Контроль пользователей на устройствах

Kaspersky Anti Targeted Attack Platform может контролировать учетные записи пользователей на устройствах, известных приложению. При контроле пользователей приложение автоматически получает сведения об учетных записях, зарегистрированных в операционных системах устройств. По полученным сведениям приложение формирует таблицы пользователей.

При получении сведений об учетных записях приложение контролирует по этим сведениям все учетные записи пользователей на устройствах, за исключением некоторых локальных системных учетных записей, которые могут использовать только системные службы операционной системы. Например, приложение не контролирует учетные записи LocalSystem и NetworkService, используемые на устройствах под управлением операционных систем семейства Windows.

Для использования функциональности контроля пользователей должны быть включены методы контроля активов для обнаружения активности устройств и обнаружения сведений об устройствах. Эти методы должны быть включены на всех серверах с установленными компонентами приложения, от которых поступают сведения.

Контроль пользователей выполняется на основании данных, поступающих от источников следующих типов:

1. OVAL-сканирование – программные компоненты, которые проверяют устройства по встроенным OVAL-правилам (EPP-приложения, отправляющие расширенные данные об устройствах по запросам Kaspersky Anti Targeted Attack Platform, или узлы с установленными компонентами программы, с которых выполняются удаленные подключения к устройствам при сканировании устройств в рамках заданий контроля конфигураций).
2. Телеметрия (Endpoint Agent) – EPP-приложения, отправляющие в Kaspersky Anti Targeted Attack Platform основные данные об устройствах и о выполняемых процессах (данные телеметрии).
3. Трафик – точки мониторинга, на которых выполняется анализ поступающего трафика по правилам определения сведений об устройствах и протоколов взаимодействия устройств.
4. Внешний источник – приложения, использующие Kaspersky Anti Targeted Attack Platform API и отправляющие в Kaspersky Anti Targeted Attack Platform сведения о пользователях.

Источники перечислены в порядке уменьшения приоритета данных, поступающих от этих источников. Приложение обрабатывает сведения о пользователях в соответствии с приоритетом поступивших данных. Сведения о пользователях, полученные от более приоритетного источника, могут заместить собой сведения от других источников. Также приложение автоматически удаляет из таблиц учетные записи пользователей, сведения о которых ранее были получены от источников OVAL-сканирование и Внешний источник, но в новых поступивших данных от этих источников такие пользователи отсутствуют.

При необходимости пользователи с ролью Администратор могут удалять учетные записи пользователей вручную.

Вы можете просматривать сведения о пользователях в разделе Активы на вкладке Пользователи.

При просмотре таблицы пользователей вы можете использовать функции настройки, фильтрации, поиска и сортировки, а также переходить к связанным элементам.Для таблицы всех пользователей действует ограничение по количеству элементов – не более 200 000.

Приложение отображает следующие сведения о пользователях устройств в таблице и области деталей выбранного пользователя:

• ID пользователя – идентификатор пользователя, присвоенный в Kaspersky Anti Targeted Attack Platform.
• Имя пользователя – имя учетной записи пользователя без указания домена или сетевого имени устройства.
• Полное имя – имя учетной записи пользователя с указанным именем домена или сетевым именем устройства.
• Группы – имена групп пользователей, в которые добавлена учетная запись пользователя.
• Устройство – имя и адрес устройства.
• Источник – тип источника данных о пользователе.
• SID – идентификатор безопасности пользователя.
• Статус учетной записи – статус, соответствующий полученному значению параметра для включения и выключения использования учетной записи.
• Блокировка – статус, соответствующий полученному значению параметра блокировки учетной записи.
• Смена пароля при следующем входе – признак включенного или выключенного состояния параметра, определяющего необходимость смены пользователем его пароля при следующем входе в систему.
• Запрет смены пароля пользователем – признак включенного или выключенного состояния параметра, определяющего запрет смены пользователем его пароля.
• Срок действия пароля – статус, соответствующий полученному значению параметра для включения и выключения ограничения на срок действия пароля пользователя.
• Данные получены – дата и время последнего получения сведений об учетной записи.
• Описание – описание, заданное для учетной записи.

При контроле пользователей приложение регистрирует события по технологии Контроль активов. Для регистрации используется системный тип события, которому присвоен код 4000005600. События регистрируются, если на устройствах автоматически добавлены, изменены или удалены учетные записи пользователей.

Вы можете настроить доступные параметры для типов событий.

Сведения о зарегистрированных событиях вы можете просмотреть при подключении к Серверу через веб-интерфейс.