Содержание
- Обнаружение устройств в сети
- Сценарий: Обнаружение сетевых устройств
- Нераспределенные устройства
- Обнаружение устройств
- Работа с Windows-доменами Просмотр и изменение параметров домена
- Настройка правил хранения для нераспределенных устройств
- Работа с IP-диапазонами
- Работа с группами Active Directory. Просмотр и изменение параметров группы
- Создание правил автоматического перемещения устройств в группы администрирования
- Использование динамического режима VDI на клиентских устройствах
- Инвентаризация оборудования
Обнаружение устройств в сети
В этом разделе описаны шаги, которые вы должны выполнить после установки Kaspersky Security Center.
Сценарий: Обнаружение сетевых устройств
Вы должны выполнить поиск устройств перед установкой программ безопасности. При обнаружении сетевых устройств можно получить о них информацию и управлять ими с помощью политик. Регулярные опросы сети необходимы для проверки появления новых устройств и наличия обнаруженных ранее устройств в сети.
Прежде чем начать опрос сети, убедитесь, что SMB-протокол включен. Иначе Kaspersky Security Center не сможет обнаружить устройства в опрашиваемой сети. Чтобы включить протокол SMB, следуйте инструкциям для вашей операционной системы.
Обнаружение сетевых устройств состоит из следующих этапов:
- Первоначальное обнаружение устройств
Мастер первоначальной настройки выполняет начальное обнаружение устройств и помогает найти сетевые устройства, такие как компьютеры, планшеты и мобильные телефоны. Вы можете также запустить обнаружение устройств вручную.
- Настройка будущих опросов
Определите, какой тип обнаружения устройств вы хотите регулярно использовать. Убедитесь, что этот тип включен и что расписание опроса соответствует требованиям вашей организации. При настройке расписания опроса опирайтесь на рекомендации для частоты опросов сети.
- Задание правил для добавления обнаруженных устройств в группы администрирования (если требуется)
Новые устройства появляются в сети в результате их обнаружения при опросах сети. Они автоматически попадают в группу Нераспределенные устройства. При необходимости можно настроить правила автоматического перемещения этих устройств в группу Управляемые устройства. Можно также настроить правила хранения.
Если вы пропустили этап, на котором задаются правила, все новые обнаруженные устройства будут помещены в группу Нераспределенные устройства. Вы можете переместить эти устройства в группу Управляемые устройства вручную. Если вы вручную переместили устройства в группу Управляемые устройства, вы можете проанализировать информацию о каждом из устройств и решить, требуется ли переместить его в группу администрирования и в какую.
Результаты
Завершение сценария дает следующее:
- Сервер администрирования Kaspersky Security Center обнаруживает устройства в сети и предоставляет информацию о них.
- Настроены будущие опросы сети и расписание их запуска.
- Новые обнаруженные устройства распределены в соответствии с заданными правилами. Если правила не заданы, устройства остаются в группе Нераспределенные устройства.
Нераспределенные устройства
В этом разделе представлена информация о работе с устройствами сети организации, не входящими в группы администрирования.
Обнаружение устройств
В этом разделе описаны типы обнаружения устройств, доступные в Kaspersky Security Center, а также приведена информация об использовании каждого из них.
Во время регулярных опросов сети Сервер администрирования получает информацию о структуре сети и устройствах в сети. Данные записываются в базу данных Сервера администрирования. Сервер администрирования может проводить следующие типы опросов сети:
- Опрос сети Windows. Сервер администрирования может проводить два типа опросов сети Windows: быстрый и полный. При быстром опросе Сервер администрирования получает только информацию о списке NetBIOS-имен устройств всех доменов и рабочих групп сети. При полном опросе с каждого клиентского устройства запрашивается более подробная информация, например, имя операционной системы, IP-адрес, DNS-имя и NetBIOS-имя. По умолчанию включены быстрый и полный опрос. При опросе сети Windows может не удаться обнаружить устройства, например, если роутером или сетевым экраном закрыты порты UDP 137, UDP 138, TCP 139.
- Опрос Active Directory. Сервер администрирования получает информацию о структуре групп Active Directory, а также информацию о DNS-именах устройств, входящих в группы Active Directory. По умолчанию этот тип опроса включен. При использовании Active Directory рекомендуется использовать опрос Active Directory. В противном случае Сервер администрирования не сможет обнаружить устройства. Если используется Active Directory, но отдельные сетевые устройства не являются его членами, эти устройства не удастся обнаружить при опросе Active Directory.
- Опрос IP-диапазонов. Сервер администрирования опрашивает указанные IP-диапазоны с помощью ICMP-пакетов или NBNS-протоколов и получает полную информацию об устройствах, входящих в IP-диапазоны. По умолчанию этот тип опроса выключен. Не рекомендуется использовать этот тип опроса, если вы используете опрос сети Windows и/или опрос Active Directory.
- Опрос Zeroconf. Точка распространения выполняет опрос IPv6-сети, используя сеть с нулевой конфигурацией (далее также Zeroconf). По умолчанию этот тип опроса выключен. Вы можете использовать опрос Zeroconf, если точка распространения работает под управлением Linux.
Если вы настроили и включили правила перемещения устройств, новые обнаруженные устройства будут автоматически перемещаться в группу Управляемые устройства. Если правила перемещения устройств не включены, новые обнаруженные устройства будут автоматически перемещаться в группу Нераспределенные устройства.
Можно изменить параметры обнаружения устройств для каждого типа. Например, может потребоваться изменить расписание опроса или указать, нужно опрашивать весь лес Active Directory или только определенный домен.
Прежде чем начать опрос сети, убедитесь, что SMB-протокол включен. Иначе Kaspersky Security Center не сможет обнаружить устройства в опрашиваемой сети. Чтобы включить протокол SMB, следуйте инструкциям для вашей операционной системы.
Опрос сети Windows
Об опросе сети Windows
При быстром опросе Сервер администрирования получает только информацию о списке NetBIOS-имен устройств всех доменов и рабочих групп сети. Во время полного опроса с каждого клиентского устройства запрашивается следующая информация:
- имя операционной системы;
- IP-адрес;
- DNS-имя;
- NetBIOS-имя.
Как во время быстрого опроса, так и во время полного опроса необходимо:
- наличие открытых портов UDP 137/138, TCP 139, UDP 445, TCP 445;
- SMB-протокол включен.
- служба Microsoft Computer Browser должна использоваться, и устройство, которое выполняет роль основного браузера, должно быть доступно на Сервере администрирования;
- служба Microsoft Computer Browser должна использоваться, и устройство, которое выполняет роль основного браузера, должно быть доступно на клиентском устройстве:
- наличие хотя бы одного устройства, если количество сетевых устройств не превышает 32;
- наличие как минимум одного устройства на каждые 32 сетевых устройства.
Полный опрос сети может быть запущен, только если быстрый опрос был запущен как минимум один раз.
Просмотр и изменение параметров опроса сети Windows
Чтобы изменить параметры опроса сети Windows:
- В дереве консоли в папке Обнаружение устройств выберите вложенную папку Домены.
Вы можете перейти в папку Обнаружение устройств из папки Нераспределенные устройства по кнопке Опросить сейчас.
В рабочей области подпапки Домены отображается список устройств.
- Нажмите на кнопку Опросить сейчас.
Откроется окно свойств домена. При необходимости настройте параметры опроса сети Windows:
Если требуется запустить опрос сети сразу, нажмите на кнопку Опросить сейчас. Будут запущены оба типа опроса.
На виртуальном Сервере администрирования просмотр и изменение параметров опроса сети Windows осуществляется в окне свойств точки распространения, в разделе Обнаружение устройств.
Опрос Active Directory
Используйте опрос Active Directory, если вы используете Active Directory; в противном случае рекомендуется использовать другие типы опросов. Если используется Active Directory, но отдельные сетевые устройства не являются его членами, эти устройства не удастся обнаружить при опросе Active Directory.
Прежде чем начать опрос сети, убедитесь, что SMB-протокол включен. Иначе Kaspersky Security Center не сможет обнаружить устройства в опрашиваемой сети. Чтобы включить протокол SMB, следуйте инструкциям для вашей операционной системы.
Просмотр и изменение параметров опроса Active Directory
Чтобы просмотреть и изменить параметры опроса групп Active Directory:
- В дереве консоли в папке Обнаружение устройств выберите вложенную папку Active Directory.
Также вы можете перейти в папку Обнаружение устройств из папки Нераспределенные устройства по кнопке Опросить сейчас.
- Нажмите на кнопку Настроить параметры опроса.
В результате откроется окно свойств Active Directory. При необходимости настройте параметры опроса групп Active Directory:
Если требуется запустить опрос сети сразу, нажмите на кнопку Опросить сейчас.
На виртуальном Сервере администрирования просмотр и изменение параметров опроса групп Active Directory осуществляются в окне свойств точки распространения, в разделе Обнаружение устройств.
Опрос IP-диапазонов
Сервер администрирования опрашивает указанные IP-диапазоны с помощью ICMP-пакетов или NBNS-протоколов и получает полную информацию об устройствах, входящих в IP-диапазоны. По умолчанию этот тип опроса выключен. Не рекомендуется использовать этот тип опроса, если вы используете опрос сети Windows и/или опрос Active Directory.
Прежде чем начать опрос сети, убедитесь, что SMB-протокол включен. Иначе Kaspersky Security Center не сможет обнаружить устройства в опрашиваемой сети. Чтобы включить протокол SMB, следуйте инструкциям для вашей операционной системы.
Просмотр и изменение параметров опроса IP-диапазонов
Чтобы просмотреть и изменить параметры опроса групп IP-диапазона:
- В дереве консоли в папке Обнаружение устройств выберите вложенную папку IP-диапазоны.
Вы можете перейти в папку Нераспределенные устройства из папки Обнаружение устройств по кнопке Опросить сейчас.
- Если вы хотите, в подпапке IP-диапазоны нажмите на кнопку Добавить подсеть, чтобы добавить IP-диапазон для опроса, а затем нажмите ОК.
- Нажмите на кнопку Настроить параметры опроса.
Откроется окно свойств IP-диапазонов. Если требуется, можно поменять параметры опроса IP-диапазонов:
Если требуется запустить опрос сети сразу, нажмите на кнопку Опросить сейчас. Эта кнопка доступна, только если выбран параметр Разрешить опрос IP-диапазона.
На виртуальном Сервере администрирования просмотр и изменение параметров опроса IP-диапазонов осуществляются в окне свойств точки распространения, в разделе Обнаружение устройств. Клиентские устройства, найденные в результате опроса IP-диапазонов, отображаются в папке Домены виртуального Сервера.
Опрос Zeroconf
Этот тип опроса поддерживается только для точек распространения с операционными системами Linux.
Точка распространения может опрашивать сети, в которых есть устройства с IPv6-адресами. В этом случае IP-диапазоны не указываются, и точка распространения опрашивает всю сеть, используя сеть с нулевой конфигурацией (далее также Zeroconf). Чтобы начать использовать Zeroconf, вы должны установить утилиту avahi-browse на точке распространения.
Чтобы включить опрос Zeroconf:
- В дереве консоли в папке Обнаружение устройств выберите вложенную папку IP-диапазоны.
Вы можете перейти в папку Нераспределенные устройства из папки Обнаружение устройств по кнопке Опросить сейчас.
- Нажмите на кнопку Настроить параметры опроса.
- В открывшемся окне свойств IP-диапазонов выберите Включить опрос с помощью технологии Zeroconf.
После этого точка распространения начинает опрашивать вашу сеть. В этом случае указанные IP-диапазоны игнорируются.
В началоРабота с Windows-доменами Просмотр и изменение параметров домена
Чтобы изменить параметры домена:
- В дереве консоли в папке Обнаружение устройств выберите вложенную папку Домены.
- Выберите домен и откройте окно его свойств одним из следующих способов:
- В контекстном меню домена выберите пункт Свойства.
- По ссылке Показать свойства группы.
В открывшемся окне Свойства: <Имя домена> можно настроить параметры выбранного домена.
Настройка правил хранения для нераспределенных устройств
После того как опрос сети Windows завершен, обнаруженные устройства помещаются в подгруппы группы администрирования Нераспределенные устройства. Эта группа администрирования находится по следующему пути: Дополнительно → Обнаружение устройств → Домены. Папка Домены является родительской группой. Папка содержит дочерние группы, имена которых соответствуют доменам и рабочим группам, которые были обнаружены во время опроса сети. Родительская группа может также содержать группы администрирования мобильных устройств. Вы можете настроить правила хранения нераспределенных устройств для родительской группы администрирования и для каждой дочерней группы. Правила хранения не зависят от параметров опроса сети и работают, даже если опрос сети выключен.
Чтобы настроить правила хранения нераспределенных устройств:
- В дереве консоли в папке Обнаружение устройств выполните одно из следующих действий:
- Чтобы настроить параметры родительской группы, в контекстном меню папки Домены выберите пункт Свойства.
Откроется окно свойств родительской группы.
- Чтобы настроить параметры дочерней группы, в контекстном меню дочерней группы выберите пункт Свойства.
Откроется окно свойств дочерней группы.
- Чтобы настроить параметры родительской группы, в контекстном меню папки Домены выберите пункт Свойства.
- В разделе Устройства укажите следующие параметры:
Ваши изменения сохранены и применены.
Работа с IP-диапазонами
Вы можете настраивать параметры существующих IP-диапазонов, а также создавать новые IP-диапазоны.
Создание IP-диапазона
Чтобы создать IP-диапазон:
- В дереве консоли в папке Обнаружение устройств выберите вложенную папку IP-диапазоны.
- В контекстном меню папки выберите пункт Новый → IP-диапазон.
- В открывшемся окне Новый IP-диапазон настройте параметры создаваемого IP-диапазона.
В результате созданный IP-диапазон появится в составе папки IP-диапазоны.
Просмотр и изменение параметров IP-диапазона
Чтобы изменить параметры IP-диапазона:
- В дереве консоли в папке Обнаружение устройств выберите вложенную папку IP-диапазоны.
- Выберите IP-диапазон и откройте окно его свойств одним из следующих способов:
- В контекстном меню IP-диапазона выберите пункт Свойства.
- По ссылке Показать свойства группы.
В открывшемся окне Свойства: <Название IP-диапазона> можно настроить параметры выбранного IP-диапазона.
Работа с группами Active Directory. Просмотр и изменение параметров группы
Чтобы изменить параметры группы Active Directory:
- В дереве консоли в папке Обнаружение устройств выберите вложенную папку Active Directory.
- Выберите группу Active Directory и откройте окно ее свойств одним из следующих способов:
- В контекстном меню IP-диапазона выберите пункт Свойства.
- По ссылке Показать свойства группы.
В открывшемся окне Свойства: <Название группы Active Directory> можно настроить параметры выбранной группы Active Directory.
Создание правил автоматического перемещения устройств в группы администрирования
Вы можете настроить автоматическое перемещение устройств, обнаруживаемых при опросе сети организации, в группы администрирования.
Чтобы настроить правила автоматического перемещения устройств в группы администрирования:
- В дереве консоли выберите папку Нераспределенные устройства.
- В рабочей области папки нажмите на кнопку Настроить правила.
Откроется окно Свойства: Нераспределенные устройства. Настройте правила автоматического перемещения устройств в группы администрирования в разделе Перемещение устройств.
На устройстве будет выполнено первое применимое правило в списке (сверху вниз в списке).
Использование динамического режима VDI на клиентских устройствах
В сети организации может быть развернута виртуальная инфраструктура с использованием временных виртуальных машин. Kaspersky Security Center обнаруживает временные виртуальные машины и добавляет данные о них в базу данных Сервера администрирования. После завершения работы пользователя с временной виртуальной машиной машина удаляется из виртуальной инфраструктуры. Однако запись об удаленной виртуальной машине может сохраниться в базе данных Сервера администрирования. Кроме того, несуществующие виртуальные машины могут отображаться в Консоли администрирования.
Чтобы избежать сохранения данных о несуществующих виртуальных машинах, в Kaspersky Security Center реализована поддержка динамического режима для Virtual Desktop Infrastructure (VDI). Администратор может включить поддержку динамического режима для VDI в свойствах инсталляционного пакета Агента администрирования, который будет установлен на временной виртуальной машине.
Во время выключения временной виртуальной машины Агент администрирования информирует Сервер администрирования о выключении. В случае успешного выключения виртуальной машины, она удаляется из списка устройств, подключенных к Серверу администрирования. Если выключение виртуальной машины выполнено некорректно и Агент администрирования не послал Серверу уведомление о выключении, используется дублирующий сценарий. Согласно этому сценарию виртуальная машина удаляется из списка устройств, подключенных к Серверу администрирования, после трех неудачных попыток синхронизации с Сервером.
Включение динамического режима VDI в свойствах инсталляционного пакета Агента администрирования
Чтобы включить динамический режим VDI:
- В дереве консоли в папке Удаленная установка выберите вложенную папку Инсталляционные пакеты.
- В контекстном меню инсталляционного пакета Агента администрирования выберите пункт Свойства.
Откроется окно Свойства: Агент администрирования Kaspersky Security Center.
- В окне Свойства: Агент администрирования Kaspersky Security Center выберите раздел Дополнительно.
- В разделе Дополнительно выберите параметр Включить динамический режим для VDI.
Устройство, на которое устанавливается Агент администрирования, будет являться частью VDI.
Поиск устройств, являющихся частью VDI
Чтобы найти нераспределенные устройства, являющиеся частью VDI:
- В контекстном меню папки Нераспределенные устройства выберите пункт Поиск.
Чтобы просмотреть список всех устройств, входящих в Virtual Desktop Infrastructure (VDI), в контекстном меню папки Сервер администрирования выберите пункт Поиск.
- В окне Поиск на вкладке Виртуальные машины выберите Да в блоке параметров Часть Virtual Desktop Infrastructure.
- Нажмите на кнопку Найти.
Отобразится список нераспределенных устройств, которые являются частью Virtual Desktop Infrastructure (VDI).
Перемещение в группу администрирования устройств, являющихся частью VDI
Чтобы переместить устройства, являющиеся частью VDI, в группу администрирования:
- В рабочей области папки Нераспределенные устройства нажмите на кнопку Настроить правила.
В результате откроется окно свойств папки Нераспределенные устройства.
- В окне свойств папки Нераспределенные устройства в разделе Перемещение устройств нажмите на кнопку Добавить.
Откроется окно Новое правило.
- В окне Новое правило выберите раздел Виртуальные машины.
- В раскрывающемся списке Является виртуальной машиной выберите Да.
Будет создано правило перемещения устройств в группу администрирования.
Инвентаризация оборудования
В списке оборудования (Хранилища → Оборудование), который вы используете для инвентаризации оборудования, заполняется двумя способами: автоматически и вручную. После каждого опроса сети все обнаруженные компьютеры автоматически добавляются в список; однако вы также можете добавить компьютеры вручную, если не хотите опрашивать сеть. Вы можете добавить другие устройства в список вручную, например, маршрутизаторы, принтеры или компьютерное оборудование.
В свойствах устройства можно просматривать и редактировать подробную информацию об устройствах.
В списке оборудования могут присутствовать следующие типы устройств:
- компьютеры;
- мобильные устройства;
- сетевые устройства;
- виртуальные устройства;
- компьютерные комплектующие;
- компьютерная периферия;
- подключаемые устройства;
- VoIP-телефоны;
- сетевые хранилища.
Администратор может присваивать обнаруженным устройствам признак Корпоративное оборудование. Этот признак можно присвоить в свойствах устройства вручную или задать критерии для его автоматического присвоения. В этом случае признак Корпоративное оборудование присваивается по типу устройства.
Kaspersky Security Center позволяет выполнять списание оборудования. Для этого в свойствах устройства необходимо выбрать параметр Устройство списано. Такое устройство не отображается в списке оборудования.
Администратор может работать со списком программируемых логических контроллеров (ПЛК) в папке Оборудование. Подробная информация о работе со списками ПЛК приведена в Руководстве пользователя Kaspersky Industrial CyberSecurity for Nodes.
Добавление информации о новых устройствах
Чтобы добавить информацию о новых устройствах в сети:
- В дереве консоли в папке Хранилища выберите вложенную папку Оборудование.
- В рабочей области папки Оборудование по кнопке Добавить устройство откройте окно Новое устройство.
Откроется окно Новое устройство.
- В окне Новое устройство в раскрывающемся списке Тип выберите тип устройства, которое вы хотите добавить.
- Нажмите на кнопку ОК.
Откроется окно свойств устройства на разделе Общие.
- В разделе Общие заполните поля ввода данными об устройстве. В разделе Общие доступны следующие параметры:
- Корпоративное устройство. Установите флажок, если вы хотите присвоить устройству признак Корпоративное. По этому признаку можно выполнять поиск устройств в папке Оборудование.
- Устройство списано. Установите флажок, если вы не хотите, чтобы устройство отображалось в списке устройств в папке Оборудование.
- Нажмите на кнопку Применить.
Новое устройство отобразится в рабочей области папки Оборудование.
Настройка критериев определения корпоративных устройств
Чтобы настроить критерии определения корпоративных устройств:
- В дереве консоли в папке Хранилища выберите вложенную папку Оборудование.
- В рабочей области папки Оборудование нажмите на кнопку Дополнительные действия и в раскрывающемся списке выберите Настроить критерии определения корпоративных устройств.
Откроется окно свойств оборудования.
- В окне свойств оборудования в разделе Корпоративные устройства выберите способ присвоения устройству признака Корпоративное:
- Вручную устанавливать для устройства признак "Корпоративное". Признак Корпоративное оборудование назначается устройству вручную в окне свойств устройства в разделе Общие.
- Автоматически устанавливать для устройства признак "Корпоративное". В блоке параметров По типу устройства укажите типы устройств, которым программа будет автоматически присваивать признак Корпоративное.
Этот параметр влияет только на те устройства, которые были добавлены с помощью опроса сети. Для устройств, добавленных вручную, установите параметр Корпоративное вручную.
- Нажмите на кнопку ОК.
Критерии обнаружения корпоративных устройств настроены.
Настройка пользовательских полей
Чтобы настроить пользовательские поля устройств:
- В дереве консоли в папке Хранилища выберите вложенную папку Оборудование.
- В рабочей области папки Оборудование нажмите на кнопку Дополнительные действия и в раскрывающемся списке выберите Настроить пользовательские поля данных.
Откроется окно свойств оборудования.
- В окне свойств оборудования в разделе Пользовательские поля нажмите на кнопку Добавить.
Откроется окно Добавить поле.
- В окне Добавить поле укажите название пользовательского поля, которое будет отображаться в свойствах оборудования.
Вы можете создать несколько пользовательских полей с уникальными именами.
- Нажмите на кнопку ОК.
В результате в свойствах оборудования в разделе Пользовательские поля будут отображаться добавленные пользовательские поля. Вы можете использовать пользовательские поля для указания специфической информации об устройствах. Например, номер внутренней заявки на приобретение оборудования.