Настройка проверки требований безопасности (HIP)

Проверка конечных устройств на соответствие требованиям безопасности (комплаенсу) выполняется с помощью технологии Host Information Profile (HIP). Для этого создаются HIP-объекты и HIP-профили.

HIP-объект содержит критерии, которым должно соответствовать конечное устройство (например, версия ОС, состояние антивируса, наличие обновлений). Критерии внутри HIP-объекта объединяются по условию «И» — устройство должно удовлетворять каждому из них. Из нескольких HIP-объектов формируется HIP-профиль.

HIP-профили используются в правилах межсетевого экрана и позволяют управлять сетевым доступом конечного устройства. Так, например, можно разрешить доступ к сетевой зоне или приложению только устройствам с включенным межсетевым экраном и актуальными обновлениями.

Для настройки проверки требований безопасности необходимо:

1) создать HIP-объекты;

2) создать HIP-профиль, добавив в него HIP-объекты и выбрав условие проверки объектов в профиле;

3) указать HIP-профили в правилах межсетевого экрана конечного устройства.

Создание HIP-объекта

Чтобы создать HIP-объект:

1. В разделе Управление областью ➜ Конечные устройства ➜ HIP-объекты нажмите Добавить.

2. На вкладке Общие выполните следующее:

• Укажите название и при необходимости описание HIP-объекта.

• Укажите версию Windows конечного устройства.

При выборе значения ANY версия ОС может быть любой. Для указания конкретной версии доступны операторы: = (версия совпадает с указанной) и != (версия не совпадает с указанной).

• Укажите версию UserGate Client конечного устройства.

При выборе значения ANY версия UserGate Client может быть любой. Для указания конкретной версии доступны операторы сравнения (=, !=, <, >, <=, >=), а также операторы соответствия маске (~ и !~).

3. На вкладке Безопасность укажите состояние межсетевого экрана, антивируса, а также функций автоматического обновления (AutoUpdate) и шифрования дисков (BitLocker) на конечном устройстве:

• Не проверять — состояние не учитывается;

• Нет — компонент отключен;

• Да — компонент включен.

4. На вкладке Продукты добавьте типы программного обеспечения конечного устройства:

• Антивирус — для антивирусного ПО укажите статус установки, состояние и актуальность антивирусных баз, а также выберите необходимые продукты из списка по кнопке Добавить.

• Межсетевой экран — для межсетевых экранов укажите статус установки, состояние и версию, а также выберите необходимые продукты из списка по кнопке Добавить.

• Резервное копирование — для ПО резервного копирования укажите статус установки и версию, а также выберите необходимые продукты из списка по кнопке Добавить.

• Шифрование диска — для ПО шифрования диска укажите статус установки и версию, а также выберите необходимые продукты из списка по кнопке Добавить.

• DLP — для ПО предотвращения утечек информации укажите статус установки и версию, а также выберите необходимые продукты из списка по кнопке Добавить.

• Управление обновлениями — для ПО управления обновлениями укажите статус установки и версию, а также выберите необходимые продукты из списка по кнопке Добавить.

5. На вкладке Процессы добавьте процессы конечного устройства.

Список запущенных на конечном устройстве процессов доступен при просмотре подробной информации о конечном устройстве.

6. На вкладке Запущенные службы добавьте службы конечного устройства.

Список запущенных на конечном устройстве служб доступен при просмотре подробной информации о конечном устройстве.

7. На вкладке Ключи реестра добавьте ключи реестра Windows конечного устройства.

Список ключей реестра конечного устройства доступен при просмотре подробной информации о конечном устройстве.

При добавлении ключа реестра выполните следующее:

• Укажите полный путь к ключу.

Путь должен начинаться с символа \ (например, \HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run).

• Укажите название параметра внутри ключа.

Название не должно содержать символ \. Например, для пути \HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run названием параметра может быть SecurityHealth.

• Выберите тип данных (REG_SZ — строковый, REG_BINARY — двоичный, REG_DWORD — 32-разрядное целое число), оператор сравнения и значение параметра.

Подробнее о разделах реестра Windows — в документации Microsoft.

8. На вкладке Установленные обновления настройте проверку наличия обновлений Microsoft на конечном устройстве:

• выберите условие проверки: Все (все указанные обновления) или Любой (хотя бы одно из указанных обновлений);

• выберите режим проверки: MATCH (обновления установлены) или NOT MATCH (обновления не установлены);

• нажмите Добавить и укажите номер статьи базы знаний Microsoft (KB) (например, KB5013624).

9. Нажмите Сохранить.

Создание HIP-профиля

Чтобы создать HIP-профиль:

1. В разделе Управление областью ➜ Конечные устройства ➜ HIP-профили нажмите Добавить.

2. На вкладке Общие укажите название и при необходимости описание профиля.

3. На вкладке HIP-объекты нажмите Добавить.

4. Выберите HIP-объект в списке по кнопке Добавить.

При добавлении второго и последующих HIP-объектов вы можете выбрать условие применения каждого объекта в HIP-профиле:

• И — устройство должно соответствовать этому объекту и всем остальным;

• ИЛИ — устройство должно соответствовать этому объекту или любому другому;

• И НЕ — устройство должно соответствовать всем объектам, кроме этого;

• ИЛИ НЕ — устройство должно соответствовать любому объекту, кроме этого.

Вы также можете создавать и добавлять новые HIP-объекты по ссылке Создать и добавить новый объект.

5. Нажмите Сохранить.

Созданный HIP-профиль отобразится в таблице HIP-профили. Теперь вы можете использовать его в правилах межсетевого экрана.