Instalace agenta nahrávání pro Windows¶

Agenta nahrávání pro Windows využívá CyberElements Bastion k přidání nových funkcí pro relace RDP:

Možnost filtrovat datové toky TCP a UDP dostupné uživateli
Možnost spustit nahrávání relace pro libovolného uživatele, který se připojuje k serveru bez průchodu přes uživatelský portál nebo klienta Desktop (funkce direct access)

Kromě toho se během uživatelských relací zachytávají další události:

Otevření okna
Zavření okna
Spuštění programu
Ukončení programu
Obsah schránky
Aktivita uživatele

Předpoklady¶

Kompatibilita klienta

Informace o tom, zda je agent kompatibilní s různými operačními systémy Microsoft Windows, najdete v matici kompatibility.

Agent nahrávání vyžaduje ke správnému fungování splnění několika předpokladů. Některé z nich se týkají pouze funkce nahrávání pomocí agenta pro aplikace RDP a HTML5 RDP, zatímco jiné se týkají přímého přístupu pomocí agenta.

Obecné předpoklady¶

Agent nahrávání odesílá záznam relace uživatele zpět do CyberElements Bastion tak, že se připojí k serveru Edge Gateway na portu TCP 8443. To vyžaduje, aby byl síťový tok mezi oběma počítači otevřený.

Aby agent nahrávání bezpečně odeslal záznam zpět na server Edge Gateway, naváže s ním zabezpečené připojení pomocí protokolu TLS. TLS je založen na použití certifikátů a aby bylo připojení považováno za spolehlivé a zabezpečené, musí být splněny následující podmínky:

Platnost certifikátu serveru, v tomto případě Edge Gateway, nesmí vypršet (maximální datum platnosti).

Certifikát serveru, v tomto případě Edge Gateway, musí být vydán certifikační autoritou, kterou počítač, na kterém je nainstalován agent nahrávání, uznává jako důvěryhodnou.

Další informace

Server, na kterém je nainstalován agent nahrávání, musí mít ve svém místním úložišti důvěryhodných certifikačních autorit minimálně kořenovou certifikační autoritu (CA) certifikátu serveru nahrávání.

Je proto nutné:

Získat kořenovou CA certifikátu služby nahrávání na serveru Edge Gateway.
Nahrát tuto CA na server, na kterém je nainstalován agent nahrávání.
Nainstalovat CA do úložiště certifikátů „Trusted Root Certification Authorities“ na místním počítači.

Příklad v prostředí PowerShell

Certifikát ve formátu .cer můžete snadno importovat pomocí prostředí PowerShell.
Za tímto účelem otevřete terminál PowerShell jako správce počítače a spusťte následující příkaz:

Import-Certificate -FilePath "<PAHT_TO_CERT>" -CertStoreLocation "Cert:\LocalMachine\Root"

Nahraďte <PATH_TO_CERT> cestou k souboru certifikátu.

Příklad v prostředí PowerShell pro certifikát Systancia bez odesílání souborů

Tento příklad spočívá v instalaci kořenové CA společnosti Systancia, kterou používají klienti CyberElements Bastion využívající certifikáty dodané společností Systancia.

Certifikát je také možné importovat, aniž byste museli soubor odesílat/stahovat na počítač, na kterém je nainstalován agent nahrávání.
Za tímto účelem otevřete terminál PowerShell jako správce počítače a spusťte následující příkazy:

# Systancia Root certificate
$base64Cert = "MIIFIDCCBAigAwIBAgIBADANBgkqhkiG9w0BAQUFADCBjTELMAkGA1UEBhMCRlIx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"

# Convert the certificate and store it in memory
$certBytes = [Convert]::FromBase64String($base64Cert)

# Create a certificate object
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
$cert.Import($certBytes)

# Open the trusted root certificate store on the local machine and add the Systancia root certificate
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
$store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
$store.Add($cert)
$store.Close()

Chcete-li tuto metodu použít s jinou CA, změňte hodnotu proměnné base64Cert na libovolný certifikát zakódovaný v base64.

Certifikát serveru, v tomto případě Edge Gateway, nesmí být odvolán.
Počítač, na kterém je nainstalován agent nahrávání, musí být schopen kontaktovat server, v tomto případě Edge Gateway, pomocí názvu DNS nebo IP adresy, na které se vztahuje certifikát serveru prostřednictvím svého Common Name (CN).

Specifické předpoklady pro aplikace RDP s agenty používané na pracovní stanici uživatele se systémem macOS nebo Ubuntu¶

Upozornění

Následující předpoklady jsou nutné pouze v případě, že uživatel spouští aplikaci RDP s agentem a jeho pracovní stanice nepoužívá systém Windows (macOS nebo Ubuntu).

Pokud mají uživatelé CyberElements Bastion pracovní stanice výhradně se systémem Windows, nebo v opačném případě používají výhradně aplikace RDP HTML5, lze následující předpoklady ignorovat.

Na cílovém serveru, na kterém je nasazen agent nahrávání, jsou vyžadovány následující klíče registru.

Nejprve první klíč zakáže seznam povolených spouštěcích programů (dokument Microsoft). Ve výchozím nastavení počítač s Windows povoluje jako spouštěcí program pouze explorer.exe.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\TSAppAllowList]
"fDisabledAllowList"=dword:00000001

Pokud počítač není server RDS, doporučuje se vždy použít následující klíč registru, aby se agent nahrávání mohl otevírat jako spouštěcí program:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"HonorLegacySettings"=dword:00000001

Specifické požadavky pro přímý přístup¶

Funkce přímého přístupu

Funkce přímého přístupu umožňuje spustit nahrávání relace uživatele při přístupu přes RDP nebo konzolu (fyzické připojení k počítači nebo prostřednictvím režimu konzoly hypervizoru), který neprochází přímo přes CyberElements Bastion.

Pokud má uživatel oprávnění k přístupu k serveru, jeho relace bude nahrána. Pokud tomu tak není, bude uživatel ve výchozím nastavení odpojen.

Aby agent nahrávání fungoval v režimu přímého přístupu, je vyžadován certifikát x509. Tento certifikát musí splňovat následující požadavky:

Certifikát musí být stále platný (doba platnosti nevypršela).
Certifikát musí být typu (pole rozšířeného použití klíče) client authentication (OID: 1.3.6.1.5.5.7.3.2).
Certifikát nesmí být odvolán.
Omezení vyplývající z úrovně zabezpečení 2 knihovny OpenSSL znamenají, že:
- Certifikát musí mít privátní klíč o délce alespoň 2048 bitů u šifer RSA, DSA a DH; u klíčů eliptických křivek (ECC) musí mít alespoň 224 bitů.
- Podpis certifikátu nesmí být MD5 ani SHA-1 (upřednostňuje se SHA-512).
Server nahrávání použije pole Common Name (CN) k identifikaci certifikátu, a tedy i počítače, na kterém se spouští přímé nahrávání. Toto pole musí být vyplněno.

Ruční instalace na jednotlivý server¶

Vyžadována práva správce

K instalaci agenta jsou nutná práva správce.

Před instalací agenta jej musíte stáhnout z konzoly pro správu:

Otevřete pracovní prostor „Configurations“ pomocí tlačítka vlevo nahoře:
Otevřete dlaždici „Toolbox“
Na první kartě „Integration Tools“ vyberte instalační program odpovídající požadovanému operačnímu systému

Po stažení agenta postupujte takto:

Spusťte instalační program setup_CleanroomAgent.exe na počítači, do kterého chcete nainstalovat agenta nahrávání.
V prvním okně klikněte na Next:
Přijměte podmínky použití:
Na třetí obrazovce v případě potřeby změňte instalační adresář agenta:
Čtvrtá obrazovka zobrazuje možnosti instalace agenta v režimu přímého přístupu:

Enable Direct Access

Povolení funkce přímého přístupu agenta.

Recorded Sessions

Volné pole přijímající tři různé hodnoty, které určují, kdy se má spustit nahrávání přímého přístupu:
- none: nahrávání přímého přístupu nebude prováděno.
- remote: jakýkoli přístup RDP k počítači spustí nahrávání.
- all: nahrávání spustí přístup RDP i přístup z konzoly (fyzický přístup k počítači nebo přístup z režimu konzoly hypervizoru).
Logoff On Failure

Možnost odpojit relaci uživatele, pokud nahrávání nelze zahájit, je přerušeno nebo uživatel nemá autorizaci k připojení k počítači.

Doporučení

Při prvních instalacích nebo v případě, že není jisté splnění předpokladů, je nejlepší ponechat tuto možnost nezaškrtnutou. V opačném případě, pokud nastane problém s předpoklady nebo nastavením, nová připojení k serveru uživatele okamžitě odpojí (v závislosti na nastavení Recorded Sessions).

Informace

Funkci přímého přístupu lze povolit i po instalaci. Postup najdete v části nastavení klíčů registru agenta.
Nakonec se na páté obrazovce po kliknutí na tlačítko Install spustí instalace:

Po instalaci vyžaduje agent další konfiguraci: Nakonfigurujte agenta

Nasazení z konzoly pro správu¶

Vyžadována práva správce

K instalaci agenta jsou nutná práva správce na cílovém počítači.

Další předpoklad

Agent se na cílový počítač nasazuje pomocí protokolu SMB. Proto musí být mezi komponentou Edge Gateway a tímto cílovým serverem otevřen tok SMB (TCP 445).

Nasazení na jeden server¶

Agenta lze nasadit jednotlivě ze dvou míst konzoly pro správu. Díky tomu jej lze předem nakonfigurovat pro dva typy provozu:

Použití s aplikacemi RDP a HTML5 RDP: příprava agenta tak, aby mohl nahrávat relace uživatelů, kteří spouštějí aplikace RDP a HTML5 RDP.
Použití v režimu přímého přístupu: příprava agenta tak, aby kromě předchozího provozu mohl nahrávat i relace uživatelů, kteří se připojují přímo k serveru RDP.

Pro použití s aplikacemi RDP a HTML5 RDP¶

Pokud je aplikace RDP nebo HTML5 RDP nakonfigurována pro práci s agentem, výběr aplikace zpřístupní možnost nasadit agenta:

Po kliknutí na tlačítko nasazení agenta se zobrazí nové okno, které vyžaduje následující informace:

Target server: IP adresa nebo název DNS cílového serveru, na který se má agent nahrávání nasadit. Ve výchozím nastavení toto pole přebírá údaje serveru zadaného v aplikaci RDP nebo HTML5 RDP.
Target drive: Písmeno jednotky Windows, na kterou bude agent nasazen. Obvykle jde o písmeno C, kterým se agent nasadí na jednotku C:\.
Target directory: Cesta k instalačnímu adresáři agenta; pokud neexistuje, bude vytvořen. Výchozí umístění agenta CyberElements Bastion je Program Files (x86)\Systancia\Safe.
Gateway: Zadejte komponentu Edge Gateway, která se má použít k nasazení agenta.
Domain: Název domény, ve které se nachází účet pro správu používaný k instalaci agenta.
Username: Název účtu správce, který se má použít k instalaci agenta. Tento účet musí mít možnost instalovat programy na cílový server.
Password: Heslo účtu správce.

Po zadání všech informací lze spustit nasazení agenta. Poslední okno ukáže, zda bylo nasazení agenta na cílový server úspěšné.

Mohou být nutná ještě další nastavení. Viz následující část: Nakonfigurujte agenta

Pro použití v režimu přímého přístupu + aplikace RDP a HTML5 RDP¶

V části Machine management obrazovky přímého přístupu je k dispozici tlačítko, které umožňuje nasadit agenta:

Po kliknutí na tlačítko nasazení agenta se zobrazí nové okno, které vyžaduje následující informace:

Target server

IP adresa nebo název DNS cílového serveru, na který se má agent nahrávání nasadit. Ve výchozím nastavení toto pole přebírá údaje serveru zadaného v aplikaci RDP nebo HTML5 RDP.

Target drive

Písmeno jednotky Windows, na kterou bude agent nasazen. Obvykle jde o písmeno C, kterým se agent nasadí na jednotku C:\.

Target directory

Cesta k instalačnímu adresáři agenta; pokud neexistuje, bude vytvořen. Výchozí umístění agenta CyberElements Bastion je Program Files (x86)\Systancia\Safe.

Gateway

Zadejte komponentu Edge Gateway, která se má použít k nasazení agenta.

Domain

Název domény, ve které se nachází účet pro správu používaný k instalaci agenta.

Username

Název účtu správce, který se má použít k instalaci agenta. Tento účet musí mít možnost instalovat programy na cílový server.

Password

Heslo účtu správce.

Sessions to record

Definice kontextu, ve kterém bude probíhat nahrávání relace:

Record remote sessions (RDS) only: nahrávání budou podléhat pouze vzdálené přístupy RDP.
Record all sessions: nahrávání budou podléhat vzdálené relace RDP i relace v režimu konzoly (fyzický přístup k počítači nebo přístup z režimu konzoly hypervizoru).
Record no sessions: žádné přímé připojení k serveru nebude relace nahrávat, agenta však lze nadále používat pro přístup prostřednictvím aplikací RDP a HTML5 RDP.

Use a different certificate than the target

Možnost definovat název certifikátu, pomocí kterého se agent bude ověřovat vůči komponentě Edge Gateway. Pokud název není definován, agent vyhledá certifikát s názvem serveru.

Close the session if no gateway could be contacted

Možnost odpojit a odhlásit uživatele (v závislosti na nastavení Sessions to record), pokud je komponenta Edge Gateway nedostupná nebo pokud uživatel nemá autorizaci k připojení k serveru.

Doporučení

Při prvních instalacích nebo v případě, že není jisté splnění předpokladů, je nejlepší ponechat tuto možnost nezaškrtnutou. V opačném případě, pokud nastane problém s předpoklady nebo nastavením, nová připojení k serveru uživatele okamžitě odpojí (v závislosti na nastavení Sessions to record).

Po zadání všech informací lze spustit nasazení agenta. Poslední okno ukáže, zda bylo nasazení agenta na cílový server úspěšné.

Mohou být nutná ještě další nastavení. Viz následující část: Nakonfigurujte agenta

Nasazení na více serverů¶

Informace

Tato metoda umožní nasadit agenta nahrávání pouze pro práci s aplikacemi RDP a HTML5 RDP. Aby agent fungoval v režimu přímého přístupu, bude nutné nasadit konfiguraci jinými prostředky (např. pomocí GPO).

Další předpoklad

Nasazení na více serverů je možné pouze na počítačích, které patří do domény AD, jež je sama nakonfigurována v Authentication Domains produktu CyberElements Bastion s povolenou možností Allow RDS Server Management.

V části Management of RDS servers přidejte jeden nebo více nových serverů RDS:

Vyhledejte servery, na které je třeba nasadit agenta nahrávání, a přidejte je přetažením do pravého panelu. Vyberte možnost Deploy an agent:

Nakonfigurujte informace o nasazení agenta:

Target drive: Písmeno jednotky Windows, na kterou bude agent nasazen. Obvykle jde o písmeno C, kterým se agent nasadí na jednotku C:\.
Target directory: Cesta k instalačnímu adresáři agenta; pokud neexistuje, bude vytvořen. Výchozí umístění agenta CyberElements Bastion je Program Files (x86)\Systancia\Safe.
Gateway: Zadejte komponentu Edge Gateway, která se má použít k nasazení agenta.
Domain: Název domény, ve které se nachází účet pro správu používaný k instalaci agenta.
Username: Název účtu správce, který se má použít k instalaci agenta. Tento účet musí mít možnost instalovat programy na cílový server.
Password: Heslo účtu správce.

Mohou být nutná ještě další nastavení. Viz následující část: Nakonfigurujte agenta