Preskočiť na obsah

Inštalácia a používanie agenta nahrávania pre Windows

  • Inštalácia

    Inštalácia a nasadenie agenta nahrávania pre Windows.

    Inštalovať

  • Konfigurácia

    Nakonfigurujte agenta nahrávania pre Windows tak, aby fungoval s aplikáciami RDP a HTML5 RDP a/alebo s priamym prístupom.

    Konfigurovať

Agent nahrávania pre Windows používa CyberElements Bastion na pridanie nových funkcií pre relácie RDP:

  • Možnosť filtrovať toky TCP a UDP prístupné pre používateľa
  • Možnosť spustiť nahrávanie relácie pre každého používateľa, ktorý sa pripája k serveru bez prechodu cez používateľský portál alebo klienta Desktop (funkcia direct access)

Okrem toho sa počas relácií používateľov zachytávajú ďalšie udalosti:

  • Otvorenie okna
  • Zatvorenie okna
  • Spustenie programu
  • Zatvorenie programu
  • Obsah schránky
  • Aktivita používateľa

Predpoklady

Kompatibilita klienta

Ak chcete zistiť, či je agent kompatibilný s rôznymi operačnými systémami Microsoft Windows, pozrite si maticu kompatibility.

Agent nahrávania vyžaduje na správne fungovanie niekoľko predpokladov. Niektoré z nich sú určené iba pre funkciu nahrávania pomocou agenta pre aplikácie RDP a HTML5 RDP, zatiaľ čo iné sa týkajú priameho prístupu pomocou agenta.

Všeobecné predpoklady

Agent nahrávania odosiela záznam relácie používateľa späť do CyberElements Bastion pripojením ku komponentu Edge Gateway na porte TCP 8443. Vyžaduje to, aby bol sieťový tok medzi týmito dvoma počítačmi otvorený.

Na bezpečné odoslanie záznamu späť na server Edge Gateway nadviaže agent nahrávania s týmto serverom zabezpečené pripojenie pomocou TLS. TLS sa spolieha na používanie certifikátov a na to, aby sa pripojenie považovalo za spoľahlivé a bezpečné, musia byť splnené tieto obmedzenia:

  • Certifikát servera, v tomto prípade servera Edge Gateway, nesmie mať uplynutú platnosť (maximálny dátum platnosti).

  • Certifikát servera, v tomto prípade servera Edge Gateway, musí byť vydaný certifikačnou autoritou, ktorú počítač, na ktorom je nainštalovaný agent nahrávania, uznáva ako dôveryhodnú.

    Ďalšie informácie

    Server, na ktorom je nainštalovaný agent nahrávania, musí mať vo svojom lokálnom úložisku dôveryhodných certifikačných autorít minimálne koreňovú certifikačnú autoritu (CA) certifikátu servera nahrávania.

    Preto je potrebné:

    1. Získať koreňovú CA certifikátu zo služby nahrávania na serveri Edge Gateway.
    2. Nahrať túto CA na server, na ktorom je nainštalovaný agent nahrávania.
    3. Nainštalovať CA do úložiska certifikátov „Trusted Root Certification Authorities“ na lokálnom počítači.
    Príklad s použitím PowerShell

    Certifikát vo formáte .cer môžete jednoducho importovať pomocou PowerShell.
    Ak to chcete urobiť, otvorte terminál PowerShell ako správca počítača a spustite nasledujúci príkaz: 

    1
    Import-Certificate -FilePath "<PAHT_TO_CERT>" -CertStoreLocation "Cert:\LocalMachine\Root"
    Nahraďte <PATH_TO_CERT> cestou k súboru certifikátu.

    Príklad s použitím PowerShell pre certifikát Systancia bez odosielania súborov

    Tento príklad zahŕňa inštaláciu koreňovej certifikačnej autority Systancia, ktorú používajú zákazníci CyberElements Bastion využívajúci certifikáty poskytnuté spoločnosťou Systancia.

    Certifikát je tiež možné importovať bez toho, aby bolo potrebné odosielať/sťahovať súbor do počítača, na ktorom je nainštalovaný agent nahrávania.
    Ak to chcete urobiť, otvorte terminál PowerShell ako správca počítača a spustite nasledujúce príkazy:

     1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
    # Systancia Root certificate
$base64Cert = "MIIFIDCCBAigAwIBAgIBADANBgkqhkiG9w0BAQUFADCBjTELMAkGA1UEBhMCRlIx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"

# Convert the certificate and store it in memory
$certBytes = [Convert]::FromBase64String($base64Cert)

# Create a certificate object
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
$cert.Import($certBytes)

# Open the trusted root certificate store on the local machine and add the Systancia root certificate
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
$store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
$store.Add($cert)
$store.Close()

    Ak chcete použiť túto metódu s inou CA, zmeňte hodnotu premennej base64Cert na ľubovoľný certifikát zakódovaný v base64.

  • Certifikát servera, v tomto prípade servera Edge Gateway, nesmie byť odvolaný.

  • Počítač, na ktorom je nainštalovaný agent nahrávania, musí byť schopný kontaktovať server, v tomto prípade server Edge Gateway, pomocou názvu DNS alebo IP adresy, ktorú certifikát servera pokrýva prostredníctvom svojho Common Name (CN).

Špecifické predpoklady pre aplikácie RDP s agentom používané na pracovnej stanici používateľa so systémom macOS alebo Ubuntu

Upozornenie

Nasledujúce predpoklady sú potrebné iba vtedy, ak používateľ spúšťa aplikáciu RDP s agentom a jeho pracovná stanica nepoužíva Windows (macOS alebo Ubuntu).

Ak používatelia CyberElements Bastion majú pracovné stanice výhradne so systémom Windows alebo v opačnom prípade používajú výhradne aplikácie RDP HTML5, nasledujúce predpoklady je možné ignorovať.

Na cieľovom serveri, na ktorom je nasadený agent nahrávania, sú potrebné nasledujúce kľúče databázy Registry.

Prvý kľúč najprv zakáže zoznam autorizovaných programov pri spustení (dokument Microsoft). Predvolene počítač so systémom Windows povoľuje ako program pri spustení iba explorer.exe.

1
2
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\TSAppAllowList]
"fDisabledAllowList"=dword:00000001

Ak počítač nie je serverom RDS, vždy sa odporúča použiť nasledujúci kľúč databázy Registry, aby sa agent nahrávania mohol otvoriť ako program pri spustení:

1
2
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"HonorLegacySettings"=dword:00000001

Špecifické požiadavky na priamy prístup

Funkcia priameho prístupu

Funkcia priameho prístupu umožňuje spustiť nahrávanie relácie používateľa pri prístupe RDP alebo konzolovom prístupe (fyzické pripojenie k počítaču alebo cez režim konzoly hypervízora), ktorý neprechádza priamo cez CyberElements Bastion.

Ak má používateľ povolenie na prístup k serveru, jeho relácia sa nahrá. Ak to tak nie je, používateľ sa predvolene odpojí.

Aby agent nahrávania fungoval v režime priameho prístupu, vyžaduje sa certifikát x509. Tento certifikát musí spĺňať tieto požiadavky:

  • Certifikát musí byť stále platný (obdobie platnosti neuplynulo).
  • Certifikát musí byť typu (pole rozšíreného použitia kľúča) client authentication (OID: 1.3.6.1.5.5.7.3.2).
  • Certifikát nesmie byť odvolaný.
  • Obmedzenia vyplývajúce z úrovne zabezpečenia 2 OpenSSL znamenajú, že:
    • Certifikát musí mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrách RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov.
    • Podpis certifikátu nesmie byť MD5 ani SHA-1 (uprednostňuje sa SHA-512).
  • Server nahrávania použije pole Common Name (CN) na identifikáciu certifikátu, a teda aj počítača, na ktorom sa spúšťa priame nahrávanie. Toto pole musí byť vyplnené.

Používanie agenta nahrávania s aplikáciami RDP a HTML5 RDP

Povolenie používania agenta nahrávania

Ak je agent nahrávania správne nainštalovaný a nakonfigurovaný, jeho používanie sa povoľuje na úrovni príslušnej aplikácie RDP alebo HTML5 RDP:

Na tomto mechanizme sa podieľajú tri parametre:

Without agent mode
Aby agent nahrávania fungoval, táto možnosť musí zostať nezačiarknutá.
Disconnect session if the recorder is not working
Povolí alebo zakáže bezpečnostnú funkciu pre prípad, že nahrávanie relácie z rôznych dôvodov zlyhá. Ak nahrávanie nemožno vykonať, relácia RDP alebo HTML5 RDP používateľa sa ukončí. Odporúčame toto nastavenie povoliť, aby sa zabránilo pripojeniam používateľov bez nahrávania (napríklad v prípade poruchy agenta nahrávania).
Time before disconnection
Ak je predchádzajúca možnosť povolená, táto možnosť umožňuje nastaviť čas v sekundách, po ktorom sa vykoná odpojenie. Predvolená hodnota je 30 sekúnd, ale môžete ju znížiť na zvýšenie rýchlosti reakcie alebo zvýšiť, ak napríklad viete, že relácie používateľov sú dlhé.

Obmedzenie laterálneho pohybu

Obmedzenie laterálneho pohybu je funkcia, ktorá obmedzuje sieťové pripojenia relácie používateľa. Táto funkcia predvolene blokuje všetku prevádzku TCP/UDP v rámci relácie používateľa, ale správcovia môžu otvoriť rôzne prístupové toky.

Obmedzenia sa konfigurujú v access policy, a preto sa môžu líšiť v závislosti od používateľa a mať rôzne nastavenia pre jedného používateľa (znásobením zásad prístupu, ktoré sú mu priradené). Používateľ s viacerými zásadami prístupu k tej istej aplikácii bude mať sieťové obmedzenia podľa najmenej reštriktívneho prístupu.

Keď je aplikácia RDP alebo HTML5 RDP s agentom autorizovaná v zásade prístupu, sprístupní sa karta Network connections. Tam môžete povoliť filtrovanie a určiť siete autorizované pre používateľa:

Informácie

Všetky zmeny týchto nastavení sa na používateľov použijú až pri ďalšom použití príslušnej aplikácie RDP alebo HTML5 RDP.

Konfigurácia nahrávania priamych prístupov s agentom

Deklarovanie serverov pripravených na priamy prístup s agentom

Ak chcete deklarovať server, ktorý má pracovať v režime priameho prístupu s agentom, musíte najprv otvoriť modul Machines management:

Potom kliknite na tlačidlo a pridajte nový server. Zobrazí sa nové okno na konfiguráciu nového servera:

Name
Názov počítača, ako sa zobrazuje v konzole CyberElements Bastion.
Notification text
Text oznámenia, ktoré používatelia dostanú pri pripájaní k serveru.
Record sessions as videos
Povolí alebo zakáže nahrávanie videa relácie. Ak je zakázané, zachytávať a zaznamenávať sa budú iba udalosti relácie.
Check video integrity at playback
Pri vytváraní archívu videa sa vypočíta a uloží hash (SHA-256) videosúboru. Keď si správcovia archív prezerajú, skontroluje sa, či sa hash nezmenil. Ak sa zmenil, správcovi sa odošle správa výstrahy, pretože vo videozázname pravdepodobne nastali zmeny (napr. nahradené alebo vystrihnuté sekvencie).
Allow manual removal of archives
Povolí alebo zakáže správcom odstraňovať archívy videa.

Informácie

Vygenerované archívy si zachovávajú nastavenia, ktoré platili v čase nahrávania. Zmena tohto nastavenia ovplyvní iba nové archívy.
Delete archives automatically
Nastavenie automatického odstraňovania archívov po prekročení určitého počtu dní.

Informácie

Vygenerované archívy si zachovávajú nastavenia, ktoré platili v čase nahrávania. Zmena tohto nastavenia ovplyvní iba nové archívy.
Use agent mode
Možnosť, ktorá musí byť povolená, aby mal server mechanizmus priameho prístupu s aktívnym agentom.
Host (CN of the certificate)
Údaj CN certifikátu, ktorý agent nahrávania používa na overenie voči komponentu Edge Gateway. Zodpovedá nastaveniam certifikátu počítača.
Use no agent
Ak parameter nie je pre požadovaný režim prevádzky užitočný, jeho začiarknutie možno zrušiť.

Konfigurácia práv priameho prístupu s agentom

Konfigurácia práv priameho prístupu s agentom je podobná konfigurácii zásad prístupu pre aplikácie. Nové práva sa deklarujú a existujúce práva sa upravujú prostredníctvom Direct recording configuration:

Novú konfiguráciu môžete pridať kliknutím na tlačidlo .

Jednotlivé karty nastavení sú podobné kartám zásad prístupu k aplikáciám, s výnimkou karty skupín, ktorá umožňuje pridať skupinu manuálne:

Po kliknutí na tlačidlo manuálneho pridania sa zobrazí nové okno na zadanie názvu skupiny a jej domény:

Tip

Táto funkcia je užitočná najmä vtedy, ak chcete pridať lokálnu skupinu alebo skupinu v inej OU, než je tá, ktorá je nastavená v konfiguráciách domén LDAP.

Ďalšie karty sú:

  • Sites: umiestnenie konfigurácie v jednom alebo viacerých site, a tým aj povolenie agentovi nahrávania pripojiť sa k jednému alebo viacerým komponentom Edge Gateway priradeným k autorizovaným site.
  • Machines: pridanie serverov RDP deklarovaných v predchádzajúcej kapitole.
  • Alerts: prepojenie výstrah s konfiguráciou.
  • Network connections: obmedzenie laterálneho pohybu používateľov počas ich relácií s funkčnosťou rovnakou ako pri obmedzení laterálneho pohybu aplikácií RDP a HTML5 RDP.

Logy agenta nahrávania

Povolenie logov agenta nahrávania

Upozornenie!

Povolenie logov vyžaduje reštartovanie služby agenta nahrávania, čím sa zastavia všetky nahrávania relácií, ktoré na serveri práve prebiehajú.
V závislosti od nastavení kľúča LogOffOnFailure bude používateľ buď odhlásený, alebo zostane prihlásený.

Ak chcete pre agenta nahrávania povoliť zaznamenávanie logov, je potrebné vykonať nasledujúce kroky:

  1. V inštalačnom priečinku agenta (predvolene C:\Program Files (x86)\Systancia\Safe) vytvorte priečinok s názvom Log.

  2. Reštartujte službu CleanroomAgent, napríklad nasledujúcim príkazom PowerShell spusteným ako správca:

    1
    Restart-Service -Name 'CleanroomAgent'

Pri každom spustení služby agenta nahrávania sa v adresári Log vytvorenom v kroku 1 vygeneruje nový súbor logu.

Obsah logov agenta nahrávania

Logy generované agentom nahrávania budú vyzerať takto:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
16-06-25 14:49:02.604 [6364] TRACE Console.infoSystem System directory: C:\Windows\system32
16-06-25 14:49:02.604 [6364] TRACE Console.infoSystem Windows directory: C:\Windows
16-06-25 14:49:02.604 [6364] TRACE Console.infoSystem Windows temporary directory: C:\Windows\TEMP\
16-06-25 14:49:02.605 [6364] TRACE Console.infoSystem User profile directory: C:\Windows\system32\config\systemprofile
16-06-25 14:49:02.605 [6364] TRACE Console.infoSystem Current directory: C:\Windows\system32
16-06-25 14:49:02.605 [6364] TRACE Console.infoSystem Application Data directory: C:\Windows\system32\config\systemprofile\AppData\Roaming
16-06-25 14:49:02.606 [6364] TRACE Console.infoSystem Command line: C:\Program Files (x86)\Systancia\Safe\IpDivaCareSupervisor.exe
16-06-25 14:49:02.606 [6364] TRACE Console.infoSystem Current exe directory: C:/Program Files (x86)/Systancia/Safe/
16-06-25 14:49:02.606 [6364] TRACE Console.infoSystem Root directory: C:/Program Files (x86)/Systancia/
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Microsoft Windows NT family
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Service Pack 0.0
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem OEM ID: 0
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Number of Processors: 8
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Page size: 4096
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Processor Type: 586
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Active processor mask: 255
16-06-25 14:49:02.608 [6364] TRACE Console.infoSystem Username: Système
16-06-25 14:49:02.608 [6364] TRACE Console.infoSystem -----------------------------------
16-06-25 14:49:02.609 [4620] TRACE main.run Loaded 1 gateways from file C:/Program Files (x86)/Systancia/Safe/gateways.xml
16-06-25 14:49:02.610 [4620] ERROR main.run Error loading public keys. boost::filesystem::directory_iterator::construct: Le fichier spécifié est introuvable [system:2]: "C:/Program Files (x86)/Systancia/pubkeys"
16-06-25 14:49:02.610 [4620] TRACE main.wtssessionchange Copying C:/Program Files (x86)/Systancia/Safe/CareInit.exe to C:/Windows/system32/CareInit.exe
16-06-25 14:49:12.298 [6364] TRACE main.wtssessionchange Session logon or connect :6 event:3
16-06-25 14:49:12.299 [6364] TRACE main.wtssessionchange
16-06-25 14:49:13.301 [6364] TRACE main.wtssessionchange Session logon or connect :6 event:5
16-06-25 14:49:13.303 [6364] TRACE main.wtssessionchange cyberelements_user
16-06-25 14:49:13.319 [6364] TRACE wtssessionchange.wtssessionchange 17 bytes written
16-06-25 14:49:13.319 [6364] TRACE wtssessionchange.wtssessionchange Opened VC clr
16-06-25 14:49:13.371 [6364] TRACE main.wtssessionchange Recording server retrieved via VC clr:my-edge-gateway.domain.local
16-06-25 14:49:13.371 [6364] TRACE main.wtssessionchange care password :K5efPBwVM2cIU0LaYQucZp0FV19nRIE5f5VYoBZz6EqlZOxNGM
16-06-25 14:49:13.371 [6364] TRACE SelectConfig.autoconf poll() is not supported on this platform, using select()
16-06-25 14:49:13.418 [6364] TRACE main.getNetFilterRulesInformation Filter not enabled
16-06-25 14:49:13.419 [6364] TRACE main.getNetFilterRulesInformation FALSE
16-06-25 14:49:13.419 [6364] ERROR main.getNetFilterRulesInformation No public key configured. Cannot verify net filtering rules.
16-06-25 14:49:13.419 [6364] TRACE Socket.incrCounters 0 UDP, 0 TCP, 1 Objs
16-06-25 14:49:13.421 [6364] TRACE main.createRecorderProcess launching whith password :K5efPBwVM2cIU0LaYQucZp0FV19nRIE5f5VYoBZz6EqlZOxNGM
16-06-25 14:49:26.664 [4620] TRACE main.createRecorderProcess Calling logoff.exe 6
16-06-25 14:49:26.990 [6364] TRACE main.wtssessionchange User DOMAIN\cyberelements_user has no other session. Dropping network filter rules
16-06-25 14:49:26.990 [6364] TRACE main.wtssessionchange Session logoff or disconnect :6 event:6
16-06-25 14:49:27.331 [6364] TRACE main.wtssessionchange Session logoff or disconnect :6 event:4
16-06-25 14:49:38.964 [6364] TRACE main.wtssessionchange Session logon or connect :7 event:3
16-06-25 14:49:38.965 [6364] TRACE main.wtssessionchange
16-06-25 14:49:40.75 [6364] TRACE main.wtssessionchange Session logon or connect :7 event:5
16-06-25 14:49:40.76 [6364] TRACE main.wtssessionchange cyberelements_user
16-06-25 14:49:40.178 [6364] TRACE wtssessionchange.wtssessionchange WTSVirtualChannelOpenEx failure.31 Not a Cleanroom session, or the client has no support for the clr virtual channel
16-06-25 14:49:40.179 [6364] TRACE main.wtssessionchange prog :
16-06-25 14:49:40.185 [6364] TRACE main.createRecorderProcess User groups :DOMAIN\Utilisateurs du domaine domain.local\Utilisateurs du domaine \Tout le monde domain.local\Tout le monde BUILTIN\Utilisateurs BUILTIN\Utilisateurs du Bureau à distance AUTORITE NT\REMOTE INTERACTIVE LOGON AUTORITE NT\INTERACTIF AUTORITE NT\Utilisateurs authentifiés domain.local\LOCAL DOMAIN\cyberelements_users domain.local\cyberelements_users 
16-06-25 14:49:40.186 [6364] TRACE getDirectRecordInformation.getDirectRecordInformation gateways: my-edge-gateway.domain.local
16-06-25 14:49:40.199 [6364] TRACE SecChannelClient.ClientCreateCredentials looking for a certificate with name containing:my-rds-server
16-06-25 14:49:40.199 [6364] TRACE SecChannelClient.ClientCreateCredentials looking for a certificate with name containing:my-rds-server.domain.local in the local machine store
16-06-25 14:49:40.201 [6364] TRACE SecChannelClient.ClientCreateCredentials certificate subject:C=FR, S=Grand-Est, L=Sausheim, O=Systancia, CN=my-rds-server.domain.local
16-06-25 14:49:40.201 [6364] TRACE SecChannelClient.ClientCreateCredentials certificate issuer:C=FR, S=Grand-Est, L=Sausheim, O=Systancia, CN=SUB-CA
16-06-25 14:49:40.404 [6364] TRACE Socket.incrCounters 0 UDP, 0 TCP, 1 Objs
16-06-25 14:49:40.404 [6364] TRACE main.createRecorderProcess Net filter enabled
16-06-25 14:49:40.426 [3948] TRACE CleanroomNetFilter.addRule User DOMAIN\cyberelements_user Remote address: 168427818 (10.10.1.42) Remote port: 443 Protocol condition: TCP
16-06-25 14:49:40.427 [3948] TRACE CleanroomNetFilter.addRule User DOMAIN\cyberelements_user Remote address: 168432641 (10.10.20.1) Remote port: 53 Protocol condition: UDP
16-06-25 14:49:40.428 [6364] TRACE CleanroomNetFilter.addRule User DOMAIN\cyberelements_user Application: C:/Program Files (x86)/Systancia/Safe/IpdivaCareRecorder.exe Remote address: 168427791 (10.10.1.15) Remote port: 8443 Protocol condition: TCP
16-06-25 14:49:40.430 [6364] TRACE main.createRecorderProcess launching whith password :DIRECT_33fRBYAwVDEKs8n3bGFwlIgKYd39C2Ubcl4pkLLC0YAouL4Gml
16-06-25 14:49:48.690 [4620] TRACE main.createRecorderProcess Calling logoff.exe 7
16-06-25 14:49:50.13 [6364] TRACE main.wtssessionchange User DOMAIN\cyberelements_user has no other session. Dropping network filter rules
16-06-25 14:49:50.13 [6364] TRACE main.wtssessionchange Session logoff or disconnect :7 event:6
16-06-25 14:49:50.379 [6364] TRACE main.wtssessionchange Session logoff or disconnect :7 event:4
16-06-25 14:49:54.658 [6364] TRACE main.wtssessionchange Removing C:/Windows/system32/CareInit.exe
Inicializácia agenta nahrávania (riadky 1-21)

Pri inicializácii agenta nahrávania (riadky 1-18) sa do logu zaznamenávajú rôzne informácie o systéme.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
16-06-25 14:49:02.604 [6364] TRACE Console.infoSystem System directory: C:\Windows\system32
16-06-25 14:49:02.604 [6364] TRACE Console.infoSystem Windows directory: C:\Windows
16-06-25 14:49:02.604 [6364] TRACE Console.infoSystem Windows temporary directory: C:\Windows\TEMP\
16-06-25 14:49:02.605 [6364] TRACE Console.infoSystem User profile directory: C:\Windows\system32\config\systemprofile
16-06-25 14:49:02.605 [6364] TRACE Console.infoSystem Current directory: C:\Windows\system32
16-06-25 14:49:02.605 [6364] TRACE Console.infoSystem Application Data directory: C:\Windows\system32\config\systemprofile\AppData\Roaming
16-06-25 14:49:02.606 [6364] TRACE Console.infoSystem Command line: C:\Program Files (x86)\Systancia\Safe\IpDivaCareSupervisor.exe
16-06-25 14:49:02.606 [6364] TRACE Console.infoSystem Current exe directory: C:/Program Files (x86)/Systancia/Safe/
16-06-25 14:49:02.606 [6364] TRACE Console.infoSystem Root directory: C:/Program Files (x86)/Systancia/
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Microsoft Windows NT family
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Service Pack 0.0
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem OEM ID: 0
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Number of Processors: 8
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Page size: 4096
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Processor Type: 586
16-06-25 14:49:02.607 [6364] TRACE Console.infoSystem Active processor mask: 255
16-06-25 14:49:02.608 [6364] TRACE Console.infoSystem Username: Système
16-06-25 14:49:02.608 [6364] TRACE Console.infoSystem -----------------------------------

Riadok 19 uvádza počet komponentov Edge Gateway nájdených v súbore gateways.xml pre prevádzku v priamom režime.

19
16-06-25 14:49:02.609 [4620] TRACE main.run Loaded 1 gateways from file C:/Program Files (x86)/Systancia/Safe/gateways.xml

Riadok 20 signalizuje problém s načítaním kľúčov v neexistujúcom adresári. Ide o starú funkciu, ktorá neovplyvňuje celkovú činnosť agenta. Tento chybový log preto možno ignorovať.

20
16-06-25 14:49:02.610 [4620] ERROR main.run Error loading public keys. boost::filesystem::directory_iterator::construct: Le fichier spécifié est introuvable [system:2]: "C:/Program Files (x86)/Systancia/pubkeys"

Riadok 21 uvádza akciu kopírovania spustiteľného súboru CareInit.exe do System32, aby sa pokryli prípady, keď sa aplikácia RDP s agentom spúšťa z počítača so systémom macOS alebo Ubuntu.
V takom prípade pripojenie k serveru požiada o spustenie CareInit.exe ako programu pri spustení.

21
16-06-25 14:49:02.610 [4620] TRACE main.wtssessionchange Copying C:/Program Files (x86)/Systancia/Safe/CareInit.exe to C:/Windows/system32/CareInit.exe
Pripojenie aplikácie HTML5 RDP alebo RDP s agentom (riadky 22-39)

Keď sa zistí nová relácia RDP, zapíšu sa nasledujúce logy, ktoré signalizujú zistenie novej relácie RDP a zaznamenajú meno používateľa, ktorý sa prihlásil:

22
23
24
25
16-06-25 14:49:12.298 [6364] TRACE main.wtssessionchange Session logon or connect :6 event:3
16-06-25 14:49:12.299 [6364] TRACE main.wtssessionchange
16-06-25 14:49:13.301 [6364] TRACE main.wtssessionchange Session logon or connect :6 event:5
16-06-25 14:49:13.303 [6364] TRACE main.wtssessionchange cyberelements_user

V uvedených logoch sa cez RDP pripojil používateľ cyberelements_user.

Pri spúšťaní aplikácie HTML5 RDP alebo RDP s agentom sa vytvorí špecifický virtuálny kanál RDP, cez ktorý sa agentovi nahrávania odošle adresa pripojenia ku komponentu Edge Gateway a jedinečné heslo na pripojenie k službe nahrávania komponentu Edge Gateway.
To znamená dve veci:

  1. Agent nahrávania zistil, že ide o pripojenie RDP iniciované z CyberElements Bastion, preto by reláciu nemal považovať za priamy prístup.
  2. Agent nahrávania dokázal získať adresu komponentu Edge Gateway, na ktorý musí odosielať videozáznamy a udalosti.

Tieto informácie zodpovedali riadkom 27-29, kde v príklade agent nahrávania získal adresu pripojenia ku komponentu Edge Gateway (my-edge-gateway.domain.local) a jednorazové heslo (K5efPBwVM2cIU0LaYQucZp0FV19nRIE5f5VYoBZz6EqlZOxNGM):

29
30
31
16-06-25 14:49:13.319 [6364] TRACE wtssessionchange.wtssessionchange Opened VC clr
16-06-25 14:49:13.371 [6364] TRACE main.wtssessionchange Recording server retrieved via VC clr:my-edge-gateway.domain.local
16-06-25 14:49:13.371 [6364] TRACE main.wtssessionchange care password :K5efPBwVM2cIU0LaYQucZp0FV19nRIE5f5VYoBZz6EqlZOxNGM

Ďalej nasledujú logy týkajúce sa použitia pravidiel filtrovania siete, ktoré sú podrobne opísané v inej informačnej časti nižšie na stránke.

Jeden log uvádza, kedy agent nahrávania nadväzuje pripojenie ku komponentu Edge Gateway a ktoré jedinečné heslo používa na svoje overenie.

35
16-06-25 14:49:13.421 [6364] TRACE main.createRecorderProcess launching whith password :K5efPBwVM2cIU0LaYQucZp0FV19nRIE5f5VYoBZz6EqlZOxNGM

Nakoniec, keď používateľ iniciuje odpojenie, agent nahrávania ho zachytí, aby ukončil nahrávanie a odstránil prípadné pravidlá filtrovania siete. Zodpovedá to riadkom 36-39 vzorového súboru logu:

36
37
38
39
16-06-25 14:49:26.664 [4620] TRACE main.createRecorderProcess Calling logoff.exe 6
16-06-25 14:49:26.990 [6364] TRACE main.wtssessionchange User DOMAIN\cyberelements_user has no other session. Dropping network filter rules
16-06-25 14:49:26.990 [6364] TRACE main.wtssessionchange Session logoff or disconnect :6 event:6
16-06-25 14:49:27.331 [6364] TRACE main.wtssessionchange Session logoff or disconnect :6 event:4
Pripojenie priameho prístupu RDP (riadky 40-61)

Keď sa zistí nová relácia RDP, zapíšu sa nasledujúce logy, ktoré signalizujú zistenie novej relácie RDP a zaznamenajú meno používateľa, ktorý sa prihlásil:

40
41
42
43
16-06-25 14:49:38.964 [6364] TRACE main.wtssessionchange Session logon or connect :7 event:3
16-06-25 14:49:38.965 [6364] TRACE main.wtssessionchange
16-06-25 14:49:40.75 [6364] TRACE main.wtssessionchange Session logon or connect :7 event:5
16-06-25 14:49:40.76 [6364] TRACE main.wtssessionchange cyberelements_user

V uvedených logoch sa cez RDP pripojil používateľ cyberelements_user.

Počas priameho pripojenia RDP sa špecifický virtuálny kanál RDP na spúšťanie aplikácií RDP alebo HTML5 RDP s agentom nepoužíva. Agent nahrávania preto vyvodí, že otvorená relácia je reláciou priameho prístupu.

44
16-06-25 14:49:40.178 [6364] TRACE wtssessionchange.wtssessionchange WTSVirtualChannelOpenEx failure.31 Not a Cleanroom session, or the client has no support for the clr virtual channel

Z dôvodu zistenia priameho prístupu agent nahrávania zaznamená do logu rôzne skupiny používateľa, ktorý sa práve pripojil:

46
16-06-25 14:49:40.185 [6364] TRACE main.createRecorderProcess User groups :DOMAIN\Utilisateurs du domaine domain.local\Utilisateurs du domaine \Tout le monde domain.local\Tout le monde BUILTIN\Utilisateurs BUILTIN\Utilisateurs du Bureau à distance AUTORITE NT\REMOTE INTERACTIVE LOGON AUTORITE NT\INTERACTIF AUTORITE NT\Utilisateurs authentifiés domain.local\LOCAL DOMAIN\cyberelements_users domain.local\cyberelements_users

Tip

Pomocou týchto informácií môžete zistiť dôvody, prečo sa nahrávanie priamych prístupov nespúšťa: či zmluva o priamom prístupe neautorizuje žiadnu zo skupín používateľa, alebo či zadaný názov domény musí byť krátky názov (názov netBIOS) alebo úplný názov.

Agent nahrávania uvádza, ku ktorým komponentom Edge Gateway sa bude môcť pripojiť, aby odoslal záznam relácie používateľa.
Pripomíname, že ide o komponenty Edge Gateway, ktoré sú súčasťou súboru gateways.xml nakonfigurovaného počas konfigurácie agenta nahrávania.

47
16-06-25 14:49:40.186 [6364] TRACE getDirectRecordInformation.getDirectRecordInformation gateways: my-edge-gateway.domain.local

Ďalej nasleduje certifikát klienta, ktorým sa agent nahrávania overuje voči službe nahrávania.
Agent nahrávania predvolene hľadá certifikát, ktorý v CN obsahuje názov servera RDP, pokiaľ nebol definovaný kľúč MachineName.
Agent nahrávania potom uvedie vybratý certifikát a informácie o certifikačnej autorite, ktorá ho vygenerovala.

48
49
50
51
16-06-25 14:49:40.199 [6364] TRACE SecChannelClient.ClientCreateCredentials looking for a certificate with name containing:my-rds-server
16-06-25 14:49:40.199 [6364] TRACE SecChannelClient.ClientCreateCredentials looking for a certificate with name containing:my-rds-server.domain.local in the local machine store
16-06-25 14:49:40.201 [6364] TRACE SecChannelClient.ClientCreateCredentials certificate subject:C=FR, S=Grand-Est, L=Sausheim, O=Systancia, CN=my-rds-server.domain.local
16-06-25 14:49:40.201 [6364] TRACE SecChannelClient.ClientCreateCredentials certificate issuer:C=FR, S=Grand-Est, L=Sausheim, O=Systancia, CN=SUB-CA

V uvedenom príklade agent nahrávania hľadal certifikát obsahujúci my-rds-server a našiel certifikát s CN my-rds-server.domain.local vydaný certifikačnou autoritou SUB-CA.

Ďalej nasledujú logy týkajúce sa použitia pravidiel filtrovania siete, ktoré sú podrobne opísané v inej informačnej časti nižšie na stránke.

Jeden log uvádza, kedy agent nahrávania nadväzuje pripojenie ku komponentu Edge Gateway a ktoré jedinečné heslo používa na svoje overenie.

57
16-06-25 14:49:40.430 [6364] TRACE main.createRecorderProcess launching whith password :DIRECT_33fRBYAwVDEKs8n3bGFwlIgKYd39C2Ubcl4pkLLC0YAouL4Gml

Nakoniec, keď používateľ iniciuje odpojenie, agent nahrávania ho zachytí, aby ukončil nahrávanie a odstránil prípadné pravidlá filtrovania siete. Zodpovedá to riadkom 58-61 vzorového súboru logu:

58
59
60
61
16-06-25 14:49:48.690 [4620] TRACE main.createRecorderProcess Calling logoff.exe 7
16-06-25 14:49:50.13 [6364] TRACE main.wtssessionchange User DOMAIN\cyberelements_user has no other session. Dropping network filter rules
16-06-25 14:49:50.13 [6364] TRACE main.wtssessionchange Session logoff or disconnect :7 event:6
16-06-25 14:49:50.379 [6364] TRACE main.wtssessionchange Session logoff or disconnect :7 event:4
Použitie pravidiel filtrovania siete (riadky 31 a 53-56)

Pre každú reláciu, ktorú agent nahrávania zistí, určí, či je potrebné na reláciu používateľa použiť pravidlá filtrovania siete.

Ak nie je potrebné použiť žiadne pravidlá filtrovania siete, agent nahrávania uvedie Filter not enabled.

31
16-06-25 14:49:13.418 [6364] TRACE main.getNetFilterRulesInformation Filter not enabled

Ak je potrebné použiť pravidlá filtrovania siete, zobrazí sa hlásenie Net filter enabled.
Za týmto riadkom aktivácie filtra sa uvádza každý z použitých filtrov, jeden na riadok:

53
54
55
56
16-06-25 14:49:40.404 [6364] TRACE main.createRecorderProcess Net filter enabled
16-06-25 14:49:40.426 [3948] TRACE CleanroomNetFilter.addRule User DOMAIN\cyberelements_user Remote address: 168427818 (10.10.1.42) Remote port: 443 Protocol condition: TCP
16-06-25 14:49:40.427 [3948] TRACE CleanroomNetFilter.addRule User DOMAIN\cyberelements_user Remote address: 168432641 (10.10.20.1) Remote port: 53 Protocol condition: UDP
16-06-25 14:49:40.428 [6364] TRACE CleanroomNetFilter.addRule User DOMAIN\cyberelements_user Application: C:/Program Files (x86)/Systancia/Safe/IpdivaCareRecorder.exe Remote address: 168427791 (10.10.1.15) Remote port: 8443 Protocol condition: TCP

Pripomíname, že keď je filtrovanie siete aktivované, predvoleným správaním je blokovanie všetkej prevádzky TCP/UDP. Uvedené filtre sú teda jedinou prevádzkou TCP/UDP autorizovanou pre programy spustené v kontexte používateľa.
V uvedenom príklade sú povolené pripojenia k TCP 10.10.1.42:443 a UDP 10.10.20.1:53. Okrem týchto dvoch tokov autorizovaných správcom je otvorený aj tok pripojenia k službe nahrávania, aby program, ktorý za to zodpovedá, mohol odoslať záznam relácie.

Tip

Ak pre používateľa nie sú autorizované žiadne toky, zobrazia sa iba riadky, ktoré signalizujú, že filtrovanie je aktívne a že proces nahrávania môže kontaktovať službu nahrávania komponentu Edge Gateway.

Nepodarilo sa pripojiť k službe nahrávania

Viacero problémov môže spôsobiť, že sa agent nahrávania nebude môcť pripojiť k službe nahrávania na serveri Edge Gateway.

Prvým je blokovanie sieťového toku. V takom prípade agent pri pokuse o pripojenie k službe nahrávania zapíše logy podobné týmto:

1
2
3
4
18-06-25 15:29:45.805 [2456] TRACE Socket.connect error during select or socket not writable, rc=0
18-06-25 15:29:45.805 [2456] TRACE Socket.raise error not registered: 0
18-06-25 15:29:45.809 [2456] ERROR main.getDirectRecordInformation Could not connect to gateway my-edge-gateway.domain.local Exception :ESocket:errors.cpp:242
18-06-25 15:29:45.809 [2456] ERROR main.getDirectRecordInformation No gateway available

V tomto príklade riadok 1 signalizuje, že tok sa nepodarilo nadviazať, zatiaľ čo riadok 3 uvádza príslušný komponent Edge Gateway a zlyhanie pripojenia (všimnite si aj číslo 242 na konci riadka 3 pre tento typ problému).

Druhým problémom, ktorý sa môže vyskytnúť, je neschopnosť agenta nahrávania, a tým aj servera RDP, preložiť názov komponentu Edge Gateway: 

1
2
3
18-06-25 15:37:07.539 [2456] ERROR Socket.DNSLookup getaddrinfo() Hôte inconnu. 
18-06-25 15:37:07.539 [2456] ERROR main.getNetFilterRulesInformation Could not retrieve netfilter rule with gateway wrong-dns-edge-gateway.domain.local Exception :ESocketLookupFailed:socket2.cpp:232
18-06-25 15:37:07.539 [2456] ERROR main.getNetFilterRulesInformation The gateway may need an upgrade

V tomto príklade riadok 1 potvrdzuje problém s prekladom názvu komponentu Edge Gateway v DNS.
Druhý riadok uvádza zlyhanie pripojenia a názov komponentu Edge Gateway. Všimnite si, že pri zlyhaní prekladu DNS sa riadok končí číslom 232.

Tretím problémom, ktorý sa môže vyskytnúť, je pripojenie k službe, ktorá nie je službou nahrávania, napríklad k webovému serveru, ktorý načúva na porte 8443. V takom prípade sa získajú nasledujúce logy: 

1
2
3
18-06-25 15:38:33.607 [2456] TRACE IO.read problem when read data
18-06-25 15:38:33.608 [2456] ERROR main.getNetFilterRulesInformation Could not retrieve netfilter rule with gateway wrong-server.domain.local Exception :IOException:io.cpp:140
18-06-25 15:38:33.608 [2456] ERROR main.getNetFilterRulesInformation The gateway may need an upgrade

Riadok 1 signalizuje chybu vymieňaných údajov, riadok 2 potvrdzuje problém s pripojením a na konci riadka uvádza chybu 140.

Žiadna zmluva o priamom prístupe neumožňuje spustiť nahrávanie priamej relácie.

Pri priamom prístupe nemusia byť nevyhnutne nahrávaní všetci používatelia. V takom prípade nájdeme nasledujúce logy:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
16-06-25 14:49:38.964 [6364] TRACE main.wtssessionchange Session logon or connect :7 event:3
16-06-25 14:49:38.965 [6364] TRACE main.wtssessionchange
16-06-25 14:49:40.75 [6364] TRACE main.wtssessionchange Session logon or connect :7 event:5
16-06-25 14:49:40.76 [6364] TRACE main.wtssessionchange cyberelements_user
16-06-25 14:49:40.178 [6364] TRACE wtssessionchange.wtssessionchange WTSVirtualChannelOpenEx failure.31 Not a Cleanroom session, or the client has no support for the clr virtual channel
16-06-25 14:49:40.179 [6364] TRACE main.wtssessionchange prog :
16-06-25 14:49:40.185 [6364] TRACE main.createRecorderProcess User groups :DOMAIN\Utilisateurs du domaine domain.local\Utilisateurs du domaine \Tout le monde domain.local\Tout le monde BUILTIN\Utilisateurs BUILTIN\Utilisateurs du Bureau à distance AUTORITE NT\REMOTE INTERACTIVE LOGON AUTORITE NT\INTERACTIF AUTORITE NT\Utilisateurs authentifiés domain.local\LOCAL DOMAIN\cyberelements_users domain.local\cyberelements_users 
16-06-25 14:49:40.186 [6364] TRACE getDirectRecordInformation.getDirectRecordInformation gateways: my-edge-gateway.domain.local
16-06-25 14:49:40.199 [6364] TRACE SecChannelClient.ClientCreateCredentials looking for a certificate with name containing:my-rds-server
16-06-25 14:49:40.199 [6364] TRACE SecChannelClient.ClientCreateCredentials looking for a certificate with name containing:my-rds-server.domain.local in the local machine store
16-06-25 14:49:40.201 [6364] TRACE SecChannelClient.ClientCreateCredentials certificate subject:C=FR, S=Grand-Est, L=Sausheim, O=Systancia, CN=my-rds-server.domain.local
16-06-25 14:49:40.201 [6364] TRACE SecChannelClient.ClientCreateCredentials certificate issuer:C=FR, S=Grand-Est, L=Sausheim, O=Systancia, CN=SUB-CA
16-06-25 14:49:40.404 [6364] TRACE Socket.incrCounters 0 UDP, 0 TCP, 1 Objs
16-06-25 14:49:40.406 [6364] TRACE main.createRecorderProcess no need to record

Získané logy sa začínajú ako všetky priame relácie zachytené agentom nahrávania. Po nadviazaní pripojenia k službe nahrávania komponentu Edge Gateway však táto služba vráti agentovi nahrávania informáciu, že pripojený používateľ nepodlieha nahrávaniu.
Agent nahrávania preto uvedie, že reláciu používateľa nie je potrebné nahrávať (riadok 14 uvedeného príkladu).

Riadok 7 uvádza všetky skupiny, ktoré agent nahrávania získal pre pripojeného používateľa.
Tieto informácie vám umožňujú zistiť dôvody, prečo sa nahrávanie priamych prístupov nespúšťa: či zmluva o priamom prístupe neautorizuje žiadnu zo skupín používateľa, alebo či zadaný názov domény musí byť krátky názov (názov netBIOS) alebo úplný názov.