Определяне на контекста, в който ще се извършва записване на сесията:

Record remote sessions (RDS) only: записване ще се извършва само за отдалечените достъпи RDP.
Record all sessions: ще се записват отдалечените сесии RDP и сесиите в конзолен режим (физически достъп до компютъра или от конзолния режим на хипервизора).
Record no sessions: никоя директна връзка към сървъра няма да записва сесии, но агентът все пак може да се използва за достъп чрез приложения RDP и HTML5 RDP.

Use a different certificate than the target

Опция за задаване на името на сертификата, който агентът ще използва за удостоверяване пред Edge Gateway. Ако не е зададено, агентът ще търси сертификат с името на сървъра.

Close the session if no gateway could be contacted

Опция за прекъсване на връзката и излизане на потребителя (в зависимост от настройките на Sessions to record), ако Edge Gateway е недостъпен или ако потребителят не е упълномощен да се свързва към сървъра.

Препоръка

При първоначални инсталации или ако не е сигурно, че предварителните изисквания са изпълнени, е най-добре тази опция да остане без отметка. В противен случай, при проблем с предварителните изисквания или настройките, новите връзки към сървъра веднага ще прекъсват потребителя (в зависимост от настройките на Sessions to record).

След като цялата информация бъде въведена, внедряването на агента може да бъде стартирано. Последен прозорец ще покаже дали внедряването на агента на целевия сървър е било успешно.

Може да са необходими допълнителни настройки. Вижте следната част: Конфигурирайте агента

Внедряване на няколко сървъра¶

Информация

Този метод позволява само внедряване на агента за записване за работа с приложения RDP и HTML5 RDP. За да работи агентът в режим на директен достъп, ще е необходимо конфигурацията да се внедри по друг начин (напр. чрез GPO).

Допълнително предварително изискване

Внедряването на няколко сървъра е възможно само на компютри, които принадлежат към домейн на AD, конфигуриран на свой ред в Authentication Domains на CyberElements Bastion с активирана опция Allow RDS Server Management.

От Management of RDS servers добавете един или повече нови сървъри RDS:

Потърсете и добавете сървърите, на които трябва да бъде внедрен агентът за записване, като ги плъзнете и пуснете в десния панел. Изберете опцията Deploy an agent:

Конфигурирайте информацията за внедряване на агента:

Target drive: Буквата на диска на Windows, на който ще бъде внедрен агентът. Обикновено това е буквата C, използвана за внедряване на агента на диска C:\.
Target directory: Път до директорията за инсталиране на агента; ако тя не съществува, ще бъде създадена. Местоположението по подразбиране за агента на CyberElements Bastion е Program Files (x86)\Systancia\Safe.
Gateway: Посочете Edge Gateway, който да се използва за внедряването на агента.
Domain: Име на домейна, в който се намира администраторският акаунт, използван за инсталиране на агента.
Username: Име на администраторския акаунт, който да се използва за инсталиране на агента. Този акаунт трябва да може да инсталира програми на целевия сървър.
Password: Парола на администраторския акаунт.

Може да са необходими допълнителни настройки. Вижте следната част: Конфигурирайте агента