Alerts¶
Ez az oldal a Bastion riasztásait vezérlő két modult ismerteti: a riasztások konfigurációját, amely a munkamenetek során alkalmazott eseményindító–művelet párokat határozza meg, valamint a kiváltott riasztások előzményeit, amely minden előfordulást rögzít, és lehetővé teszi azok kiürítését. Azoknak a rendszergazdáknak szól, akiknek automatikusan kell észlelniük a kockázatos viselkedést a munkamenetekben, és választ kell kialakítaniuk rá (leállítás, szüneteltetés, értesítés, fiókzárolás, folyamat leállítása).
Konfigurált riasztások¶
Az Alerts modul felsorolja a meglévő riasztásokat. Minden riasztás egy vagy több eseményindítóból (a munkamenetben kiértékelt feltételek) és egy vagy több műveletből (a kiváltáskor végrehajtott reakció) áll.
| Táblázatoszlop | Leírás |
|---|---|
| Label | A riasztás neve. |
| Triggers | A konfigurált feltételek száma. |
| Enabled by default | Azt jelzi, hogy a riasztás automatikusan érvényes-e az összes szerződésre és közvetlen rögzítési konfigurációra. |
Az Actions fejléc alatt csoportosított további három oszlop pipával jelzi a riasztáshoz csatolt műveletek jellegét:
| Oszlop | Akkor van bejelölve, ha a riasztás tartalmaz |
|---|---|
| Trace | Legalább egy műveletet — ezek mindegyike rögzíti a kiváltást a riasztási előzményekben. |
| Notify | Egy Notification Message vagy Warning Message műveletet. |
| Act | Egy, a munkamenetbe beavatkozó műveletet: Session Shutdown, Session Pause, Kill process vagy Lock account. |
A táblázat lapozható (oldalanként 15, 25 vagy 50 sor). Egy sor kibontásakor megjelenik az eseményindítók szöveges összefoglalása.
Riasztás hozzáadása¶
- Kattintson a + gombra.
- Töltse ki a Label mezőt, igény szerint jelölje be az Enabled by default jelölőnégyzetet, majd adjon hozzá legalább egy eseményindítót és legalább egy műveletet.
- Hagyja jóvá.
| Fő mező | Leírás |
|---|---|
| Label | Kötelező. A konzolon és az értesítésekben megjelenő név. |
| Enabled by default | Ha be van jelölve, egy megerősítő kérdés rákérdez, hogy a riasztás minden meglévő szerződésre és közvetlen rögzítési konfigurációra érvényes legyen-e. |
„Triggers” panel¶
| Gomb | Hatás |
|---|---|
| + | Feltétel hozzáadása. |
| Edit | A kijelölt feltétel szerkesztése. |
| × | A kijelölt feltétel törlése. |
Az eseményindító űrlapja egy típust és egy paramétert kínál:
| Eseményindító típusa | Várt paraméter |
|---|---|
| Idle delay | Egész számként, másodpercben vagy percben megadott időtartam (az egység választható). Formátum: nullától eltérő egész szám. |
| Process start | A végrehajtható fájl neve. Tiltott karakterek: ^ < > " / \| ? * és a vezérlőkarakterek. |
| Process end | Csak a végrehajtható fájl neve (elérési út nem megengedett; a \ : karakterek szintén tiltottak). |
| Window appearance | Ablakcím vagy minta. |
| Copy-paste block | Nincs paraméter — a feltétel bináris. |
| File copy | Fájlelérési út (a ? * \| < > : " karakterek tiltottak). |
| Key stroke | Az észlelendő begépelt szöveg. |
| URL | A figyelendő URL vagy minta. Webkompatibilis. |
| SSH action | Az SSH-munkamenetben észlelendő parancs. |
Kompatibilitás munkamenettípusonként
Az űrlap dinamikusan, egy Compatibility sávban jeleníti meg a kiválasztott eseményindítókkal kompatibilis munkamenettípusokat: RDP, VNC, web vagy SSH. Az URL és az ssh_action eseményindító kizárja a szabványos RDP-kompatibilitást.
„Actions” panel¶
| Gomb | Hatás |
|---|---|
| + | Művelet hozzáadása. |
| Edit | A kijelölt művelet szerkesztése. |
| × | A kijelölt művelet törlése. |
Egyszerre csak egy leállítási / szüneteltetési és egy értesítési művelet lehet jelen.
| Művelet típusa | Paraméterek |
|---|---|
| Session Shutdown | Nincs. |
| Session Pause | Nincs. |
| Notification Message | A Message mező kötelező (szabad szöveg). |
| Warning Message | A Message mező kötelező (szabad szöveg). |
| Kill process | Az Executable mező kötelező. |
| Lock account | Nincs. |
Riasztás szerkesztése¶
Jelölje ki a riasztást, és kattintson a Properties ikonra (vagy kattintson duplán a sorra). Az űrlap megegyezik a hozzáadási űrlappal.
Az „enabled by default” beállítás átváltása
Szerkesztés közben, amikor az Enabled by default jelölőnégyzet bejelöletlenről bejelöltre vált, egy megerősítő kérdés felajánlja a bekapcsolás kényszerítését a meglévő szerződéseken és közvetlen rögzítési konfigurációkon. Fordítva, a bejelöltről bejelöletlenre váltáskor a kikapcsolás kényszerítését kínálja fel. E kényszerítések nélkül csak az új célok veszik át az új állapotot.
Riasztás törlése¶
Jelöljön ki egy vagy több riasztást, és kattintson a × gombra. A törléshez megerősítés szükséges (az üzenet az egyes vagy a többes számhoz igazodik).
Bekapcsolás / kikapcsolás mindenhol¶
Két eszköztárgomb átfogó műveletet alkalmaz a kijelölésre:
| Gomb | Hatás |
|---|---|
| Enable for all | A riasztást az összes meglévő hozzáférési szerződéshez és közvetlen rögzítési konfigurációhoz csatolja. |
| Disable for all | Leválasztja a riasztást az összes meglévő szerződésről és közvetlen rögzítési konfigurációról. |
A rendszer minden esetben megerősítést kér. A kérést ezután elküldi a kiszolgálónak.
Kiváltott riasztások előzményei¶
A History of triggered alerts modul rögzíti a riasztások minden tényleges kiváltását. Az Alerts modul eszköztárán, a History of triggered alerts gombbal érhető el.
| Oszlop | Leírás |
|---|---|
| Date | A kiváltás időbélyege (dd/mm/yyyy - HH:MM formátumban). |
| Label | A kiváltott riasztás neve. |
| IP | A felhasználó IP-címe. |
| User | Az érintett fiók. |
A lista szűrése¶
Egy összecsukható Filters panel a következőket kínálja:
| Szűrő | Leírás |
|---|---|
| Label | Az előzményekben talált megnevezésekkel feltöltött kombinált lista. |
| User | Az előzményekben talált felhasználókkal feltöltött kombinált lista. |
| Start date | Alapértelmezett értéke az aktuális dátumnál hét nappal korábbi dátum. |
| End date | Alapértelmezett értéke az aktuális dátum. |
A Search és a Clear gomb alkalmazza, illetve alaphelyzetbe állítja a szűrőket.
Az előzmények kiürítése¶
A × Purge alerts gombra kattintva egy megerősítő ablak nyílik meg három, egymást kizáró lehetőséggel:
| Beállítás | Leírás |
|---|---|
| Delete all history | Teljesen kiüríti a táblát. |
| Delete history between | Törli a kezdő és a záró dátum közötti bejegyzéseket (alapértelmezés: az utolsó hét nap). |
| Delete history older than | Törli a megadott időtartamnál régebbi bejegyzéseket. Az egység a listából választható: hours, days, weeks, months, years. |
A Validate gomb elindítja a kiürítést; a megerősítés után az előzmények és a szűrőlista újratöltődik.