De Windows-opname-agent configureren¶

De Windows-opname-agent wordt door CyberElements Bastion gebruikt om nieuwe functies toe te voegen aan RDP-sessies:

Mogelijkheid om de TCP- en UDP-stromen te filteren die voor de gebruiker toegankelijk zijn
Mogelijkheid om de sessieopname te starten voor elke gebruiker die verbinding maakt met de server zonder via het gebruikersportaal of de Desktop-client te gaan (functie direct access)

Daarnaast worden er tijdens de gebruikerssessies extra gebeurtenissen vastgelegd:

Openen van een venster
Sluiten van een venster
Starten van programma's
Sluiten van programma's
Inhoud van het klembord
Activiteit van de gebruiker

Voorwaarden¶

Compatibiliteit van de client

Raadpleeg de compatibiliteitsmatrix om te weten of de agent compatibel is met de verschillende besturingssystemen van Microsoft Windows.

De opname-agent vereist enkele voorwaarden om correct te werken. Sommige daarvan betreffen uitsluitend de opnamefunctie met agent voor RDP- en HTML5 RDP-applicaties, andere de directe toegang met agent.

Algemene voorwaarden¶

De opname-agent stuurt de opname van de gebruikerssessie terug naar CyberElements Bastion door verbinding te maken met de Edge Gateway op poort TCP 8443. Daarvoor moet de netwerkstroom tussen de twee machines open zijn.

Om de opname veilig naar de Edge Gateway terug te sturen, brengt de opname-agent met deze laatste een beveiligde verbinding via TLS tot stand. TLS is gebaseerd op het gebruik van certificaten en aan de volgende voorwaarden moet zijn voldaan om de verbinding als betrouwbaar en veilig te kunnen beschouwen:

Het certificaat van de server, in dit geval de Edge Gateway, mag niet verlopen zijn (uiterste geldigheidsdatum).

Het certificaat van de server, in dit geval de Edge Gateway, moet zijn uitgegeven door een certificeringsinstantie die door de machine waarop de opname-agent is geïnstalleerd als betrouwbaar wordt erkend.

Aanvullende informatie

De server waarop de opname-agent is geïnstalleerd, moet ten minste de basiscertificeringsinstantie (CA) van het certificaat van de opnameserver in zijn lokale opslag van vertrouwde certificeringsinstanties hebben.

Daarom is het volgende nodig:

Haal de root-CA van het certificaat van de opnameservice op de Edge Gateway op.
Upload deze CA naar de server waarop de opname-agent is geïnstalleerd.
Installeer de CA in de certificaatopslag ”Trusted Root Certification Authorities” van de lokale machine.

Voorbeeld met PowerShell

Een certificaat in de indeling .cer kan eenvoudig via PowerShell worden geïmporteerd.
Open daarvoor een PowerShell-terminal als beheerder van de machine en voer de volgende opdracht uit:

Import-Certificate -FilePath "<PAHT_TO_CERT>" -CertStoreLocation "Cert:\LocalMachine\Root"

Vervang <PATH_TO_CERT> door het pad naar het certificaatbestand.

Voorbeeld met PowerShell voor het Systancia-certificaat zonder bestanden te verzenden

In dit voorbeeld wordt de root-CA van Systancia geïnstalleerd, die wordt gebruikt door de CyberElements Bastion-clients die door Systancia geleverde certificaten gebruiken.

Het is ook mogelijk het certificaat te importeren zonder het bestand naar de machine waarop de opname-agent is geïnstalleerd te moeten verzenden of daar te downloaden.
Open daarvoor een PowerShell-terminal als beheerder van de machine en voer de volgende opdrachten uit:

# Systancia Root certificate
$base64Cert = "MIIFIDCCBAigAwIBAgIBADANBgkqhkiG9w0BAQUFADCBjTELMAkGA1UEBhMCRlIx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"

# Convert the certificate and store it in memory
$certBytes = [Convert]::FromBase64String($base64Cert)

# Create a certificate object
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
$cert.Import($certBytes)

# Open the trusted root certificate store on the local machine and add the Systancia root certificate
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
$store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
$store.Add($cert)
$store.Close()

Wijzig, om deze methode met een andere CA te gebruiken, de waarde van de variabele base64Cert in het in base 64 gecodeerde certificaat van uw keuze.

Het certificaat van de server, in dit geval de Edge Gateway, mag niet ingetrokken zijn.
De machine waarop de opname-agent is geïnstalleerd, moet de server, in dit geval de Edge Gateway, kunnen bereiken met een DNS-naam of een IP-adres dat door het servercertificaat via de Common Name (CN) ervan wordt gedekt.

Specifieke voorwaarden voor RDP-applicaties met agent die op een macOS- of Ubuntu-werkstation worden gebruikt¶

Waarschuwing

De volgende voorwaarden zijn alleen nodig als de gebruiker een RDP-applicatie met agent start en zijn werkstation geen Windows-systeem is (macOS of Ubuntu).

Als de gebruikers van CyberElements Bastion uitsluitend werkstations met Windows hebben of anders uitsluitend HTML5 RDP-applicaties gebruiken, kunnen de volgende voorwaarden worden genegeerd.

De volgende registersleutels zijn vereist op de doelserver waarop de opname-agent is geïmplementeerd.

Ten eerste schakelt de eerste sleutel de lijst met toegestane opstartprogramma's uit (Microsoft-document). Standaard staat een Windows-machine alleen explorer.exe als opstartprogramma toe.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\TSAppAllowList]
"fDisabledAllowList"=dword:00000001

Als de machine geen RDS-server is, wordt het altijd aanbevolen de volgende registersleutel toe te passen zodat de opname-agent als opstartprogramma kan worden geopend:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"HonorLegacySettings"=dword:00000001

Specifieke vereisten voor de directe toegang¶

Functie voor directe toegang

Met de functie voor directe toegang kunt u de opname van de sessie van de gebruiker starten bij RDP- of consoletoegang (fysieke verbinding met de machine of via de consolemodus van de hypervisor) die niet direct via CyberElements Bastion verloopt.

Als de gebruiker gemachtigd is om toegang tot de server te krijgen, wordt zijn sessie opgenomen. Is dat niet het geval, dan wordt de verbinding van de gebruiker standaard verbroken.

Om de opname-agent in de modus voor directe toegang te laten werken, is een x509-certificaat vereist. Dit certificaat moet aan de volgende vereisten voldoen:

Het certificaat moet nog geldig zijn (geldigheidsduur niet verstreken).
Het certificaat moet van het type (veld voor uitgebreid sleutelgebruik) client authentication zijn (OID: 1.3.6.1.5.5.7.3.2).
Het certificaat mag niet ingetrokken zijn.
Uit de beperkingen van OpenSSL-veiligheidsniveau 2 volgt dat:
- Het certificaat moet bij de versleutelingen RSA, DSA en DH een privésleutel van ten minste 2048 bits hebben; bij sleutels met elliptische krommen (ECC) moeten dat ten minste 224 bits zijn.
- De ondertekening van het certificaat mag niet MD5 of SHA-1 zijn (SHA-512 heeft de voorkeur).
De opnameserver gebruikt het veld Common Name (CN) om het certificaat en dus de machine te identificeren waarop een directe opname wordt gestart. Dit veld moet zijn ingevuld.

Configuraties via registersleutels¶

Sommige globale instellingen zijn beschikbaar in registersleutels en werken in op de werking van de opname-agent, zowel bij gebruik met applicaties als bij directe toegang.

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\IpdivaSafe]
"DisconnectOnError"=dword:00000000
"SessionEndTimeout"=dword:0000000a

DisconnectOnError: Bepaalt het gedrag van de opname-agent wanneer de sessierecorder wordt gesloten. Als de waarde 0 is opgegeven (standaardgedrag), wordt bij het sluiten van de recorder de sessie van de gebruiker gesloten. Als de waarde 1 is opgegeven, wordt de sessie van de gebruiker verbroken wanneer de recorder wordt gesloten.
SessionEndTimeout: Bepaling van de tijd (in seconden) voor het sluiten van de gebruikerssessie voordat een gedwongen beëindiging van de sessie wordt uitgevoerd. Deze parameter staat standaard op 10 seconden.

Configuratie voor de werking met RDP- en HTML5 RDP-applicaties¶

In deze werkingsmodus verlopen de uitwisselingen tussen de Mediation Controller, de Edge Gateway en de opname-agent als volgt:

sequenceDiagram
    autonumber
    participant MED as Mediation Controller
    participant GW as Edge Gateway
    participant AGENT as RDP-server<br/>Opname-agent

    MED->>+GW: Verzenden van de aanmeldgegevens naar <br/>de RDP-server met de aanmeldgegevens <br/>voor de opname-agent
    GW->>AGENT: Initialisatie van de RDP-verbinding
    GW->>-AGENT: Verzenden van de aanmeldgegevens naar de <br/>opnamedienst van de Edge Gateway
    AGENT->>+GW: Verbinding met de opnamedienst
    GW->>-AGENT: Verzenden van de netwerkfilterinformatie
    Note over AGENT: Toepassing van de netwerk-<br/>beperkingen op de gebruiker
    loop Continue opname van de sessie
        AGENT->>+GW: Continu verzenden van de video-opname <br/>+ sessiegebeurtenissen
        Note over GW: Continu toevoegen van de video-opname <br/>aan de tijdelijke opslagmap
        GW->>-MED: Verzenden van de ontvangen sessiegebeurtenissen
        Note over MED: Vastleggen van de gebeurtenissen <br/>in de database van de organisatie
    end 
    break Einde van de sessie
        AGENT->>GW: Verzenden van de informatie dat <br/>de gebruiker zijn RDP-sessie heeft beëindigd
        Note over GW: De video-opname wordt verplaatst <br/>naar de archiefmap
        GW->>MED: Melding van het einde van de sessie van de gebruiker
        Note over MED: De sessie van de gebruiker schakelt <br/>van live streaming naar het archief
    end

Hold "Ctrl" to enable pan & zoom

De Mediation Controller geeft de Edge Gateway de verbindingsgegevens voor de doel-RDP-server. Hij voegt ook de verbindingsgegevens toe waarover hij beschikt om verbinding te maken met de opnameservice (FQDN van de Edge Gateway).
De Edge Gateway initialiseert de verbinding met de RDP-server.
De Edge Gateway stuurt de verbindingsgegevens van zijn opnameservice naar de opname-agent.
De opname-agent initialiseert de verbinding met de opnameservice.
Zodra de agent verbonden is, geeft de opnameservice de lijst met beperkingen van de netwerkstromen terug die op de sessie moeten worden toegepast. Na ontvangst past de opname-agent ze toe op de sessie van de gebruiker.
De opname-agent uploadt de video-opname van de sessie van de gebruiker en alle gebeurtenissen van de sessie (bijvoorbeeld toetsaanslagen of het starten van programma's) doorlopend en in real time naar de opnameservice. De opnameservice slaat de video-opname op in een tijdelijke map.
De opnameservice meldt de verschillende gebeurtenissen van de sessie aan de Mediation Controller, die ze vervolgens in de database van de organisatie opslaat.
Wanneer de RDP-sessie van de gebruiker eindigt, meldt de opname-agent de informatie aan de opnameservice. De opnameservice verplaatst de opgenomen video daarna naar de archiefmap van de gebruikersopnamen.
De opnameservice meldt het einde van de sessie van de gebruiker aan de Mediation Controller. De sessie is daarom niet meer zichtbaar in de Live Streaming van het Control Center, maar gaat over naar de Archives.

Bij deze reeks is het essentieel dat de opname-agent de juiste verbindingsgegevens voor de opnameservice van de Edge Gateway ontvangt. Deze gegevens staan in de instellingen van de Edge Gateway in het veld FDQN:

Voer in dit veld een DNS-naam in die de RDP-servers kunnen omzetten.

Belangrijk

Het certificaat dat aan de opnameservice Careserver is toegewezen, moet de naam dekken die in het veld FQDN is opgegeven. Anders beschouwt de opname-agent de verbinding als onveilig en start hij de sessieopname niet.

Configuratie voor de werking met directe toegang¶

In deze werkingsmodus verlopen de uitwisselingen tussen de Mediation Controller, de Edge Gateway en de opname-agent als volgt:

sequenceDiagram
    autonumber
    participant MED as Mediation Controller
    participant GW as Edge Gateway
    participant AGENT as RDP-server<br/>Opname-agent

    Note over AGENT: Detectie van een nieuwe <br/>op te nemen sessie
    AGENT->>+GW: Verbinding met de opnamedienst
    GW->>-MED: Melding van een nieuwe verbinding <br/>met directe toegang voor gebruiker X
    alt Als gebruiker X gemachtigd is
        MED->>+GW: Verzenden van de informatie dat gebruiker X <br/>gemachtigd is om verbinding te maken en verzenden <br/>van de lijst met toe te passen netwerkfilters
        GW->>-AGENT: Verzenden van de netwerkfilterinformatie <br/>en van de verbindingsautorisatie <br/>voor gebruiker X
        Note over AGENT: Toepassing van de netwerk-<br/>beperkingen op gebruiker X
        loop Continue opname van de sessie
            AGENT->>+GW: Continu verzenden van de video-opname <br/>+ sessiegebeurtenissen
            Note over GW: Continu toevoegen van de video-opname <br/>aan de tijdelijke opslagmap
            GW->>-MED: Verzenden van de ontvangen sessiegebeurtenissen
            Note over MED: Vastleggen van de gebeurtenissen <br/>in de database van de organisatie
        end 
        break Einde van de sessie
            AGENT->>GW: Verzenden van de informatie dat <br/>gebruiker X zijn RDP-sessie heeft beëindigd
            Note over GW: De video-opname wordt verplaatst <br/>naar de archiefmap.
            GW->>MED: Melding van het einde van de sessie van de gebruiker
            Note over MED: De sessie van de gebruiker schakelt <br/>van live streaming naar het archief
        end
    else If user X is not authorized
        MED->>+GW: Verzenden van de informatie dat gebruiker <br/>X niet gemachtigd is om zich aan te melden
        GW->>-AGENT: Verzenden van de melding van <br/>de geweigerde aanmelding van gebruiker X
        Note over AGENT: Afmelden van gebruiker X
    end

Hold "Ctrl" to enable pan & zoom

De opname-agent detecteert een nieuwe sessie en start een verbinding met de opnameservice van een Edge Gateway.
De Edge Gateway stuurt de verbindingsgegevens (gebruikersnaam en CN van het certificaat dat de opname-agent gebruikt) naar de Mediation Controller. De Mediation Controller antwoordt op twee verschillende manieren, afhankelijk van de instellingen van de toegangsrechten.
Als de gebruiker gemachtigd is om verbinding te maken met de server, meldt de Mediation Controller aan de Edge Gateway de mogelijke toegang voor deze gebruiker en de toe te passen lijst met netwerkfilters.
De Edge Gateway geeft deze gegevens terug aan de opname-agent. Na ontvangst past de opname-agent de netwerkfilters toe op de sessie van de gebruiker.
De opname-agent uploadt de video-opname van de sessie van de gebruiker en alle gebeurtenissen van de sessie (bijvoorbeeld toetsaanslagen of het starten van programma's) doorlopend en in real time naar de opnameservice. De opnameservice slaat de video-opname op in een tijdelijke map.
De opnameservice meldt de verschillende gebeurtenissen van de sessie aan de Mediation Controller, die ze vervolgens in de database van de organisatie opslaat.
Wanneer de RDP-sessie van de gebruiker eindigt, meldt de opname-agent de informatie aan de opnameservice. De opnameservice verplaatst de opgenomen video daarna naar de archiefmap van de gebruikersopnamen.
De opnameservice meldt het einde van de sessie van de gebruiker aan de Mediation Controller. De sessie is daarom niet meer zichtbaar in de Live Streaming van het Control Center, maar gaat over naar de Archives.
Als de gebruiker niet gemachtigd is om verbinding te maken met de server, meldt de Mediation Controller aan de Edge Gateway de niet-toegestane toegang voor die gebruiker.
De Edge Gateway geeft de informatie door aan de opname-agent, die de sessie van de gebruiker verbreekt.

Registersleutels¶

Ongeacht de manier waarop hij is geïnstalleerd, beschikt de opname-agent over alle componenten die nodig zijn voor al zijn voorziene werkingsmodi. Om in de modus met directe toegang te werken, leest hij daarom de volgende registersleutels om zijn configuratie te bepalen:

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\IpdivaSafe]
"MachineName"="my-rdp-server.domain.local"
"LogOffOnFailure"=dword:00000001
"RecordedSessions"="none"

MachineName

Naam van het certificaat dat de opname-agent gebruikt om verbinding te maken met de opnameservice van een Edge Gateway. Standaard, en als hij niet is bepaald, probeert de agent een certificaat met de naam van de machine te gebruiken.

LogOffOnFailure

Aanduiding van het gedrag van de agent wanneer hij geen verbinding kan maken met een Edge Gateway of wanneer de gebruiker niet gemachtigd is om verbinding te maken met de machine. Bij 0 volgt er geen verbreking, bij 1 wordt de gebruiker verbroken (standaardgedrag).

RecordedSessions

Bepaling van de sessietypen die aan opname onderworpen zijn:

none: er wordt geen opname van de directe toegangen uitgevoerd (standaardinstelling).
remote: elke RDP-toegang tot de machine start een opname.
all: RDP-toegangen en consoletoegangen (fysieke toegang tot de machine of via de consolemodus van de hypervisor) starten de opname.

Welke sleutelwaarden zijn vereist voor de directe toegang?

De enige sleutelwaarde die vereist is om het mechanisme van directe toegang in te schakelen, is RecordedSessions met de waarde remote of all. Merk op dat afhankelijk van de omgeving ook de sleutelwaarde MachineName vereist kan zijn.

Machinecertificaat¶

De opname-agent probeert een certificaat te gebruiken voor de authenticatie bij de opnameservice. Dit certificaat moet in de persoonlijke certificaten van de computer zijn geïnstalleerd.

De agent gebruikt het certificaat waarvan de naam overeenkomt met de sleutelwaarde MachineName (zie vorig hoofdstuk); is die niet bepaald, dan probeert hij een certificaat met de naam van de machine te gebruiken.

Declaratie van de Edge Gateways die de agent kan contacteren¶

De opname-agent gebruikt lokale informatie om de lijst van Edge Gateway-servers te bepalen waarmee hij contact moet opnemen om de opnamen van de gebruikerssessies te uploaden.

Om de lijst van Edge Gateway-servers te wijzigen waarmee contact kan worden opgenomen, moet u eerst de service CleanroomAgent stoppen.

Waarschuwing!

Het stoppen van de service CleanroomAgent beëindigt de opname van de lopende sessies op de server, en nieuwe sessies die op de server worden geopend, worden niet opgenomen.

De service kan via PowerShell worden gestopt (beheerdersrechten vereist):

1	`Stop-Service CleanroomAgent`

Wijzig of maak na het stoppen van de service het volgende bestand [RECORDING_AGENT_DIR]\gateways.xml aan, waarbij [RECORDING_AGENT_DIR] de installatiemap van de opname-agent is. Met de standaardinstallatiemap moet het bestand op deze locatie aanwezig zijn of worden aangemaakt:

CyberElements Bastion: C:\Program Files (x86)\Systancia\Safe\gateways.xml

Dit XML-bestand bestaat uit een tag gateways en uit zoveel tags element als er Edge Gateways zijn waarmee contact kan worden opgenomen.

Voorbeeld

Als de opname-agent contact moet opnemen met een Edge Gateway met het FQDN edge-gateway-1.domain.local, ziet het XML-bestand als volgt uit:

<?xml version="1.0"?>
<gateways>
    <element>edge-gateway-1.domain.local</element>
</gateways>

Zijn er echter twee Edge Gateways waarmee contact moet worden opgenomen, edge-gateway-1.domain.local en edge-gateway-2.domain.local, dan ziet het bestand als volgt uit:

<?xml version="1.0"?>
<gateways>
    <element>edge-gateway-1.domain.local</element>
    <element>edge-gateway-2.domain.local</element>
</gateways>

Start na de correcte wijziging van het bestand gateways.xml de service CleanroomAgent opnieuw:

1	`Start-Service CleanroomAgent`

De opnameservice configureren om certificaten van een externe PKI te authenticeren¶

Standaard beschouwt de opnameservice alleen de certificaten die door de PKI van Systancia zijn uitgegeven als geldig. Om certificaten van een andere certificeringsinstantie (CA) te gebruiken, moet u de stappen volgen voor het toevoegen van een CA aan de map die specifiek is voor de Edge Gateway.

Zodra het CA-certificaat of de CA-certificaten op de juiste locatie staan, hoeft alleen de opnameservice nog opnieuw te worden gestart, opnieuw als superuser root:

Waarschuwing!

Het opnieuw starten van deze service stopt de lopende sessies en beëindigt bijna alle sessies. Voer de volgende opdracht alleen uit wanneer er geen enkele gebruikerssessie via de Edge Gateway loopt, om de gebruikers niet te hinderen.

1	`systemctl restart ipdivacarerecord`

Na het opnieuw starten van de opnameservice kunt u in de logs van de service controleren of de nieuwe CA's correct in aanmerking zijn genomen:

journalctl -xeu ipdivacarerecord -g loadCaDir -S today

De verkregen logs geven aan het einde van de regel de namen van de certificaatbestanden aan die door de opnameservice zijn geladen.

Voorbeeld

Na het toevoegen van twee CA's met de namen MY-CA-ROOT.pem en MY-INTERMEDIATE-CA.pem zien de verkregen logs er als volgt uit (het begin van de log is afgekapt, maar bevat onder meer de datum en de naam van de machine):

TRACE tls.TLS.Context.loadCaDir load ca file: MY-CA-ROOT.pem
TRACE tls.TLS.Context.loadCaDir load ca file: MY-INTERMEDIATE-CA.pem
TRACE tls.TLS.Context.loadCaDir load ca file: oldIPdiva_-928617624.pem
TRACE tls.TLS.Context.loadCaDir load ca file: newIPdiva_1957857431.pem