Keri sisuni

Windowsi salvestusagendi installimine ja kasutamine

  • Installimine

    Windowsi salvestusagendi installimine ja juurutamine.

    Installige

  • Konfiguratsioon

    Konfigureerige Windowsi salvestusagent töötama RDP- ja HTML5 RDP-rakendustega ja/või otsejuurdepääsuga.

    Konfigureerige

CyberElements Bastion kasutab Windowsi salvestusagenti, et lisada RDP-seanssidele uusi funktsioone:

  • Võimalus filtreerida kasutajale juurdepääsetavaid TCP- ja UDP-vooge
  • Võimalus käivitada seansi salvestamine iga kasutaja jaoks, kes loob ühenduse serveriga kasutajaportaali või Desktop-klienti läbimata (funktsioon direct access)

Lisaks jäädvustatakse kasutajaseansside ajal täiendavaid sündmusi:

  • Akna avamine
  • Akna sulgemine
  • Programmi käivitamine
  • Programmi sulgemine
  • Lõikelaua sisu
  • Kasutaja tegevus

Eeltingimused

Kliendi ühilduvus

Teavet selle kohta, kas agent ühildub erinevate Microsoft Windowsi operatsioonisüsteemidega, leiate ühilduvusmaatriksist.

Salvestusagent vajab nõuetekohaseks toimimiseks mõningaid eeltingimusi. Mõned neist on mõeldud ainult agendipõhise salvestusfunktsiooni jaoks RDP- ja HTML5 RDP-rakendustes, teised aga puudutavad agendipõhist otsejuurdepääsu.

Üldised eeltingimused

Salvestusagent saadab kasutaja seansi salvestise tagasi lahendusele CyberElements Bastion, luues ühenduse Edge Gateway komponendiga pordis TCP 8443. Selleks peab kahe arvuti vaheline võrguvoog olema avatud.

Salvestise turvaliseks saatmiseks Edge Gateway serverisse loob salvestusagent sellega TLS-i abil turvalise ühenduse. TLS tugineb sertifikaatide kasutamisele ja selleks, et ühendust peetaks usaldusväärseks ja turvaliseks, peavad olema täidetud järgmised tingimused:

  • Serveri, antud juhul Edge Gateway serveri, sertifikaat ei tohi olla aegunud (maksimaalne kehtivuskuupäev).

  • Serveri, antud juhul Edge Gateway serveri, sertifikaadi peab olema väljastanud sertifitseerimisasutus, mida arvuti, kuhu salvestusagent on installitud, peab usaldusväärseks.

    Lisateave

    Serveri, kuhu salvestusagent on installitud, usaldusväärsete sertifitseerimisasutuste kohalikus salves peab olema vähemalt salvestusserveri sertifikaadi juursertifitseerimisasutus (CA).

    Seetõttu tuleb:

    1. Hankida Edge Gateway serveris asuva salvestusteenuse sertifikaadi juur-CA.
    2. Laadida see CA üles serverisse, kuhu salvestusagent on installitud.
    3. Installida CA kohaliku arvuti sertifikaadisalve „Trusted Root Certification Authorities“.
    Näide PowerShelliga

    Saate .cer-vormingus sertifikaadi hõlpsalt PowerShelli kaudu importida.
    Selleks avage PowerShelli terminal arvuti administraatorina ja käivitage järgmine käsk: 

    1
    Import-Certificate -FilePath "<PAHT_TO_CERT>" -CertStoreLocation "Cert:\LocalMachine\Root"
    Asendage <PATH_TO_CERT> sertifikaadifaili teega.

    Näide PowerShelliga Systancia sertifikaadi jaoks ilma faile saatmata

    Selles näites installitakse Systancia juur-CA, mida kasutavad lahenduse CyberElements Bastion kliendid, kes kasutavad Systancia pakutud sertifikaate.

    Samuti on võimalik sertifikaat importida, ilma et peaks faili saatma/alla laadima arvutisse, kuhu salvestusagent on installitud.
    Selleks avage PowerShelli terminal arvuti administraatorina ja käivitage järgmised käsud:

     1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
    # Systancia Root certificate
$base64Cert = "MIIFIDCCBAigAwIBAgIBADANBgkqhkiG9w0BAQUFADCBjTELMAkGA1UEBhMCRlIx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"

# Convert the certificate and store it in memory
$certBytes = [Convert]::FromBase64String($base64Cert)

# Create a certificate object
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
$cert.Import($certBytes)

# Open the trusted root certificate store on the local machine and add the Systancia root certificate
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
$store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
$store.Add($cert)
$store.Close()

    Selle meetodi kasutamiseks mõne muu CA-ga muutke muutuja base64Cert väärtuseks enda valitud base64-kodeeringus sertifikaat.

  • Serveri, antud juhul Edge Gateway serveri, sertifikaat ei tohi olla tühistatud.

  • Arvuti, kuhu salvestusagent on installitud, peab saama serveriga, antud juhul Edge Gateway serveriga, ühendust võtta DNS-nime või IP-aadressi kaudu, mida serveri sertifikaat hõlmab oma välja Common Name (CN) kaudu.

Agendiga RDP-rakenduste erieeltingimused macOS-i või Ubuntu kasutajatööjaamas

Hoiatus

Järgmised eeltingimused on vajalikud ainult siis, kui kasutaja käivitab agendiga RDP-rakenduse ja tema tööjaam ei ole Windows (macOS või Ubuntu).

Kui lahenduse CyberElements Bastion kasutajate tööjaamades töötab ainult Windows või kui nad muul juhul kasutavad ainult HTML5 RDP-rakendusi, võib järgmised eeltingimused vahele jätta.

Sihtserveris, kuhu salvestusagent on juurutatud, on nõutavad järgmised registrivõtmed.

Esiteks lülitab esimene võti välja lubatud käivitusprogrammide loendi (Microsofti dokument). Vaikimisi lubab Windowsi arvuti käivitusprogrammina ainult explorer.exe.

1
2
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\TSAppAllowList]
"fDisabledAllowList"=dword:00000001

Kui arvuti ei ole RDS-server, on alati soovitatav rakendada järgmine registrivõti, et salvestusagent saaks käivitusprogrammina avaneda:

1
2
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"HonorLegacySettings"=dword:00000001

Otsejuurdepääsu erinõuded

Otsejuurdepääsu funktsioon

Otsejuurdepääsu funktsioon võimaldab käivitada kasutaja seansi salvestamise RDP- või konsoolijuurdepääsu korral (füüsiline ühendus arvutiga või hüperviisori konsoolirežiimi kaudu), mis ei läbi otse lahendust CyberElements Bastion.

Kui kasutajal on luba serverile juurde pääseda, salvestatakse tema seanss. Kui see nii ei ole, katkestatakse vaikimisi kasutaja ühendus.

Et salvestusagent saaks töötada otsejuurdepääsu režiimis, on vaja x509-sertifikaati. See sertifikaat peab vastama järgmistele nõuetele:

  • Sertifikaat peab olema endiselt kehtiv (kehtivusaeg ei ole möödunud).
  • Sertifikaat peab olema tüüpi (täiustatud võtmekasutuse väli) client authentication (OID: 1.3.6.1.5.5.7.3.2).
  • Sertifikaat ei tohi olla tühistatud.
  • OpenSSL-i turbetasemest 2 tulenevad piirangud tähendavad, et:
    • Sertifikaadil peab RSA, DSA ja DH šifrite puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised.
    • Sertifikaadi allkiri ei tohi olla MD5 ega SHA-1 (eelistatud on SHA-512).
  • Salvestusserver kasutab välja Common Name (CN) sertifikaadi ja seega ka selle arvuti tuvastamiseks, kus otsesalvestus käivitatakse. See väli peab olema täidetud.

Salvestusagendi kasutamine RDP- ja HTML5 RDP-rakendustega

Salvestusagendi kasutamise sisselülitamine

Kui salvestusagent on õigesti installitud ja konfigureeritud, lülitatakse agendi kasutamine sisse soovitud RDP- või HTML5 RDP-rakenduse tasemel:

Mehhanismis osaleb kolm parameetrit:

Without agent mode
Salvestusagendi toimimiseks peab see suvand jääma märkimata.
Disconnect session if the recorder is not working
See lülitab sisse või välja turvafunktsiooni juhuks, kui seansi salvestamine mingil põhjusel nurjub. Kui salvestamist ei saa teha, lõpetatakse kasutaja RDP- või HTML5 RDP-seanss. Soovitame selle sätte sisse lülitada, et vältida kasutajaühendusi ilma salvestamiseta (näiteks salvestusagendi tõrke korral).
Time before disconnection
Kui eelmine suvand on sisse lülitatud, saate selle suvandiga määrata aja sekundites, mis kulub enne ühenduse katkestamist. Vaikesäte on 30 sekundit, kuid seda saab reageerimiskiiruse suurendamiseks vähendada või suurendada, kui näiteks on teada, et kasutajaseansid on pikad.

Lateraalse liikumise piiramine

Lateraalse liikumise piiramine on funktsioon, mis piirab kasutajaseansi võrguühendusi. Vaikimisi blokeerib see funktsioon kogu TCP/UDP-liikluse kasutajaseansi sees, kuid administraatorid saavad avada erinevaid juurdepääsuvooge.

Piirangud konfigureeritakse objektis access policy ja võivad seetõttu kasutajati erineda ning ühel kasutajal olla erinevate sätetega (talle määratud juurdepääsupoliitikate paljundamise teel). Kasutajal, kellel on sama rakenduse jaoks mitu juurdepääsupoliitikat, kehtivad võrgupiirangud kõige lubavama juurdepääsu alusel.

Kui agendiga RDP- või HTML5 RDP-rakendus on juurdepääsupoliitikas autoriseeritud, muutub kättesaadavaks vahekaart Network connections. Seal saab filtreerimise sisse lülitada ja määrata kasutajale autoriseeritud võrgud:

Teave

Nende sätete muudatusi rakendatakse kasutajatele alles siis, kui nad järgmisel korral asjaomast RDP- või HTML5 RDP-rakendust kasutavad.

Agendiga otsejuurdepääsu salvestamise konfigureerimine

Agendiga otsejuurdepääsuks ettevalmistatud serverite deklareerimine

Agendiga otsejuurdepääsu režiimis töötava serveri deklareerimiseks peate esmalt avama mooduli Machines management:

Seejärel klõpsake uue serveri lisamiseks nuppu . Kuvatakse uus aken uue serveri konfigureerimiseks:

Name
Arvuti nimi, nagu see kuvatakse toote CyberElements Bastion konsoolis.
Notification text
Teatisesõnum, mille kasutajad saavad serveriga ühenduse loomisel.
Record sessions as videos
Lülitab seansi videosalvestamise sisse või välja. Kui see on välja lülitatud, jäädvustatakse ja salvestatakse ainult seansi sündmused.
Check video integrity at playback
Videoarhiivi loomisel arvutatakse ja salvestatakse videofaili räsi (SHA-256). Kui administraatorid arhiivi vaatavad, kontrollitakse, et räsi pole muudetud. Kui seda on muudetud, saadetakse administraatorile märguandesõnum, kuna videosalvestist on tõenäoliselt muudetud (nt lõike on asendatud või välja lõigatud).
Allow manual removal of archives
Lubab või keelab administraatoritel videoarhiive kustutada.

Teave

Loodud arhiivid säilitavad sätted, mis kehtisid salvestamise ajal. Selle sätte muutmine mõjutab ainult uusi arhiive.
Delete archives automatically
Arhiivide automaatse kustutamise häälestamine pärast kindla päevade arvu ületamist.

Teave

Loodud arhiivid säilitavad sätted, mis kehtisid salvestamise ajal. Selle sätte muutmine mõjutab ainult uusi arhiive.
Use agent mode
Suvand, mis peab olema sisse lülitatud, et serveril oleks aktiivse agendiga otsejuurdepääsu mehhanism.
Host (CN of the certificate)
Selle sertifikaadi CN-i märkimine, millega salvestusagent end Edge Gateway komponendile autendib. See vastab arvuti sertifikaadi sätetele.
Use no agent
Kui parameeter pole soovitud töörežiimi jaoks vajalik, võib selle märkimata jätta.

Agendiga otsejuurdepääsu õiguste konfigureerimine

Agendiga otsejuurdepääsu õiguste konfigureerimine sarnaneb rakenduste juurdepääsupoliitikate konfigureerimisega. Uued õigused deklareeritakse ja olemasolevaid muudetakse jaotises Direct recording configuration:

Uue konfiguratsiooni saate lisada, klõpsates nuppu .

Erinevad sätete vahekaardid sarnanevad rakenduste juurdepääsupoliitikate omadega, välja arvatud rühmade vahekaart, mis võimaldab rühma käsitsi lisada:

Pärast käsitsi lisamise nupu klõpsamist kuvatakse uus aken rühma nime ja selle domeeni sisestamiseks:

Näpunäide

See funktsioon on eriti kasulik, kui soovite lisada kohaliku rühma või rühma, mis asub muus OU-s kui LDAP-domeeni konfiguratsioonides määratud.

Ülejäänud vahekaardid on järgmised:

  • Sites: paigutab konfiguratsiooni ühele või mitmele site'ile ja võimaldab seeläbi salvestusagendil ühenduda ühe või mitme Edge Gateway komponendiga, mis on seotud autoriseeritud site'idega.
  • Machines: lisab eelmises peatükis deklareeritud RDP-serverid.
  • Alerts: seob märguanded konfiguratsiooniga.
  • Network connections: piirab kasutajate lateraalset liikumist nende seansside ajal funktsiooniga, mis on identne RDP- ja HTML5 RDP-rakenduste lateraalse liikumise piirangutega.

Salvestusagendi logid

Salvestusagendi logide sisselülitamine

Hoiatus!

Logide sisselülitamine nõuab salvestusagendi teenuse taaskäivitamist, mis peatab kõik serveris parajasti käimasolevad seansside salvestamised.
Olenevalt võtme LogOffOnFailure sätetest logitakse kasutaja kas välja või jääb ta sisselogituks.

Salvestusagendi logimise sisselülitamiseks tuleb teha järgmised sammud:

  1. Looge agendi installikataloogis (vaikimisi C:\Program Files (x86)\Systancia\Safe) kataloog nimega Log.

  2. Taaskäivitage teenus CleanroomAgent, näiteks järgmise administraatorina käivitatava PowerShelli käsuga:

    1
    Restart-Service -Name 'CleanroomAgent'

Iga kord, kui salvestusagendi teenus käivitatakse, luuakse 1. sammus loodud kataloogis Log uus logifail.

Salvestusagendi logide sisu

Salvestusagendi loodud logid näevad välja umbes nii:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
16-06-25 14:49:02.604 [6364] TRACE Console.infoSystem System directory: C:\Windows\system32
16-06-25 14:49:02.604 [6364] TRACE Console.infoSystem Windows directory: C:\Windows
16-06-25 14:49:02.604 [6364] TRACE Console.infoSystem Windows temporary directory: C:\Windows\TEMP\
16-06-25 14:49:02.605 [6364] TRACE Console.infoSystem User profile directory: C:\Windows\system32\config\systemprofile
16-06-25 14:49:02.605 [6364] TRACE Console.infoSystem Current directory: C:\Windows\system32
16-06-25 14:49:02.605 [6364] TRACE Console.infoSystem Application Data directory: C:\Windows\system32\config\systemprofile\AppData\Roaming
16-06-25 14:49:02.606 [6364] TRACE Console.infoSystem Command line: C:\Program Files (x86)\Systancia\Safe\IpDivaCareSupervisor.exe
16-06-25 14:49:02.606 [6364] TRACE Console.infoSystem Current exe directory: C:/Program Files (x86)/Systancia/Safe/
16-06-25 14:49:02.606 [6364] TRACE Console.infoSystem Root directory: C:/Program Files (x86)/Systancia/
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Microsoft Windows NT family
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Service Pack 0.0
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem OEM ID: 0
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Number of Processors: 8
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Page size: 4096
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Processor Type: 586
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Active processor mask: 255
16-06-25 14:49:02.608 [6364] TRACE Console.infoSystem Username: Système
16-06-25 14:49:02.608 [6364] TRACE Console.infoSystem -----------------------------------
16-06-25 14:49:02.609 [4620] TRACE main.run Loaded 1 gateways from file C:/Program Files (x86)/Systancia/Safe/gateways.xml
16-06-25 14:49:02.610 [4620] ERROR main.run Error loading public keys. boost::filesystem::directory_iterator::construct: Le fichier spécifié est introuvable [system:2]: "C:/Program Files (x86)/Systancia/pubkeys"
16-06-25 14:49:02.610 [4620] TRACE main.wtssessionchange Copying C:/Program Files (x86)/Systancia/Safe/CareInit.exe to C:/Windows/system32/CareInit.exe
16-06-25 14:49:12.298 [6364] TRACE main.wtssessionchange Session logon or connect :6 event:3
16-06-25 14:49:12.299 [6364] TRACE main.wtssessionchange
16-06-25 14:49:13.301 [6364] TRACE main.wtssessionchange Session logon or connect :6 event:5
16-06-25 14:49:13.303 [6364] TRACE main.wtssessionchange cyberelements_user
16-06-25 14:49:13.319 [6364] TRACE wtssessionchange.wtssessionchange 17 bytes written
16-06-25 14:49:13.319 [6364] TRACE wtssessionchange.wtssessionchange Opened VC clr
16-06-25 14:49:13.371 [6364] TRACE main.wtssessionchange Recording server retrieved via VC clr:my-edge-gateway.domain.local
16-06-25 14:49:13.371 [6364] TRACE main.wtssessionchange care password :K5efPBwVM2cIU0LaYQucZp0FV19nRIE5f5VYoBZz6EqlZOxNGM
16-06-25 14:49:13.371 [6364] TRACE SelectConfig.autoconf poll() is not supported on this platform, using select()
16-06-25 14:49:13.418 [6364] TRACE main.getNetFilterRulesInformation Filter not enabled
16-06-25 14:49:13.419 [6364] TRACE main.getNetFilterRulesInformation FALSE
16-06-25 14:49:13.419 [6364] ERROR main.getNetFilterRulesInformation No public key configured. Cannot verify net filtering rules.
16-06-25 14:49:13.419 [6364] TRACE Socket.incrCounters 0 UDP, 0 TCP, 1 Objs
16-06-25 14:49:13.421 [6364] TRACE main.createRecorderProcess launching whith password :K5efPBwVM2cIU0LaYQucZp0FV19nRIE5f5VYoBZz6EqlZOxNGM
16-06-25 14:49:26.664 [4620] TRACE main.createRecorderProcess Calling logoff.exe 6
16-06-25 14:49:26.990 [6364] TRACE main.wtssessionchange User DOMAIN\cyberelements_user has no other session. Dropping network filter rules
16-06-25 14:49:26.990 [6364] TRACE main.wtssessionchange Session logoff or disconnect :6 event:6
16-06-25 14:49:27.331 [6364] TRACE main.wtssessionchange Session logoff or disconnect :6 event:4
16-06-25 14:49:38.964 [6364] TRACE main.wtssessionchange Session logon or connect :7 event:3
16-06-25 14:49:38.965 [6364] TRACE main.wtssessionchange
16-06-25 14:49:40.75 [6364] TRACE main.wtssessionchange Session logon or connect :7 event:5
16-06-25 14:49:40.76 [6364] TRACE main.wtssessionchange cyberelements_user
16-06-25 14:49:40.178 [6364] TRACE wtssessionchange.wtssessionchange WTSVirtualChannelOpenEx failure.31 Not a Cleanroom session, or the client has no support for the clr virtual channel
16-06-25 14:49:40.179 [6364] TRACE main.wtssessionchange prog :
16-06-25 14:49:40.185 [6364] TRACE main.createRecorderProcess User groups :DOMAIN\Utilisateurs du domaine domain.local\Utilisateurs du domaine \Tout le monde domain.local\Tout le monde BUILTIN\Utilisateurs BUILTIN\Utilisateurs du Bureau à distance AUTORITE NT\REMOTE INTERACTIVE LOGON AUTORITE NT\INTERACTIF AUTORITE NT\Utilisateurs authentifiés domain.local\LOCAL DOMAIN\cyberelements_users domain.local\cyberelements_users 
16-06-25 14:49:40.186 [6364] TRACE getDirectRecordInformation.getDirectRecordInformation gateways: my-edge-gateway.domain.local
16-06-25 14:49:40.199 [6364] TRACE SecChannelClient.ClientCreateCredentials looking for a certificate with name containing:my-rds-server
16-06-25 14:49:40.199 [6364] TRACE SecChannelClient.ClientCreateCredentials looking for a certificate with name containing:my-rds-server.domain.local in the local machine store
16-06-25 14:49:40.201 [6364] TRACE SecChannelClient.ClientCreateCredentials certificate subject:C=FR, S=Grand-Est, L=Sausheim, O=Systancia, CN=my-rds-server.domain.local
16-06-25 14:49:40.201 [6364] TRACE SecChannelClient.ClientCreateCredentials certificate issuer:C=FR, S=Grand-Est, L=Sausheim, O=Systancia, CN=SUB-CA
16-06-25 14:49:40.404 [6364] TRACE Socket.incrCounters 0 UDP, 0 TCP, 1 Objs
16-06-25 14:49:40.404 [6364] TRACE main.createRecorderProcess Net filter enabled
16-06-25 14:49:40.426 [3948] TRACE CleanroomNetFilter.addRule User DOMAIN\cyberelements_user Remote address: 168427818 (10.10.1.42) Remote port: 443 Protocol condition: TCP
16-06-25 14:49:40.427 [3948] TRACE CleanroomNetFilter.addRule User DOMAIN\cyberelements_user Remote address: 168432641 (10.10.20.1) Remote port: 53 Protocol condition: UDP
16-06-25 14:49:40.428 [6364] TRACE CleanroomNetFilter.addRule User DOMAIN\cyberelements_user Application: C:/Program Files (x86)/Systancia/Safe/IpdivaCareRecorder.exe Remote address: 168427791 (10.10.1.15) Remote port: 8443 Protocol condition: TCP
16-06-25 14:49:40.430 [6364] TRACE main.createRecorderProcess launching whith password :DIRECT_33fRBYAwVDEKs8n3bGFwlIgKYd39C2Ubcl4pkLLC0YAouL4Gml
16-06-25 14:49:48.690 [4620] TRACE main.createRecorderProcess Calling logoff.exe 7
16-06-25 14:49:50.13 [6364] TRACE main.wtssessionchange User DOMAIN\cyberelements_user has no other session. Dropping network filter rules
16-06-25 14:49:50.13 [6364] TRACE main.wtssessionchange Session logoff or disconnect :7 event:6
16-06-25 14:49:50.379 [6364] TRACE main.wtssessionchange Session logoff or disconnect :7 event:4
16-06-25 14:49:54.658 [6364] TRACE main.wtssessionchange Removing C:/Windows/system32/CareInit.exe
Salvestusagendi initsialiseerimine (read 1-21)

Salvestusagendi initsialiseerimisel (read 1-18) logitakse mitmesugust teavet süsteemi kohta.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
16-06-25 14:49:02.604 [6364] TRACE Console.infoSystem System directory: C:\Windows\system32
16-06-25 14:49:02.604 [6364] TRACE Console.infoSystem Windows directory: C:\Windows
16-06-25 14:49:02.604 [6364] TRACE Console.infoSystem Windows temporary directory: C:\Windows\TEMP\
16-06-25 14:49:02.605 [6364] TRACE Console.infoSystem User profile directory: C:\Windows\system32\config\systemprofile
16-06-25 14:49:02.605 [6364] TRACE Console.infoSystem Current directory: C:\Windows\system32
16-06-25 14:49:02.605 [6364] TRACE Console.infoSystem Application Data directory: C:\Windows\system32\config\systemprofile\AppData\Roaming
16-06-25 14:49:02.606 [6364] TRACE Console.infoSystem Command line: C:\Program Files (x86)\Systancia\Safe\IpDivaCareSupervisor.exe
16-06-25 14:49:02.606 [6364] TRACE Console.infoSystem Current exe directory: C:/Program Files (x86)/Systancia/Safe/
16-06-25 14:49:02.606 [6364] TRACE Console.infoSystem Root directory: C:/Program Files (x86)/Systancia/
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Microsoft Windows NT family
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Service Pack 0.0
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem OEM ID: 0
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Number of Processors: 8
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Page size: 4096
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Processor Type: 586
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Active processor mask: 255
16-06-25 14:49:02.608 [6364] TRACE Console.infoSystem Username: Système
16-06-25 14:49:02.608 [6364] TRACE Console.infoSystem -----------------------------------

Rida 19 näitab failist gateways.xml leitud Edge Gateway komponentide arvu otserežiimis töötamiseks.

19
16-06-25 14:49:02.609 [4620] TRACE main.run Loaded 1 gateways from file C:/Program Files (x86)/Systancia/Safe/gateways.xml

Rida 20 näitab probleemi võtmete laadimisel olematust kataloogist. See on vana funktsioon, mis ei mõjuta agendi üldist toimimist. Seetõttu võib selle tõrkelogi kirje eirata.

20
16-06-25 14:49:02.610 [4620] ERROR main.run Error loading public keys. boost::filesystem::directory_iterator::construct: Le fichier spécifié est introuvable [system:2]: "C:/Program Files (x86)/Systancia/pubkeys"

Rida 21 näitab käivitusfaili CareInit.exe kopeerimist kausta System32, et katta juhtumid, kus agendiga RDP-rakendus käivitatakse macOS-i või Ubuntu arvutist.
Sel juhul palub ühendus serveriga käivitada CareInit.exe käivitusprogrammina.

21
16-06-25 14:49:02.610 [4620] TRACE main.wtssessionchange Copying C:/Program Files (x86)/Systancia/Safe/CareInit.exe to C:/Windows/system32/CareInit.exe
HTML5 RDP- või RDP-rakenduse ühendus agendiga (read 22-39)

Kui tuvastatakse uus RDP-seanss, kirjutatakse järgmised logid, mis näitavad uue RDP-seansi tuvastamist ja logivad sisse loginud kasutaja nime:

22
23
24
25
16-06-25 14:49:12.298 [6364] TRACE main.wtssessionchange Session logon or connect :6 event:3
16-06-25 14:49:12.299 [6364] TRACE main.wtssessionchange
16-06-25 14:49:13.301 [6364] TRACE main.wtssessionchange Session logon or connect :6 event:5
16-06-25 14:49:13.303 [6364] TRACE main.wtssessionchange cyberelements_user

Ülaltoodud logides on RDP kaudu ühenduse loonud kasutaja cyberelements_user.

Agendiga HTML5 RDP- või RDP-rakenduse käivitamisel luuakse spetsiaalne virtuaalne RDP-kanal, et saata salvestusagendile Edge Gateway komponendi ühendusaadress ja ühekordne parool Edge Gateway komponendi salvestusteenusega ühenduse loomiseks.
See näitab kahte asja:

  1. Salvestusagent on tuvastanud, et tegemist on toote CyberElements Bastion algatatud RDP-ühendusega, seega ei tohiks see käsitleda seanssi otsejuurdepääsuna.
  2. Salvestusagent suutis hankida selle Edge Gateway komponendi aadressi, kuhu ta peab saatma videosalvestised ja sündmused.

See teave vastas ridadele 27-29, kus näites hankis salvestusagent Edge Gateway komponendi ühendusaadressi (my-edge-gateway.domain.local) ja ühekordse parooli (K5efPBwVM2cIU0LaYQucZp0FV19nRIE5f5VYoBZz6EqlZOxNGM):

29
30
31
16-06-25 14:49:13.319 [6364] TRACE wtssessionchange.wtssessionchange Opened VC clr
16-06-25 14:49:13.371 [6364] TRACE main.wtssessionchange Recording server retrieved via VC clr:my-edge-gateway.domain.local
16-06-25 14:49:13.371 [6364] TRACE main.wtssessionchange care password :K5efPBwVM2cIU0LaYQucZp0FV19nRIE5f5VYoBZz6EqlZOxNGM

Järgmisena tulevad võrgufiltreerimise reeglite rakendamist käsitlevad logid, mida kirjeldatakse üksikasjalikult lehel allpool teises teabeplokis.

Logikirje näitab, millal salvestusagent algatab ühenduse Edge Gateway komponendiga ja millist ühekordset parooli ta enda autentimiseks kasutab.

35
16-06-25 14:49:13.421 [6364] TRACE main.createRecorderProcess launching whith password :K5efPBwVM2cIU0LaYQucZp0FV19nRIE5f5VYoBZz6EqlZOxNGM

Lõpuks, kui kasutaja algatab ühenduse katkestamise, jäädvustab salvestusagent selle, et lõpetada salvestamine ja eemaldada kõik võrgufiltreerimise reeglid. See vastab näidislogifaili ridadele 36-39:

36
37
38
39
16-06-25 14:49:26.664 [4620] TRACE main.createRecorderProcess Calling logoff.exe 6
16-06-25 14:49:26.990 [6364] TRACE main.wtssessionchange User DOMAIN\cyberelements_user has no other session. Dropping network filter rules
16-06-25 14:49:26.990 [6364] TRACE main.wtssessionchange Session logoff or disconnect :6 event:6
16-06-25 14:49:27.331 [6364] TRACE main.wtssessionchange Session logoff or disconnect :6 event:4
Otsese RDP-juurdepääsu ühendus (read 40-61)

Kui tuvastatakse uus RDP-seanss, kirjutatakse järgmised logid, mis näitavad uue RDP-seansi tuvastamist ja logivad sisse loginud kasutaja nime:

40
41
42
43
16-06-25 14:49:38.964 [6364] TRACE main.wtssessionchange Session logon or connect :7 event:3
16-06-25 14:49:38.965 [6364] TRACE main.wtssessionchange
16-06-25 14:49:40.75 [6364] TRACE main.wtssessionchange Session logon or connect :7 event:5
16-06-25 14:49:40.76 [6364] TRACE main.wtssessionchange cyberelements_user

Ülaltoodud logides on RDP kaudu ühenduse loonud kasutaja cyberelements_user.

Otsese RDP-ühenduse ajal ei kasutata spetsiaalset virtuaalset RDP-kanalit, mida kasutatakse agendiga RDP- või HTML5 RDP-rakenduste käitamiseks. Seetõttu järeldab salvestusagent, et avatud seanss on otsejuurdepääsu seanss.

44
16-06-25 14:49:40.178 [6364] TRACE wtssessionchange.wtssessionchange WTSVirtualChannelOpenEx failure.31 Not a Cleanroom session, or the client has no support for the clr virtual channel

Kuna tuvastati otsejuurdepääs, logib salvestusagent äsja ühenduse loonud kasutaja erinevad kasutajarühmad:

46
16-06-25 14:49:40.185 [6364] TRACE main.createRecorderProcess User groups :DOMAIN\Utilisateurs du domaine domain.local\Utilisateurs du domaine \Tout le monde domain.local\Tout le monde BUILTIN\Utilisateurs BUILTIN\Utilisateurs du Bureau à distance AUTORITE NT\REMOTE INTERACTIVE LOGON AUTORITE NT\INTERACTIF AUTORITE NT\Utilisateurs authentifiés domain.local\LOCAL DOMAIN\cyberelements_users domain.local\cyberelements_users

Näpunäide

Selle teabe abil saate kindlaks teha põhjused, miks otsejuurdepääsu salvestamine ei käivitu: kui otsejuurdepääsu leping ei autoriseeri ühtki kasutaja rühma või kui määratud domeeninimi peab olema lühinimi (netBIOS-nimi) või täisnimi.

Salvestusagent näitab, milliste Edge Gateway komponentidega saab ta ühenduse luua, et kasutaja seansi salvestis üles laadida.
Meeldetuletuseks: need on Edge Gateway komponendid, mis kuuluvad faili gateways.xml, mis konfigureeriti salvestusagendi konfigureerimisel.

47
16-06-25 14:49:40.186 [6364] TRACE getDirectRecordInformation.getDirectRecordInformation gateways: my-edge-gateway.domain.local

Järgmisena on kliendisertifikaat, mida salvestusagent kasutab salvestusteenuses autentimiseks.
Vaikimisi otsib salvestusagent sertifikaati, mille CN sisaldab RDP-serveri nime, välja arvatud juhul, kui on määratletud võti MachineName.
Seejärel näitab salvestusagent valitud sertifikaati ja teavet selle genereerinud sertimisasutuse kohta.

48
49
50
51
16-06-25 14:49:40.199 [6364] TRACE SecChannelClient.ClientCreateCredentials looking for a certificate with name containing:my-rds-server
16-06-25 14:49:40.199 [6364] TRACE SecChannelClient.ClientCreateCredentials looking for a certificate with name containing:my-rds-server.domain.local in the local machine store
16-06-25 14:49:40.201 [6364] TRACE SecChannelClient.ClientCreateCredentials certificate subject:C=FR, S=Grand-Est, L=Sausheim, O=Systancia, CN=my-rds-server.domain.local
16-06-25 14:49:40.201 [6364] TRACE SecChannelClient.ClientCreateCredentials certificate issuer:C=FR, S=Grand-Est, L=Sausheim, O=Systancia, CN=SUB-CA

Ülaltoodud näites otsis salvestusagent sertifikaati, mis sisaldab stringi my-rds-server, ja leidis sertifikaadi, mille CN on my-rds-server.domain.local ja mille on väljastanud sertimisasutus SUB-CA.

Järgmisena tulevad võrgufiltreerimise reeglite rakendamist käsitlevad logid, mida kirjeldatakse üksikasjalikult lehel allpool teises teabeplokis.

Logikirje näitab, millal salvestusagent algatab ühenduse Edge Gateway komponendiga ja millist ühekordset parooli ta enda autentimiseks kasutab.

57
16-06-25 14:49:40.430 [6364] TRACE main.createRecorderProcess launching whith password :DIRECT_33fRBYAwVDEKs8n3bGFwlIgKYd39C2Ubcl4pkLLC0YAouL4Gml

Lõpuks, kui kasutaja algatab ühenduse katkestamise, jäädvustab salvestusagent selle, et lõpetada salvestamine ja eemaldada kõik võrgufiltreerimise reeglid. See vastab näidislogifaili ridadele 58-61:

58
59
60
61
16-06-25 14:49:48.690 [4620] TRACE main.createRecorderProcess Calling logoff.exe 7
16-06-25 14:49:50.13 [6364] TRACE main.wtssessionchange User DOMAIN\cyberelements_user has no other session. Dropping network filter rules
16-06-25 14:49:50.13 [6364] TRACE main.wtssessionchange Session logoff or disconnect :7 event:6
16-06-25 14:49:50.379 [6364] TRACE main.wtssessionchange Session logoff or disconnect :7 event:4
Võrgufiltreerimise reeglite rakendamine (read 31 ja 53-56)

Iga salvestusagendi tuvastatud seansi puhul määrab agent, kas kasutaja seansile on vaja rakendada võrgufiltreerimise reegleid.

Kui võrgufiltreerimise reegleid pole vaja rakendada, näitab salvestusagent teadet Filter not enabled.

31
16-06-25 14:49:13.418 [6364] TRACE main.getNetFilterRulesInformation Filter not enabled

Kui võrgufiltreerimise reegleid on vaja rakendada, kuvatakse teade Net filter enabled.
Pärast seda filtri aktiveerimise rida näidatakse iga rakendatud filter eraldi real:

53
54
55
56
16-06-25 14:49:40.404 [6364] TRACE main.createRecorderProcess Net filter enabled
16-06-25 14:49:40.426 [3948] TRACE CleanroomNetFilter.addRule User DOMAIN\cyberelements_user Remote address: 168427818 (10.10.1.42) Remote port: 443 Protocol condition: TCP
16-06-25 14:49:40.427 [3948] TRACE CleanroomNetFilter.addRule User DOMAIN\cyberelements_user Remote address: 168432641 (10.10.20.1) Remote port: 53 Protocol condition: UDP
16-06-25 14:49:40.428 [6364] TRACE CleanroomNetFilter.addRule User DOMAIN\cyberelements_user Application: C:/Program Files (x86)/Systancia/Safe/IpdivaCareRecorder.exe Remote address: 168427791 (10.10.1.15) Remote port: 8443 Protocol condition: TCP

Meeldetuletuseks: kui võrgufiltreerimine on aktiveeritud, blokeeritakse vaikimisi kogu TCP/UDP-liiklus. Seetõttu on näidatud filtrid ainus TCP/UDP-liiklus, mis on kasutaja kontekstis töötavatele programmidele autoriseeritud.
Ülaltoodud näites on lubatud ühendused aadressidele TCP 10.10.1.42:443 ja UDP 10.10.20.1:53. Lisaks neile kahele administraatori autoriseeritud voole on avatud ka ühendusvoog salvestusteenusega, et selle eest vastutav programm saaks seansi salvestise tagasi saata.

Näpunäide

Kui kasutajale pole ühtki voogu autoriseeritud, kuvatakse ainult read, mis näitavad, et filtreerimine on aktiivne ja et salvestusprotsess saab ühenduda Edge Gateway komponendi salvestusteenusega.

Salvestusteenusega ühenduse loomine nurjus

Mitu probleemi võivad põhjustada, et salvestusagent ei saa Edge Gateway komponendi salvestusteenusega ühendust luua.

Esimene on võrguvoo blokeerimine. Sel juhul kirjutab agent salvestusteenusega ühenduse loomise katsel järgmistega sarnaseid logisid:

1
2
3
4
18-06-25 15:29:45.805 [2456] TRACE Socket.connect error during select or socket not writable, rc=0
18-06-25 15:29:45.805 [2456] TRACE Socket.raise error not registered: 0
18-06-25 15:29:45.809 [2456] ERROR main.getDirectRecordInformation Could not connect to gateway my-edge-gateway.domain.local Exception :ESocket:errors.cpp:242
18-06-25 15:29:45.809 [2456] ERROR main.getDirectRecordInformation No gateway available

Selles näites näitab rida 1, et voogu ei õnnestunud algatada, samas kui rida 3 näitab asjaomast Edge Gateway komponenti ja ühenduse nurjumist (pange tähele ka arvu 242 rea 3 lõpus, mis on seda tüüpi probleemile omane).

Teine võimalik probleem on see, et salvestusagent ja seega ka RDP-server ei suuda Edge Gateway komponendi nime lahendada: 

1
2
3
18-06-25 15:37:07.539 [2456] ERROR Socket.DNSLookup getaddrinfo() Hôte inconnu. 
18-06-25 15:37:07.539 [2456] ERROR main.getNetFilterRulesInformation Could not retrieve netfilter rule with gateway wrong-dns-edge-gateway.domain.local Exception :ESocketLookupFailed:socket2.cpp:232
18-06-25 15:37:07.539 [2456] ERROR main.getNetFilterRulesInformation The gateway may need an upgrade

Selles näites kinnitab rida 1 Edge Gateway komponendi nime DNS-lahendamise probleemi.
Teine rida näitab ühenduse nurjumist ja Edge Gateway komponendi nime. Pange tähele, et DNS-lahendamise tõrke korral lõpeb rida arvuga 232.

Kolmas võimalik probleem on ühendus teenusega, mis pole salvestusteenus, näiteks pordil 8443 kuulav veebiserver. Sel juhul saadakse järgmised logid: 

1
2
3
18-06-25 15:38:33.607 [2456] TRACE IO.read problem when read data
18-06-25 15:38:33.608 [2456] ERROR main.getNetFilterRulesInformation Could not retrieve netfilter rule with gateway wrong-server.domain.local Exception :IOException:io.cpp:140
18-06-25 15:38:33.608 [2456] ERROR main.getNetFilterRulesInformation The gateway may need an upgrade

Rida 1 näitab vahetatud andmete viga, rida 2 kinnitab ühendusprobleemi ja näitab rea lõpus tõrget 140.

Ükski otsejuurdepääsu leping ei luba otseseansi salvestamist käivitada.

Otsejuurdepääsu korral ei pea tingimata kõiki kasutajaid salvestama. Sel juhul on logid järgmised:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
16-06-25 14:49:38.964 [6364] TRACE main.wtssessionchange Session logon or connect :7 event:3
16-06-25 14:49:38.965 [6364] TRACE main.wtssessionchange
16-06-25 14:49:40.75 [6364] TRACE main.wtssessionchange Session logon or connect :7 event:5
16-06-25 14:49:40.76 [6364] TRACE main.wtssessionchange cyberelements_user
16-06-25 14:49:40.178 [6364] TRACE wtssessionchange.wtssessionchange WTSVirtualChannelOpenEx failure.31 Not a Cleanroom session, or the client has no support for the clr virtual channel
16-06-25 14:49:40.179 [6364] TRACE main.wtssessionchange prog :
16-06-25 14:49:40.185 [6364] TRACE main.createRecorderProcess User groups :DOMAIN\Utilisateurs du domaine domain.local\Utilisateurs du domaine \Tout le monde domain.local\Tout le monde BUILTIN\Utilisateurs BUILTIN\Utilisateurs du Bureau à distance AUTORITE NT\REMOTE INTERACTIVE LOGON AUTORITE NT\INTERACTIF AUTORITE NT\Utilisateurs authentifiés domain.local\LOCAL DOMAIN\cyberelements_users domain.local\cyberelements_users 
16-06-25 14:49:40.186 [6364] TRACE getDirectRecordInformation.getDirectRecordInformation gateways: my-edge-gateway.domain.local
16-06-25 14:49:40.199 [6364] TRACE SecChannelClient.ClientCreateCredentials looking for a certificate with name containing:my-rds-server
16-06-25 14:49:40.199 [6364] TRACE SecChannelClient.ClientCreateCredentials looking for a certificate with name containing:my-rds-server.domain.local in the local machine store
16-06-25 14:49:40.201 [6364] TRACE SecChannelClient.ClientCreateCredentials certificate subject:C=FR, S=Grand-Est, L=Sausheim, O=Systancia, CN=my-rds-server.domain.local
16-06-25 14:49:40.201 [6364] TRACE SecChannelClient.ClientCreateCredentials certificate issuer:C=FR, S=Grand-Est, L=Sausheim, O=Systancia, CN=SUB-CA
16-06-25 14:49:40.404 [6364] TRACE Socket.incrCounters 0 UDP, 0 TCP, 1 Objs
16-06-25 14:49:40.406 [6364] TRACE main.createRecorderProcess no need to record

Saadud logid algavad nagu kõik salvestusagendi jäädvustatud otseseansid. Kui aga ühendus Edge Gateway komponendi salvestusteenusega on loodud, tagastab see salvestusagendile teabe, et ühenduse loonud kasutajat ei pea salvestama.
Seetõttu näitab salvestusagent, et kasutaja seanssi pole vaja salvestada (ülaltoodud näite rida 14).

Rida 7 loetleb kõik rühmad, mille salvestusagent ühenduse loonud kasutaja kohta hankis.
See teave võimaldab teil kindlaks teha põhjused, miks otsejuurdepääsu salvestamine ei käivitu: kui otsejuurdepääsu leping ei autoriseeri ühtki kasutaja rühma või kui määratud domeeninimi peab olema lühinimi (netBIOS-nimi) või täisnimi.