Zum Inhalt

Installation und Verwendung des Aufzeichnungsagenten für Windows

  • Installation

    Installation und Bereitstellung des Windows-Aufzeichnungsagenten.

    Installieren

  • Konfiguration

    Den Windows-Aufzeichnungsagenten so konfigurieren, dass er mit RDP- und HTML5-RDP-Anwendungen und/oder mit direkten Zugriffen funktioniert.

    Konfigurieren

Der Windows-Aufzeichnungsagent wird von CyberElements Bastion verwendet, um neue Funktionen für RDP-Sitzungen hinzuzufügen:

  • Möglichkeit, die für den Benutzer zugänglichen TCP- und UDP-Datenströme zu filtern
  • Möglichkeit, die Sitzungsaufzeichnung für jeden Benutzer auszulösen, der sich mit dem Server verbindet, ohne das Benutzerportal oder den Desktop-Client zu durchlaufen (Funktion direct access)

Darüber hinaus werden während der Benutzersitzungen zusätzliche Ereignisse erfasst:

  • Öffnen von Fenstern
  • Schließen von Fenstern
  • Starten von Programmen
  • Schließen von Programmen
  • Inhalt der Zwischenablage
  • Benutzeraktivität

Voraussetzungen

Kompatibilität des Clients

Um zu erfahren, ob der Agent mit den verschiedenen Microsoft-Windows-Betriebssystemen kompatibel ist, konsultieren Sie die Kompatibilitätsmatrix.

Der Aufzeichnungsagent setzt einige Voraussetzungen voraus, um ordnungsgemäß zu funktionieren. Einige davon betreffen ausschließlich die Aufzeichnungsfunktion mit Agent für RDP- und HTML5-RDP-Anwendungen, andere den direkten Zugriff mit Agent.

Allgemeine Voraussetzungen

Der Aufzeichnungsagent sendet die Aufzeichnung der Benutzersitzung an CyberElements Bastion zurück, indem er sich über den Port TCP 8443 mit dem Edge Gateway verbindet. Dazu muss der Netzwerkfluss zwischen den beiden Maschinen geöffnet sein.

Um die Aufzeichnung sicher an das Edge Gateway zurückzusenden, baut der Aufzeichnungsagent mit diesem eine sichere Verbindung über TLS auf. TLS beruht auf der Verwendung von Zertifikaten, und die folgenden Bedingungen müssen erfüllt sein, damit die Verbindung als zuverlässig und sicher gilt:

  • Das Zertifikat des Servers, in diesem Fall des Edge Gateway, darf nicht abgelaufen sein (maximales Gültigkeitsdatum).

  • Das Zertifikat des Servers, in diesem Fall des Edge Gateway, muss von einer Zertifizierungsstelle ausgestellt sein, die von der Maschine, auf der der Aufzeichnungsagent installiert ist, als vertrauenswürdig anerkannt wird.

    Zusätzliche Informationen

    Der Server, auf dem der Aufzeichnungsagent installiert ist, muss mindestens die Stammzertifizierungsstelle (CA) des Zertifikats des Aufzeichnungsservers in seinem lokalen Speicher für vertrauenswürdige Zertifizierungsstellen enthalten.

    Daher ist Folgendes erforderlich:

    1. Die Stamm-CA des Zertifikats des Aufzeichnungsdienstes vom Edge Gateway abrufen.
    2. Diese CA auf den Server hochladen, auf dem der Aufzeichnungsagent installiert ist.
    3. Die CA im Zertifikatspeicher „Trusted Root Certification Authorities“ des lokalen Computers installieren.
    Beispiel mit PowerShell

    Ein Zertifikat im Format .cer lässt sich problemlos über PowerShell importieren.
    Öffnen Sie dazu ein PowerShell-Terminal als Administrator der Maschine und führen Sie den folgenden Befehl aus: 

    1
    Import-Certificate -FilePath "<PAHT_TO_CERT>" -CertStoreLocation "Cert:\LocalMachine\Root"
    Ersetzen Sie <PATH_TO_CERT> durch den Pfad zur Zertifikatsdatei.

    Beispiel mit PowerShell für das Systancia-Zertifikat, ohne Dateien zu übertragen

    In diesem Beispiel wird die Root-CA von Systancia installiert, die von den CyberElements Bastion-Clients verwendet wird, die von Systancia bereitgestellte Zertifikate nutzen.

    Es ist auch möglich, das Zertifikat zu importieren, ohne die Datei auf die Maschine übertragen oder dort herunterladen zu müssen, auf der der Aufzeichnungsagent installiert ist.
    Öffnen Sie dazu ein PowerShell-Terminal als Administrator der Maschine und führen Sie die folgenden Befehle aus:

     1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
    # Systancia Root certificate
$base64Cert = "MIIFIDCCBAigAwIBAgIBADANBgkqhkiG9w0BAQUFADCBjTELMAkGA1UEBhMCRlIx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"

# Convert the certificate and store it in memory
$certBytes = [Convert]::FromBase64String($base64Cert)

# Create a certificate object
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
$cert.Import($certBytes)

# Open the trusted root certificate store on the local machine and add the Systancia root certificate
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
$store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
$store.Add($cert)
$store.Close()

    Um diese Methode mit einer anderen CA zu verwenden, ändern Sie den Wert der Variablen base64Cert in das Base64-codierte Zertifikat Ihrer Wahl.

  • Das Zertifikat des Servers, in diesem Fall des Edge Gateway, darf nicht widerrufen sein.

  • Die Maschine, auf der der Aufzeichnungsagent installiert ist, muss den Server, in diesem Fall das Edge Gateway, über einen DNS-Namen oder eine IP-Adresse erreichen können, die durch den Common Name (CN) des Serverzertifikats abgedeckt ist.

Besondere Voraussetzungen für RDP-Anwendungen mit Agent, die auf einem macOS- oder Ubuntu-Arbeitsplatz verwendet werden

Achtung

Die folgenden Voraussetzungen sind nur erforderlich, wenn der Benutzer eine RDP-Anwendung mit Agent startet und sein Arbeitsplatz kein Windows-System ist (macOS oder Ubuntu).

Wenn die Benutzer von CyberElements Bastion ausschließlich Windows-Arbeitsplätze haben oder andernfalls ausschließlich HTML5-RDP-Anwendungen verwenden, können die folgenden Voraussetzungen ignoriert werden.

Die folgenden Registrierungsschlüssel sind auf dem Zielserver erforderlich, auf dem der Aufzeichnungsagent bereitgestellt ist.

Zunächst deaktiviert der erste Schlüssel die Liste der zugelassenen Startprogramme (Microsoft-Dokument). Standardmäßig lässt eine Windows-Maschine nur explorer.exe als Startprogramm zu.

1
2
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\TSAppAllowList]
"fDisabledAllowList"=dword:00000001

Wenn die Maschine kein RDS-Server ist, wird stets empfohlen, den folgenden Registrierungsschlüssel anzuwenden, damit der Aufzeichnungsagent als Startprogramm geöffnet werden kann:

1
2
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"HonorLegacySettings"=dword:00000001

Besondere Voraussetzungen für den direkten Zugriff

Funktion des direkten Zugriffs

Die Funktion für den direkten Zugriff ermöglicht es, die Aufzeichnung der Benutzersitzung bei RDP- oder Konsolenzugriffen (physische Verbindung zur Maschine oder über den Konsolenmodus des Hypervisors) auszulösen, die nicht direkt über CyberElements Bastion erfolgen.

Wenn der Benutzer berechtigt ist, auf den Server zuzugreifen, wird seine Sitzung aufgezeichnet. Ist dies nicht der Fall, wird der Benutzer standardmäßig getrennt.

Damit der Aufzeichnungsagent im Modus des direkten Zugriffs arbeiten kann, ist ein x509-Zertifikat erforderlich. Dieses Zertifikat muss die folgenden Anforderungen erfüllen:

  • Das Zertifikat muss weiterhin gültig sein (Gültigkeitsdauer nicht abgelaufen).
  • Das Zertifikat muss vom Typ (Feld für die erweiterte Schlüsselverwendung) client authentication sein (OID: 1.3.6.1.5.5.7.3.2).
  • Das Zertifikat darf nicht widerrufen sein.
  • Aus den Einschränkungen der OpenSSL-Sicherheitsstufe 2 ergibt sich Folgendes:
    • Das Zertifikat muss bei den Verschlüsselungsverfahren RSA, DSA und DH über einen privaten Schlüssel von mindestens 2048 Bit verfügen; bei Schlüsseln mit elliptischen Kurven (ECC) müssen es mindestens 224 Bit sein.
    • Die Signatur des Zertifikats darf nicht MD5 oder SHA-1 sein (SHA-512 wird bevorzugt).
  • Der Aufzeichnungsserver verwendet das Feld Common Name (CN), um das Zertifikat und damit die Maschine zu identifizieren, auf der eine direkte Aufzeichnung ausgelöst wird. Dieses Feld muss ausgefüllt sein.

Verwendung des Aufzeichnungsagenten mit RDP- und HTML5-RDP-Anwendungen

Die Verwendung des Aufzeichnungsagenten aktivieren

Ist der Aufzeichnungsagent ordnungsgemäß installiert und konfiguriert, wird seine Verwendung in der betreffenden RDP- oder HTML5-RDP-Anwendung aktiviert:

Am Mechanismus sind drei Parameter beteiligt:

Without agent mode
Diese Option muss deaktiviert bleiben, damit der Aufzeichnungsagent funktioniert.
Disconnect session if the recorder is not working
Aktiviert oder deaktiviert eine Sicherheitsmaßnahme für den Fall, dass die Aufzeichnung der Sitzung aus verschiedenen Gründen fehlschlägt. Kann die Aufzeichnung nicht durchgeführt werden, wird die RDP- oder HTML5-RDP-Sitzung des Benutzers beendet. Wir empfehlen, diesen Parameter zu aktivieren, um Benutzerverbindungen ohne Aufzeichnung zu verhindern (etwa bei einer Störung des Aufzeichnungsagenten).
Time before disconnection
Ist die vorherige Option aktiviert, lässt sich mit diesem Parameter die Zeit in Sekunden festlegen, nach der die Trennung erfolgt. Der Standardwert beträgt 30 Sekunden, kann aber verringert werden, um die Reaktionsfähigkeit zu erhöhen, oder erhöht werden, wenn beispielsweise bekannt ist, dass die Sitzungen der Benutzer lang sind.

Laterale Bewegungen einschränken

Die Einschränkung lateraler Bewegungen ist eine Funktion, die die Netzwerkverbindungen der Benutzersitzung beschränkt. Sie blockiert standardmäßig den gesamten TCP/UDP-Verkehr innerhalb der Benutzersitzung, doch können Administratoren verschiedene Zugriffsflüsse öffnen.

Die Einschränkungen werden in der access policy konfiguriert und können daher je nach Benutzer verschieden sein und für ein und denselben Benutzer unterschiedliche Werte haben (indem ihm mehrere Zugriffsrichtlinien zugewiesen werden). Bei einem Benutzer mit mehreren Zugriffsrichtlinien für dieselbe Anwendung gelten die Netzwerkeinschränkungen des großzügigsten Zugriffs.

Sobald eine RDP- oder HTML5-RDP-Anwendung mit Agent in einer Zugriffsrichtlinie zugelassen ist, wird die Registerkarte Network connections verfügbar. Dort lässt sich die Filterung aktivieren und die für den Benutzer zugelassenen Netzwerke angeben:

Hinweis

Änderungen an diesen Parametern werden für die Benutzer erst bei der nächsten Verwendung der betreffenden RDP- oder HTML5-RDP-Anwendung wirksam.

Die Aufzeichnungen der direkten Zugriffe mit Agent konfigurieren

Die für den direkten Zugriff mit Agent vorbereiteten Server deklarieren

Um einen Server zu deklarieren, der im Modus des direkten Zugriffs mit Agent arbeiten soll, ist zunächst das Modul Machines management zu öffnen:

Klicken Sie anschließend auf die Schaltfläche , um einen neuen Server hinzuzufügen. Es erscheint ein neues Fenster zur Konfiguration des neuen Servers:

Name
Name der Maschine, wie er in der Konsole von CyberElements Bastion angezeigt wird.
Notification text
Benachrichtigung, die die Benutzer bei der Verbindung mit dem Server erhalten.
Record sessions as videos
Aktiviert oder deaktiviert die Videoaufzeichnung der Sitzung. Ist die Option deaktiviert, werden nur die Ereignisse der Sitzung erfasst und protokolliert.
Check video integrity at playback
Beim Anlegen des Videoarchivs wird ein Hash (SHA-256) der Videodatei berechnet und gespeichert. Rufen die Administratoren das Archiv auf, wird geprüft, ob der Hash unverändert ist. Wurde er verändert, erhält der Administrator eine Warnmeldung, da die Videoaufzeichnung sehr wahrscheinlich geändert wurde (etwa ersetzt oder um Sequenzen gekürzt).
Allow manual removal of archives
Erlaubt oder verwehrt den Administratoren das Löschen der Videoarchive.

Hinweis

Die erzeugten Archive behalten die zum Zeitpunkt der Aufzeichnung geltenden Parameter bei. Eine Änderung dieses Parameters wirkt sich nur auf neue Archive aus.
Delete archives automatically
Einrichtung der automatischen Löschung der Archive nach Überschreiten einer bestimmten Anzahl von Tagen.

Hinweis

Die erzeugten Archive behalten die zum Zeitpunkt der Aufzeichnung geltenden Parameter bei. Eine Änderung dieses Parameters wirkt sich nur auf neue Archive aus.
Use agent mode
Option, die aktiviert sein muss, damit der Server über den Mechanismus des direkten Zugriffs mit aktivem Agenten verfügt.
Host (CN of the certificate)
Angabe des CN des Zertifikats, mit dem sich der Aufzeichnungsagent gegenüber dem Edge Gateway authentifiziert. Dies entspricht der Konfiguration des Maschinenzertifikats.
Use no agent
Ist ein Parameter für die gewünschte Betriebsart nicht von Nutzen, kann er deaktiviert bleiben.

Die Rechte für den direkten Zugriff mit Agent konfigurieren

Die Konfiguration der Rechte für den direkten Zugriff mit Agent ähnelt der Konfiguration der Zugriffsrichtlinien von Anwendungen. Neue Rechte werden über Direct recording configuration deklariert, bestehende dort geändert:

Sie können eine neue Konfiguration hinzufügen, indem Sie auf die Schaltfläche klicken.

Die verschiedenen Registerkarten der Parameter ähneln denen der Zugriffsrichtlinien von Anwendungen, mit Ausnahme der Registerkarte der Gruppen, die das manuelle Hinzufügen einer Gruppe erlaubt:

Nach dem Klick auf die Schaltfläche zum manuellen Hinzufügen erscheint ein neues Fenster zur Eingabe des Gruppennamens und ihrer Domäne:

Tipp

Diese Funktion ist besonders nützlich, wenn Sie eine lokale Gruppe hinzufügen möchten oder eine Gruppe, die sich in einer anderen OU befindet als der in der Konfiguration der LDAP-Domäne festgelegten.

Die übrigen Registerkarten sind:

  • Sites: verortet die Konfiguration an einem oder mehreren Standorten und erlaubt dem Aufzeichnungsagenten damit die Verbindung zu einem oder mehreren Edge Gateways, die den zugelassenen Standorten zugeordnet sind.
  • Machines: fügt die im vorherigen Kapitel deklarierten RDP-Server hinzu.
  • Alerts: verknüpft Warnungen mit der Konfiguration.
  • Network connections: schränkt die lateralen Bewegungen der Benutzer während ihrer Sitzungen ein, mit derselben Funktionsweise wie die Einschränkung lateraler Bewegungen bei RDP- und HTML5-RDP-Anwendungen.

Protokolle des Aufzeichnungsagenten

Die Protokolle des Aufzeichnungsagenten aktivieren

Achtung!

Die Aktivierung der Protokolle erfordert einen Neustart des Dienstes des Aufzeichnungsagenten, wodurch die auf dem Server laufenden Sitzungsaufzeichnungen abgebrochen werden.
Je nach Konfiguration des Schlüssels LogOffOnFailure wird der Benutzer getrennt oder bleibt verbunden.

Um die Protokolle des Aufzeichnungsagenten zu aktivieren, sind die folgenden Schritte auszuführen:

  1. Erstellen Sie im Installationsverzeichnis des Agenten (standardmäßig C:\Program Files (x86)\Systancia\Safe) ein Verzeichnis mit dem Namen Log.

  2. Starten Sie den Dienst CleanroomAgent neu, zum Beispiel mit dem folgenden, als Administrator ausgeführten PowerShell-Befehl:

    1
    Restart-Service -Name 'CleanroomAgent'

Bei jedem Start des Dienstes des Aufzeichnungsagenten wird im in Schritt 1 angelegten Verzeichnis Log eine neue Protokolldatei erzeugt.

Inhalt der Protokolle des Aufzeichnungsagenten

Die vom Aufzeichnungsagenten erzeugten Protokolle sehen wie folgt aus:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
16-06-25 14:49:02.604 [6364] TRACE Console.infoSystem System directory: C:\Windows\system32
16-06-25 14:49:02.604 [6364] TRACE Console.infoSystem Windows directory: C:\Windows
16-06-25 14:49:02.604 [6364] TRACE Console.infoSystem Windows temporary directory: C:\Windows\TEMP\
16-06-25 14:49:02.605 [6364] TRACE Console.infoSystem User profile directory: C:\Windows\system32\config\systemprofile
16-06-25 14:49:02.605 [6364] TRACE Console.infoSystem Current directory: C:\Windows\system32
16-06-25 14:49:02.605 [6364] TRACE Console.infoSystem Application Data directory: C:\Windows\system32\config\systemprofile\AppData\Roaming
16-06-25 14:49:02.606 [6364] TRACE Console.infoSystem Command line: C:\Program Files (x86)\Systancia\Safe\IpDivaCareSupervisor.exe
16-06-25 14:49:02.606 [6364] TRACE Console.infoSystem Current exe directory: C:/Program Files (x86)/Systancia/Safe/
16-06-25 14:49:02.606 [6364] TRACE Console.infoSystem Root directory: C:/Program Files (x86)/Systancia/
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Microsoft Windows NT family
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Service Pack 0.0
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem OEM ID: 0
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Number of Processors: 8
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Page size: 4096
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Processor Type: 586
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Active processor mask: 255
16-06-25 14:49:02.608 [6364] TRACE Console.infoSystem Username: Système
16-06-25 14:49:02.608 [6364] TRACE Console.infoSystem -----------------------------------
16-06-25 14:49:02.609 [4620] TRACE main.run Loaded 1 gateways from file C:/Program Files (x86)/Systancia/Safe/gateways.xml
16-06-25 14:49:02.610 [4620] ERROR main.run Error loading public keys. boost::filesystem::directory_iterator::construct: Le fichier spécifié est introuvable [system:2]: "C:/Program Files (x86)/Systancia/pubkeys"
16-06-25 14:49:02.610 [4620] TRACE main.wtssessionchange Copying C:/Program Files (x86)/Systancia/Safe/CareInit.exe to C:/Windows/system32/CareInit.exe
16-06-25 14:49:12.298 [6364] TRACE main.wtssessionchange Session logon or connect :6 event:3
16-06-25 14:49:12.299 [6364] TRACE main.wtssessionchange
16-06-25 14:49:13.301 [6364] TRACE main.wtssessionchange Session logon or connect :6 event:5
16-06-25 14:49:13.303 [6364] TRACE main.wtssessionchange cyberelements_user
16-06-25 14:49:13.319 [6364] TRACE wtssessionchange.wtssessionchange 17 bytes written
16-06-25 14:49:13.319 [6364] TRACE wtssessionchange.wtssessionchange Opened VC clr
16-06-25 14:49:13.371 [6364] TRACE main.wtssessionchange Recording server retrieved via VC clr:my-edge-gateway.domain.local
16-06-25 14:49:13.371 [6364] TRACE main.wtssessionchange care password :K5efPBwVM2cIU0LaYQucZp0FV19nRIE5f5VYoBZz6EqlZOxNGM
16-06-25 14:49:13.371 [6364] TRACE SelectConfig.autoconf poll() is not supported on this platform, using select()
16-06-25 14:49:13.418 [6364] TRACE main.getNetFilterRulesInformation Filter not enabled
16-06-25 14:49:13.419 [6364] TRACE main.getNetFilterRulesInformation FALSE
16-06-25 14:49:13.419 [6364] ERROR main.getNetFilterRulesInformation No public key configured. Cannot verify net filtering rules.
16-06-25 14:49:13.419 [6364] TRACE Socket.incrCounters 0 UDP, 0 TCP, 1 Objs
16-06-25 14:49:13.421 [6364] TRACE main.createRecorderProcess launching whith password :K5efPBwVM2cIU0LaYQucZp0FV19nRIE5f5VYoBZz6EqlZOxNGM
16-06-25 14:49:26.664 [4620] TRACE main.createRecorderProcess Calling logoff.exe 6
16-06-25 14:49:26.990 [6364] TRACE main.wtssessionchange User DOMAIN\cyberelements_user has no other session. Dropping network filter rules
16-06-25 14:49:26.990 [6364] TRACE main.wtssessionchange Session logoff or disconnect :6 event:6
16-06-25 14:49:27.331 [6364] TRACE main.wtssessionchange Session logoff or disconnect :6 event:4
16-06-25 14:49:38.964 [6364] TRACE main.wtssessionchange Session logon or connect :7 event:3
16-06-25 14:49:38.965 [6364] TRACE main.wtssessionchange
16-06-25 14:49:40.75 [6364] TRACE main.wtssessionchange Session logon or connect :7 event:5
16-06-25 14:49:40.76 [6364] TRACE main.wtssessionchange cyberelements_user
16-06-25 14:49:40.178 [6364] TRACE wtssessionchange.wtssessionchange WTSVirtualChannelOpenEx failure.31 Not a Cleanroom session, or the client has no support for the clr virtual channel
16-06-25 14:49:40.179 [6364] TRACE main.wtssessionchange prog :
16-06-25 14:49:40.185 [6364] TRACE main.createRecorderProcess User groups :DOMAIN\Utilisateurs du domaine domain.local\Utilisateurs du domaine \Tout le monde domain.local\Tout le monde BUILTIN\Utilisateurs BUILTIN\Utilisateurs du Bureau à distance AUTORITE NT\REMOTE INTERACTIVE LOGON AUTORITE NT\INTERACTIF AUTORITE NT\Utilisateurs authentifiés domain.local\LOCAL DOMAIN\cyberelements_users domain.local\cyberelements_users 
16-06-25 14:49:40.186 [6364] TRACE getDirectRecordInformation.getDirectRecordInformation gateways: my-edge-gateway.domain.local
16-06-25 14:49:40.199 [6364] TRACE SecChannelClient.ClientCreateCredentials looking for a certificate with name containing:my-rds-server
16-06-25 14:49:40.199 [6364] TRACE SecChannelClient.ClientCreateCredentials looking for a certificate with name containing:my-rds-server.domain.local in the local machine store
16-06-25 14:49:40.201 [6364] TRACE SecChannelClient.ClientCreateCredentials certificate subject:C=FR, S=Grand-Est, L=Sausheim, O=Systancia, CN=my-rds-server.domain.local
16-06-25 14:49:40.201 [6364] TRACE SecChannelClient.ClientCreateCredentials certificate issuer:C=FR, S=Grand-Est, L=Sausheim, O=Systancia, CN=SUB-CA
16-06-25 14:49:40.404 [6364] TRACE Socket.incrCounters 0 UDP, 0 TCP, 1 Objs
16-06-25 14:49:40.404 [6364] TRACE main.createRecorderProcess Net filter enabled
16-06-25 14:49:40.426 [3948] TRACE CleanroomNetFilter.addRule User DOMAIN\cyberelements_user Remote address: 168427818 (10.10.1.42) Remote port: 443 Protocol condition: TCP
16-06-25 14:49:40.427 [3948] TRACE CleanroomNetFilter.addRule User DOMAIN\cyberelements_user Remote address: 168432641 (10.10.20.1) Remote port: 53 Protocol condition: UDP
16-06-25 14:49:40.428 [6364] TRACE CleanroomNetFilter.addRule User DOMAIN\cyberelements_user Application: C:/Program Files (x86)/Systancia/Safe/IpdivaCareRecorder.exe Remote address: 168427791 (10.10.1.15) Remote port: 8443 Protocol condition: TCP
16-06-25 14:49:40.430 [6364] TRACE main.createRecorderProcess launching whith password :DIRECT_33fRBYAwVDEKs8n3bGFwlIgKYd39C2Ubcl4pkLLC0YAouL4Gml
16-06-25 14:49:48.690 [4620] TRACE main.createRecorderProcess Calling logoff.exe 7
16-06-25 14:49:50.13 [6364] TRACE main.wtssessionchange User DOMAIN\cyberelements_user has no other session. Dropping network filter rules
16-06-25 14:49:50.13 [6364] TRACE main.wtssessionchange Session logoff or disconnect :7 event:6
16-06-25 14:49:50.379 [6364] TRACE main.wtssessionchange Session logoff or disconnect :7 event:4
16-06-25 14:49:54.658 [6364] TRACE main.wtssessionchange Removing C:/Windows/system32/CareInit.exe
Initialisierung des Aufzeichnungsagenten (Zeilen 1-21)

Bei der Initialisierung des Aufzeichnungsagenten (Zeilen 1-18) werden verschiedene Angaben zum System protokolliert.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
16-06-25 14:49:02.604 [6364] TRACE Console.infoSystem System directory: C:\Windows\system32
16-06-25 14:49:02.604 [6364] TRACE Console.infoSystem Windows directory: C:\Windows
16-06-25 14:49:02.604 [6364] TRACE Console.infoSystem Windows temporary directory: C:\Windows\TEMP\
16-06-25 14:49:02.605 [6364] TRACE Console.infoSystem User profile directory: C:\Windows\system32\config\systemprofile
16-06-25 14:49:02.605 [6364] TRACE Console.infoSystem Current directory: C:\Windows\system32
16-06-25 14:49:02.605 [6364] TRACE Console.infoSystem Application Data directory: C:\Windows\system32\config\systemprofile\AppData\Roaming
16-06-25 14:49:02.606 [6364] TRACE Console.infoSystem Command line: C:\Program Files (x86)\Systancia\Safe\IpDivaCareSupervisor.exe
16-06-25 14:49:02.606 [6364] TRACE Console.infoSystem Current exe directory: C:/Program Files (x86)/Systancia/Safe/
16-06-25 14:49:02.606 [6364] TRACE Console.infoSystem Root directory: C:/Program Files (x86)/Systancia/
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Microsoft Windows NT family
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Service Pack 0.0
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem OEM ID: 0
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Number of Processors: 8
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Page size: 4096
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Processor Type: 586
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Active processor mask: 255
16-06-25 14:49:02.608 [6364] TRACE Console.infoSystem Username: Système
16-06-25 14:49:02.608 [6364] TRACE Console.infoSystem -----------------------------------

Zeile 19 gibt die Anzahl der Edge Gateways an, die in der Datei gateways.xml für den Betrieb im direkten Modus gefunden wurden.

19
16-06-25 14:49:02.609 [4620] TRACE main.run Loaded 1 gateways from file C:/Program Files (x86)/Systancia/Safe/gateways.xml

Zeile 20 weist auf ein Problem beim Laden von Schlüsseln in einem nicht vorhandenen Verzeichnis hin. Es handelt sich um eine alte Funktion, die den Gesamtbetrieb des Agenten nicht beeinträchtigt. Dieser Fehlereintrag kann daher ignoriert werden.

20
16-06-25 14:49:02.610 [4620] ERROR main.run Error loading public keys. boost::filesystem::directory_iterator::construct: Le fichier spécifié est introuvable [system:2]: "C:/Program Files (x86)/Systancia/pubkeys"

Zeile 21 gibt das Kopieren der ausführbaren Datei CareInit.exe nach System32 an, um die Fälle abzudecken, in denen eine RDP-Anwendung mit Agent von einer macOS- oder Ubuntu-Maschine aus gestartet wird.
In diesem Fall verlangt die Verbindung zum Server die Ausführung von CareInit.exe als Startprogramm.

21
16-06-25 14:49:02.610 [4620] TRACE main.wtssessionchange Copying C:/Program Files (x86)/Systancia/Safe/CareInit.exe to C:/Windows/system32/CareInit.exe
Verbindung einer RDP- oder HTML5-RDP-Anwendung mit Agent (Zeilen 22-39)

Wird eine neue RDP-Sitzung erkannt, werden die folgenden Protokolleinträge geschrieben, die die Erkennung der neuen RDP-Sitzung anzeigen und den Namen des angemeldeten Benutzers festhalten:

22
23
24
25
16-06-25 14:49:12.298 [6364] TRACE main.wtssessionchange Session logon or connect :6 event:3
16-06-25 14:49:12.299 [6364] TRACE main.wtssessionchange
16-06-25 14:49:13.301 [6364] TRACE main.wtssessionchange Session logon or connect :6 event:5
16-06-25 14:49:13.303 [6364] TRACE main.wtssessionchange cyberelements_user

In den vorstehenden Protokolleinträgen hat sich der Benutzer cyberelements_user über RDP verbunden.

Beim Start einer RDP- oder HTML5-RDP-Anwendung mit Agent wird ein spezieller virtueller RDP-Kanal angelegt, um dem Aufzeichnungsagenten die Verbindungsadresse des Edge Gateway und das einmalige Passwort für die Verbindung mit dessen Aufzeichnungsdienst zu übermitteln.
Dies zeigt zweierlei an:

  1. Der Aufzeichnungsagent hat erkannt, dass es sich um eine von CyberElements Bastion initiierte RDP-Verbindung handelt, und darf die Sitzung daher nicht als direkten Zugriff behandeln.
  2. Der Aufzeichnungsagent konnte die Adresse des Edge Gateway ermitteln, an das er die Videoaufzeichnungen und Ereignisse senden muss.

Diese Angaben entsprachen den Zeilen 27-29, in denen der Aufzeichnungsagent im Beispiel die Verbindungsadresse des Edge Gateway (my-edge-gateway.domain.local) und ein Einmalpasswort (K5efPBwVM2cIU0LaYQucZp0FV19nRIE5f5VYoBZz6EqlZOxNGM) ermittelt hat:

29
30
31
16-06-25 14:49:13.319 [6364] TRACE wtssessionchange.wtssessionchange Opened VC clr
16-06-25 14:49:13.371 [6364] TRACE main.wtssessionchange Recording server retrieved via VC clr:my-edge-gateway.domain.local
16-06-25 14:49:13.371 [6364] TRACE main.wtssessionchange care password :K5efPBwVM2cIU0LaYQucZp0FV19nRIE5f5VYoBZz6EqlZOxNGM

Es folgen die Protokolleinträge zur Anwendung der Netzwerkfilterregeln, die in einem weiteren Informationsabschnitt weiter unten auf der Seite ausgeführt werden.

Ein Protokolleintrag gibt an, wann der Aufzeichnungsagent die Verbindung mit dem Edge Gateway aufbaut und mit welchem einmaligen Passwort er sich dabei authentifiziert.

35
16-06-25 14:49:13.421 [6364] TRACE main.createRecorderProcess launching whith password :K5efPBwVM2cIU0LaYQucZp0FV19nRIE5f5VYoBZz6EqlZOxNGM

Leitet der Benutzer schließlich eine Trennung ein, wird diese vom Aufzeichnungsagenten erfasst, um die Aufzeichnung zu beenden und etwaige Netzwerkfilterregeln zu entfernen. Dies entspricht den Zeilen 36-39 der Beispiel-Protokolldatei:

36
37
38
39
16-06-25 14:49:26.664 [4620] TRACE main.createRecorderProcess Calling logoff.exe 6
16-06-25 14:49:26.990 [6364] TRACE main.wtssessionchange User DOMAIN\cyberelements_user has no other session. Dropping network filter rules
16-06-25 14:49:26.990 [6364] TRACE main.wtssessionchange Session logoff or disconnect :6 event:6
16-06-25 14:49:27.331 [6364] TRACE main.wtssessionchange Session logoff or disconnect :6 event:4
Verbindung eines direkten RDP-Zugriffs (Zeilen 40-61)

Wird eine neue RDP-Sitzung erkannt, werden die folgenden Protokolleinträge geschrieben, die die Erkennung der neuen RDP-Sitzung anzeigen und den Namen des angemeldeten Benutzers festhalten:

40
41
42
43
16-06-25 14:49:38.964 [6364] TRACE main.wtssessionchange Session logon or connect :7 event:3
16-06-25 14:49:38.965 [6364] TRACE main.wtssessionchange
16-06-25 14:49:40.75 [6364] TRACE main.wtssessionchange Session logon or connect :7 event:5
16-06-25 14:49:40.76 [6364] TRACE main.wtssessionchange cyberelements_user

In den vorstehenden Protokolleinträgen hat sich der Benutzer cyberelements_user über RDP verbunden.

Bei einer direkten RDP-Verbindung wird der spezielle virtuelle RDP-Kanal für RDP- oder HTML5-RDP-Anwendungen mit Agent nicht verwendet. Der Aufzeichnungsagent schließt daraus, dass die geöffnete Sitzung ein direkter Zugriff ist.

44
16-06-25 14:49:40.178 [6364] TRACE wtssessionchange.wtssessionchange WTSVirtualChannelOpenEx failure.31 Not a Cleanroom session, or the client has no support for the clr virtual channel

Da ein direkter Zugriff erkannt wurde, protokolliert der Aufzeichnungsagent die verschiedenen Gruppen des Benutzers, der sich soeben verbunden hat:

46
16-06-25 14:49:40.185 [6364] TRACE main.createRecorderProcess User groups :DOMAIN\Utilisateurs du domaine domain.local\Utilisateurs du domaine \Tout le monde domain.local\Tout le monde BUILTIN\Utilisateurs BUILTIN\Utilisateurs du Bureau à distance AUTORITE NT\REMOTE INTERACTIVE LOGON AUTORITE NT\INTERACTIF AUTORITE NT\Utilisateurs authentifiés domain.local\LOCAL DOMAIN\cyberelements_users domain.local\cyberelements_users

Tipp

Anhand dieser Angaben lässt sich bestimmen, warum die Aufzeichnungen der direkten Zugriffe nicht ausgelöst werden: weil der Vertrag für den direkten Zugriff keine der Gruppen des Benutzers zulässt oder weil der angegebene Domänenname der Kurzname (netBIOS-Name) oder der vollständige Name sein muss.

Der Aufzeichnungsagent gibt an, mit welchen Edge Gateways er sich verbinden kann, um die Aufzeichnung der Benutzersitzung hochzuladen.
Zur Erinnerung: Es handelt sich um die Edge Gateways, die in der bei der Konfiguration des Aufzeichnungsagenten eingerichteten Datei gateways.xml aufgeführt sind.

47
16-06-25 14:49:40.186 [6364] TRACE getDirectRecordInformation.getDirectRecordInformation gateways: my-edge-gateway.domain.local

Es folgt das Client-Zertifikat, mit dem sich der Aufzeichnungsagent gegenüber dem Aufzeichnungsdienst authentifiziert.
Standardmäßig sucht der Aufzeichnungsagent ein Zertifikat, dessen CN den Namen des RDP-Servers enthält, sofern der Schlüssel MachineName nicht definiert wurde.
Anschließend gibt der Aufzeichnungsagent das ausgewählte Zertifikat und die Angaben zu der Zertifizierungsstelle an, die es erzeugt hat.

48
49
50
51
16-06-25 14:49:40.199 [6364] TRACE SecChannelClient.ClientCreateCredentials looking for a certificate with name containing:my-rds-server
16-06-25 14:49:40.199 [6364] TRACE SecChannelClient.ClientCreateCredentials looking for a certificate with name containing:my-rds-server.domain.local in the local machine store
16-06-25 14:49:40.201 [6364] TRACE SecChannelClient.ClientCreateCredentials certificate subject:C=FR, S=Grand-Est, L=Sausheim, O=Systancia, CN=my-rds-server.domain.local
16-06-25 14:49:40.201 [6364] TRACE SecChannelClient.ClientCreateCredentials certificate issuer:C=FR, S=Grand-Est, L=Sausheim, O=Systancia, CN=SUB-CA

Im vorstehenden Beispiel hat der Aufzeichnungsagent ein Zertifikat gesucht, das my-rds-server enthält, und eines mit dem CN my-rds-server.domain.local gefunden, ausgestellt für die Zertifizierungsstelle SUB-CA.

Es folgen die Protokolleinträge zur Anwendung der Netzwerkfilterregeln, die in einem weiteren Informationsabschnitt weiter unten auf der Seite ausgeführt werden.

Ein Protokolleintrag gibt an, wann der Aufzeichnungsagent die Verbindung mit dem Edge Gateway aufbaut und mit welchem einmaligen Passwort er sich dabei authentifiziert.

57
16-06-25 14:49:40.430 [6364] TRACE main.createRecorderProcess launching whith password :DIRECT_33fRBYAwVDEKs8n3bGFwlIgKYd39C2Ubcl4pkLLC0YAouL4Gml

Leitet der Benutzer schließlich eine Trennung ein, wird diese vom Aufzeichnungsagenten erfasst, um die Aufzeichnung zu beenden und etwaige Netzwerkfilterregeln zu entfernen. Dies entspricht den Zeilen 58-61 der Beispiel-Protokolldatei:

58
59
60
61
16-06-25 14:49:48.690 [4620] TRACE main.createRecorderProcess Calling logoff.exe 7
16-06-25 14:49:50.13 [6364] TRACE main.wtssessionchange User DOMAIN\cyberelements_user has no other session. Dropping network filter rules
16-06-25 14:49:50.13 [6364] TRACE main.wtssessionchange Session logoff or disconnect :7 event:6
16-06-25 14:49:50.379 [6364] TRACE main.wtssessionchange Session logoff or disconnect :7 event:4
Anwendung der Netzwerkfilterregeln (Zeilen 31 und 53-56)

Für jede erkannte Sitzung bestimmt der Aufzeichnungsagent, ob auf die Sitzung des Benutzers Netzwerkfilterregeln anzuwenden sind.

Ist keine Netzwerkfilterregel anzuwenden, gibt der Aufzeichnungsagent Filter not enabled an.

31
16-06-25 14:49:13.418 [6364] TRACE main.getNetFilterRulesInformation Filter not enabled

Sind Netzwerkfilterregeln anzuwenden, erscheint die Meldung Net filter enabled.
Nach dieser Zeile zur Aktivierung der Filterung wird jeder der angewendeten Filter angegeben, einer je Zeile:

53
54
55
56
16-06-25 14:49:40.404 [6364] TRACE main.createRecorderProcess Net filter enabled
16-06-25 14:49:40.426 [3948] TRACE CleanroomNetFilter.addRule User DOMAIN\cyberelements_user Remote address: 168427818 (10.10.1.42) Remote port: 443 Protocol condition: TCP
16-06-25 14:49:40.427 [3948] TRACE CleanroomNetFilter.addRule User DOMAIN\cyberelements_user Remote address: 168432641 (10.10.20.1) Remote port: 53 Protocol condition: UDP
16-06-25 14:49:40.428 [6364] TRACE CleanroomNetFilter.addRule User DOMAIN\cyberelements_user Application: C:/Program Files (x86)/Systancia/Safe/IpdivaCareRecorder.exe Remote address: 168427791 (10.10.1.15) Remote port: 8443 Protocol condition: TCP

Zur Erinnerung: Ist die Netzwerkfilterung aktiviert, wird standardmäßig der gesamte TCP/UDP-Verkehr blockiert. Die angegebenen Filter sind daher der einzige TCP/UDP-Verkehr, der für die im Kontext des Benutzers ausgeführten Programme zugelassen ist.
Im vorstehenden Beispiel sind die Verbindungen zu TCP 10.10.1.42:443 und UDP 10.10.20.1:53 zugelassen. Neben diesen beiden vom Administrator zugelassenen Flüssen ist auch der Verbindungsfluss zum Aufzeichnungsdienst geöffnet, damit das dafür zuständige Programm die Aufzeichnung der Sitzung übermitteln kann.

Tipp

Ist für den Benutzer kein Fluss zugelassen, erscheinen nur die Zeilen, die angeben, dass die Filterung aktiv ist und dass der Aufzeichnungsprozess den Aufzeichnungsdienst des Edge Gateway erreichen kann.

Verbindung zum Aufzeichnungsdienst fehlgeschlagen

Mehrere Probleme können dazu führen, dass sich der Aufzeichnungsagent nicht mit dem Aufzeichnungsdienst eines Edge Gateway verbinden kann.

Das erste ist eine Blockierung des Netzwerkflusses. Versucht der Agent in diesem Fall, sich mit dem Aufzeichnungsdienst zu verbinden, schreibt er Protokolleinträge ähnlich diesen:

1
2
3
4
18-06-25 15:29:45.805 [2456] TRACE Socket.connect error during select or socket not writable, rc=0
18-06-25 15:29:45.805 [2456] TRACE Socket.raise error not registered: 0
18-06-25 15:29:45.809 [2456] ERROR main.getDirectRecordInformation Could not connect to gateway my-edge-gateway.domain.local Exception :ESocket:errors.cpp:242
18-06-25 15:29:45.809 [2456] ERROR main.getDirectRecordInformation No gateway available

In diesem Beispiel gibt Zeile 1 an, dass der Fluss nicht aufgebaut werden konnte, während Zeile 3 das betroffene Edge Gateway und den Verbindungsfehler nennt (beachten Sie auch die Zahl 242 am Ende von Zeile 3, die für diese Art von Problem kennzeichnend ist).

Das zweite mögliche Problem ist die Unfähigkeit des Aufzeichnungsagenten und damit des RDP-Servers, den Namen des Edge Gateway aufzulösen: 

1
2
3
18-06-25 15:37:07.539 [2456] ERROR Socket.DNSLookup getaddrinfo() Hôte inconnu. 
18-06-25 15:37:07.539 [2456] ERROR main.getNetFilterRulesInformation Could not retrieve netfilter rule with gateway wrong-dns-edge-gateway.domain.local Exception :ESocketLookupFailed:socket2.cpp:232
18-06-25 15:37:07.539 [2456] ERROR main.getNetFilterRulesInformation The gateway may need an upgrade

In diesem Beispiel bestätigt Zeile 1 das Problem der DNS-Auflösung des Namens des Edge Gateway.
Die zweite Zeile nennt den Verbindungsfehler und den Namen des Edge Gateway. Beachten Sie, dass die Zeile bei einem Fehler der DNS-Auflösung mit der Zahl 232 endet.

Das dritte mögliche Problem ist eine Verbindung zu einem Dienst, der kein Aufzeichnungsdienst ist, zum Beispiel ein Webserver, der auf dem Port 8443 lauscht. In diesem Fall erhält man die folgenden Protokolleinträge: 

1
2
3
18-06-25 15:38:33.607 [2456] TRACE IO.read problem when read data
18-06-25 15:38:33.608 [2456] ERROR main.getNetFilterRulesInformation Could not retrieve netfilter rule with gateway wrong-server.domain.local Exception :IOException:io.cpp:140
18-06-25 15:38:33.608 [2456] ERROR main.getNetFilterRulesInformation The gateway may need an upgrade

Zeile 1 weist auf ein Problem mit den ausgetauschten Daten hin, Zeile 2 bestätigt das Verbindungsproblem und nennt am Ende der Zeile den Fehler 140.

Kein Vertrag für den direkten Zugriff erlaubt das Auslösen der Aufzeichnung der direkten Sitzung

Bei direkten Zugriffen müssen nicht zwangsläufig alle Benutzer aufgezeichnet werden. Ist dies der Fall, erhält man die folgenden Protokolleinträge:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
16-06-25 14:49:38.964 [6364] TRACE main.wtssessionchange Session logon or connect :7 event:3
16-06-25 14:49:38.965 [6364] TRACE main.wtssessionchange
16-06-25 14:49:40.75 [6364] TRACE main.wtssessionchange Session logon or connect :7 event:5
16-06-25 14:49:40.76 [6364] TRACE main.wtssessionchange cyberelements_user
16-06-25 14:49:40.178 [6364] TRACE wtssessionchange.wtssessionchange WTSVirtualChannelOpenEx failure.31 Not a Cleanroom session, or the client has no support for the clr virtual channel
16-06-25 14:49:40.179 [6364] TRACE main.wtssessionchange prog :
16-06-25 14:49:40.185 [6364] TRACE main.createRecorderProcess User groups :DOMAIN\Utilisateurs du domaine domain.local\Utilisateurs du domaine \Tout le monde domain.local\Tout le monde BUILTIN\Utilisateurs BUILTIN\Utilisateurs du Bureau à distance AUTORITE NT\REMOTE INTERACTIVE LOGON AUTORITE NT\INTERACTIF AUTORITE NT\Utilisateurs authentifiés domain.local\LOCAL DOMAIN\cyberelements_users domain.local\cyberelements_users 
16-06-25 14:49:40.186 [6364] TRACE getDirectRecordInformation.getDirectRecordInformation gateways: my-edge-gateway.domain.local
16-06-25 14:49:40.199 [6364] TRACE SecChannelClient.ClientCreateCredentials looking for a certificate with name containing:my-rds-server
16-06-25 14:49:40.199 [6364] TRACE SecChannelClient.ClientCreateCredentials looking for a certificate with name containing:my-rds-server.domain.local in the local machine store
16-06-25 14:49:40.201 [6364] TRACE SecChannelClient.ClientCreateCredentials certificate subject:C=FR, S=Grand-Est, L=Sausheim, O=Systancia, CN=my-rds-server.domain.local
16-06-25 14:49:40.201 [6364] TRACE SecChannelClient.ClientCreateCredentials certificate issuer:C=FR, S=Grand-Est, L=Sausheim, O=Systancia, CN=SUB-CA
16-06-25 14:49:40.404 [6364] TRACE Socket.incrCounters 0 UDP, 0 TCP, 1 Objs
16-06-25 14:49:40.406 [6364] TRACE main.createRecorderProcess no need to record

Die erhaltenen Protokolleinträge beginnen wie bei jeder vom Aufzeichnungsagenten erfassten direkten Sitzung. Sobald die Verbindung mit dem Aufzeichnungsdienst des Edge Gateway aufgebaut ist, übermittelt dieser dem Aufzeichnungsagenten jedoch die Information, dass der verbundene Benutzer nicht der Aufzeichnung unterliegt.
Der Aufzeichnungsagent gibt daher an, dass die Sitzung des Benutzers nicht aufgezeichnet werden muss (Zeile 14 des vorstehenden Beispiels).

Zeile 7 führt alle Gruppen auf, die der Aufzeichnungsagent für den verbundenen Benutzer ermittelt hat.
Anhand dieser Angaben lässt sich bestimmen, warum die Aufzeichnungen der direkten Zugriffe nicht ausgelöst werden: weil der Vertrag für den direkten Zugriff keine der Gruppen des Benutzers zulässt oder weil der angegebene Domänenname der Kurzname (netBIOS-Name) oder der vollständige Name sein muss.