Control Center

Хяналтын самбарыг ажиглах (Monitor dashboard)

Control Center-ийн хяналтын самбар (dashboard) нь хамгаалагдсан бүх төгсгөлийн төхөөрөмж (endpoint) болон сүлжээний төлөвийн талаар аюулгүй байдлын товч тоймыг харуулдаг, өөрчилж тохируулж болох дэлгэц юм.

Самбар дээрх portlet (самбарын жижиг хэсэг) нь аюулгүй байдлын мэдээллийг бодит цагаар, ойлгомжтой график хэлбэрээр харуулдаг тул анхаарал татах асуудлыг хурдан олоход тусална.

Portlet-ийн талаар мэдэх зүйлс:

• Control Center нь урьдчилан тохируулсан хэд хэдэн portlet-тэй ирдэг.
• Portlet бүрийн ард нарийвчилсан тайлан байдаг бөгөөд графикийг дарахад нээгдэнэ.
• Portlet-ийн төрөл олон бөгөөд шинэчлэлтийн төлөв, malware (хортой програм)-ийн төлөв, firewall (галт хана)-ийн үйл ажиллагаа зэрэг төгсгөлийн төхөөрөмжийн хамгаалалтын мэдээллийг харуулна.

Тэмдэглэл: Portlet нь анхдагчаар тухайн өдрийн өгөгдлийг татдаг бөгөөд тайлангаас ялгаатай нь нэг сараас урт хугацаа сонгох боломжгүй.

• Portlet-ийн мэдээлэл зөвхөн таны бүртгэлийн хүрээн дэх төгсгөлийн төхөөрөмжүүдэд хамаарна. Portlet бүрийн хамрах объект болон тохиргоог самбар дээрх Edit Portlet (Portlet засах) командаар өөрчилж болно.
• График дээрх тайлбарын (legend) мөрийг дарж, харгалзах хувьсагчийг графикаас нууж эсвэл харуулж болно.
• Portlet-ууд дөрөв дөрвөөр бүлэглэгдэн харагдана. Бүлгүүдийн хооронд шилжихдээ босоо гүйлгэх зурвас эсвэл дээш/доош сумны товчийг ашиглана.
• Зарим тайлангийн хувьд зорилтот төгсгөлийн төхөөрөмж дээр тодорхой даалгаврыг (жишээ нь халдвартай төхөөрөмжийг скан хийх, төхөөрөмжийг шинэчлэх) зүүн цэсний Network хуудас руу орохгүйгээр шууд ажиллуулж болно. Portlet-ийн доод талд байгаа товчийг ашиглана уу.
• Самбарыг хувийн хэрэгцээндээ тааруулж тохируулахад хялбар: portlet-ийн тохиргоог засах, шинэ portlet нэмэх, байгааг нь устгах эсвэл байрыг нь солих боломжтой.

Portlet-ийн өгөгдлийг шинэчлэх (Refreshing portlet data)

Portlet хамгийн сүүлийн мэдээллийг харуулж байгаа эсэхийг баталгаажуулахын тулд гарчгийн мөр дэх Refresh дүрсийг дарна.

Бүх portlet-ийн мэдээллийг нэг дор шинэчлэхийн тулд самбарын дээд талд байгаа Refresh Portlets товчийг дарна.

Portlet-ийн тохиргоог засах (Editing portlet settings)

Зарим portlet нь төлөвийн мэдээлэл харуулдаг бол зарим нь сүүлийн хугацаанд болсон аюулгүй байдлын үйл явдлуудын талаар мэдээлдэг. Portlet-ийн тайлагнах хугацааг шалгаж, тохируулахдаа гарчгийн мөр дэх Edit Portlet дүрсийг дарна.

Шинэ portlet нэмэх (Adding a new portlet)

Хэрэгтэй мэдээллээ авахын тулд өөр portlet нэмж болно.

Шинэ portlet нэмэх алхам:

1. 1
   GravityZone Control Center-т нэвтэрнэ.
2. 2
   Зүүн цэснээс Dashboard хуудас руу орно.
3. 3
   Консолын дээд талд байгаа Add Portlet товчийг дарна. Тохиргооны цонх нээгдэнэ.
4. 4
   Details табын доор portlet-ийн дараах мэдээллийг тохируулна:

   • Суурь тайлангийн төрөл (Type of background report)
   • Ойлгомжтой portlet-ийн нэр
   • Мэдээлэх үйл явдлуудын хугацааны интервал

   Боломжит тайлангийн төрлүүдийн талаар дэлгэрэнгүйг Report Types хэсгээс үзнэ үү.

5. 5
   Targets табын доор оруулах сүлжээний объект болон бүлгүүдийг сонгоно.
6. 6
   Save товчийг дарна.

Portlet устгах (Removing a portlet)

Portlet-ийн гарчгийн мөр дэх Remove дүрсийг дарж хялбархан устгана. Нэг устгасан portlet-ийг сэргээх боломжгүй. Гэхдээ яг ижил тохиргоотой өөр portlet шинээр үүсгэж болно.

Portlet-уудын байрыг өөрчлөх (Rearranging portlets)

Portlet-уудыг өөрт тохирохоор дахин байрлуулж болно. Үүний тулд:

1. 1
   GravityZone Control Center-т нэвтэрнэ.
2. 2
   Зүүн цэснээс Dashboard хуудас руу орно.
3. 3
   Portlet бүрийг хүссэн байрандаа чирж тавина (drag and drop). Хуучин болон шинэ байрлалын хооронд байгаа бусад portlet-ууд дарааллаа хадгалан зөөгдөнө.

Тэмдэглэл: Portlet-ийг зөвхөн аль хэдийн эзлэгдсэн байрлалуудын дотор зөөж болно.

GravityZone-ийн аюулгүй байдлын сертификат үүсгэх (Create GravityZone security certificates)

Ерөнхий тойм (Overview)

Хөтчүүд (browser) Control Center вэбсайтыг найдвартай гэж танихын тулд Control Center-ийн аюулгүй байдлын сертификат шаарддаг.

Үндсэн сертификат (The Root Certificate)

Дижитал сертификатуудыг итгэлцлийн гинжээр (chain of trust) баталгаажуулдаг. Root certificate (цаашид «Root») нь модны хамгийн дээд сертификат бөгөөд түүний хувийн түлхүүрээр (private key) бусад сертификатад «гарын үсэг зурдаг». Root сертификатын шууд доор байгаа бүх сертификат Root-ийн итгэмжлэлийг өвлөнө.

Үндсэн сертификатыг найдвартай гэж тэмдэглэх (Marking Root Certificates as trusted)

MDM серверийн үзүүлж буй SSL сертификатыг төхөөрөмжүүд найдвартай гэж үзэх хэд хэдэн арга бий. Доор гурвыг нь танилцуулах бөгөөд бодит, практик нэвтрүүлэлтэд зөвхөн хоёр нь тохиромжтой.

1. 1
   Төхөөрөмжийн аль хэдийн итгэдэг эх сурвалжаас SSL сертификат авах.

   Жишээ нь тухайн төхөөрөмжийн тодорхой IP хаяг эсвэл хостын нэрт зориулсан сертификатыг Verisign, Thawte эсвэл өөр томоохон Certificate Authority (сертификат олгогч байгууллага)-аас авна. Төхөөрөмж энэ сертификатад итгэх бөгөөд удирдлагын холболт тогтоогдоно. Энэ шийдэл ихэнх байгууллагын нэвтрүүлэлтэд практик биш.

2. 2
   Байгууллага өөрийн гарын үсэгтэй (self-signed) Root сертификаттай.

   Бүртгүүлэхээс (enrollment) өмнө сертификатыг импортлох шаардлагатай. Apple үүнийг урьдчилан тооцож, сертификат болон MDM тохиргоог нэг багц (payload)-д оруулах боломж олгосон. Бүртгэл мөн хоёр алхамтай явагдана:

   • Багц доторх сертификатуудыг импортолж, Root-д итгэнэ.
   • MDM серверт холбогдож, төхөөрөмж удирдлагад орно.
3. 3
   Байгууллага томоохон гуравдагч талаас авсан завсрын (intermediate) сертификаттай.

   Сертификатыг завсрын Certificate Authority олгосон. Энэ сертификат нь төхөөрөмжийн аль хэдийн итгэдэг Root-оос эхэлсэн итгэлцлийн гинжийг ашигладаг. Завсрын сертификатыг профайлд заавал оруулсан байх ёстой.

Аюулгүй байдлын сертификат үүсгэх (Creating security certificates)

Тэмдэглэл: Энэ нь энгийн арга бөгөөд туршилтын зорилгоор, эсвэл одоо байгаа ямар ч public-key infrastructure (PKI, нийтийн түлхүүрийн дэд бүтэц)-тэй нэгтгээгүй нэвтрүүлэлтэд тохиромжтой.

1. 1
   Root сертификат үүсгэх
2. 2
   Signing (гарын үсэг зурах) сертификат үүсгэх
3. 3
   SSL сертификат үүсгэх
4. 4
   1 ба 2-р алхмын сертификатуудыг агуулсан итгэлцлийн гинж (trust chain) үүсгэх
5. 5
   Тэдгээрийг GravityZone консол руу байршуулах

OpenSSL суулгасан Linux үйлдлийн системтэй компьютер дээр, нэг хавтсанд, root хэрэглэгчээр доорх bash скриптүүдийг үүсгэнэ:

1. 1
   Текст засварлагчид доор дурдсан нэртэй шинэ файл нээж, скриптийг доорх жагсаалтаас үүсгэнэ. Жишээ нь: #vim createroot.sh
2. 2
   :i гэж бичиж харах горимоос засварлах горимд шилжинэ.
3. 3
   Файл бүрд заасан командуудыг засварлагч руу хуулна.
4. 4
   Файлыг хадгална. Жишээ нь: :wq гэж бичнэ.

Скриптийн нэр болон агуулга (root хэрэглэгчээр ажиллуулах ёстой):

createroot.sh

#!/bin/bash
openssl req -newkey rsa:2048 -days 365 -x509 -keyout rootkey.pem -out root.cer -sha256 -subj "/C=XX/O=XX/CN=XX/"

Тэмдэглэл: Улс C=XX, Байгууллага O=XX, Нийтлэг нэр CN=XX гэсэн утгуудыг өөрт тохирохоор солино. Жишээ нь: "/C=RO/O=Bitdefender/CN=MDM Root/"

createssl.sh

#!/bin/bash
openssl req -new -newkey rsa:2048 -keyout sslkey.pem -out ssl.csr -sha256 -subj "/CN=$1/" -batch
openssl x509 -req -days 365 -sha256 -in ssl.csr -CA root.cer -CAkey rootkey.pem -CAcreateserial -CAserial root.serial -out ssl.cer -extfile <(printf "extendedKeyUsage = serverAuth \n subjectAltName=IP:$1")

Тэмдэглэл: subjectAltName-д IP-ийн оронд DNS эсвэл FQHN (бүрэн хостын нэр)-ийг бас ашиглаж болно. Жишээ нь: subjectAltName=DNS:$1

createcom.sh

#!/bin/bash
openssl req -new -newkey rsa:2048 -keyout comkey.pem -out com.csr -subj "/CN=$1/" -batch
openssl x509 -req -days 365 -in com.csr -CA root.cer -CAkey rootkey.pem -CAcreateserial -CAserial root.serial -sha256 -out com.cer

createincident.sh

#!/bin/bash
openssl req -new -newkey rsa:2048 -keyout incidentkey.pem -out incident.csr -subj "/CN=$1/" -batch
openssl x509 -req -days 365 -in incident.csr -CA root.cer -CAkey rootkey.pem -CAcreateserial -CAserial root.serial -sha256 -out incident.cer

createsvacom.sh

#!/bin/bash
openssl req -new -newkey rsa:2048 -keyout svacomkey.pem -out svacom.csr -subj "/CN=$1/" -batch
openssl x509 -req -days 365 -in svacom.csr -CA root.cer -CAkey rootkey.pem -CAcreateserial -CAserial root.serial -sha256 -out svacom.cer

createsgn.sh

#!/bin/bash
openssl req -out sgn.csr -new -newkey rsa:2048 -keyout sgnkey.pem -subj "/C=XX/O=XX/CN=XX/" -batch
openssl x509 -req -days 365 -in sgn.csr -CA root.cer -CAkey rootkey.pem -CAcreateserial -CAserial root.serial -sha256 -out sgn.cer -extfile noCA.cnf -extfile <(printf "extendedKeyUsage = serverAuth \n subjectAltName=IP:$1")
rm sgn.csr

Тэмдэглэл: subjectAltName-д IP-ийн оронд DNS эсвэл FQHN-ийг бас ашиглаж болно. Жишээ нь: subjectAltName=DNS:$1. Улс C=XX, Байгууллага O=XX, Нийтлэг нэр CN=XX гэсэн утгуудыг өөрт тохирохоор солино. Жишээ нь: "/C=RO/O=Bitdefender/CN=MDM Signing Certificate/"

createchain.sh

#!/bin/bash
cat root.cer sgn.cer >chain.pem

noCA.cnf

basicConstraints=CA:false

Өмнө үүсгэсэн скриптүүдийг ашиглан сертификатуудыг үүсгэнэ. bash shell дээр скриптүүдийг root хэрэглэгчээр доорх дарааллаар ажиллуулна:

1. Root сертификат

#chmod +x createroot.sh
#./createroot.sh

Хувийн түлхүүрийг хамгаалж буй нууц үгээ санаарай.
Гарах файлууд: root.cer, rootkey.pem.

2. Control Center-ийн аюулгүй байдлын сертификат

#chmod +x createssl.sh
#./createssl.sh IP|FQHN

Серверийн тохиргооноос шалтгаалан IP эсвэл бүрэн хостын нэр (Fully Qualified Host Name)-ийн аль нэгийг оруулна. Өмнөхийн адил нууц үгээ санаарай.
Гарах файлууд: SSL сертификат - ssl.cer, хувийн түлхүүр - sslkey.pem.

3. Харгалзах файлуудыг Control Center руу байршуулна. Байршуулах журмыг Certificates хэсэгт тайлбарласан.

Чухал: Incidents сервер дээр CA-аас гарын үсэг зурсан сертификат ашиглаж байгаа бол төхөөрөмжийн (appliance) хостын нэр зөв тохируулагдсан эсэхийг шалгана уу. Эс бөгөөс сертификат зөв тархахгүй байж болно. Хостын нэрийг тохируулах зааврыг Configure hostname settings хэсгээс үзнэ үү.