содержание      ..     1      2      3      4      ..

Dr.Web Enterprise Security Suite. Руководство администратора Версия 13.0 (2022 год) - часть 3

Глава 6:

Администраторы антивирусной сети

106

Описание параметров PAM-аутентификации, настраиваемых на стороне Dr.Web

Enterprise Security Suite

Элемент Центра

Элементы файла auth-pam.xml

Описание

управления

Тег

Атрибут

Допустимые

значения

<enabled>

value

Флаг

yes | no

Флаг, определяющий, будет ли

Использовать

использоваться метод PAM-

PAM-

аутентификации.

аутентификаци

ю

<order>

value

Используйте

целочисленн

Порядковый номер PAM-

перетаскивание

ое значение,

аутентификации при использовании

согласованно

нескольких методов аутентификации.

е со

значениями

других

методов

<service>

name

Поле Название

-

Имя сервиса, которое будет

службы

использовано для создания PAM-

контекста. PAM может считать

политики для данного сервиса

из /etc/pam.d/<имя сервиса> или

из /etc/pam.conf, если файл не

существует.

Если параметр не задан (нет тега

<service> в конфигурационном

файле), то по умолчанию

используется имя drwcs.

<admin-

mandatory

Флаг

yes | no

Параметр, определяющий, является

flag>

Управляющий

ли обязательным управляющий флаг

флаг обязателен

для идентификации пользователя как

администратора.

По умолчанию — yes.

<admin-

name

Поле Название

-

Ключ-строка, по которой у PAM-

flag>

управляющего

модулей будет прочитан флаг.

флага

По умолчанию —

DrWeb_Esuite_Admin.

Глава 6:

Администраторы антивирусной сети

108

Если ранее была произведена модификация схемы Active Directory с

использованием данной утилиты от 6 версии Сервера Dr.Web, нет необходимости

повторно выполнять модификацию с использованием утилиты от 13 версии

Сервера Dr.Web.

b) Для регистрации оснастки Active Directory Schema (Схема Active Directory) выполните с

административными полномочиями команду regsvr32 schmmgmt.dll, после чего

запустите mmc и добавьте оснастку Active Directory Schema.

c) Используя добавленную оснастку Active Directory Schema, добавьте к классу User и (если

необходимо) к классу Group вспомогательный класс DrWebEnterpriseUser и

дополнительный атрибут DrWebAdmin.

Если применение модифицированной схемы еще не завершилось, класс

DrWebEnterpriseUser может быть не найден. В таком случае подождите некоторое

время и повторите попытку согласно п. с).

d) С административными полномочиями запустите файл drweb-13.00.0-<сборка>-

esuite-aduac-<версия_ОС>.msi (входит в дистрибутив Dr.Web Enterprise Security

Suite 13.0) и дождитесь окончания установки.

2.

Графический интерфейс для редактирования атрибутов доступен на панели управления

Active Directory Users and Computers → в разделе Users → в окне редактирования

свойств выбранного пользователя Administrator Properties → на вкладке Dr.Web

Authentication.

3.

Для редактирования доступен следующий параметр (значение атрибута может быть yes, no

или not set):

User is administrator — указывает на то, что пользователь — полноправный

администратор.

Алгоритмы принципа работы и разбора атрибутов при аутентификации приведены

в документе Приложения, в Приложении C1.

6.1.6. Аутентификация с использованием LDAP

Данный раздел доступен для настройки через Центр управления только при

обновлении Сервера Dr.Web с предыдущей версии. После отключения данного

типа аутентификации ее раздел будет исключен из настроек Центра управления.

При первичной установке Сервера Dr.Web данный раздел недоступен.

Чтобы включить аутентификацию через LDAP

1. Выберите пункт Администрирование в главном меню Центра управления.

Глава 6:

Администраторы антивирусной сети

110

4. Затем, так же как и в Active Directory, читаются атрибуты LDAP-объекта для полученного

DN. Атрибуты и их возможные значения могут быть переопределены в конфигурационном

файле.

5. Если остались неопределенные значения атрибутов администратора, то в случае задания

наследования (в конфигурационном файле), поиск нужных атрибутов по группам, в

которые входит пользователь, ведется также, как в случае с использованием Active

Directory.

6.2. Администраторы и административные группы

Чтобы открыть раздел управления административными учетными записями

1. Выберите пункт Администрирование в главном меню Центра управления.

2. В управляющем меню выберите раздел Администраторы. Откроется список всех

администраторов Сервера Dr.Web.

Раздел Администраторы доступен всем администраторам Центра управления.

Однако полное иерархическое дерево администраторов доступно только

администраторам из группы Administrators, для которых разрешено право

Просмотр свойств и конфигурации групп администраторов. Для остальных

администраторов в иерархическом дереве будет отображаться только собственная

группа и ее подгруппы с входящими в них учетными записями.

На панели инструментов раздела Администраторы доступны следующие опции:

Создать учетную запись

Создать группу

Удалить выбранные объекты

Изменить пароль

Распространить права администратора

6.2.1. Иерархия администраторов

Иерархический список администраторов отображает древовидную структуру

административных групп и учетных записей администраторов. Узлами данной структуры

являются административные группы и входящие в них администраторы. Каждый

администратор входит только в одну группу. Уровень вложенности групп не ограничен.

Глава 6:

Администраторы антивирусной сети

111

Предустановленные группы

После установки Сервера Dr.Web автоматически создаются две группы:

·

Administrators. Изначально в группу входит только администратор admin с полным

набором прав, автоматически создаваемый при установке Сервера Dr.Web (см. ниже).

·

Newbies. Изначально группа пуста. В эту группу автоматически перемещаются

администраторы с внешним типом аутентификации через LDAP, Active Directory и RADIUS.

Администраторам из группы Newbies по умолчанию назначаются права только на чтение.

Предустановленные администраторы

После установки Сервера Dr.Web автоматически создается одна учетная запись

администратора:

Параметр

Значение

Регистрационное

admin

имя

Пароль

Задается при установке Сервера Dr.Web (шаг 9 в процедуре установки).

Права

Полный набор прав.

Редактирование

Права администратора нельзя редактировать, самого администратора

учетной записи

невозможно удалить.

Отображение иерархических списков

·

В иерархическом списке антивирусной сети: администратор видит только те

пользовательские группы, которые разрешены в праве Просмотр свойств групп станций.

Все системные группы также отображаются в дереве антивирусной сети, но в них видны

только станции из указанного списка пользовательских групп.

·

В иерархическом списке администраторов: администратор из группы Newbies видит

дерево, корнем которого является группа, в которой он находится, т. е. видит

администраторов из своей группы и ее подгрупп. Администратор из группы Administrators

видит всех администраторов, независимо от их групп.

6.2.2. Права администраторов

Все действия администраторов в Центре управления ограничиваются набором прав, который

может быть определен как для отдельной учетной записи, так и для группы администраторов.

Система административных прав включает следующие возможности управления правами:

Глава 6:

Администраторы антивирусной сети

113

Наследование выключено

5. Основные настройки задаются в таблице прав:

a) В первом столбце приведены названия прав. Заголовок столбца зависит от конкретной

секции, объединяющей права по типам.

Краткое описание прав администраторов и разделов Центра управления, за

которые отвечают конкретные права, приведено в документе Приложения, в

Приложении C4. Подведомственные разделы прав.

b) В столбце Права приведены настройки для соответствующих прав из первого столбца.

Объекты управления

Список настроек в столбце

Принцип задания права

Права

Право задается для всех объектов

Может быть приведен один

из следующих типов прав:

· Персональное — для

Право не подразумевает

Установите/снимите флаг

данного объекта заданы

разделение на группы по

Предоставить в строке

собственные настройки.

объектам управления.

соответствующего права.

· Наследуемое —

настройки унаследованы

от родительской группы.

Право задается для списка объектов (станций, администраторов или групп)

В случае объединения

Нажмите на список объектов (в

·

Предоставлено все —

настроек приводятся

том числе, если задан вариант

право предоставлено для

одновременно следующие

Все). Откроется окно с деревом

всех объектов управления.

типы прав:

антивирусной сети, деревом групп

·

Запрещено все — право

администраторов или деревом

непредоставлено для всех

·

Персональное —

тарифов в зависимости от

объектов управления.

собственные настройки,

редактируемого права. Выберите

заданные для данного

·

Предоставлено для

нужные объекты в дереве. Для

объекта.

некоторых объектов. При

выбора нескольких объектов

этом должен быть задан

·

Результирующее —

используйте кнопки CTRL и SHIFT.

список объектов, для

результат слияния

При необходимости установите

которых данное право

персонального права

флаг Для всех прав секции,

предоставлено. Для всех

объекта и права

чтобы применить данные

остальных объектов право

родительской группы.

настройки для всех прав,

считается запрещенным.

приведенных в той же секции, что

В случае наследования

и редактируемое.

·

Запрещено для некоторых

настроек приводится только

объектов. При этом

тип права Наследуемое.

Нажмите кнопку:

должен быть задан список

объектов, для которых

·

Предоставить для разрешения

данное право не

права на выбранные объекты.

Глава 6:

Администраторы антивирусной сети

114

Объекты управления

Список настроек в столбце

Принцип задания права

Права

предоставлено. Для всех

·

Запретить для запрещения

остальных объектов право

права на выбранные объекты.

считается

предоставленным.

Для одного и того же права, задаваемого на список объектов, не могут быть

заданы одновременно списки запрещенных и разрешенных объектов. Данные

понятия являются взаимоисключающими.

c) В столбце Наследование отражено состояние данного права относительно

родительской группы:

ъ Наследование от группы — включено наследование от указанной родительской

группы, персональные права не заданы.

ъ Персональные настройки — наследование от родительской группы отключено,

заданы персональные права.

ъ Объединение с группой — включено наследование от указанной родительской

группы, персональные права заданы. Результирующее право объекта рассчитано

путем объединения прав родительской группы и персональных прав (см. п.

Объединение прав).

В этом случае персональные права объекта можно удалить. Для этого нажмите кнопку

в столбце Наследование. После удаления персональных прав будет установлено

Наследование от группы.

Объединение прав

Расчет результирующего права объекта (администратора или группы администраторов) при

включенном наследовании зависит от прав родительских групп и прав, заданных самому

объекту. Таблица ниже описывает принцип получения результирующего права объекта:

Право родительской

Право

Результирующее право

группы

рассматриваемого

потомка

Предоставлено все

Предоставлено для

Предоставлено для объектов

некоторых объектов

потомка

Предоставлено для

Предоставлено для

Списки разрешенных объектов

некоторых объектов

некоторых объектов

объединяются

Предоставлено для

Предоставлено все

Предоставлено все

некоторых объектов

Глава 6:

Администраторы антивирусной сети

115

Право родительской

Право

Результирующее право

группы

рассматриваемого

потомка

Права родителя и потомка запрещающие, и одно из них

Запрещено все

запрещает все

Запрещено для некоторых

Запрещено для

Списки запрещенных объектов

объектов

некоторых объектов

объединяются

Запрещено все

Предоставлено все

Предоставлено все

Запрещено для некоторых

Предоставлено все

Запрещено для объектов родителя

объектов

Запрещено для некоторых

Предоставлено для

Из запрещенных объектов

объектов

некоторых объектов

вычитаются разрешенные объекты.

Если после этого список

запрещенных объектов не пуст, то

результат — запрещены оставшиеся

объекты. В противном случае

результат — разрешены все объекты

потомка

Предоставлено для

Запрещено все

Запрещено все

некоторых объектов

Предоставлено все

Запрещено для

Запрещено для объектов потомка

некоторых объектов

Предоставлено для

Запрещено для

Из разрешенных объектов

некоторых объектов

некоторых объектов

вычитаются запрещенные объекты.

Если после этого список

разрешенных объектов пуст, то

результат — запрещено все. В

противном случае, результат —

разрешены оставшиеся объекты.

6.3. Управление учетными записями администраторов и

административными группами

6.3.1. Создание и удаление административных записей и групп

Регистрационное имя администратора должно быть уникальным.

Глава 6:

Администраторы антивирусной сети

116

Подключение администраторов через внешние системы аутентификации будет

невозможно, если на Сервере Dr.Web уже существует администратор с таким же

регистрационным именем.

Добавление администраторов

Для возможности создания учетных записей администраторов необходимо

обладать правом Создание администраторов, групп администраторов.

Чтобы добавить новую учетную запись администратора

1. Выберите пункт Администрирование в главном меню Центра управления, в открывшемся

окне выберите пункт управляющего меню Администраторы.

2. На панели инструментов нажмите значок Создать учетную запись. Откроется окно

настроек создаваемой учетной записи.

3. В подразделе Общие задайте следующие параметры:

·

В поле Регистрационное имя задайте регистрационное имя администратора, которое

будет использоваться для доступа к Центру управления. Разрешается использовать

строчные буквы (a-z), заглавные буквы (A-Z), цифры (0-9), символы "_" и ".".

·

В полях Пароль и Подтвердите пароль задайте пароль для доступа к Серверу Dr.Web и,

соответственно, к Центру управления.

При задании пароля администратора не допускается использование национальных

символов.

Поля для задания пароля активны только для администраторов с внутренней

аутентификацией.

Значения данных полей, заданных в Центре управления для администраторов с

внешней аутентификацией, не имеют значения.

·

В полях Фамилия, Имя и Отчество можете указать личные данные администратора.

·

Укажите Адрес электронной почты. Если этого не сделать, вы не сможете сбросить

пароль при необходимости.

·

В выпадающем списке Язык интерфейса выберите язык интерфейса Центра управления,

который будет использоваться создаваемым администратором (по умолчанию задан

язык веб-браузера или английский).

Если вы выберете язык, тексты интерфейса на котором в данным момент не

Глава 6:

Администраторы антивирусной сети

117

обновляются, вам будет предложено включить обновление для данного языка. Для

этого перейдите по ссылке в раздел Администрирование → Общая

конфигурация репозитория → Сервер Dr.Web → Языки Центра управления

безопасностью Dr.Web, установите флаг для нужного вам языка и нажмите

Сохранить. При ближайшем обновлении репозитория тексты интерфейса для

выбранного языка будут обновлены. Также вы можете запустить обновление

вручную в разделе Состояние репозитория.

·

В выпадающем списке Формат даты выберите формат, который будет использоваться

данным администратором при редактировании настроек, содержащих даты. Доступны

следующие форматы:

ъ европейский: DD-MM-YYYY HH:MM:SS

ъ американский: MM/DD/YYYY HH:MM:SS

·

В поле Описание можете задать произвольное описание учетной записи.

Значения полей, отмеченных знаком *, должны быть обязательно заданы.

4. В подразделе Группы задается родительская административная группа. В списке

приведены группы, доступные для назначения администратора. Напротив группы, для

которой будет назначен создаваемый администратор, установлен флаг. По умолчанию

создаваемые администраторы размещаются в родительской группе текущего

администратора. Чтобы изменить назначенную группу, установите флаг напротив нужной

группы.

Каждый администратор может входить только в одну группу.

От родительской группы администратор наследует права (см. п. Права администраторов).

5. После задания всех необходимых параметров нажмите кнопку Сохранить для создания

учетной записи администратора.

Чтобы у добавленного администратора была оперативная информация о событиях

в антивирусной сети, рекомендуется сразу же после создания учетной записи

выполнить настройку оповещений, следуя указаниям раздела Конфигурация

оповещений. Для возможности создания статистических отчетов по расписанию

необходимо включить оповещение Статистический отчет.

Добавление административных групп

Для возможности создания административных групп необходимо обладать правом

Создание администраторов, групп администраторов.

Глава 6:

Администраторы антивирусной сети

119

1. Сбросить пароль при входе в Центр управления безопасностью Dr.Web.

2. Задать новый пароль в командной строке при запуске Сервера Dr.Web.

3. Посмотреть или изменить пароль напрямую в базе данных Сервера Dr.Web с помощью

утилиты drwidbsh3 для встроенной базы данных или стороннего SQL-клиента в случае

использования внешней базы данных — при условии отключения шифрования пароля

администратора с помощью криптографической соли (не рекомендуется). Подробнее про

утилиту и пример использования см. в документе Приложения, Приложение З7.2. Утилита

администрирования встроенной базы данных.

Чтобы сбросить пароль при входе в Центр управления безопасностью Dr.Web

1. Откройте страницу авторизации (http://<Адрес_Сервера_Dr.Web>:9080 или

https://<Адрес_Сервера_Dr.Web>:9081).

2. Нажмите Сбросить пароль.

3. В открывшемся окне заполните поля Регистрационное имя и Адрес электронной почты,

вписав туда данные учетной записи администратора, чей пароль вы хотите восстановить.

Вводимый адрес электронной почты должен совпадать с адресом, указанным в

настройках учетной записи администратора.

4. Нажмите Отправить ссылку. На указанный адрес электронной почты будет отправлено

письмо со ссылкой для сброса пароля.

Письмо будет отправлено при условии предварительной настройки SMTP-сервера

(см. раздел Электронная почта).

5. Перейдите по указанной ссылке и задайте новый пароль на открывшейся странице.

Чтобы сменить пароль при запуске Сервера Dr.Web через командную строку:

Запустите Сервер Dr.Web из командной строки, указав необходимый для смены пароля

параметр, регистрационное имя администратора и новый пароль:

drwcsd modexecdb set-admin-password <регистрационное_имя> <новый_пароль>

6.3.3. Редактирование административных записей и групп

Для возможности редактирования учетных записей администраторов и

административных групп необходимо обладать правами Редактирование учетных

записей администраторов и Редактирование свойств и конфигурации групп

администраторов соответственно.

Глава 6:

Администраторы антивирусной сети

120

Для возможности редактирования собственной учетной записи необходимо

обладать правом Редактирование собственных настроек.

Значения полей, отмеченных знаком *, должны быть обязательно заданы.

Чтобы отредактировать учетную запись администратора

1. В списке администраторов выберите учетную запись, которую вы хотите отредактировать.

Откроется раздел редактирования свойств.

2. В подразделе Общие вы можете отредактировать параметры, которые были заданы при

создании, при этом:

a) Чтобы изменить пароль для доступа к учетной записи администратора, выберите на

панели инструментов значок Изменить пароль.

Администратор с соответствующими правами может редактировать пароли всех

других администраторов.

При задании регистрационного имени администратора не допускается

использование национальных символов.

b) Следующие параметры администратора доступны только для чтения:

·

Даты создания учетной записи и последнего изменения ее параметров,

·

Состояние — отображает сетевой адрес последнего подключения под данной

учетной записью.

3.

В подразделе Группы вы можете изменить административную группу. В списке приведены

группы, доступные для назначения администратора. Напротив текущей родительской

группы администратора установлен флаг. Чтобы изменить назначенную группу, установите

флаг напротив нужной группы.

Родительская группа для администратора обязательно должна быть назначена. Каждый

администратор может входить только в одну группу. От заданной родительской группы

наследуются права.

См. также подраздел Редактирование членства.

4.

В подразделе Права вы можете отредактировать список разрешенных действий для

выбранного администратора.

Процедура редактирования прав приведена в подразделе Редактирование прав.

5.

Для применения внесенных изменений нажмите кнопку Сохранить.

Глава 7:

Комплексное управление рабочими станциями

124

Часть разделов с настройками может быть задана персонально, а часть —

наследоваться от политики или от первичной группы, если политика не задана.

Вы можете установить разные конфигурации для разных групп и станций, изменив

соответствующие настройки.

7.1. Наследование конфигурации рабочей станции

При создании станции или группы их настройки всегда наследуются:

·

Новая группа наследует настройки от своей родительской группы, в которую она

непосредственно входит. Если нет родительской группы (создаваемая группа является

корневой в иерархическом дереве), настройки наследуются от группы Everyone.

·

Новая станция наследует настройки от политики, которая была назначена при создании

станции. Если политика не была назначена, настройки станции наследуются от одной из

групп, в которую она входит. Такая группа называется первичной.

В процессе дальнейшей работы наследование может быть разорвано, и установлены

персональные настройки станции.

Для компонента Контроль приложений принцип наследования настроек отличается от

стандартного. Подробнее см. Наследование настроек для компонента Контроль приложений.

Приоритет применения настроек для станций:

1. Если у станции заданы персональные настройки, то используются персональные настройки.

При этом для станции может быть назначена политика. При задании персональных

настроек определенного раздела наследование настроек этого раздела разрывается.

2. Если персональные настройки отсутствуют, то используются настройки назначенной

политики.

3. Если нет персональных настроек и нет назначенной политики, то станция использует

настройки своей первичной группы.

Заданы персональные

Назначена

Используемые настройки

настройки

политика

+

+

Персональные настройки

+

-

Персональные настройки

–

+

Настройки политики

–

-

Настройки первичной группы

Глава 7:

Комплексное управление рабочими станциями

125

Станции может быть не назначена ни одна политика, но у станции всегда есть

первичная группа.

Наследование настроек станций от политик

Если для станции назначена политика, устанавливается наследование настроек станции от

настроек политики.

При изменениях в настройках политики эти изменения наследуются станциями, для которых

эта политика назначена, за исключением случаев, когда станциям были заданы персональные

настройки. При создании станции вы можете указать, какая из политик будет назначена

станции. Политика может быть заменена в любое время в процессе работы. Если ни одна

политика не будет назначена, настройки будут наследоваться от первичной группы.

У политик нет иерархической структуры наследования. При создании политики ее настройки

копируются в качестве персональных настроек из заданного объекта (по умолчанию это

политика Default policy). Только одна из версий политики является текущей, и ее настройки

являются настройками самой политики. Только текущая версия может быть назначена

станциям.

Например:

Структура иерархического списка представляет собой следующее дерево:

Для станции Station1 назначена политика Policy1. Версия политики Version2 является

текущей для политики Policy1. Настройки версии Version2 совпадают с настройками

политики Policy1, которые являются персональными.

Наследование настроек станций от групп

Если для станции не назначена политика, устанавливается наследование настроек станции от

настроек ее первичной группы.

Глава 7:

Комплексное управление рабочими станциями

126

При изменениях в настройках первичной группы эти изменения наследуются входящими в

группу станциями, за исключением случаев, когда станциям были заданы персональные

настройки. При создании станции вы можете указать, какая из групп будет считаться

первичной. По умолчанию первичная группа — Everyone. Первичная группа может быть

заменена в любое время в процессе работы.

Если первичная группа не Everyone, и у указанной первичной группы, которая

является корневой в иерархическом дереве антивирусной сети, нет персональных

настроек, то наследуются настройки группы Everyone.

Возможно создание вложенных групп.

В условиях вложенных групп, если для станции не заданы персональные настройки,

наследование элементов конфигурации осуществляется в соответствии со структурой

вложенных групп. Поиск осуществляется вверх по иерархическому дереву, начиная с

первичной группы станции, ее родительской группы и далее до корневого элемента дерева.

Если при этом не были обнаружены персональные настройки, то наследуются элементы

конфигурации группы Everyone.

Например:

Структура иерархического списка представляет собой следующее дерево:

Группа Group4 является первичной для станции Station1. При этом при наследовании

настроек станцией Station1 будет осуществляться поиск настроек в следующем порядке:

Station1 → Group4 → Group3 → Group2 → Group1 → Everyone.

По умолчанию структура сети представлена таким образом, чтобы

продемонстрировать вхождения станций во все группы, членом которых она

является. Если вы хотите отображать в каталоге сети членство станций только в

первичных группах, на панели инструментов Центра управления в пункте

Настройки вида дерева снимите флаг Членство во всех группах.

Глава 7:

Комплексное управление рабочими станциями

131

При этом рассматриваются следующие параметры:

·

Автоматическое членство. Параметр определяет возможность автоматического

включения станций в группу (поддержка автоматического членства), а также

автоматического изменения состава группы в процессе работы Сервера Dr.Web.

·

Управление членством. Параметр определяет возможность управления администратором

членством в группе: добавлением или удалением станций из группы.

·

Первичная группа. Параметр определяет, может ли данная группа являться первичной для

станции.

·

Содержание настроек. Параметр определяет, может ли группа содержать настройки

антивирусных компонентов (для возможности наследования их станциями).

Таблица 7-1. Группы и поддерживаемые параметры

Группа/тип групп

Параметр

Автоматичес

Управление

Первичная

Содержание

кое членство

членством

группа

настроек

Everyone

+

-

+

+

Configured

+

-

-

-

Operating System

+

-

+

+

Status

+

-

-

-

Transport

+

-

-

-

Ungrouped

+

-

-

-

Пользовательские группы

-

+

+

+

Под учетной записью администратора группы пользовательская группа, которой

он управляет, будет отображаться в корне иерархического дерева, даже если

фактически у нее есть родительская группа. При этом будут доступны все дочерние

от управляемой группы.

7.2.2. Управление группами

7.2.2.1. Создание и удаление групп

Чтобы создать новую группу

1. Выберите пункт Антивирусная сеть в главном меню Центра управления.

Глава 7:

Комплексное управление рабочими станциями

134

Конфигурация

Для подробной информации о наследовании настроек станциями от первичных

групп, см. раздел Глава 7: Комплексное управление рабочими станциями.

В разделе Конфигурация вы можете изменить конфигурацию групп, которая включает:

Значок

Настройки

Раздел с

описанием

Права пользователей рабочих станций, которые наследуют

Права

данную настройку от группы, если она является первичной.

пользователей

Настройка прав групп аналогична настройке прав отдельных

станции

рабочих станций.

Централизованное расписание запуска заданий на рабочих

Расписание

станциях, которые наследуют данную настройку от группы, если

заданий рабочей

она является первичной. Настройка расписания для групп

станции

аналогична настройке централизованного расписания для

станций.

Лицензионные ключи для станций, для которых данная группа

Лицензионные

является первичной.

ключи

Ограничения при распространении обновлении антивирусного

Ограничение

ПО на станциях, которые наследуют данную настройку от группы,

обновлений

если она является первичной.

рабочих станций

Список компонентов, устанавливаемых на станциях, которые

Устанавливаемые

наследуют данную настройку от группы, если она является

компоненты

первичной.

антивирусного

пакета

Редактирование списка компонентов для групп аналогично

редактированию списка компонентов для станций.

Настройка автоматического размещения станций в данной

Настройка

группе. Доступна только для пользовательских групп.

автоматического

членства в группе

Настройки компонентов антивирусного пакета. Настройка

Настройка

компонентов антивирусного пакета для группы аналогична

антивирусных

настройке компонентов для станции.

компонентов

Для групп, у которых заданы персональные настройки, в разделе Конфигурация указывается

количество вложенных групп с разорванным наследованием и собственными персональными

настройками, при наличии таковых. При нажатии на данную опцию открывается окно со

списком групп, для которых указаны их названия и идентификаторы.

Глава 7:

Комплексное управление рабочими станциями

138

- новичок (станции добавляются группу на основании наличия или отсутствия статуса

новичка);

- LDAP DN из Active Directory (набор символов, которые содержатся в LDAP DN,

или регулярное выражение);

При задании параметра LDAP DN из Active Directory необходимо:

1. Включить задание Синхронизация с Active Directory в расписании Сервера

Dr.Web (раздел Администрирование → Планировщик заданий Сервера

Dr.Web).

2. В правилах членства в качестве строки условия для параметра LDAP DN из

Active Directory задать требуемое значение DN, например:

OU=OrgUnit,DC=Department,DC=domain,DC=com

Задание регулярных выражений допускается только для варианта соответствует

регулярному выражению. Для всех остальных типов используется поиск по

точному соответствию введенной строке.

Использование регулярных выражений кратко описано в документе Приложения,

в разделе Приложение К. Использование регулярных выражений в Dr.Web

Enterprise Security Suite.

- операционная система, установленная на станции (Windows, UNIX, MacOS, Android

и другие; имеется также параметр "Неизвестно");

- номер сборки операционной системы (набор символов, которые содержатся в

номере, или регулярное выражение);

- платформа станции (версия установленной на станции операционной системы;

только для Android, Windows и MacOS);

- протокол подключения (TCP IP, TCP IPv6, UNIX);

- ID сервера Dr.Web (набор символов, которые содержатся в ID, или регулярное

выражение);

- название станции (набор символов, которые содержатся в названии, или

регулярное выражение);

- тип станции (полный агент, виртуальный агент, сканирующий сервер).

ъ Для добавления еще одного условия в данный блок правил нажмите справа от

строки условия.

d) Для добавления нового блока правил нажмите справа от блока. При этом задайте

принцип объединения данного блока условий с остальными блоками:

ъ И — условия блоков должны выполняться одновременно.

ъ ИЛИ — должны выполняться условия хотя бы одного из блоков.

5.

Для сохранения и применения заданных правил нажмите одну из следующих кнопок:

Глава 7:

Комплексное управление рабочими станциями

139

·

Применить сейчас — сохранить заданные правила членства и применить данные

правила сразу ко всем станциям, зарегистрированным на данном Сервере Dr.Web. При

большом количестве станций, подключенных к Серверу Dr.Web, выполнение данного

действия может занять некоторое время. Правила перегруппировки станций

применяются ко всем уже зарегистрированным станциям сразу при задании действия и

будут применяться в дальнейшем ко всем станциям, в том числе впервые

зарегистрированным на Сервере Dr.Web, в момент их подключения.

·

Применить при подключении станций — сохранить заданные правила членства и

применять данные правила к станциям в момент их подключения к Серверу Dr.Web.

Правила перегруппировки станций применяется ко всем уже зарегистрированным

станциям в момент их следующего подключения к Серверу Dr.Web и будут применяться

ко всем станциям, впервые зарегистрированным на Сервере Dr.Web, в момент их

первого подключения.

6.

При задании правил автоматического членства для пользовательской группы, в

иерархическом списке антивирусной сети рядом со значком этой группы появится значок

, при условии, что установлен флаг Показывать значок правил членства в списке

Настройки вида дерева на панели инструментов.

Если станция была автоматически перемещена в пользовательскую группу на

основе правил членства, то удаление станции из этой группы вручную не имеет

смысла, поскольку при следующем подключении к Серверу Dr.Web, станция будет

автоматически возвращена в эту группу.

Чтобы удалить правила автоматического включения станций в группу

1. Выберите пункт Антивирусная сеть главного меню Центра управления.

2. В иерархическом списке антивирусной сети выберите пользовательскую группу, для

которой вы хотите удалить правила членства.

3. Выполните одно из следующих действий:

·

На панели инструментов нажмите кнопку Удалить правила членства.

·

На панели свойств группы в правой части окна, в разделе Конфигурация нажмите

Удалить правила членства.

·

В управляющем меню, в секции Общие выберите пункт Свойства, перейдите на вкладку

Конфигурация, нажмите Удалить правила членства.

4. После удаления правил членства группы, все станции, помещенные в данную группу

согласно правилам членства, будут удалены из этой группы. Если для каких-либо из этих

станций данная группа была назначена администратором первичной, то при удалении

станций из группы, первичной для них будет назначена группа Everyone.

7.2.4. Сравнение станций и групп

Существует возможность сравнения станций и групп по основным параметрам.

Глава 7:

Комплексное управление рабочими станциями

141

в окне устанавливаемых компонентов,

в окне настройки прав пользователей станции.

Откроется окно с иерархическим списком антивирусной сети.

2. Выберите в этом списке группы и станции, на которые вы хотите распространить

настройки.

3. Для того чтобы выполнить изменения в конфигурации этих групп, нажмите кнопку

Сохранить.

7.3. Политики

Политика представляет собой совокупность всех существующих настроек станции: права,

расписание заданий, лицензионные ключи, ограничения обновлений, список устанавливаемых

компонентов, конфигурация антивирусных компонентов.

Политику можно назначать только станциям.

Чтобы разрешить использование политик для настройки станций

1. Выберите пункт Администрирование в главном меню Центра управления, в открывшемся

окне выберите пункт управляющего меню Конфигурация Сервера Dr.Web.

2. На вкладке Общие:

a) Установите флаг Использовать политики.

b) В поле Количество версий политики задайте максимальное количество версий,

которые могут быть созданы для каждой политики. Если при создании новой версии

политики данное количество будет превышено, то будет удалена самая старая версия

политики.

3. Нажмите Сохранить и перезапустите Сервер Dr.Web.

4. После разрешения использования политик создается предустановленная политика Default

policy. Данную политику нельзя удалить, но можно редактировать и назначать станциям.

Предустановленная политика Default policy располагается в системной группе

Policies, которая скрыта по умолчанию. Для отображения этой группы в

иерархическом списке антивирусной сети установите опцию панели инструментов

Настройки вида дерева → Показывать скрытые группы.

Для возможности управления политиками и их настройками администратору

должны быть назначены права Просмотр свойств и конфигурации политик и

Редактирование свойств и конфигурации политик.

Глава 7:

Комплексное управление рабочими станциями

143

3. При сохранении изменений новая версия политики будет создана автоматически на основе

заданных настроек политики. Созданная версия будет назначена текущей.

Только одна версия политики является текущей и может быть назначена станциям.

Настройки версии политики предоставляются только для чтения.

Чтобы изменить текущую версию политики

1. Выберите пункт Антивирусная сеть в главном меню Центра управления.

2. В иерархическом списке выберите политику, текущую версию которой вы хотите изменить.

3. На открывшейся панели свойств политики в разделе Общие в выпадающем списке

Текущая версия выберите нужную версию.

4. Нажмите кнопку Сохранить.

Удаление политики

Удалять политики можно как целиком, так и по версиям.

Чтобы удалить политику или версию политики

1. Выберите пункт Антивирусная сеть в главном меню Центра управления.

2. Выберите политику или версию политики в иерархическом списке.

3. На панели инструментов нажмите Общие → Удалить выбранные объекты.

При удалении политики обратите внимание на следующие особенности:

·

При удалении последней версии политики, сама политика также удаляется.

·

Если удаляется текущая версия политики, то текущей становится последняя

версия (с последней датой).

·

Всем станциям, которым была назначена удаленная версия политики, будет

назначена текущая версия этой политики.

7.3.2. Назначение политики станциям

Для станции может быть назначена только одна политика.

Глава 7:

Комплексное управление рабочими станциями

145

Различают следующие режимы работы профилей:

·

Отключен — профиль не активен, настройки профиля не применяются.

·

Активный — профиль активен, настройки применяются для объектов, на которые

распространен данный профиль .

·

Тестовый глобальный — профиль активен, но работает в глобальном тестовом режиме.

Тестовый режим имитирует работу Контроля приложений с полным ведением журнала

активности (см. События Контроля приложений), однако фактическая блокировка

приложений не производится.

·

Тестовый для правил — профиль активен, и на объекты распространяются настройки

функционального анализа и правил. Однако, переведенные в тестовый режим правила не

влияют на блокировку приложений. Результат имитируемой ими работы записывается в

журнал активности (см. События Контроля приложений). Тестовый режим для правил

включается и отключается в разделе настроек запрещающих и разрешающих правил.

В таблице ниже показано какие настройки задают тот или иной режим работы профиля.

Режим

Отключен

Активный

Тестовый

Тестовый для

глобальный

правил

Настройка

Общие → Включить профиль

-

+

+

+

Общие → Перевести профиль в

не активна

-

+

-

глобальный тестовый режим

<Режим> → <Правило> →

не активна

+/-

+/-

+

Включить правило

<Режим> → <Правило> →

не активна

-

+/-

+

Перевести правило в тестовый

режим

Условные обозначения

+

настройка должна быть включена

–

настройка должна быть отключена

+/-

настройка не имеет значения

не активна

настройка недоступна для редактирования

Глава 7:

Комплексное управление рабочими станциями

146

7.4.1. Создание и назначение профилей

Чтобы создать новый профиль

1. Выберите пункт Антивирусная сеть в главном меню Центра управления.

2. В открывшемся окне на панели инструментов выберите пункт Добавить объект сети →

Создать профиль.

3. На открывшейся панели задайте Название профиля. В дальнейшем вы сможете его

изменить при необходимости в разделе настроек Общие.

4. Нажмите кнопку Сохранить.

5. Новый профиль будет создан и помещен в группу Profiles.

Чтобы назначить профиль объекту

1. Выберите пункт Антивирусная сеть в главном меню Центра управления.

2. В открывшемся окне в иерархическом списке выберите профиль, который вы хотите

назначить.

3. На панели инструментов нажмите Экспортировать данные → Назначить профиль.

В открывшемся окне выберите объект распространения настроек:

·

На вкладке Active Directory представлены списки, аналогичные списку в дереве

антивирусной сети, обновляемому по заданию Синхронизация с Active Directory из

расписания Сервера Dr.Web. Данные списки содержат идентичные объекты, но

различаются по типу объектов, для которых будет назначен профиль:

ъ В списке Станции Active Directory вы можете выбрать группы станций или отдельные

станции, зарегистрированные в домене Active Directory.

ъ В списке Пользователи Active Directory вы можете выбрать группы пользователей и

отдельных пользователей, зарегистрированных в домене Active Directory.

Одни и те же объекты не должны быть выбраны в разных списках.

·

На вкладке Антивирусная сеть вы можете выбрать следующие объекты:

ъ Группы станций. В этом случае настройки будут распространятся на учетные записи

всех пользователей всех станций, входящих в данные группы.

ъ Отдельные станции в группах. В этом случае настройки будут распространятся на

учетные записи всех пользователей выбранных станций.

ъ Политики в группе Policies. В этом случае настройки будут распространяться на

учетные записи всех пользователей станций, которым назначена выбранная политика.

·

На вкладке Локальные пользователи вы можете выбрать группу пользователей или

отдельных пользователей на станциях. В этом случае настройки будут распространятся

только на учетные записи выбранных пользователей на этих станциях.

Глава 7:

Комплексное управление рабочими станциями

151

активном режиме с запуском приложений на станциях по заданным настройкам

правила (см. также режимы работы профилей).

c) В разделе Разрешать запуск приложений по следующим критериям выберите

опции, согласно которым запуск приложений на станциях будет разрешен.

В поле Имя файла укажите имя файла или каталог. Поддерживаются переменные

окружения и маски. Если не задан путь, параметр будет проинтерпретирован как

файл с указанным именем независимо от местонахождения.

Также вы можете создавать разрешающие правила из разделов События Контроля

приложений и Справочник приложений на основе данных, полученных со

станций. При этом параметры приложений в настройках правила буду заполнены

автоматически согласно выбранному приложению.

4. Нажмите Сохранить.

Чтобы создать дубликат разрешающего правила

1. В разделе Разрешающие правила в таблице правил выберите правило, которое вы

хотите продублировать для этого профиля.

2. Нажмите на панели инструментов кнопку Дублировать правило.

3. В таблице правил появится новое правило, настройки которого будут полностью

скопированы из правила, выбранного на шаге 1. В имени правила добавится цифра 1.

Чтобы удалить разрешающее правило

1. В разделе Разрешающие правила в таблице правил выберите правило, которое вы

хотите удалить из профиля.

2. Нажмите на панели инструментов кнопку Удалить правило.

Доверенные приложения

Чтобы использовать доверенные приложения, выполните одно из следующих

действий:

·

Если сбор доверенных приложений будет осуществляться на вашем Сервере Dr.Web (см.

также Репозиторий доверенных приложений), активируйте сбор доверенных приложений в

разделе Центра управления Администрирование → Контроль приложений →

Доверенные приложения.

·

Если доверенные приложения будут передаваться на ваш Сервер Dr.Web по межсерверной

связи с соседнего Сервера Dr.Web, задайте соответствующие настройки в репозиториях

Серверов Dr.Web, отправляющих и получающих продукт Доверенные приложения.

Глава 7:

Комплексное управление рабочими станциями

152

Редактирование доверенных приложений для конкретного профиля осуществляется в разделе

свойств профиля Разрешающий режим → Доверенные приложения.

Таблица раздела содержит список всех групп доверенных приложений, назначенных для

данного профиля.

Гру ппа доверенных приложений (или белый список приложений) представляет собой список

приложений, собранных по заданным критериям с выбранной станции или группы станций.

Эти приложения разрешены для запуска на станциях антивирусной сети, для которых назначен

данный профиль при работе в разрешающем режиме.

Если ваш Сервер Dr.Web получает доверенные приложения по межсерверной

связи с соседнего Сервера Dr.Web (см. Репозиторий доверенных приложений), то

таблица групп может содержать записи со значком Группа доверенных

приложений отсутствует в репозитории Сервера. Данные записи актуальны для

групп приложений, которые были добавлены из предыдущей ревизии продукта

Доверенные приложения, после чего была получена новая ревизия, в которую

данная группа не входит. При этом, приложения могут по-прежнему сохранить

работоспособность на соответствующих станциях, но чтобы предотвратить

нарушения работы профиля, рекомендуется удалить такие группы из его настроек.

Чтобы добавить группу доверенных приложений в профиль

1. В разделе Доверенные приложения нажмите на панели инструментов кнопку

Добавить группу доверенных приложений в профиль.

2. Откроется окно со списком всех доступных групп доверенных приложений.

При настройке разрешающего режима группы доверенных приложений

выбираются из списка групп, доступных в репозитории для продукта Доверенные

приложения.

3. Установите флаги напротив тех групп приложений, которые вы хотите добавить в профиль.

4. Нажмите Сохранить.

Чтобы удалить группу доверенных приложений из профиля

1. В разделе Доверенные приложения установите в таблице флаги для групп, которые вы

хотите удалить из профиля.

2. Нажмите на панели инструментов кнопку Удалить группу доверенных приложений.

3. Приложения данной группы будут удалены из списка разрешенных для запуска на станциях,

для которых назначен данный профиль.

При удалении из профиля сама группа доверенных приложений не удаляется.

Группа остается доступна в репозитории и может быть добавлена как в данный, так

Глава 7:

Комплексное управление рабочими станциями

154

В поле Имя файла укажите имя файла или каталог. Поддерживаются переменные

окружения и маски. Если не задан путь, параметр будет проинтерпретирован как

файл с указанным именем независимо от местонахождения.

Также вы можете создавать запрещающие правила из разделов События Контроля

приложений и Справочник приложений на основе данных, полученных со

станций. При этом параметры приложений в настройках правила будут заполнены

автоматически согласно выбранному приложению.

4. Нажмите Сохранить.

Чтобы создать дубликат запрещающего правила

1. В разделе Запрещающие правила в таблице правил выберите правило, которое вы

хотите продублировать для этого профиля.

2. Нажмите на панели инструментов кнопку Дублировать правило.

3. В таблице правил появится новое правило, настройки которого будут полностью

скопированы из правила, выбранного на шаге 1. В имени правила добавится цифра 1.

Чтобы удалить запрещающее правило

1. В разделе Запрещающие правила в таблице правил выберите правило, которое вы

хотите удалить из профиля.

2. Нажмите на панели инструментов кнопку Удалить правило.

содержание      ..     1      2      3      4      ..