Installatie van de Windows-opname-agent¶

De Windows-opname-agent wordt door CyberElements Bastion gebruikt om nieuwe functies toe te voegen aan RDP-sessies:

Mogelijkheid om de TCP- en UDP-stromen te filteren die voor de gebruiker toegankelijk zijn
Mogelijkheid om de sessieopname te starten voor elke gebruiker die verbinding maakt met de server zonder via het gebruikersportaal of de Desktop-client te gaan (functie direct access)

Daarnaast worden er tijdens de gebruikerssessies extra gebeurtenissen vastgelegd:

Openen van een venster
Sluiten van een venster
Starten van programma's
Sluiten van programma's
Inhoud van het klembord
Activiteit van de gebruiker

Voorwaarden¶

Compatibiliteit van de client

Raadpleeg de compatibiliteitsmatrix om te weten of de agent compatibel is met de verschillende besturingssystemen van Microsoft Windows.

De opname-agent vereist enkele voorwaarden om correct te werken. Sommige daarvan betreffen uitsluitend de opnamefunctie met agent voor RDP- en HTML5 RDP-applicaties, andere de directe toegang met agent.

Algemene voorwaarden¶

De opname-agent stuurt de opname van de gebruikerssessie terug naar CyberElements Bastion door verbinding te maken met de Edge Gateway op poort TCP 8443. Daarvoor moet de netwerkstroom tussen de twee machines open zijn.

Om de opname veilig naar de Edge Gateway terug te sturen, brengt de opname-agent met deze laatste een beveiligde verbinding via TLS tot stand. TLS is gebaseerd op het gebruik van certificaten en aan de volgende voorwaarden moet zijn voldaan om de verbinding als betrouwbaar en veilig te kunnen beschouwen:

Het certificaat van de server, in dit geval de Edge Gateway, mag niet verlopen zijn (uiterste geldigheidsdatum).

Het certificaat van de server, in dit geval de Edge Gateway, moet zijn uitgegeven door een certificeringsinstantie die door de machine waarop de opname-agent is geïnstalleerd als betrouwbaar wordt erkend.

Aanvullende informatie

De server waarop de opname-agent is geïnstalleerd, moet ten minste de basiscertificeringsinstantie (CA) van het certificaat van de opnameserver in zijn lokale opslag van vertrouwde certificeringsinstanties hebben.

Daarom is het volgende nodig:

Haal de root-CA van het certificaat van de opnameservice op de Edge Gateway op.
Upload deze CA naar de server waarop de opname-agent is geïnstalleerd.
Installeer de CA in de certificaatopslag ”Trusted Root Certification Authorities” van de lokale machine.

Voorbeeld met PowerShell

Een certificaat in de indeling .cer kan eenvoudig via PowerShell worden geïmporteerd.
Open daarvoor een PowerShell-terminal als beheerder van de machine en voer de volgende opdracht uit:

Import-Certificate -FilePath "<PAHT_TO_CERT>" -CertStoreLocation "Cert:\LocalMachine\Root"

Vervang <PATH_TO_CERT> door het pad naar het certificaatbestand.

Voorbeeld met PowerShell voor het Systancia-certificaat zonder bestanden te verzenden

In dit voorbeeld wordt de root-CA van Systancia geïnstalleerd, die wordt gebruikt door de CyberElements Bastion-clients die door Systancia geleverde certificaten gebruiken.

Het is ook mogelijk het certificaat te importeren zonder het bestand naar de machine waarop de opname-agent is geïnstalleerd te moeten verzenden of daar te downloaden.
Open daarvoor een PowerShell-terminal als beheerder van de machine en voer de volgende opdrachten uit:

# Systancia Root certificate
$base64Cert = "MIIFIDCCBAigAwIBAgIBADANBgkqhkiG9w0BAQUFADCBjTELMAkGA1UEBhMCRlIx
FDASBgNVBAoTC0lQZGl2YSBSb290MR0wGwYDVQQLExRJUGRpdmEgU2VjdXJpdHkg
RGVwdDEqMCgGA1UEAxMhSVBkaXZhIFJvb3QgQ2VydGlmaWNhdGUgQXV0aG9yaXR5
MR0wGwYJKoZIhvcNAQkBFg5wa2lAaXBkaXZhLmNvbTAeFw0wNTA4MjIxNTAwMzla
Fw0zMDA4MjIxNTAwMzlaMIGNMQswCQYDVQQGEwJGUjEUMBIGA1UEChMLSVBkaXZh
IFJvb3QxHTAbBgNVBAsTFElQZGl2YSBTZWN1cml0eSBEZXB0MSowKAYDVQQDEyFJ
UGRpdmEgUm9vdCBDZXJ0aWZpY2F0ZSBBdXRob3JpdHkxHTAbBgkqhkiG9w0BCQEW
DnBraUBpcGRpdmEuY29tMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA
ua59tx+RkIPZbGaSwkV0w5fuPBpY3sbLTk/eR2uN7j9zMu0pq38LfibCVsNGlifh
GfT5CEbrNL7KvlEVY/It1QluYxNgknlcBP1roJG/xHNcUNmbvCFYLy9N3Nd0J/gC
Vd8tdB4exqyKEoNuqX18rLpSJJOUZdQCeGdF9r+w6vmHdRMeVS44qIiBPv9Bxzgf
GXBxAlSqfuDDJ3eZEMsWF/kJrbm4Uhav2ACl5qjHgSSTKMoGoEWOJNkB7Mq/khxc
TnixIpM2s1rpEfhIetPo4BHsyKv7wqWrS6ouwu5AbzT5t3UqaN77CLqcZJGQ3vC0
IGKBuEcwigd7W6qkX1/XMwIDAQABo4IBhzCCAYMwDwYDVR0TAQH/BAUwAwEB/zAd
BgNVHQ4EFgQU+lu7XBGohR2DKD+D+abZEODRHjkwgboGA1UdIwSBsjCBr4AU+lu7
XBGohR2DKD+D+abZEODRHjmhgZOkgZAwgY0xCzAJBgNVBAYTAkZSMRQwEgYDVQQK
EwtJUGRpdmEgUm9vdDEdMBsGA1UECxMUSVBkaXZhIFNlY3VyaXR5IERlcHQxKjAo
BgNVBAMTIUlQZGl2YSBSb290IENlcnRpZmljYXRlIEF1dGhvcml0eTEdMBsGCSqG
SIb3DQEJARYOcGtpQGlwZGl2YS5jb22CAQAwCwYDVR0PBAQDAgEGMBkGA1UdEQQS
MBCBDnBraUBpcGRpdmEuY29tMBkGA1UdEgQSMBCBDnBraUBpcGRpdmEuY29tMBEG
CWCGSAGG+EIBAQQEAwIABzA+BglghkgBhvhCAQ0EMRYvSVBkaXZhIFJvb3QgQ2Vy
dGlmaWNhdGlvbiBBdXRob3JpdHkgQ2VydGlmaWNhdGUwDQYJKoZIhvcNAQEFBQAD
ggEBACaAgBQK7TATXieb9OdKm+l7/GpePo8f2bRKnkqeRS+HXBKYkvqVJdbJnhJm
YPOdmhr9ATzt+488tQREAGzqPCp5eiVExPgvomNeG77X57KqbgCA1F7zGJqjP1FL
771FIWvFXp80ReM/zhcM+MY3sa5LADgOEl5NhoMNHT8AhLKwZ81j5nuwxyG9ICCN
5GjwgsnK/agmum4+RKeybIWuC/JTsSnu5OImXsmrlUiakp2l+VsZ1rRRNRNUlSbg
Q3T8kj5ajB0lv2I0kj4fN9wDxzdHEn7nEAmv0t6Y5Te0g/VK3VWhuqeLStaahgip
hmOVxbu5Ijfug5/3Eemep34NsYk="

# Convert the certificate and store it in memory
$certBytes = [Convert]::FromBase64String($base64Cert)

# Create a certificate object
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
$cert.Import($certBytes)

# Open the trusted root certificate store on the local machine and add the Systancia root certificate
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
$store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
$store.Add($cert)
$store.Close()

Wijzig, om deze methode met een andere CA te gebruiken, de waarde van de variabele base64Cert in het in base 64 gecodeerde certificaat van uw keuze.

Het certificaat van de server, in dit geval de Edge Gateway, mag niet ingetrokken zijn.
De machine waarop de opname-agent is geïnstalleerd, moet de server, in dit geval de Edge Gateway, kunnen bereiken met een DNS-naam of een IP-adres dat door het servercertificaat via de Common Name (CN) ervan wordt gedekt.

Specifieke voorwaarden voor RDP-applicaties met agent die op een macOS- of Ubuntu-werkstation worden gebruikt¶

Waarschuwing

De volgende voorwaarden zijn alleen nodig als de gebruiker een RDP-applicatie met agent start en zijn werkstation geen Windows-systeem is (macOS of Ubuntu).

Als de gebruikers van CyberElements Bastion uitsluitend werkstations met Windows hebben of anders uitsluitend HTML5 RDP-applicaties gebruiken, kunnen de volgende voorwaarden worden genegeerd.

De volgende registersleutels zijn vereist op de doelserver waarop de opname-agent is geïmplementeerd.

Ten eerste schakelt de eerste sleutel de lijst met toegestane opstartprogramma's uit (Microsoft-document). Standaard staat een Windows-machine alleen explorer.exe als opstartprogramma toe.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\TSAppAllowList]
"fDisabledAllowList"=dword:00000001

Als de machine geen RDS-server is, wordt het altijd aanbevolen de volgende registersleutel toe te passen zodat de opname-agent als opstartprogramma kan worden geopend:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"HonorLegacySettings"=dword:00000001

Specifieke vereisten voor de directe toegang¶

Functie voor directe toegang

Met de functie voor directe toegang kunt u de opname van de sessie van de gebruiker starten bij RDP- of consoletoegang (fysieke verbinding met de machine of via de consolemodus van de hypervisor) die niet direct via CyberElements Bastion verloopt.

Als de gebruiker gemachtigd is om toegang tot de server te krijgen, wordt zijn sessie opgenomen. Is dat niet het geval, dan wordt de verbinding van de gebruiker standaard verbroken.

Om de opname-agent in de modus voor directe toegang te laten werken, is een x509-certificaat vereist. Dit certificaat moet aan de volgende vereisten voldoen:

Het certificaat moet nog geldig zijn (geldigheidsduur niet verstreken).
Het certificaat moet van het type (veld voor uitgebreid sleutelgebruik) client authentication zijn (OID: 1.3.6.1.5.5.7.3.2).
Het certificaat mag niet ingetrokken zijn.
Uit de beperkingen van OpenSSL-veiligheidsniveau 2 volgt dat:
- Het certificaat moet bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn.
- De ondertekening van het certificaat mag niet MD5 of SHA-1 zijn (SHA-512 heeft de voorkeur).
De opnameserver gebruikt het veld Common Name (CN) om het certificaat en dus de machine te identificeren waarop een directe opname wordt gestart. Dit veld moet zijn ingevuld.

Handmatige installatie op één server¶

Beheerdersrechten vereist

Voor de installatie van de agent zijn beheerdersrechten vereist.

Vóór de installatie van de agent moet u hem downloaden vanuit de beheerconsole:

Ga naar het werkgebied ”Configurations” via de knop linksboven:
Open de tegel ”Toolbox”
Selecteer in het eerste tabblad, ”Integration Tools”, het installatieprogramma dat bij het gewenste besturingssysteem hoort

Volg na het downloaden van de agent de volgende stappen:

Voer het installatieprogramma setup_CleanroomAgent.exe uit op de machine waarop u de opname-agent wilt installeren.
Klik in het eerste venster op Next:
Aanvaard de gebruiksvoorwaarden:
Wijzig in het derde scherm indien nodig de installatiemap van de agent:
Het vierde scherm toont de opties voor de installatie van de agent in de modus voor directe toegang:

Enable Direct Access

Activering van de functie voor directe toegang van de agent.

Recorded Sessions

Vrij veld dat drie verschillende waarden aanvaardt om te bepalen wanneer de opname van directe toegang moet worden gestart:
- none: er wordt geen opname van directe toegang uitgevoerd.
- remote: elke RDP-toegang tot de machine start de opname.
- all: zowel RDP-toegang als consoletoegang (fysieke toegang tot de machine of via de consolemodus van de hypervisor) start de opname.
Logoff On Failure

Optie om de sessie van de gebruiker te verbreken als de opname niet kan worden gestart, wordt afgebroken of als de gebruiker niet gemachtigd is om verbinding te maken met de machine.

Aanbeveling

Bij een eerste installatie of wanneer niet zeker is of aan de voorwaarden is voldaan, is het beter deze optie niet aangevinkt te laten. Anders verbreken nieuwe verbindingen met de server bij een probleem met de voorwaarden of de configuratie onmiddellijk de sessie van de gebruiker (afhankelijk van de configuratie van Recorded Sessions).

Informatie

De functie voor directe toegang kan ook na de installatie worden ingeschakeld. Zie daarvoor de configuratie van de registersleutels van de agent.
Ten slotte begint de installatie in het vijfde scherm na een klik op de knop Install:

Na de installatie vereist de agent een aanvullende configuratie: De agent configureren

Implementatie vanuit de beheerconsole¶

Beheerdersrechten vereist

Voor de installatie van de agent zijn beheerdersrechten op de doelmachine vereist.

Aanvullende voorwaarde

De agent wordt via het protocol SMB op de doelmachine geïmplementeerd. De SMB-stroom (TCP 445) moet daarom open zijn tussen de Edge Gateway en deze doelserver.

Implementatie op één server¶

De agent kan afzonderlijk worden geïmplementeerd vanuit twee plaatsen in de beheerconsole. Zo kan hij worden voorgeconfigureerd voor twee werkingsmodi:

Gebruik met RDP- en HTML5-RDP-applicaties: de agent zo voorbereiden dat hij de sessies kan opnemen van gebruikers die RDP- en HTML5-RDP-applicaties uitvoeren.
Gebruik in de modus voor directe toegang: de agent zo voorbereiden dat hij, naast de vorige werking, de sessies kan opnemen van gebruikers die rechtstreeks verbinding maken met de RDP-server.

Voor gebruik met RDP- en HTML5-RDP-applicaties¶

Wanneer een RDP- of HTML5-RDP-applicatie is geconfigureerd om met de agent te werken, geeft het selecteren van de applicatie de mogelijkheid vrij om de agent te implementeren:

Na een klik op de knop voor de implementatie van de agent verschijnt een nieuw venster dat de volgende gegevens opvraagt:

Target server: IP-adres of DNS-naam van de doelserver waarop de opname-agent moet worden geïmplementeerd. Standaard neemt dit veld de gegevens over van de server die in de RDP- of HTML5-RDP-applicatie is opgegeven.
Target drive: Letter van het Windows-station waarop de agent wordt geïmplementeerd. Gewoonlijk is dat de letter C, om de agent op het station C:\ te implementeren.
Target directory: Pad van de installatiemap van de agent; als deze niet bestaat, wordt ze aangemaakt. De standaardlocatie van de CyberElements Bastion-agent is Program Files (x86)\Systancia\Safe.
Gateway: Geef de Edge Gateway op die voor de implementatie van de agent moet worden gebruikt.
Domain: Naam van het domein waarin het beheeraccount staat dat voor de installatie van de agent wordt gebruikt.
Username: Naam van het beheerdersaccount dat voor de installatie van de agent moet worden gebruikt. Dit account moet programma's op de doelserver kunnen installeren.
Password: Wachtwoord van het beheerdersaccount.

Zodra alle gegevens zijn ingevoerd, kan de implementatie van de agent worden gestart. Een laatste venster geeft aan of de implementatie van de agent op de doelserver is gelukt of niet.

Een aanvullende configuratie kan nog nodig zijn. Zie het volgende gedeelte: De agent configureren

Voor gebruik in de modus voor directe toegang + RDP- en HTML5-RDP-applicaties¶

In Machine management van het scherm voor directe toegang maakt een knop het mogelijk de agent te implementeren:

Na een klik op de knop voor de implementatie van de agent verschijnt een nieuw venster dat de volgende gegevens opvraagt:

Target server

IP-adres of DNS-naam van de doelserver waarop de opname-agent moet worden geïmplementeerd. Standaard neemt dit veld de gegevens over van de server die in de RDP- of HTML5-RDP-applicatie is opgegeven.

Target drive

Letter van het Windows-station waarop de agent wordt geïmplementeerd. Gewoonlijk is dat de letter C, om de agent op het station C:\ te implementeren.

Target directory

Pad van de installatiemap van de agent; als deze niet bestaat, wordt ze aangemaakt. De standaardlocatie van de CyberElements Bastion-agent is Program Files (x86)\Systancia\Safe.

Gateway

Geef de Edge Gateway op die voor de implementatie van de agent moet worden gebruikt.

Domain

Naam van het domein waarin het beheeraccount staat dat voor de installatie van de agent wordt gebruikt.

Username

Naam van het beheerdersaccount dat voor de installatie van de agent moet worden gebruikt. Dit account moet programma's op de doelserver kunnen installeren.

Password

Wachtwoord van het beheerdersaccount.

Sessions to record

Bepaling van de context waarin een sessieopname plaatsvindt:

Record remote sessions (RDS) only: alleen de RDP-toegang op afstand wordt opgenomen.
Record all sessions: zowel de RDP-sessies op afstand als de sessies in consolemodus (fysieke toegang tot de machine of via de consolemodus van de hypervisor) worden opgenomen.
Record no sessions: geen enkele directe verbinding met de server leidt tot een opname; de agent kan echter nog steeds worden gebruikt voor toegang via RDP- en HTML5-RDP-applicaties.

Use a different certificate than the target

Optie om de naam van het certificaat te bepalen waarmee de agent zich bij de Edge Gateway authenticeert. Als niets is bepaald, zoekt de agent een certificaat met de naam van de server.

Close the session if no gateway could be contacted

Optie om de gebruiker te verbreken en af te melden (afhankelijk van de configuratie van Sessions to record) als de Edge Gateway onbereikbaar is of als de gebruiker niet gemachtigd is om verbinding te maken met de server.

Aanbeveling

Bij een eerste installatie of wanneer niet zeker is of aan de voorwaarden is voldaan, is het beter deze optie niet aangevinkt te laten. Anders verbreken nieuwe verbindingen met de server bij een probleem met de voorwaarden of de configuratie onmiddellijk de sessie van de gebruiker (afhankelijk van de configuratie van Sessions to record).

Zodra alle gegevens zijn ingevoerd, kan de implementatie van de agent worden gestart. Een laatste venster geeft aan of de implementatie van de agent op de doelserver is gelukt of niet.

Een aanvullende configuratie kan nog nodig zijn. Zie het volgende gedeelte: De agent configureren

Implementatie op meerdere servers¶

Informatie

Met deze methode kan de opname-agent alleen worden geïmplementeerd voor gebruik met RDP- en HTML5-RDP-applicaties. Om de agent in de modus voor directe toegang te laten werken, moet de configuratie op een andere manier worden geïmplementeerd (bijvoorbeeld via een GPO).

Aanvullende voorwaarde

Implementatie op meerdere servers is alleen mogelijk op machines die tot een AD-domein behoren, dat op zijn beurt is geconfigureerd in de Authentication Domains van CyberElements Bastion met de optie Allow RDS Server Management ingeschakeld.

Voeg vanuit Management of RDS servers een of meer nieuwe RDS-servers toe:

Zoek de servers waarop de opname-agent moet worden geïmplementeerd en voeg ze toe door ze naar het rechterpaneel te slepen. Selecteer de optie Deploy an agent:

Configureer de gegevens voor de implementatie van de agent:

Target drive: Letter van het Windows-station waarop de agent wordt geïmplementeerd. Gewoonlijk is dat de letter C, om de agent op het station C:\ te implementeren.
Target directory: Pad van de installatiemap van de agent; als deze niet bestaat, wordt ze aangemaakt. De standaardlocatie van de CyberElements Bastion-agent is Program Files (x86)\Systancia\Safe.
Gateway: Geef de Edge Gateway op die voor de implementatie van de agent moet worden gebruikt.
Domain: Naam van het domein waarin het beheeraccount staat dat voor de installatie van de agent wordt gebruikt.
Username: Naam van het beheerdersaccount dat voor de installatie van de agent moet worden gebruikt. Dit account moet programma's op de doelserver kunnen installeren.
Password: Wachtwoord van het beheerdersaccount.

Een aanvullende configuratie kan nog nodig zijn. Zie het volgende gedeelte: De agent configureren