Подробный гайд по принудительной блокировке учетных записей в ViPNet SafePoint
Важно:
ViPNet SafePoint — сертифицированное ФСТЭК средство защиты от НСД уровня ядра ОС (сертификат № 4468, 4 уровень доверия, 5 класс защищенности). Описанные ниже действия выполняются только администратором и подлежат обязательному аудиту. Точные названия пунктов меню могут незначительно отличаться в зависимости от версии (актуальная — 1.8), поэтому финальную сверку всегда делайте по официальному «Руководству администратора» для вашей версии.
1. Что такое принудительная блокировка и когда она применяется
В ViPNet SafePoint учетная запись пользователя может быть заблокирована тремя способами:
| Тип блокировки | Инициатор | Длительность | Сброс счетчика |
|---|---|---|---|
| Автоматическая временная | Система | На заданное время после N подряд неудачных попыток ввода пароля | По истечении времени блокировки счетчик неудачных попыток, выполненных подряд, сбрасывается |
| Автоматическая постоянная | Система | До снятия блокировки администратором — при превышении общего лимита неудачных попыток | После снятия блокировки общий счетчик сбрасывается |
| Принудительная (ручная) | Администратор | До явной разблокировки администратором | — |
Принудительная блокировка — это прямое административное действие, не зависящее от поведения пользователя.
Типовые сценарии:
- Увольнение сотрудника / перевод на другую роль;
- Реагирование на инцидент ИБ (подозрительная активность, компрометация токена);
- Плановое приостановление доступа (отпуск, болезнь, следствие);
- Выполнение предписания службы безопасности.
Дополнительно, начиная с версии 1.1, реализована автоматическая блокировка учетных записей при попытке несанкционированного отключения заданных устройств (например, USB-токена), а также принудительная остановка сессии пользователя по периоду неактивности. В версии 1.2 добавлена блокировка защищаемого устройства при подключении/отключении заданных устройств и блокировка сессии по событию.
2. Где выполняется блокировка: две консоли управления
Настройками клиента ViPNet SafePoint можно управлять двумя способами:
2.1. Консоль управления Сервера безопасности (централизованно, рекомендуется)
- Управление выполняется удаленно на Сервере безопасности; после внесения изменений настройки рассылаются Клиентам.
- Интерфейс управления настройками Клиента Windows из консоли Сервера безопасности не отличается от интерфейса локальной консоли управления Клиента.
- Требует развернутого Сервера безопасности (ОС Windows Server или совместимый Linux) и базы данных для хранения логов и политик.
2.2. Консоль управления Клиента (локально)
- Запускается локально на Клиенте; настройка выполняется индивидуально на каждом узле.
- Вход в консоль защищен паролем, который задается при установке ПО; при необходимости парольную защиту можно отключить.
- Применяется в автономном варианте исполнения или при отсутствии связи с Сервером безопасности.
Ограничение для Linux-клиентов:
В интерфейсе управления из консоли Сервера безопасности, в отличие от локальной консоли Клиента Linux, нет возможности изменять пароль администратора Клиента Linux и работать с резервным копированием настроек. Также в интерфейсе Сервера безопасности нет раздела «События аудита», но сами события можно просмотреть, получив журналы аудита с Клиента Linux.
3. Пошаговая инструкция: принудительная блокировка через консоль Сервера безопасности
Ниже приведен типовой порядок действий. Точные названия разделов сверяйте с Руководством администратора вашей версии.
Шаг 1. Вход в консоль
- Запустите Консоль управления Сервера безопасности на терминале управления.
- Выполните вход под учетной записью администратора. Помните о ролевой модели:
- Суперадминистратор — имеет возможность управлять всеми функциями;
- Подчиненный администратор — управляет только той функциональностью, которую назначил суперадминистратор.
- С версии 1.2 реализованы настраиваемые ограничения действий администраторов в части управления пользователями в Active Directory и делегирование полномочий. Убедитесь, что вашей учетной записи делегировано право на блокировку пользователей.
Шаг 2. Выбор целевого узла / пользователя
- В дереве консоли перейдите к разделу управления пользователями или узлами (в зависимости от версии интерфейс может называться «Пользователи», «Узлы → Пользователи» или быть частью раздела политик).
- При работе в доменной сети SafePoint получает информацию об объектах AD: рабочие станции, пользователи, группы пользователей; возможно управление политиками на уровне организационных подразделений (OU).
- Найдите нужную учетную запись пользователя (по имени, SID или принадлежности к OU/группе).
Шаг 3. Выполнение принудительной блокировки
- Откройте свойства/карточку учетной записи (обычно — правый клик → «Свойства» или выделение + панель действий).
- Найдите параметр состояния учетной записи: «Заблокировать учетную запись» / «Блокировка» / флажок «Учетная запись заблокирована».
- Установите блокировку и сохраните/примените изменения.
- Консоль выполнит рассылку обновленных настроек Клиентам. На целевом узле изменения вступят в силу после получения политики клиентом (при активном соединении — практически немедленно).
Шаг 4. Проверка
- Убедитесь, что клиент получил политику (статус узла в консоли, журнал рассылки).
- Проверьте в Сервере аудита появление события о блокировке (см. раздел 6).
Если узел находится в автономном режиме или связь с Сервером безопасности отсутствует, выполните блокировку локально через Консоль управления Клиента (раздел 4).
4. Пошаговая инструкция: принудительная блокировка через локальную консоль Клиента
- На защищаемом узле запустите Консоль управления Клиента ViPNet SafePoint.
- Введите пароль администратора Клиента, заданный при установке ПО.
- Перейдите в раздел управления пользователями/аутентификацией.
- Выберите целевую учетную запись и установите состояние «Заблокирована».
- Примените изменения. Настройки вступают в силу локально на данном узле.
Для Linux-клиентов локальная консоль также позволяет менять пароль администратора и работать с резервным копированием настроек — функции, недоступные из консоли Сервера безопасности.
5. Настройка политик автоматической блокировки (пороговые значения)
Чтобы система сама блокировала учетные записи при подборе пароля, администратор задает параметры в политике аутентификации (раздел настроек паролей/аутентификации в консоли):
| Параметр | Назначение | Эффект |
|---|---|---|
| Порог неудачных попыток подряд | Сколько раз подряд можно ввести неверный пароль | По достижении — временная блокировка |
| Длительность временной блокировки | На сколько блокировать | По истечении времени счетчик подряд идущих неудач сбрасывается |
| Общий лимит неудачных попыток | Суммарное количество неудач (не обязательно подряд) | По превышении — блокировка до снятия администратором; после снятия общий счетчик сбрасывается |
Рекомендации по настройке:
- Устанавливайте порог в соответствии с требованиями вашей модели угроз и регламента ИБ (типично: 3–5 попыток подряд, временная блокировка 15–30 минут).
- Общий лимит должен быть выше порогового значения подряд, чтобы отличать случайные ошибки от целенаправленного подбора.
- Помните: при использовании двухфакторной аутентификации (Rutoken, JaCarta) блокировка учетной записи не заменяет контроль целостности токена — настройте дополнительно блокировку при несанкционированном отключении устройства (см. раздел 5.1).
5.1. Блокировка при несанкционированном отключении устройств (с версии 1.1)
В политике контроля устройств задайте перечень критичных устройств (например, USB-токен аутентификации) и включите опцию блокировки учетной записи при попытке их несанкционированного отключения. В версии 1.2 механизм расширен: блокировка защищаемого устройства возможна как при подключении, так и при отключении заданных устройств.
5.2. Блокировка/остановка сессии по неактивности или событию (с версии 1.1/1.2)
- 1.1: принудительная остановка сессии пользователя в период неактивности.
- 1.2: блокировка сессии по периоду неактивности или по событию.
Настраивается в параметрах контроля сессий: задайте тайм-аут неактивности и/или перечень событий-триггеров. Это не блокирует учетную запись навсегда, но прерывает активную сессию и требует повторной аутентификации.
6. Разблокировка учетной записи
- В той же консоли (Сервера безопасности или локальной консоли Клиента) откройте карточку заблокированной учетной записи.
- Снимите признак блокировки («Разблокировать» / сброс флажка «Заблокирована»).
- Примените изменения и дождитесь рассылки политики на клиент.
- Обязательно: после снятия блокировки, вызванной превышением общего лимита неудачных попыток, общий счетчик неудачных попыток сбрасывается автоматически. При временной блокировке счетчик подряд идущих неудач сбрасывается по истечении времени блокировки без участия администратора.
- Зафиксируйте факт разблокировки в журнале инцидентов/служебной записке (требование регламента ИБ).
Разблокировка — привилегированная операция. В ролевой модели 1.2+ убедитесь, что подчиненному администратору делегировано соответствующее право, иначе действие выполнит только суперадминистратор.
7. Аудит и журналирование событий блокировки
В ViPNet SafePoint регистрируются все действия пользователя, связанные со:
- входом в систему;
- завершением и блокировкой рабочей сессии;
- изменением паролей;
- обращением к защищаемым ресурсам (файлам, приложениям, устройствам).
Как работать с аудитом:
- Используйте Сервер аудита ViPNet SafePoint для просмотра записей событий в реальном времени.
- Настройте рассылку уведомлений о событиях: по электронной почте или в формате CEF по протоколу Syslog на внешние SIEM-системы.
- Для Linux-клиентов при отсутствии раздела «События аудита» в консоли Сервера безопасности получайте журналы аудита непосредственно с Клиента Linux.
- Выгружайте логи в корпоративную SIEM или ViPNet TIAS для централизованного мониторинга инцидентов.
Контролируемые события по теме блокировки:
- Успешная/неуспешная аутентификация (для анализа подбора пароля);
- Факт автоматической временной/постоянной блокировки;
- Факт принудительной блокировки администратором (с указанием УЗ администратора);
- Факт разблокировки;
- Блокировка при отключении устройства;
- Остановка сессии по неактивности/событию.
8. Особенности для Linux-клиентов
- Поддерживаемые ОС: Astra Linux SE 1.7 «Воронеж»/«Орёл», РЕД ОС 7.3.x «Муром», Альт Рабочая станция 10.0, Debian 11.
- С версии 1.6 доступна утилита тиражирования настроек ViPNet SafePoint Клиент Linux; с версии 1.7 тиражирование возможно через консоль управления Сервера безопасности, дополнительная утилита не требуется.
- Управление паролями администратора клиента и резервным копированием настроек — только локально.
- При создании ключей (dst-файлов) для Linux-узлов им обязательно должна быть назначена роль
linux-client, иначе сгенерированные для Windows ключи работать не будут. - Механизмы блокировки учетных записей пользователей на Linux-клиентах функционируют аналогично Windows, но интерфейс локальной консоли отличается; сверяйтесь с документом «ViPNet SafePoint. Руководство администратора. Клиент Linux» (1,7 Мб).
9. Права администраторов и делегирование (важно для принудительной блокировки)
| Роль | Возможности |
|---|---|
| Суперадминистратор | Управление всеми функциями, включая блокировку/разблокировку любых учетных записей, назначение прав подчиненным администраторам |
| Подчиненный администратор | Только та функциональность, которую назначил суперадминистратор. С версии 1.2 — настраиваемые ограничения в части управления пользователями в AD и делегирование полномочий (полных/части) |
Практический совет:
Для соблюдения принципа наименьших привилегий выделите блокировку/разблокировку учетных записей в отдельное делегируемое право и назначьте его только сотрудникам службы ИБ, ответственным за реагирование на инциденты. Все действия таких администраторов должны попадать в аудит.
10. Чек-лист администратора перед принудительной блокировкой
- [ ] Подтверждено основание (служебная записка, инцидент, приказ).
- [ ] Идентифицирована точная учетная запись (имя, SID, OU) — исключена ошибка в выборе.
- [ ] Проверено, что у вашей УЗ администратора есть право на блокировку (роль/делегирование)
- [ ] Учтено, что блокировка прервет активные сессии пользователя и может повлиять на связанные сервисы (SSO с SafeBoot, доступ к защищаемым ресурсам).
- [ ] Настроена рассылка уведомления в SIEM/почту о событии блокировки
- [ ] Запланирована процедура и срок разблокировки (если блокировка временная по бизнес-процессу).
- [ ] После выполнения — проверено появление события в Сервере аудита
11. Где взять официальную документацию
Актуальный комплект документации для версии 1.8 (10,2 Мб) доступен для скачивания без регистрации на официальном сайте ИнфоТеКС:
- Страница загрузки:
https://infotecs.ru/downloads/documents/vipnet-safepoint/ - В составе комплекта:
- «ViPNet SafePoint. Руководство администратора» (6,2 Мб) — основное руководство по Серверу безопасности, консоли управления, политикам и управлению пользователями;
- «ViPNet SafePoint. Руководство администратора. Клиент Linux» (1,7 Мб);
- Руководства по установке, Серверу аудита, консоли развертывания.
Консоль развертывания (для массовой установки/обновления/удаления Клиента Windows в домене) требует прав администратора домена AD и разрешенного удаленного администрирования по WMI + общего административного доступа к дисковым томам на уровне политик домена. Она входит в состав консоли управления Сервера безопасности.
Техническая поддержка ИнфоТеКС:
hotline@infotecs.ru. При возникновении нештатных ситуаций (например, невозможность разблокировать УЗ, рассинхронизация политик) обращайтесь в поддержку, указав версию SafePoint и номер сертификата/лицензии.
12. Важно (TL;DR)
- Принудительная блокировка выполняется администратором вручную в Консоли управления Сервера безопасности (централизованно) или в локальной Консоли управления Клиента
- Порядок: вход под УЗ администратора с соответствующими правами → выбор пользователя/узла → установка состояния «Заблокирована» → применение → рассылка политики на клиент
- Параллельно настраиваются пороги автоматической блокировки (подряд/общий лимит, длительность)
- С версии 1.1 доступна блокировка при несанкционированном отключении устройств (USB-токен) и остановка сессии по неактивности; с 1.2 — блокировка устройства при подключении/отключении и блокировка сессии по событию
- Разблокировка — снятие признака блокировки администратором; счетчики неудачных попыток сбрасываются автоматически
- Все события обязательно попадают в аудит; настройте экспорт в SIEM через Syslog/CEF или почту
- Точные пути в интерфейсе сверяйте с «Руководством администратора» вашей версии, доступным на infotecs.ru
Информация предоставлена в ознакомительных целях. Применение описанных настроек в системах, должно осуществляться только после согласования с ответственными за информационную безопасность и в соответствии с требованиями ФСТЭК, ФСБ и иных уполномоченных органов.