Pracujete podle zásad společnosti Kaspersky. Možnosti tiché instalace

Velké množství článků popisuje, jak vzdáleně nainstalovat aplikaci na několik počítačů v doménová síť(INZERÁT). Mnoho lidí se ale potýká s problémem najít nebo vytvořit vhodné instalační balíčky Instalační služba Windows Installer(MSI).

Opravdu. Abyste mohli nainstalovat například FireFox pro všechny uživatele skupiny, musíte si buď sami sestavit balíček MSI (), nebo si stáhnout vhodný balíček z příslušné webové stránky. Jediná věc je, že v prvním případě - ve skutečnosti - úkol není vůbec triviální, ale ve druhém - dostaneme balíček nakonfigurovaný tak, jak jeho tvůrce chtěl, a dokonce i ve skutečnosti upravený (pochybné, ale mínus) .

Pokud vaše organizace jako antivirová ochrana používáte produkty Kaspersky Lab - a používáte administrační server - můžete instalovat programy vzdáleně i z balíčků *.exe pomocí klíčů - ke správě parametrů instalace.

Možnosti tiché instalace

Většinu programů lze nainstalovat v „tichém“ režimu, například existuje tabulka s velký početčasto používané programy a podporované přenášené parametry - během instalace. Můžete také najít velký počet přenášené instalační parametry.

Potřebujeme tedy:

• Stáhněte si standardní distribuci programu, kterou potřebujeme, z webu vývojáře (nebo odkud je obvykle získáváte)
• Najděte na internetu, které klíče tiché instalace program, který používáte, podporuje.
• Nainstalujte program do počítače uživatele pomocí aplikace Kaspersky Centrum zabezpečení

K tomu je třeba připravit instalační balíček v Kaspersky Administrační sada(KSČ). A úkol nebo jej ručně nainstalovat na požadované počítače.
Administrační panel - poskytuje plnou kontrolu (během instalace) srovnatelnou s administrací prostřednictvím skupinové zásady Win-server, ale pro mě je to ještě pohodlnější - méně triků - menší šance na chyby;)

Pokud budete instalaci programů přiřazovat ručně nebo všichni vaši uživatelé používají stejnou sadu programů, můžete tuto část přeskočit, ale pokud máte v různých odděleních ve vaší organizaci nainstalovaný jiný software, můžete tato oddělení přiřadit různé skupiny, pro které budou použity různé úlohy.

Skupiny uživatelů v KSC jsou rozděleny – podobně jako struktura používaná v AD – na adresáře a podadresáře. Úkoly a zásady používané v nadřazených skupinách se použijí na všechny podřízené skupiny.

Tímto způsobem mohou například všichni firemní uživatelé nainstalovat FireFox a Chrome a pouze návrháři Photoshopu.

Takže začneme:

1) Chcete-li vytvořit instalační balíček, musíte přejít do podsekce „Instalační balíčky“ v části „Úložiště“ na panelu vedení KSČ. Tam uvidíme seznam vytvořených jednotlivých podnikatelů, možnost založit nového, ale i upravit či smazat stávajícího.

Nový instalační balíček vytvoří se jednoduše: uvedete jeho název (jak se bude zobrazovat v KSC), vyberete „IP pro program, zadané uživatelem", označte let programu (exe, bat, cmd, msi) a zadejte parametry spouštění (klávesy tichá instalace).

Zadaný balíček lze poté použít k instalaci na vzdálené počítače.

2) Nyní musíme vytvořit úlohu pro instalaci vytvořeného balíčku. Pokud jste dříve pracovali s KSC nebo jeho předchozím analogovým Adminkit. Samotný proces vytváření úkolu pro vás nebude náročný.

Úkol můžete vytvořit buď tak, že přejdete do složky odpovídající skupiny a přejdete na kartu „Úkoly“ - vytvořit nový úkol. Nebo přejděte do části „Úlohy pro sady počítačů“ a vytvořte novou úlohu.
Nastavte název vytvořené úlohy a vyberte typ úlohy " Vzdálená instalace programy."

Vybereme program, který chceme nainstalovat, kterým skupinám uživatelů bude tato úloha přiřazena, a označíme uživatele, který smí instalovat software na všechny používané počítače (obvykle správce domény).

Jediná věc, pokud jde o nastavení, je, že jsme omezeni pouze na ty parametry, které vám vývojář umožňuje přenést při instalaci programu, a nakonfigurovat proxy server v prohlížeči pomocí příkazový řádek Je nepravděpodobné, že uspějeme. Zde nám ale pomáhají standardní zásady skupiny AD. Ostatně obvykle alternativní prohlížeče-použitý nastavení systému proxy a můžeme je přiřadit správným uživatelům přes AD. ;)

Úkol: Nezbytný pro klíčový počítač organizaci nakonfigurovat politiku pro spouštění programů podle bílé listiny, tzn. spouštění všech programů kromě „bílé listiny“ je zakázáno.
Hned řeknu, že bez tance s tamburínou nebylo možné problém vyřešit. A v zásadě ještě nejsem úplně rozhodnutý.
Na v této fázi Zatím vidím dvě nevýhody:
První je při načítáníWindowsKaspersky se nenačte okamžitě a existuje interval, během kterého můžete spustit software, který není na „bílé listině“.
Druhým je přidání softwaru do „ whitelist" Přidání se provádí pomocí hash souboru nebo jednoduše zadáním povoleného adresáře. Jen podle názvu souboru to nefunguje, nevím proč. V momentálně Komunikuji o tom s Kaspersky TP, ale zatím neexistuje žádné řešení.
Tak začněme
Máme na klientský stroj Kaspersky Koncový bod Zabezpečení 10.
1. Pojďme spustit Kaspersky Security V centru na serveru přejděte do vytvořené skupiny „Řízení spouštění aplikací“, přejděte na kartu zásad
2. Otevření zásad
3. Vyberte Workplace Control - Program Launch Control. Na pravé straně zaškrtněte políčko vedle položky Program Launch Control

4. Dále zavřete zásady
5. Přejděte do sekce „Správa programů“ – Kategorie programů

6. V horní části „Vytvořit kategorii“ – Typ kategorie (ručně aktualizovaná kategorie)
7. Zadejte název kategorie
8. Přidat - Z vlastností souboru
9. Získat data - Ze souboru10. Vyberte souborexe(vzal jsem jako příkladVynikat. exe)
11. Nastavte přepínač na File Hash a OK.
P.S. Pokud to necháte na metadatech a napíšete pouze název souboru, nebude to fungovat. Problém dosud nebyl vyřešen.12. Naše kategorie se objeví v sekci Programové kategorietest
13. Dále přejděte do vytvořené skupiny „Řízení spouštění aplikací“, přejděte na kartu Zásady
14. Otevření zásad
15. Vyberte Workplace Control - Program Launch Control
16. Povolit vše nastaveno na VYPNUTO
17. Klikněte na +Přidat a přidejte naši kategoriitest, Uživatelé - Všichni, zaškrtnutí - Důvěryhodné programy aktualizace aOK.
18. Aby se politika aktivovala, je vhodné restartovat klientský počítač. Nemusíte se přetěžovat, pak musíte počkat. Ale abych si byl 100% jistý, přetížil jsem se.

Závěry: V zásadě je to vše. Rozhodnout tento problém Můžete také použít zásady skupinyINZERÁT, což je s největší pravděpodobností rozumnější, protože filtrovat podleexesoubor v Kaspersky zatím nefunguje. A pokud vyloučíte podle hash souboru, použijte Kaspersky. Musel jsem provést aktualizaci na klientském počítači Kaspersky nejnovější verzi aby alespoň nějaká kontrola fungovala. Bez aktualizace to vůbec nefungovalo.

P.S. po aktualizaci na klientském počítači musíte spustit nástroj

22.05.2015 Vladimír Bezmalý

Zabránění spuštění aplikací z vyměnitelných médií pomocí nainstalovaného média firemní řešení Kaspersky Lab

V malých podnicích používají bezpečnostní řešení bez jediné centrumřízení, vyvstává periodicky otázka kontroly spouštění programů. co tím myslíš? Spouštění konkrétních programů a aplikací jedním nebo druhým uživatelem, nutnost blokování her, neoprávněné nainstalované prohlížeče atd. Jeden z podobné úkoly, související především s dodržováním bezpečnostního režimu, je zákaz spouštění aplikací z vyměnitelných médií. K tomu je k dispozici řada řešení. Zvážíme řešení tohoto problému pomocí nainstalovaného podnikového řešení Kaspersky Lab.

Zákaz spouštění aplikací z vyměnitelných médií pro všechny uživatele

Otevřete hlavní okno programy Kaspersky Zabezpečení koncového bodu 10 pro Windows (KES 10) a přejděte na kartu Nastavení (viz obrázek 1).

Obrazovka 1. Okno nastavení parametrů KES 10

Vlevo vyberte sekci „Ovládání spouštění aplikací“. Na kartě Nastavení nezapomeňte zaškrtnout políčko Povolit řízení spouštění programu. V opačném případě bude funkce ve výchozím nastavení zakázána. Chcete-li přidat kontrolní pravidlo, postupujte takto:

1. Klikněte na tlačítko "Přidat". Otevře se okno Pravidla pro řízení spouštění aplikací.
2. Vytvořte parametry pravidla:

a) do pole „Název“ zadejte název pravidla, například „Vyměnitelné médium“;

b) v tabulce „Včetně podmínek“ vytvořte seznam podmínek povolení pro spuštění pravidla řízení spouštění programu (v našem případě povolte „Podmínku média souboru“ (viz obrazovka 2);

c) specifikovat seznam uživatelů nebo skupin uživatelů, kteří mohou spouštět programy splňující spouštěcí pravidla. V našem případě smažte seznam „Vše“ kliknutím na tlačítko „Odstranit“;

d) specifikovat seznam uživatelů, kteří mají zakázáno spouštět programy splňující spouštěcí podmínky pravidla. V našem případě „všechno“. V případě potřeby udělte oprávnění ke spuštění místnímu správci.

Upozorňujeme, že pravidlo neřídí spouštění programů uživateli nebo skupinami uživatelů, kteří nejsou uvedeni v polích pro povolení a blokování spouštění programů.

Po dokončení výše uvedených kroků, pokud se uživatel pokusí spustit program s vyměnitelné médium zobrazí se varování zobrazené na obrazovce 3.е

Pokud chcete zakázat používání her, lze toto pravidlo nastavit pomocí tzv. KL kategorií.

Nejobtížnější je však použití různé prohlížeče a především jejich obnovu. Vzhledem k tomu, že nejjednodušší způsob je podle mého názoru aktualizace ve firemním prostředí Internet Explorer, pojďme vytvořit pravidlo, které umožní spuštění Internet Exploreru, ale zakáže použití všech ostatních prohlížečů. Za tímto účelem vytvoříme pravidlo podle následujících kroků:

1. Vyberte kategorii Blokovat všechny prohlížeče (ze seznamu kategorií KL) (viz obrazovka 4).
2. Výjimkou je Internet Explorer (viz obrázek 5).

Takže se nám snadno podařilo zakázat nechtěné prohlížeče v organizaci. A konečně, pojďme uzavřít přístup ke hrám.

Odepření přístupu ke hrám

Vytvořme, analogicky s prohlížeči, zákaz používání herní programy v organizaci. Vyberte programy z kategorie „Zábava“, podkategorie „Hry“ (viz obrazovka 7).

Jak vidíte, vytvoření zákazu her je podobné předchozímu zákazu prohlížečů.

Programů na kontrolu spouštění určitých produktů je samozřejmě mnoho a jejich bezmyšlenkovité používání nemusí nejen zlepšit, ale dokonce zhoršit zabezpečení vaší sítě a tím spíše mikroklima v týmu.

Před vytvořením určitých pravidel pro řízení spouštění programů bych doporučil nejprve vytvořit „matici rolí“ pro vaše uživatele (tedy který uživatel vykonává ten či onen úkol a podle toho potřebuje ten či onen software). Na základě toho byste měli určit požadovaný minimální software a teprve poté zavřít vše ostatní. Proč minimum? Za prvé, software stojí za ty peníze. Za druhé, čím více programy třetích stran instalované na pracovišti, tím vyšší je pravděpodobnost uživatelských chyb. A konečně, čím více programů třetích stran je na pracovišti, tím vyšší je riziko průniku do systému prostřednictvím zranitelností v konkrétním programu. A to vše negativně ovlivní jak produktivitu vašich zaměstnanců, tak obecná úroveň zabezpečení organizace.