Возможности Windows-агента

Windows-агент обеспечивает комплексный мониторинг рабочих станций: собирает данные о действиях пользователей, контролирует сетевые соединения, файловые операции, работу приложений и периферийных устройств. Встроенные механизмы анализа и блокировки помогают предотвращать утечки информации, а гибкая система правил позволяет адаптировать поведение агента под задачи конкретной организации.

Распространение агентов

Установка, обновление и удаление

Поддерживается несколько способов:

  • команды в веб-консоли;

  • Active Directory и Kaspersky Security Center;

  • утилита удаленной установки Staffcop;

  • программа-установщик из интерфейса Staffcop.

Защита агента

Запрет действий без пароля

При включенной защите требует пароль при удалении, остановки,
изменении или обновлении агента

Шифрование локальной БД агента

Агент записывает данные в локальную БД в зашифрованном виде

Назначение агентов

Применение конфигурации

По списку агентов, домену или группе Active Directory

Мониторинг состояния агентов

Отслеживает состояние агента и ПК

Сервис автоматически передает на сервер данные:

  • наличие и работоспособность агента;

  • статус обновления и удаления агента;

  • доступность компьютера в сети

Настройки сбора данных

Настройки сбора данных

Настраивается размер пакета, интервал и скорость отправки на сервер, сжатие.
При отсутствии ответа сервера интервал автоматически увеличивается

Локальная БД агента

События и файлы хранятся в локальной базе.
При переполнении перезаписываются старые данные: сначала файлы, потом события.
При превышении заданного размера текущий лог сохраняется в архив, агент начинает запись в новый файл

Логирование агента

Передача логов

При подключении к серверу агент передает логи:

  • о состоянии системы;

  • процессах агента;

  • конфигурации агента


Создает событие Системный лог

Выгрузка логов

По запросу с сервера

Отключение логов

Логирование можно отключить, установив в конфигурации размер лога = 0

Мониторинг пользователей

Контроль входа и сессий

Отслеживает локальную и удаленную аутентификацию сотрудников,
различает локальные и удаленные сессии,
фиксирует блокировку и разблокировку сессий

Исключения из мониторинга

Позволяет исключать пользователей из сбора статистики

Контроль программ

Мониторинг запуска и установки

Отслеживает установку, запуск и активность приложений

Блокировка приложений

Блокирует системные и пользовательские процессы

Исключения

Ч/Б списки для мониторинга и блокировки программ.
Исключают из мониторинга установку, время активности, запуск выбранных приложений.
Блокируют запуск приложений из списка

Алерты

Настройка уведомлений для попыток доступа к запрещенным в конфигурации
приложениям и сайтам

Учет активности

Контроль пользовательской активности

Отслеживает действия сотрудника за компьютером.
Используется во всех отчетах Учет рабочего времени

Активность приложений

Создает событие Время активности по активности в приложении в фокусе
Для браузера определяет сайт, который посетил сотрудник

Настройка периода активности

Настраивается длительность времени простоя после последнего действия пользователя

Снимки экрана

Общие возможности

Делает скриншоты для детализации действий сотрудника.
Настраивается качество, цветность, сжатие.
Можно задать частоту съемки для отдельных приложений и сайтов.
Создается событие Снимок экрана

Снимки при переходе в другое приложение

Создает снимки экрана в момент смены заголовка окна активного приложения.
Делает два снимка: сразу при смене фокуса и через заданный интервал

Интервал между снимками

Создает снимки с указанной периодичностью от начала активности пользователя.
При интервале 0 периодические снимки не создаются.
Не делает снимки заблокированного экрана

Особый контроль для приложений и сайтов

Создает снимки с отдельной периодичностью для указанных приложений и сайтов.
При этом используется вместо основного интервал из правила

Пакеты снимков экрана

Непрерывная запись экрана

Серия скриншотов независимо от активности пользователя.
Снимки вместо видео позволяют оптимизировать место на диске

Интервал и длительность

Настраивается интервал между снимками в пакете.
Задается длительность пакета

Качество и сжатие

Настройка цветности, качества и алгоритма сжатия.
Агент автоматически регулирует сжатие в зависимости от нагрузки

Отображение курсора

Курсор отрисовывается на каждом снимке для понимания действий пользователя

Клавиатура и буфер обмена

Ввод с клавиатуры

Контроль ввода с клавиатуры: перехват текста и паролей.
Низкоуровневый кейлогер дополнительно перехватывает нажатие системных клавиш.
Перехват паролей в диалогах Windows при аутентификации в системе без привязки к пользователю.
Событие Ввод с клавиатуры

Буфер обмена

Перехватывает текст и снимки экрана из буфера обмена.
Создает событие Буфер обмена с текстовой или графической информацией.
Блокирует вставку информации между приложениями

Drag-and-Drop

Блокирует перемещение текста или файла перетаскиванием между окнами.
Ошибок и уведомлений не отображается, перемещение просто не происходит

Контроль командной строки

Перехватывает ввод команд и вывод в терминалах cmd.exe и powershell.exe.
Создает событие Терминал ввода команд.
Одна команда может быть разделена на несколько событий при большом выводе

Исключения для клавиатуры

Ч/Б списки приложений для исключения из мониторинга ввода с клавиатуры.
Для буфера обмена исключения недоступны

Водяные знаки

Отображение водяных знаков

Накладываются на экран пользователя для указанных в правилах приложений, сайтов или окон.
Отображают точное время.
Агент отрисовывает знаки даже при выключенном учете активности.
Работает только при настроенных правилах.
Для постоянного отображения создайте правило для Проводника Windows (explorer.exe).

Настройка отображения

Можно настроить угол наклона, прозрачность, размер шрифта.
Диапазон от 0 (прозрачный) до 255 (полная заливка).
Частота отрисовки новых знаков — от 60 до 1800 секунд.

Настройка правил

Можно настроить сложный запрос для сценария отрисовки

Сетевые подключения

Контроль сетевой активности

Перехват трафика в мессенджерах, почте, веб-формах, поисковых запросах.
Подмена сертификата для доступа к HTTPS.
Блокировка сайтов, теневые копии файлов при выгрузке.
Создает событие Сеть

Настройка исключений

Ч/Б списки для приложений, IP-адресов, портов, веб-адресов.
Отключение подмены сертификата для отдельных ресурсов для остановки перехвата.
Подробнее об исключениях в статье Сетевые подключения

Интернет

Контроль веб-трафика

Перехват запросов к веб-ресурсам в браузерах.
Создание теневых копий файлов при выгрузке на веб-ресурсы

Поисковые запросы

Перехватывает поисковые запросы в поисковиках.
Требует включенного сетевого мониторинга.
Создает событие Поисковый запрос

Веб-формы

Перехватывает отправку данных и файлов через формы на сайтах.
Создает событие Данные формы

Настройка исключений

Ч/Б списки для управления:

  • сайты — исключение из перехвата по типу контента;

  • веб-формы — исключение мониторинга форм для указанных ресурсов

Блокировка сайтов

Ч/Б список веб-ресурсов для блокировки доступа

Почта и мессенджеры

Веб-почта

Перехват исходящих сообщений и вложений в веб-сервисах:
Gmail, Yandex, Mail.ru, Rambler.ru, Outlook.com, VK Mail.
Для неотправленных писем создаются черновики (Draft).
Создается событие Почта, для вложений — Перехваченный файл

Почтовые клиенты

Перехват входящих и исходящих сообщений и вложений в почтовых приложениях по протоколам
POP, IMAP, SMTP и MAPI.
Событие Почта, для вложений — Перехваченный файл

Мессенджеры

Перехватывает всю переписку и файлы в десктопных и веб-версиях мессенджеров:
Skype, MS Teams, Bitrix24, WhatsApp, сервис «Среда», VK Teams, Яндекс Мессенджер, Max


WhatsApp из Microsoft Store не перехватывается.
Telegram: входящие/исходящие сообщения, только исходящие вложения,
поиск файлов при нестандартной установке. Десктопная версия телеграма
не требует сетевого мониторинга и подмены сертификата


Событие Интернет пейджер, для вложений — Перехваченный файл

Облачные сервисы

Перехват загрузки и выгрузки файлов в веб-версиях:
WebDav, OneDrive, Yandex Disk, Google Drive.
Событие Мессенджер, для вложений — Перехваченный файл

Файлы

Контроль файловых операций

Перехват пользовательских и фоновых файловых операций на АРМ.
Событие Файловые операции

Теневое копирование

Создание теневой копии при записи файла на внешний носитель или сетевую шару.
Копия не создается для файлов из сетевого перехвата, файлов размером 0,
файлов больше заданного лимита.
Событие Перехваченный файл

FTP

Перехват передачи данных по FTP.
Событие FTP

Внешние носители и мобильные устройства

Перехват файлов с USB-носителей и мобильных устройств (WPD) в момент подключения.
Событие Файловые операции Оглавление диска

Настройки производительности

Кэширование SMB — ускоряет обработку файловых операций при большом объеме данных.
Нормализация имен файлов — приводит короткие имена Windows к полным,
чтобы в событиях отображалось реальное название файла

Настройка исключений

Ч/Б списки по путям, маскам, приложениям, исключение операций Чтение и связанных с ними теневых копий.
Подробнее об исключениях в статье Файлы

Устройства

Контроль подключения устройств

Перехват подключения USB-устройств.
Создает событие Устройство.
Для внешних дисков дополнительно создается событие Внешний диск.
Включение этого модуля обязательно для режима только чтение и блокировки устройств,
так как правила применяются в момент подключения

Ограничение доступа

Блокировка USB-накопителей: полная блокировка или только чтение.
Блокировка файловых операций для CD-накопителей.
Правила применяются в момент подключения устройства

Контроль CD-накопителей

Перехват пользовательских и фоновых файловых операций на CD-накопителях.
Создание теневых копий для всех файловых операций на CD.
Событие Файловые операции, для копий — Перехваченный файл

Настройка исключений

Ч/Б список по ID, классам и маркировкам устройств.
Подробнее об исключениях в статье Устройства

Менеджер ВНИ

Контроль ВНИ

Агент фиксирует серийные номера USB-накопителей.
Событие Устройство

Управление доступом

Ограничивает действия пользователей для указанных серийных номеров ВНИ
по набору правил из менеджера ВНИ

Принтеры

Контроль печати

Позволяет отслеживать печать.
Событие Печать документа с теневой копией распечатанного документа и снимком экрана

Настройка перехвата

Агент перехватывает документ в системной очереди печати — спулере.
Если принтер работает в обход спулера, агент автоматически перенастраивает его для перехвата

Веб-камеры

Снимки с веб-камеры

Делает снимки с веб-камеры с заданным интервалом.
Позволяет идентифицировать пользователя за счет возможности распознавания лиц на снимках.
Событие Снимок с веб-камеры

Настройка съемки

Выбор камеры: все или только по умолчанию.
Съемка только при залогиненном и активном пользователе.
Настройка интервала съемки. Отдельный интервал для приложений и сайтов из особого контроля

Офлайн-запись с веб-камеры

Постоянная запись видео с веб-камеры фрагментами заданной длительности

Запись звука

Запись звука

Запись звука с микрофона и/или колонок.
Начинается при превышении шумового порога, останавливается при наступлении тишины

Настройки записи

Настраивается длительность, увеличение громкости записи с микрофона,
интервал тишины, качество записи, шумовой порог

Запись по приложениям

Запись звука при запущенном приложении из списка.
Условия записи настраиваются отдельно

Удаленное управление

Удаленное подключение

Позволяет подключаться с сервера к экрану сотрудника для наблюдения за его действиями

Удаленная блокировка ПК

Полная блокировка доступа пользователя к системе по команде администратора.
Разблокировка по команде с сервера

Удаленная блокировка дисков

Блокировка чтения и записи для всех подключаемых устройств.
Разблокировка по команде с сервера

Запись видео экрана

Онлайн-запись рабочего стола

Запись экрана в реальном времени.
Запись ведется только при активности пользователя.
На каждом кадре отрисовывается курсор для понимания действий пользователя.
Событие Видео рабочего стола

Офлайн-запись рабочего стола

Постоянная запись экрана на АРМ, независимо от активности и связи с сервером.
Событие Видео рабочего стола

Настройки записи

Настраивается частота кадров, битрейт и длительность фрагментов

Особый контроль

Запись только при работе в указанных приложениях и сайтах.
Список настраивается в правилах

Инвентаризация

Оборудование

Сканирует при смене конфигурации компьютера реестр установленного оборудования.
Событие Реестр оборудования

Программное обеспечение

Сканирует реестр установленного ПО при смене конфигурации.
Событие Реестр оборудования

Локальные пользователи

Сканирует локальные учетные записи на компьютере при смене конфигурации.
Отображает список пользователей, права, статус, дату последнего использования.
Сканирование при каждом получении конфигурации

Присутствие на рабочем месте

Индикация в трее

Отображение иконки агента в панели задач.
При наведении отображается заданный текст

Уведомления

Уведомление при изменении конфигурации агента

Запрос причины отсутствия

При длительном отсутствии активности агент запрашивает причину.
Ответ пользователя отправляется на сервер и создает алерт Причина отсутствия.
Настраивается период неактивности перед запросом

Проверка наличия на рабочем месте

При отсутствии активности агент отправляет запрос с проверочным вопросом.
При верном ответе — алерт Присутствие подтверждено,
при неверном — Присутствие подтверждено с ошибкой,
при отсутствии ответа — Отсутствие на рабочем месте.
Настраивается максимальное время ожидания ответа

Рабочее время

Сбор данных и блокировки выполняются только в пределах заданного рабочего дня.
Агент может запрашивать завершение рабочего дня и выключение ПК по расписанию

Управление агентом для пользователя

Пользователь может отключить сбор статистики и блокировку через меню в трее

Метки и блокировки доступа

DLP модуль

Агент анализирует контент файлов при файловых операциях.
Если есть метка, фиксирует ее в событии

Блокировка по правилам

При совпадении с правилами блокировки агент прерывает операцию.
Отправляет на сервер алерт Операция заблокирована

Контроль демонстрации экрана в ВКС

Детектирование демонстрации

Агент определяет момент начала демонстрации экрана в ВКС.
Каждую минуту во время демонстрации отправляет на сервер алерт Демонстрация экрана

Блокировка демонстрации

Агент прерывает демонстрацию, если DLP-модуль обнаруживает файл, подпадающий под правила блокировки.
При прерывании отправляет уведомление на сервер.
Можно настроить уведомление для пользователя. Если текст не указан, сотрудник не получит сообщение

Файловый сканер

Сканирование файлов

Агент сканирует файлы с заданными типами контента в директориях АРМ.
Сетевые ресурсы и подключенные носители не сканируются.
По результатам создает событие Файл, которое содержит измерения файла и текстовый контент

Исключения

Ч/Б списки по путям и маскам исключают файлы из результатов сканирования

Массовое копирование

Блокировка при массовом копировании

Агент блокирует внешние носители, если за указанный промежуток времени
на них записано слишком много файлов или данных,
При срабатывании на сервере устанавливается статус Заблокированы диски

Условия срабатывания

Превышение порога по одному из параметров:

  • количество скопированных файлов;

  • суммарный объем скопированных данных

Исключения мониторинга

Исключение событий

Если событие соответствует правилам исключения, агент не записывает его и не отправляет на сервер

Область применения

Применимо к скриншотам, видеозаписям и перехваченным в ходе файловых операций файлам.
Если включена онлайн-запись, агент разрывает удаленное подключение,
чтобы защитить данные от записи

Последнее обновление: 14.07.26