Эта статья рассказывает о том, как создать Профили Состояния Устройства и Проверки Устройства, чтобы обеспечить подключение к сети только тех устройств, которые соответствуют требованиям безопасности.
Обзор
Профиль и проверки состояния устройства позволяют применять требования соответствия для удалённых пользователей перед подключением к сети. Вы можете использовать их в политике подключения клиентов и межсетевом экране Интернет и WAN для определения конкретных требований к устройствам.
Например, вы можете создать Проверку Устройства для конкретного поставщика антивирусного ПО, продукта и версии. Клиент проверяет, установлено ли это программное обеспечение на устройстве перед подключением к сети. Клиент подключается к сети, только если обнаруживает, что это программное обеспечение установлено на устройстве. Для получения дополнительной информации о потоке Соединения Клиента, смотрите Понимание Потока Соединения Клиента Cato.
Можно настроить различные Проверки Устройства. См. раздел Поддерживаемые проверки устройства для списка доступных проверок устройств и раздел Работа с конкретными проверками устройств и функциями для дополнительной информации по каждой проверке.
Проверки Устройства можно добавить в Профили Устройства, которые могут содержать несколько проверок. Профили устройства можно добавить в Политику Подключения Клиента для определения, какие устройства разрешены для подключения к сети.
Профили Устройства также могут использоваться в межсетевом экране Интернет и WAN для создания правил, включающих условный доступ, основанный на фактическом устройстве конечного пользователя. Для получения дополнительной информации о использовании проверок устройства в политике файервола, смотрите Добавление условий устройства в правила файервола. Вы можете мониторить количество устройств, соответствующих каждому Профилю Состояния Устройства, на Панели Управления Удаленными Пользователями.
Для получения дополнительной информации о повышении эффективности Проверок Устройства, смотрите Политика доступа клиента - Улучшенные проверки состояния.
Лучшие практики: Рекомендуем включить Расширенные настройки, чтобы Клиент непрерывно проверял состояние устройства. Для получения дополнительной информации, смотрите Политика доступа клиента - Улучшенные проверки состояния.
Проверки устройства на сайте Socket
Профили Состояния Устройства применяются к устройствам, подключающимся к вашей сети через Сокет. Это позволяет применять те же Профили состояния устройства, независимо от физического местоположения устройства. Например, управляющий по продажам работает два дня в офисе и три дня удаленно. Профиль Состояния Устройства применяется к его устройству когда и где бы он ни подключался к Кейто.
Поддерживаемые проверки устройств
Это минимальные требования к версии Клиента для Проверок Устройства. Смотрите Работа с определенными проверками устройства и функциональностью для подробностей о каждой проверке устройства.
Проверки устройства | Windows | macOS | Linux | iOS | Android |
|---|---|---|---|---|---|
Анти-Малваре | 5.2 | 5.2 | 5.1 |
|
|
Файервол | 5.4 | 5.2 | 5.1 |
|
|
Шифрование диска | 5.5 | 5.6 |
|
|
|
Управление патчами | 5.5 | 5.2 | 5.2 |
|
|
Сертификат устройства | 5.5 | 5.4 | 5.1 | 5.3 | 5.0.1.115 |
Предотвращение утечки данных | 5.9 | 5.4.3 | 5.2 |
|
|
Версия клиента Cato | 5.0 | 5.0 | 5.0 |
|
|
Запущенный процесс | 5.11 | 5.7 |
|
|
|
Ключи реестра | 5.11 |
|
|
|
|
Список свойств (plist) |
| 5.7 |
|
|
|
Версия ОС | 6.8.2 | 6.1 | 5.9 | 5.6 | |
Проверки устройства, примененные к пользователям в офисе | 5.7 | 5.8 | 5.3 |
|
|
Пустая ячейка указывает на то, что проверка устройства не поддерживается в операционной системе.
Известные Ограничения услуг
После создания проверки устройства, страницу необходимо обновить, чтобы новая проверка была включена в профиль устройства
Подготовка к использованию проверок устройств
Каждая проверка устройства может включать следующие настройки:
Один тип теста устройства (например, Антивирус или Файервол)
Производитель, продукт и версия (для всех проверок, кроме Запущенных Процессов, Ключа Реестра и Списка Свойств)
Вы можете выбрать любую версию, специфическую версию или минимальную/максимальную версию (больше чем или меньше чем)
Примечание: В проверке устройства фаервола, если вы выберете встроенный фаервол macOS от Apple, номер версии относится к номеру версии macOS
Для проверок состояния устройства типа Антивирус, Файервол, Управление патчами и DLP, вы можете создать общую проверку для любого поддерживаемого производителя или продукта. Например, вы можете создать проверку для разрешения доступа к устройству с установленными любыми поддерживаемыми антивирусными решениями. Для списка поддерживаемых производителей и продуктов, смотрите выпадающие списки в разделе Производитель панели новой проверки устройства.
Настройка проверок устройств
Проверки устройства определяют критерии, которым должно соответствовать устройство, чтобы подключиться к сети. После создания проверки добавьте её в профиль устройства для применения требований статуса.
|
Для настройки проверки устройства:
Из меню навигации выберите Ресурсы > Состояние устройства.
Выберите вкладку Проверки устройства.
Нажмите на Новый. Откроется панель Новая проверка устройства.
Настройте параметры для проверки устройства.
Нажмите Применить, а затем Сохранить.
Настройка профилей устройства
После создания проверки устройства вы можете добавить её в профиль устройства, чтобы она была включена в правила политик подключения клиента или фаервола для применения требований статуса.
Для настройки профиля устройства:
Из меню навигации выберите Ресурсы > Состояние устройства.
Выберите вкладку Профили состояния устройства.
Нажмите на Новый.
Откроется панель Новый профиль устройства.
Настройте параметры для профиля устройства, и добавьте необходимые проверки устройства (которые вы создали в предыдущем разделе).
Нажмите Применить, а затем нажмите Сохранить.
Создание профиля с несколькими проверками
При создании Профиля Устройства с несколькими проверками между ними устанавливается связь И. Это означает, что устройство должно соответствовать требованиям всех проверок устройства, чтобы применить действие правила к устройству.
Следующий пример показывает Пример Профиля Устройства, который включает эти проверки:
Управление патчами - Пример управления патчами
Шифрование диска - Пример шифрования диска
Работа с конкретными проверками устройств и функциями
В следующих разделах изложена важная информация о конкретных проверках устройства и функциях.
Работа с проверками сертификатов устройства
Вы можете создать проверки устройства для сертификатов, установленных на конечном устройстве пользователя, определённом для вашей учётной записи. Проверка подтверждает, что пара ключей пользовательского сертификата установлена на устройстве и подписана и выдана одним из центров сертификации, связанных с вашим аккаунтом. Чтобы проверка состояния обнаружила сертификат, он должен быть установлен в локальном хранилище личных сертификатов в виде комбинированной ключевой пары пользовательского сертификата.
Только сертификаты RSA являются допустимыми для состояния устройства.
Работа с проверками шифрования диска
Вы можете определить один или несколько путей диска, которые зашифрованы (например, весь корневой путь зашифрован, C:\ или Macintosh HD). Поддерживается только программное шифрование (аппаратное шифрование не поддерживается).
Заметка:
Если проверка не проходит на устройстве MacOS, убедитесь, что у пользователей есть разрешения на изменение имени тома по умолчанию. Если имя тома не совпадает с определенным путем, проверка состояния устройства не будет пройдена.
Для устройств с несколькими разделами вы можете указать, какой раздел зашифрован. Когда вы определяете несколько путей диска для устройства, проверка подтверждает, что все пути зашифрованы.
Работа с проверками версии клиента Cato
Вы можете создать проверки устройства для версии клиента, установленной на конечном устройстве.
Чтобы разрешить точную версию Клиента, используйте оператор Равно
Чтобы разрешить конкретную версию Клиента, используйте оператор Равно или выше
Работа с проверками работающих процессов
Проверки запущенных процессов поддерживаются на устройствах Windows и macOS.
Проверки работающих процессов на устройствах Windows
Вы можете создать проверку устройства, чтобы убедиться, что процесс запущен на устройстве, с необязательной проверкой, что он подписан указанным идентификатором сертификата. Для настройки этой проверки вы можете включить либо имя процесса, либо полный путь процесса и, при необходимости, отпечаток сертификата подписанта.
Вы можете определить отпечаток сертификата подписания в свойствах процесса. Например, для процесса CatoClient.exe отпечаток сертификата подписания - 81d821c152fa98db1c950b87d435122e5a0b451d.
Чтобы идентифицировать отпечаток сертификата подписи:
Щелкните правой кнопкой мыши по процессу и выберите Свойства.
На вкладке Цифровые подписи выберите нужный сертификат и нажмите Подробности.
Отображается окно Подробности цифровой подписи.
Нажмите Просмотр сертификата.
На вкладке Подробности щелкните по Отпечаток.
Отображается отпечаток сертификата подписания.
Примечание: Имя процесса и путь процесса не чувствительны к регистру.
Проверки работающих процессов на устройствах macOS
Вы можете создать проверку устройства, чтобы убедиться, что процесс запущен на устройстве, с необязательной проверкой, что он подписан указанным идентификатором команды. Чтобы определить Идентификатор команды, в терминале выполните команду codesign, за которой следует полный путь процесса. ID команды возвращается. Например, для процесса /Applications/CatoClient.app/Contents/MacOS/CatoClient, Идентификатор команды будет CKGSB8CH43:
Имена процессов могут содержать символы Unicode и учитывают регистр.
Известные ограничения проверок процессов на устройствах macOS
Проверка приложений не поддерживается, полный путь процесса должен быть включен в конфигурацию
Работа с проверками ключей реестра
Чтобы создать проверку для ключа реестра, необходимо указать:
Полный путь к ключу реестра
Имя значения (вы можете выбрать проверку на значение по умолчанию или специфическое значение)
Данные значения (вы можете выбрать проверку на любое значение или специфическое значение)
Заметка:
Примечание: символы, отличные от ASCII, для ключей реестра или имен значений не поддерживаются.
Все типы данных поддерживаются. В одном реестровом ключе с несколькими строками разделите строки вертикальной чертой (| ). Формат данных в двоичном значении или типе двоичного значения — это HEX-представление первых 16 байтов, например 0102030405060708090A0B0C0D0E0F10.
Чтобы определить имя значения и данные значения, в редакторе реестра дважды щелкните по ключу реестра, который вы проверяете. В приведенном ниже примере Имя ключевого значения — start_minimized, а Значение ключа данных — 0.
Работа с проверками списка свойств
Чтобы создать проверку для файла списка свойств (plist), необходимо указать полный путь к файлу plist для проверки. Вы можете настроить проверку, чтобы удостовериться, что:
Специфический ключ существует в plist, выбрав Любое значение
Специфический ключ и значение существуют в plist, выбрав Специфическое.
Чтобы определить имя ключа и значение в plist, откройте файл в текстовом редакторе. В приведенном ниже примере имя ключа — Label, а значение — com.catonetworks.mac.CatoClient.helper.
Поддерживаемые типы данных списка свойств
Поддерживаются следующие типы данных plist:
Строки
Целые числа
Эти вложенные типы данных:
Строка
Целые числа
Известные ограничения проверки списка свойств
Имя пути может содержать только символы UTF-8
Файлы plist в папках пользователей не поддерживаются
Работа с защитой в реальном времени
В разделе Критерии вы также можете выбрать Включить Защиту в реальном времени, и Подключенное Устройство непрерывно проверяется на соответствие Проверке Устройства.
Работа с проверками версии ОС
Можно определить минимальную Версия ОС с возможностью указать младшую версию.
Выберите Пропустить проверку устройства для нераспознанной версии ОС для разрешения устройствам пройти проверку, если их версия ОС не может быть идентифицирована.
Эта проверка включает оператор ИЛИ. Это позволяет вам создать одну проверку для нескольких версий ОС.
Заметка:
При создании проверки для Windows:
Windows 10 и Windows 11 считаются отдельными продуктами
Если создать правило с оператором выше, правило применяется к младшей версии данного продукта. Например, если вы создаете правило для применения к версиям Windows 10, превышающим 21H2, правило не применяется к Windows 11.
Работа с Неподдерживаемыми клиентами Cato
Иногда вам нужно приспособить Клиентов в вашей организации, которые в настоящее время не поддерживают Состояние устройства, и разрешить этим Клиентам доступ в Сеть. Когда вы настраиваете Проверку устройства, раздел Критерии позволяет выбрать поведение для Клиентов, которые не поддерживают Статус устройства.
Когда неподдерживаемый Клиент соответствует настройкам правила, за исключением профиля, предлагаются следующие варианты поведения:
Пропустить проверку устройства, и разрешить неподдерживаемым клиентам подключиться к сети
Блокировать неподдерживаемые клиенты, так как они не могут соответствовать требованиям проверки устройства
Мы рекомендуем минимизировать область и влияние Проверок устройства, которые позволяют неподдерживаемым Клиентам в вашей организации. Чем меньше разрешено неподдерживаемых Клиентов, тем сильнее Политика подключения клиента.
Поддерживаемые версии OPSWAT для каждого клиента
Клиент Cato использует следующие версии OPSWAT:
Клиенты для Windows
Клиент для Windows v6.12.6 использует OPSWAT v4.3.6344
Клиент для Windows v6.12 использует OPSWAT v4.3.6344
Клиент для Windows v6.8.3 использует OPSWAT v4.3.5908
Клиент для Windows v6.4 использует OPSWAT v4.3.5908
Клиент для Windows v6.2 использует OPSWAT v4.3.5495
Клиент для Windows v6.0 использует OPSWAT v4.3.5495
Клиент для Windows v5.17 использует OPSWAT v4.3.4761
Клиент для Windows v5.16 использует OPSWAT v4.3.4582
Клиент для Windows v5.15 использует OPSWAT v4.3.4548
Клиент для Windows v5.14.5 использует OPSWAT v4.3.4373
Клиент для Windows v5.14 использует OPSWAT v4.3.4487
Клиент для Windows v5.13 использует OPSWAT v4.3.4373
Клиент для Windows v5.12 использует OPSWAT v4.3.4195
Клиент для Windows v5.11 использует OPSWAT v4.3.3896
Клиенты для macOS
Клиент macOS v6.0.1 использует OPSWAT v4.3.5584
Клиент macOS v5.12 использует OPSWAT v4.3.4973
Клиент macOS v5.11 использует OPSWAT v4.3.4702
Клиент macOS v5.10 использует OPSWAT v4.3.4222
Клиент macOS v5.9 использует OPSWAT v4.3.4025
Клиент macOS v5.8.5 использует OPSWAT v4.3.3952
Клиент macOS v5.8.0 использует OPSWAT v4.3.3952
Клиент macOS v5.7 использует OPSWAT v4.3.3479
Клиент macOS v5.6 использует OPSWAT v4.3.3479
Клиенты Linux
Клиент Linux v5.6 использует OPSWAT v4.3.4572
Клиент Linux v5.5 использует OPSWAT v4.3.3700
Клиент Linux v5.4 использует OPSWAT v4.3.3558
Клиент Linux v5.3 использует OPSWAT v4.3.3509
Клиент Linux v5.2 использует OPSWAT v4.3.2690
Клиент Linux v5.1 использует OPSWAT v4.3.2690