Административные алерты#
Административные алерты (тревожные оповещения) предназначены для оперативного информирования о критических инцидентах, требующих вмешательства администратора. После включения этой функции оповещения будут высылаться определенным адресатам при возникновении соответствующего события.
Если выбрать элемент Административные алерты в дереве консоли, на панели сведений отображаются административные алерты, которые можно включить или отключить.
По щелчку правой кнопкой мыши на любом алерте появляется контекстное меню, содержащее следующие команды:
Включить — Включает административный алерт для оперативного (онлайн) режима.
Выключить — Отключает административный алерт для оперативного (онлайн) режима.
Сбросить — Сбрасывает административный алерт для оперативного (онлайн) режима в состояние "не задано". Эта команда доступна только в Cyber Protego Group Policy Manager и Cyber Protego Редактор настроек агента.
Включить офлайн — Включает административный алерт для автономного режима.
Выключить офлайн — Отключает административный алерт для автономного режима.
Сбросить офлайновые настройки — Сбрасывает ранее заданный административный алерт для автономного режима в состояние "не задано". Если алерт для автономного режима не задан, к клиентским компьютерам, находящимся не в сети, применяется алерт, заданный для оперативного режима.
Управление — Открывает диалоговое окно, в котором можно настроить сразу несколько административных алертов для оперативного режима.
Управление офлайновыми настройками — Открывает диалоговое окно, в котором можно настроить сразу несколько административных алертов для автономного режима.
Удалить офлайновые настройки — Блокирует наследование административных алертов для автономного режима и принудительно применяет административные алерты для оперативного режима. Эта команда доступна только в Cyber Protego Group Policy Manager и Cyber Protego Редактор настроек агента.
Примечание
Можно настроить различные параметры административных алертов для оперативного и автономного режимов. Оперативные алерты (обычный профиль) создаются, когда клиентские компьютеры подключены к сети. Автономные алерты (офлайн-профиль) создаются, когда клиентские компьютеры работают в автономном режиме. По умолчанию Cyber Protego работает в автономном режиме, когда сетевой кабель не подключен к клиентскому компьютеру. Для получения дополнительной информации о политиках Cyber Protego для автономного режима работы, см. раздел Политики безопасности Cyber Protego (офлайн-профиль).
Доступны следующие административные алерты:
Оповещать при изменении настроек администраторов Cyber Protego - В настройках списка администраторов Cyber Protego Agent произошли изменения. Алерт содержит информацию о типе события, имя компьютера, дату и время события, тип действий пользователя, имя пользователя, SID пользователя и идентификатор события.
Оповещать при отказе доступа при попытке изменить настройки агента - Включена безопасность Cyber Protego по умолчанию, и пользователь с недостаточными правами неоднократно пытался изменить настройки Cyber Protego Agent. Алерт содержит информацию о типе события, имя компьютера, дату и время события, тип действий пользователя, имя пользователя, SID пользователя и идентификатор события.
Оповещать при отказе доступа при попытке изменить настройки агента и включенной настройке 'Подавлять локальную политику' - В Cyber Protego Group Policy Manager включен параметр Подавлять локальную политику, и пользователь пытается изменить настройки Cyber Protego Agent при помощи консоли Cyber Protego Центральная консоль управления. Алерт содержит информацию о типе события, имя компьютера, дату и время события, тип действий пользователя, имя пользователя, SID пользователя и идентификатор события.
Оповещать при изменении политик агента - Один или несколько параметров Cyber Protego Agent (кроме параметров списка администраторов Cyber Protego) были изменены. Алерт содержит информацию о типе события, имя компьютера, дату и время события, тип устройства или протокола, тип действий пользователя, тип профиля, имя пользователя, SID пользователя и идентификатор события.
Оповещать при повреждении политик агента — Cyber Protego Agent при запуске обнаружил повреждение своих настроек. Алерт содержит информацию о типе события, имя компьютера, дату и время события, тип действий пользователя, имя пользователя, SID пользователя и идентификатор события.
Для проверки собственных настроек Cyber Protego Agent вычисляет контрольную сумму. Все некорректные настройки автоматически исправляются.
Оповещать при восстановлении агента — Удалены один или несколько установочных файлов Cyber Protego Agent. Алерт содержит информацию о типе события, имя компьютера, дату и время события, тип действий пользователя, имя пользователя, SID пользователя и идентификатор события.
Все удаленные файлы автоматически восстанавливаются.
Оповещать при превышении локальной квоты — Превышена квота в локальном хранилище для аудита/теневого копирования данных, очереди оповещений и данных для анализа контента. Алерт содержит информацию о типе события, имя компьютера, дату и время события, тип действий пользователя, имя пользователя, SID пользователя и идентификатор события.
Подробную информацию о квоте в локальном хранилище см. в описании параметра Локальная квота (%).
Оповещать при остановке агента — Произошел перезапуск Cyber Protego Agent. Алерт содержит информацию о типе события, имя компьютера, дату и время события, тип действий пользователя, номер версии Cyber Protego Agent, имя пользователя, SID пользователя и идентификатор события.
Оповещать при деинсталляции агента — Обнаружено, что выполняется деинсталяция Cyber Protego Agent. Алерт содержит информацию о типе события, имя компьютера, дату и время события, тип действий пользователя, номер версии Cyber Protego Agent, имя пользователя, SID пользователя и идентификатор события.
Оповещать при неожиданном завершении процесса агента — Нештатная остановка Cyber Protego Agent с последующим его перезапуском. Алерт содержит информацию о типе события, имя компьютера, дату и время события, тип действий пользователя, номер версии Cyber Protego Agent, имя пользователя, SID пользователя и идентификатор события.
Оповещать при изменении настроек алертов - Были изменены один или несколько параметров оповещений. Данный алерт рассылается согласно предыдущим настройкам оповещения. Алерт содержит информацию о типе события, имя компьютера, дату и время события, тип действий пользователя, тип профиля, имя пользователя, SID пользователя, идентификатор процесса, связанного с событием, и идентификатор события.
Оповещать при обнаружении кейлогера — Обнаружен аппаратный USB-кейлогер. Алерт содержит информацию о типе события, имя компьютера, дату и время события, тип действий пользователя, название USB-устройства, которое было определено как кейлогер, имя пользователя, SID пользователя и идентификатор события. Чтобы это уведомление приходило, следует включить параметр Протоколировать событие анти-кейлогера. За дополнительной информацией обращайтесь к разделу Анти-кейлогер данного руководства.
Управление административными алертами
Административные оповещения можно включать и выключать по отдельности или сразу.
Чтобы включить рассылку отдельных административных оповещений для оперативного режима (обычный профиль) или автономного режима (офлайн-профиль), щелкните правой кнопкой мыши любое административное оповещение и выберите Включить или Включить офлайн. Состояние административного оповещения для оперативного/автономного режима изменится с Не задано на Включено.
Включенное административное оповещение можно отключить. Для этого щелкните правой кнопкой мыши административное оповещение и выберите Выключить или Выключить офлайн. Состояние административного оповещения изменится с Включено на Отключено.
Можно также включить или отключить оповещение обычного профиля, дважды щелкнув его.
Чтобы включить рассылку множества административных оповещений обычного профиля или офлайн-профиля, щелкните правой кнопкой мыши любое административное оповещение и выберите команду Управление или Управление офлайновыми настройками. Также можно выбрать административное оповещение и нажать кнопку Управление
или Управление офлайновыми настройками
на панели инструментов. Затем в открывшемся диалоговом окне установите флажки рядом с административными оповещениями, которые необходимо включить. Включенные административные оповещения можно отключить. Для этого необходимо снять флажки для настроек, которые требуется отключить.
Примечание
Все флажки в диалоговом окне Административные алерты (Офлайн) могут иметь одно из трех состояний: установленные, снятые или в неопределенном состоянии, что соответствует состояниям Включено, Отключено и Не задано административных оповещений.