О двухфакторной аутентификации учетной записи

Kaspersky EDR Expert предоставляет пользователям Консоли OSMP возможность использовать двухфакторную аутентификацию. Двухфакторная аутентификация основана на стандарте RFC 6238 (TOTP: Time-Based One-Time Password algorithm – алгоритм временных одноразовых паролей).

При каждом входе в Консоль OSMP пользователь вводит свое имя пользователя, пароль и дополнительный одноразовый код безопасности. Для получения одноразовых кодов безопасности необходимо установить на компьютере или мобильном устройстве приложение для аутентификации.

Может использоваться любое приложение для аутентификации, поддерживающее алгоритм временных одноразовых паролей (TOTP), например, Google Authenticator. Для генерации одноразового кода безопасности системное время, установленное на устройстве с приложением для аутентификации, должно быть синхронизировано со временем, установленным на устройстве с Сервером администрирования. Для большей точности рекомендуется использовать одни и те же NTP-серверы во всей вашей инфраструктуре.

Для того чтобы проверить, поддерживает ли Kaspersky EDR Expert приложение для аутентификации, которое вы хотите использовать, попробуйте настроить двухфакторную аутентификацию с помощью этого приложения.

На одном из шагов процедуры вводится код безопасности, сгенерированный приложением для аутентификации. В случае успеха Kaspersky EDR Expert поддерживает выбранное приложение для аутентификации.

Генерация секретного кода с помощью приложения для аутентификации

Настоятельно рекомендуется сохранить секретный ключ (или QR-код) и хранить его в надежном месте. Этот поможет вам восстановить доступ к Консоли OSMP в случае потери доступа к мобильному устройству.

Следует учитывать следующие особенности двухфакторной аутентификации:

• Начиная с Kaspersky EDR Expert версии 2.0, двухфакторная аутентификация включается автоматически, а возможность настраивать двухфакторную аутентификацию при входе в систему выключена по умолчанию. Настройка двухфакторной аутентификации при входе доступна только пользователям, включенным в список разрешений для настройки двухфакторной аутентификации.
• Пользователь может настроить двухфакторную аутентификацию только для своей учетной записи.
• Пользователь может исключить учетные записи из двухфакторной аутентификации. Это может быть необходимо для интеграционных учетных записей, для которых невозможно получение одноразового кода безопасности для аутентификации. Учетные записи интеграции используются для запуска скриптов через OpenAPI и запуска скриптов KUMA.
• Для генерации нового секретного ключа двухфакторной аутентификации пользователь должен сбросить секретный ключ для своей учетной записи.
• Для сброса или удаления секретного ключа двухфакторной аутентификации других пользователей необходима учетная запись с настроенной двухфакторной аутентификацией и правом Изменение списков управления доступом объектов в функциональной области Общие функции: Права пользователей.
• Для исключения учетных записей пользователей из двухфакторной аутентификации или изменения списка разрешений для настройки аутентификации необходима учетная запись с настроенной двухфакторной аутентификацией и с правом Изменение списков управления доступом объектов в функциональной области Общие функции: Права пользователей.
• Всегда должен быть хотя бы один пользователь с настроенной двухфакторной аутентификацией, чтобы этот пользователь мог управлять списком пользователей с правом настраивать двухфакторную аутентификацию и списком исключений.
• Двухфакторная аутентификация автоматически включается только для Kaspersky EDR Expert версии 2.0. Параметры двухфакторной аутентификации главных или подчиненных Серверов администрирования версии 1.4 или более ранних останутся неизменными.
• Виртуальные Серверы администрирования наследуют параметры двухфакторной аутентификации от соответствующего физического Сервера администрирования, поэтому, если на физическом Сервере администрирования двухфакторная аутентификация включена, она также включается и на виртуальном Сервере администрирования. Настройка параметров двухфакторной аутентификации на виртуальном Сервере администрирования не поддерживается.

Для обеспечения комплексной защиты с помощью двухфакторной аутентификации должна быть обеспечена безопасность не только Сервера администрирования, но и устройства, на котором Сервер установлен. Соответствующие рекомендации приведены в Руководстве по усилению защиты.