Подробный гайд: Настройка замкнутой программной среды в ПАК Dallas Lock - Часть 2

Подробный гайд: Настройка замкнутой программной среды в ПАК Dallas Lock - Часть 2 Начало в Части 1

---

14. Сетевые папки и съемные носители

14.1. Сетевые папки

Запуск исполняемых файлов из сетевых папок должен быть запрещен, если только это не специально управляемый дистрибутив.

Особенно опасно:

\\server\share

где пользователи могут писать.

Если нужно разрешить запуск из сетевого каталога:

• каталог должен быть только для чтения;
• доступ строго по группам;
• файлы подписаны или проверены по хэшу;
• включено журналирование;
• желательно использовать репликацию в локальный защищенный каталог.

---

---

---

14.2. Съемные носители

Рекомендуется:

• запретить запуск исполняемых файлов со съемных носителей;
• разрешить только чтение данных, если нужно;
• контролировать устройства через модуль контроля устройств;
• блокировать автозапуск;
• вести журнал подключения носителей.

---

15. Настройка для серверов

Если ЗПС включается на серверах, подход должен быть еще осторожнее.

Особенности:

• серверы обычно имеют меньший набор ПО;
• изменения должны проходить через регламент;
• обновления ОС и СУБД критичны;
• нельзя нарушить работу служб;
• нужно учитывать резервное копирование, мониторинг, антивирус, агенты резервирования;
• тестирование обязательно на копии или выделенном тесте.

Для серверов рекомендуется:

1. Длительный аудит.
2. Только хэши или подписи.
3. Минимум правил по пути.
4. Запрет запуска из временных каталогов.
5. Контроль установки обновлений.
6. Аварийный доступ администратора.

---

16. Журналирование и мониторинг

ЗПС без журналов теряет половину ценности.

16.1. Какие события контролировать

• попытка запуска разрешенной программы;
• попытка запуска запрещенной программы;
• изменение правил;
• применение политики;
• ошибка применения правил;
• отключение или попытка отключения агента;
• ошибки подписи;
• запуск из небезопасных каталогов;
• попытки запуска со съемных носителей;
• массовые блокировки у пользователя.

---

16.2. Настройка уведомлений

Настройте оповещения для критичных событий:

• массовая блокировка одного и того же файла;
• попытка запуска из %TEMP%;
• попытка запуска со съемного носителя;
• неизвестный исполняемый файл у нескольких пользователей;
• ошибка применения политики;
• отключение защиты.

---

16.3. Интеграция с SIEM

Если есть SIEM, передавайте события туда.

Полезные сценарии корреляции:

• один пользователь многократно пытается запустить заблокированный файл;
• один и тот же заблокированный файл появился на разных машинах;
• запуск из %TEMP% с последующей сетевой активностью;
• блокировка скрипта после открытия вложения;
• попытка запуска с флешки на нескольких машинах.

---

17. Типичные ошибки при настройке ЗПС

Ошибка 1. Немедленное включение блокировки без аудита

Последствие: массовые обращения пользователей и остановка работы.

Правильно:

Аудит → анализ → пилот → блокировка

---

Ошибка 2. Разрешение по небезопасному пути

Пример:

Разрешить все из %APPDATA%

Последствие: пользователь или вредонос может положить туда любой исполняемый файл.

Правильно:

• подпись;
• хэш;
• защищенный каталог;
• права доступа.

---

Ошибка 3. Разрешение слишком широкого издателя

Пример:

Разрешить все, подписанное любым сертификатом

или:

Разрешить все от крупного вендора без уточнения продукта

Правильно:

• конкретный продукт;
• конкретная версия или контролируемый диапазон;
• проверка цепочки доверия.

---

Ошибка 4. Отсутствие контроля скриптов

Если разрешены .exe, но не контролируются скрипты, защита неполная.

Правильно:

• контролировать скрипты;
• ограничить интерпретаторы;
• требовать подпись;
• запретить пользовательские каталоги.

---

Ошибка 5. Нет процесса сопровождения

После обновления программа блокируется, и никто не знает, как добавить правило.

Правильно:

• регламент внесения изменений;
• ответственные;
• форма заявки;
• срок добавления исключения;
• пересмотр исключений.

---

18. Диагностика проблем

18.1. Программа не запускается

Проверьте:

1. Включен режим блокировки или аудит.
2. Есть ли событие блокировки в журнале.
3. Какой путь у файла.
4. Есть ли цифровая подпись.
5. Совпадает ли хэш.
6. Применяется ли нужная политика к компьютеру.
7. Получил ли агент актуальную политику.
8. Нет ли конфликта правил.
9. Не запускается ли файл из небезопасного каталога.
10. Не изменен ли файл после добавления хэша.

---

---

---

18.2. Политика не применяется

Проверьте:

• статус агента;
• связь с сервером;
• время и дату;
• правильность группы компьютеров;
• приоритет политик;
• наличие ошибок в журнале сервера;
• наличие ошибок в журнале агента;
• перезагрузку, если требуется.

---

18.3. Правила по подписи не работают

Проверьте:

• сертификат установлен в доверенные;
• цепочка сертификатов полна;
• сертификат не отозван;
• время корректно;
• подпись не повреждена;
• файл подписан именно тем издателем, который указан;
• продукт совпадает с правилом.

---

18.4. Разрешенный файл блокируется

Возможные причины:

• изменена версия файла;
• изменен хэш;
• файл перемещен в другой каталог;
• правило по пути не учитывает подкаталоги;
• файл запускается временным процессом;
• политика применена не к той группе;
• правило переопределяется другим правилом.

---

19. Эксплуатация ЗПС

После внедрения начинается основная работа.

19.1. Регулярные задачи

Периодичность	Действие
Ежедневно	просмотр критичных событий блокировок
Еженедельно	анализ новых заблокированных файлов
Ежемесячно	аудит правил и исключений
Ежеквартально	пересмотр исключений с истекшим сроком
При обновлении ПО	добавление/изменение правил до раскатки
При инциденте ИБ	внеплановый анализ журналов ЗПС

---

19.2. Управление исключениями

Исключение должно содержать:

1. Название программы.
2. Версию.
3. Тип правила: подпись, хэш, путь.
4. Обоснование.
5. Инициатора.
6. Согласующего.
7. Дату начала.
8. Дату окончания или пересмотра.
9. Риски.
10. Условия использования.

---

20. Рекомендуемая схема внедрения

Используйте такой план:

Этап 1. Подготовка

• определить скоуп;
• установить агенты;
• проверить связь;
• создать тестовую группу;
• подготовить аварийный доступ.

Этап 2. Аудит

• включить режим аудита;
• собрать события за 1–4 недели;
• составить перечень используемого ПО.

Этап 3. Проектирование правил

• разделить ПО на категории;
• выбрать подпись, хэш или путь;
• подготовить исключения;
• запретить опасные каталоги.

Этап 4. Пилот

• применить правила к пилотной группе;
• проверить работу;
• устранить ложные срабатывания;
• обучить поддержку.

Этап 5. Включение блокировки

• включить принудительный режим поэтапно;
• усилить мониторинг;
• подготовить дежурство администраторов.

Этап 6. Сопровождение

• вести журнал изменений;
• пересматривать исключения;
• обновлять правила при изменениях ПО;
• регулярно проверять защищенность.

---

21. Пример тестового сценария

После настройки выполните тесты.

Тест 1. Разрешенная программа

Действие: запустить программу из разрешенного перечня.
Ожидаемый результат: запуск успешен.

Тест 2. Неразрешенная программа

Действие: скопировать произвольный .exe и запустить.
Ожидаемый результат: запуск заблокирован.

Тест 3. Запуск из %TEMP%

Действие: положить .exe в %TEMP% и запустить.
Ожидаемый результат: блокировка, если политика запрещает.

Тест 4. Запуск с флешки

Действие: запустить .exe со съемного носителя.
Ожидаемый результат: блокировка.

Тест 5. Подмена файла

Действие: заменить разрешенный файл другим с тем же именем.
Ожидаемый результат: запуск должен быть заблокирован, если контроль хэша/подписи работает.

Тест 6. Обновление программы

Действие: обновить разрешенную программу.
Ожидаемый результат: обновление проходит, запуск новых компонентов разрешен или требует обновления правил.

Тест 7. Работа без сервера

Действие: изолировать тестовую машину от сервера управления.
Ожидаемый результат: политика продолжается применяться согласно заданному сценарию.

---

---

---

22. Практические рекомендации по безопасности

1. Не давайте обычным пользователям локальные административные права.
2. Запрещайте запуск из %TEMP% и пользовательских профилей.
3. Используйте подписи там, где они есть.
4. Хэши — для неподписанных, но стабильных файлов.
5. Правила по пути — только для защищенных каталогов.
6. Не разрешайте скрипты без необходимости.
7. Ведите учет всех исключений.
8. Ограничьте срок действия временных исключений.
9. Интегрируйте события ЗПС с мониторингом ИБ.
10. Проверяйте ЗПС после обновлений Windows и Dallas Lock.

---

23. Чек-лист перед включением боевого режима

Проверьте по пунктам:

• [ ] Агенты установлены и видны в консоли.
• [ ] Политика применена к тестовой группе.
• [ ] Режим аудита отработал достаточный срок.
• [ ] Собран список фактически используемого ПО.
• [ ] Созданы правила для критичного ПО.
• [ ] Проверены скрипты и интерпретаторы.
• [ ] Запрещен запуск из %TEMP%.
• [ ] Запрещен запуск с флешек, если требуется.
• [ ] Проверены сетевые папки.
• [ ] Есть аварийный доступ.
• [ ] Есть резервная копия политики.
• [ ] Поддержка знает порядок действий при блокировке.
• [ ] Проверена работа при недоступности сервера.
• [ ] Журналы поступают в консоль или SIEM.
• [ ] Пилотная группа подтвердила работоспособность.
• [ ] Утвержден процесс добавления новых программ.
• [ ] Утвержден процесс пересмотра исключений.

---

24. Краткая типовая инструкция для администратора

Если нужна короткая рабочая последовательность:

1. Открыть консоль администрирования Dallas Lock.
2. Создать тестовую группу компьютеров.
3. Включить для нее контроль приложений / ЗПС в режиме аудита.
4. Подождать 1–2 недели, собрать отчеты о запусках.
5. Составить список разрешенного ПО.
6. Создать правила: подпись → хэш → защищенный путь.
7. Добавить запреты для %TEMP%, %APPDATA%, съемных носителей и сетевых папок.
8. Проверить на пилотных машинах.
9. Устранить ложные блокировки.
10. Включить режим блокировки поэтапно.
11. Настроить мониторинг и журнал событий.
12. Сопровождать правила и исключения.

---

25. Важное замечание по версиям

Если у вас конкретная версия, например:

• Dallas Lock 8.0-K;
• Dallas Lock 8.0-C;
• Dallas Lock 8000;
• специализированная сертифицированная сборка;
• версия с модулем доверенной загрузки;

то названия политик и параметры могут отличаться.

Рекомендую перед боевым включением сверяться с официальной документацией вашей версии по ключевым словам:

• «замкнутая программная среда»;
• «контроль приложений»;
• «контроль запуска программ»;
• «белый список программ»;
• «правила исполнения»;
• «политика безопасности»;
• «агент»;
• «журнал событий».

---

26. Итоговая рекомендация

Настройка ЗПС в Dallas Lock — это не разовое действие, а процесс внедрения и сопровождения.

Наиболее безопасная и устойчивая схема выглядит так:

Аудит
→ инвентаризация ПО
→ правила по подписям и хэшам
→ точечные исключения
→ пилот
→ постепенное включение блокировки
→ постоянный мониторинг

---

Главное правило:

ЗПС должна быть строгой, но управляемой. Лучше потратить время на аудит и исключения, чем аварийно останавливать рабочие процессы после массовой блокировки.

---

Информация предоставлена в ознакомительных целях. Применение описанных настроек в системах, должно осуществляться только после согласования с ответственными за информационную безопасность и в соответствии с требованиями ФСТЭК, ФСБ и иных уполномоченных органов.

---