Кейс
Проверка: кто, когда и что делал на сервере
На сервере складской системы изменились настройки, и руководителю ИТ нужно понять, кто и когда туда заходил и что делал. Журнал сеансов с записью каждого подключения — контроль привилегированного доступа (PAM) — и права с основаниями хранятся в одном продукте, поэтому ответ находится без сбора логов с разных систем.
С чего начинается
Ситуация
Что происходит
Когда на сервере что-то изменилось, первым делом нужно понять, кто туда заходил. Если подключаются напрямую по общему паролю, ответ собирают по журналам операционной системы, VPN и переписке, а что именно делал человек, восстановить уже нельзя.
Вторая половина вопроса — почему у человека вообще был доступ: кто его выдал, на какой срок и по какому поводу.
Как это устроено в INFRAX
Подключения к серверам идут через продукт, поэтому журнал сеансов один: кто, к какому узлу, каким способом и сколько работал. У каждого сеанса — карточка и запись с командами клавиатуры по времени.
Права на узлы хранятся там же, где учётные записи: у каждого права видно, выдано ли оно лично или через группу, кем, на какой срок и по какому основанию.
По шагам
Как это решается в INFRAX
Каждый шаг — экран демонстрационного стенда INFRAX 2.0: под ним подпись, что именно видно и чьими глазами. Компания «Северный склад» и все данные вымышленные.
- Шаг 01Удалённый доступ с записью PAM
Журнал сеансов
Все подключения к серверам и рабочим местам: кто, к какому узлу, каким способом, когда и сколько длилось, велась ли запись. Отбор по инициатору оставляет сеансы одного человека, отбор по записи и способу подключения сужает список дальше.
Журнал «Сессии» глазами руководителя ИТ с отбором «Инициатор: Павел»: SSH к kzn-wms-01 за шлюзом площадки, SSH к msk-files-01 и RDP к msk-ws-01, у всех «Запись: Велась». - Шаг 02Удалённый доступ с записью
Карточка сеанса
Узел с путём через площадку, инициатор, точка подключения, хронология и разрешение экрана. Запись открывается во встроенном плеере или скачивается готовым видео MP4.
Сеанс #17: kzn-wms-01 на площадке «Склад Казань», инициатор Павел Орлов, запись «Доступна», кнопки «Скачать видео» и «Просмотреть запись». - Шаг 03Удалённый доступ с записью
Запись с командами по времени
Плеер показывает экран сеанса, а справа — команды клавиатуры по времени, с поиском. Скорость меняется от 0,25× до 8×, по шкале активности видно, где шла работа.
Запись SSH-сеанса к kzn-wms-01: вывод терминала, команды клавиатуры по времени, шкала активности. - Шаг 04Вход и права IAM · SSO
Почему у человека был доступ
На вкладке «Доступ» в разделе входа и прав (IAM) видно, какие права у пользователя, выданы ли они лично или через группу, кем, на какой срок и по какому основанию. Право, которым ни разу не пользовались, тоже видно — его проще снять.
Вкладка «Доступ» подрядчика: личные права со сроком и основанием и права через группу «Подрядчики».
Результат
Что получает ИТ-служба
Ответ без сбора логов
Журнал, запись и права — в одном продукте.
Доказательство, а не догадка
Запись сеанса с командами по времени смотрится в плеере и выгружается в MP4.
Права с историей
У каждого права видно, кто и когда его выдал, лично или через группу, а срок и основание — если их задали.
Нативные клиенты тоже пишутся
Подключения по протоколам удалённого доступа RDP (через mstsc) и SSH (через свой клиент) идут через шлюз записи и попадают в тот же журнал.
В одном продукте
Задачи, которые здесь работают вместе
Ни одну из них не нужно покупать и подключать отдельно: пользователи, права, узлы и заявки у них общие.
Вопросы и документация
Вопросы
Записываются все подключения?
Записываются сеансы из браузера — RDP, SSH, VNC и консоль, включая консоли виртуальных машин, — и нативные RDP и SSH через шлюз записи. Не записываются нативный WinBox и нативные RDP и SSH в аварийном режиме «Нативные подключения напрямую (минуя шлюз записи)». Кого записывать, решает политика: по умолчанию всех, но можно исключить выбранных пользователей или записывать только их.
Где хранятся записи?
На сервере INFRAX, в вашем контуре. Для хранилища записей задаётся лимит, по умолчанию 10 ГБ: при превышении самые старые записи удаляются, а в карточке сеанса остаётся отметка «Файл удалён (ротация)». Смотреть записи может тот, у кого есть право на раздел «Сессии».
Кейсы
Другие кейсы
Крупный сбой: от сигнала мониторинга до ответа всем заявителям
Три сервера одной сети перестают отвечать, сотрудники пишут в поддержку. Инциденты собираются в одну проблему, обращения добавляются в её состав, а заявители получают один ответ.
МониторингСервис-деск ITSMУдалённый доступ с записью PAMАналитика и отчётность BIРазобрать по шагам
Новый сотрудник: одна заявка вместо писем в три отдела
Выход сотрудника оформляют одной заявкой на портале. HR, ИТ и скрипт на файловом сервере отрабатывают свои шаги, а учётная запись и ноутбук появляются в одном продукте.
Портал и процессы ESM · BPMАвтоматизация и бэкапСервис-деск ITSMВход и права IAM · SSOУчёт активов CMDB · ITAMРазобрать по шагам
Подрядчик на две недели: доступ по заявке и с записью сеансов
Подрядчик меняет коммутатор на складе. Работы ведутся в заявке, схема сети открыта ему на две недели, сеансы пишутся, а после работ доступ снимается одним действием.
Вход и права IAM · SSOУдалённый доступ с записью PAMСервис-деск ITSMЗнания и файлы KBРазобрать по шагам