Kaspersky Symphony XDR: Open Single Management Platform

Печать Поддержка Отправить ссылку В формате PDF

Содержание

Настройка прав доступа к функциям приложения Управление доступом на основе ролей

Настройка прав доступа к функциям приложения Управление доступом на основе ролей

Open Single Management Platform предоставляет доступ на основе ролей к функциям Open Single Management Platform и к функциям управляемых приложений "Лаборатории Касперского".

Вы можете настроить права доступа к функциям приложения для пользователей Open Single Management Platform одним из следующих способов:

настраивать права каждого пользователя или группы пользователей индивидуально;
создавать типовые роли пользователей с заранее настроенным набором прав и присваивать роли пользователям в зависимости от их служебных обязанностей.

Применение ролей пользователей облегчает и сокращает рутинные действия по настройке прав доступа пользователей к приложению. Права доступа в роли настраивают в соответствии с типовыми задачами и служебными обязанностями пользователей.

Ролям пользователя можно давать названия, соответствующие их назначению. В приложение можно создавать неограниченное количество ролей.

Вы можете использовать предопределенные роли пользователей с уже настроенным набором прав или создавать роли и самостоятельно настраивать необходимые права.

См. также:

Сценарий: настройка защиты сети

В начало

Права доступа к функциям приложения

В таблице ниже приведены функции Open Single Management Platform с правами доступа для управления задачами, отчетами, параметрами и для выполнения действий пользователя.

Для выполнения действий пользователя, перечисленных в таблице, у пользователя должно быть право, указанное рядом с действием.

Права на Чтение, Запись и Выполнение применимы к любой задаче, отчету или параметрам. В дополнение к этим правам у пользователя должно быть право Выполнение операций с выборками устройств для управления задачами, отчетами или изменения параметров выборок устройств.

Функциональная область Общие функции: Доступ к объектам независимо от их списков ACL предназначена для аудита. Когда пользователям предоставляется право Чтение в этой функциональной области, они получают полный доступ на Чтение ко всем объектам и могут выполнять любые созданные задачи на выбранных устройствах, подключенных к Серверу администрирования через Агент администрирования с правами локального администратора (root для Linux). Рекомендуется предоставлять эти права ограниченному кругу пользователей, которым они нужны для выполнения своих служебных обязанностей.

Все задачи, отчеты, параметры и инсталляционные пакеты, отсутствующие в таблице, относятся к области Общие функции: Базовая функциональность.

Права доступа к функциям приложения

Функциональная область	Право	Действие пользователя: право, необходимое для выполнения действия	Задача	Отчет	Другое
Общие функции: Управление группами администрирования	Запись.	Добавление устройства в группу администрирования: Запись. Удаление устройства из состава группы администрирования: Запись. Добавление группы администрирования в другую группу администрирования: Запись. Удаление группы администрирования из другой группы администрирования: Запись.	Отсутствует.	Отсутствует.	Отсутствует.
Общие функции: Доступ к объектам независимо от их списков ACL	Чтение.	Получение доступа на чтение ко всем объектам: Чтение.	Отсутствует.	Отсутствует.	Доступ предоставляется независимо от других прав, даже если они запрещают доступ на чтение к определенным объектам.
Общие функции: Базовая функциональность.	Чтение. Запись. Выполнение. Выполнение действий над выборками устройств.	Правила перемещения устройства (создание, изменение или удаление) для виртуального Сервера: Запись, Выполнение действий над выборками устройств. Получение мобильного протокола пользовательского сертификата (LWNGT): Чтение. Установка мобильного протокола пользовательского сертификата (LWNGT): Запись. Получить список сетей, определенных NLA: Чтение. Добавить, изменить или удалить список сетей, определенных NLA: Запись. Просмотр списка контроля доступа групп: Чтение. Просмотр журнала операционной системы: Чтение.	Загрузка обновлений в хранилище Сервера администрирования. Рассылка отчетов. Распространение инсталляционных пакетов. Установка приложений на подчиненные Серверы администрирования.	Отчет о состоянии защиты. Отчет об угрозах. Отчет о наиболее заражаемых устройствах. Отчет о статусе антивирусных баз. Отчет об ошибках. Отчет о сетевых атаках. Сводный отчет о приложениях для защиты периметра. Сводный отчет о типах установленных приложений. Отчет о пользователях зараженных устройств. Отчет об инцидентах. Отчет о событиях. Отчет о работе точек распространения. Отчет о подчиненных Серверах администрирования. Отчет о событиях Контроля устройств. Отчет о запрещенных приложениях. Отчет о работе Веб-Контроля. Отчет о статусе шифрования управляемых устройств. Отчет о статусе шифрования запоминающих устройств. Отчет о правах доступа к зашифрованным дискам. Отчет об ошибках шифрования файлов. Отчет о блокировании доступа к зашифрованным файлам. Отчет об эффективных правах пользователя. Отчет о правах.	Отсутствует.
Общие функции: Удаленные объекты	Чтение. Запись.	Просмотр удаленных объектов в корзине: Чтение. Удаление объектов из корзины: Запись.	Отсутствует.	Отсутствует.	Отсутствует.
Общие функции: Обработка событий	Удаление событий. Изменение параметров уведомления о событиях. Изменение параметров записи событий в журнал событий. Запись.	Изменение параметров регистрации событий: Изменение параметров записи событий в журнал событий. Изменение параметров уведомления о событиях: Изменение параметров уведомления о событиях. Удаление событий: Удаление событий.	Отсутствует.	Отсутствует.	Параметры: Максимальное количество событий, хранящихся в базе данных. Период хранения событий удаленных устройств.
Общие функции: Операции с Сервером администрирования	Чтение. Запись. Выполнение. Изменение списков ACL объекта. Выполнение действий над выборками устройств.	Изменение портов Сервера администрирования для подключения Агента администрирования: Запись. Изменение портов прокси-сервера активации, запущенного на Сервере администрирования: Запись. Изменение портов прокси-сервера активации для мобильных устройств, запускаемых на Сервере администрирования: Запись. Изменение портов Веб-сервера для распространения автономных пакетов: Запись. Изменение портов Веб-сервера для распространения iOS MDM-профилей: Запись. Изменение SSL-портов Сервера администрирования для подключения с помощью Консоли OSMP: Запись. Изменение портов Сервера администрирования для подключения мобильных устройств: Запись. Укажите максимальное количество событий, хранящихся в базе данных Сервера администрирования: Запись. Укажите максимальное количество событий, которое может отправлять Сервер администрирования: Запись. Изменение периода, в течение которого Сервер администрирования может отправлять события: Запись.	Резервное копирование данных Сервера администрирования. Обслуживание базы данных.	Отсутствует.	Отсутствует.
Общие функции: Развертывание приложений "Лаборатории Касперского"	Управление патчами "Лаборатории Касперского". Чтение. Запись. Выполнение. Выполнение действий над выборками устройств.	Одобрить или отклонить установку патча: Управление патчами "Лаборатории Касперского".	Отсутствует.	Отчет об использовании лицензионных ключей виртуальным Сервером администрирования. Отчет о версиях приложений "Лаборатории Касперского". Отчет о несовместимых приложениях. Отчет о версиях обновлений модулей приложений "Лаборатории Касперского". Отчет о развертывании защиты.	Инсталляционный пакет: "Лаборатория Касперского".
Общие функции: Управление лицензионными ключами	Экспорт файл ключа. Запись.	Экспорт файл ключа: Экспорт файл ключа. Изменение параметров лицензионного ключа Сервера администрирования: Запись.	Отсутствует.	Отсутствует.	Отсутствует.
Общие функции: Управление отчетами	Чтение. Запись.	Создание отчетов для объектов независимо от их списков ACL: Запись. Выполнять отчеты независимо от их списков ACLs: Чтение.	Отсутствует.	Отсутствует.	Отсутствует.
Общие функции: Иерархия Серверов администрирования	Настройка иерархии Серверов администрирования	Добавление, обновление или удаление подчиненных Серверов администрирования: Настройка иерархии Серверов администрирования.	Отсутствует.	Отсутствует.	Отсутствует.
Общие функции: Права пользователя	Изменение списков ACL объекта.	Изменение свойств Безопасности любого объекта: Изменение списков ACL объекта. Управление ролями пользователей: Изменение списков ACL объекта. Управление внутренними пользователями: Изменение списков ACL объекта. Управление группами безопасности: Изменение списков ACL объекта. Управление псевдонимами: Изменение списков ACL объекта.	Отсутствует.	Отсутствует.	Отсутствует.
Общие функции: Виртуальные Серверы администрирования	Управление виртуальными Серверами администрирования. Чтение. Запись. Выполнение. Выполнение действий над выборками устройств.	Получение списка виртуальных Серверов администрирования: Чтение. Получение информации о виртуальном Сервере администрирования: Чтение. Создание, обновление или удаление виртуального Сервера администрирования: Управление виртуальными Серверами администрирования. Перемещение виртуального Сервера администрирования в другую группу: Управление виртуальными Серверами администрирования. Установка прав доступа к виртуальному Серверу администрирования: Управление виртуальными Серверами администрирования.	Отсутствует.	Отсутствует.	Отсутствует.
Общие функции: Управление ключами шифрования	Запись.	Подтверждение запуска плейбука в обучающем режиме: Запись.	Отсутствует.	Отсутствует.	Отсутствует.

В начало

Предопределенные роли пользователей

Роли пользователей (далее также роли), назначенные пользователям Open Single Management Platform, предоставляют им набор прав доступа к функциям приложения.

Вы можете использовать предопределенные роли пользователей с уже настроенным набором прав или создавать роли и самостоятельно настраивать необходимые права. Некоторые из предопределенных ролей, доступных в Open Single Management Platform, можно связать с определенными должностями, например Аудитор, Специалист по безопасности, Контролер. Права доступа этих ролей предварительно настраиваются в соответствии со стандартными задачами и обязанностями соответствующих должностей. В таблице ниже показано, как роли могут быть связаны с определенными должностями.

Примеры ролей для определенных должностей

Роль	Описание
Аудитор	Разрешено выполнение любых операций со всеми типами отчетов, а также всех операций просмотра, включая просмотр удаленных объектов (предоставлены права Чтение и Запись для области Удаленные объекты). Другие операции не разрешены. Вы можете назначить эту роль сотруднику, который выполняет аудит вашей организации.
Контролер	Разрешен просмотр всех операций, не разрешены другие операции. Вы можете назначить эту роль специалисту по безопасности и другим менеджерам, которые отвечают за ИТ-безопасность в вашей организации.
Специалист по безопасности	Разрешены все операции просмотра, разрешено управление отчетами. Предоставлены ограниченные права в области Управление системой: Подключения. Вы можете назначить эту роль сотруднику, который отвечает за ИТ-безопасность в вашей организации.

В таблице ниже приведены права для каждой предопределенной роли пользователя.

Возможности функциональной области Управление мобильными устройствами: Общие и Управление системой недоступны в Open Single Management Platform. Пользователь с ролями Администратор Системного администрирования/Оператор и Администратор управления мобильными устройствами/Оператор имеют права доступа только в функциональной области Общие функции: Базовая функциональность.

Права предопределенных ролей пользователей

Роль	Описание

Основные роли
Администратор Сервера администрирования	Разрешает все операции в следующих функциональных областях: Общие функции: Базовая функциональность. Обработка событий. Иерархия Серверов администрирования. Виртуальные Серверы администрирования. Предоставляет права на Чтение и Запись в области Общие функции: Управление ключами шифрования.
Оператор Сервера администрирования	Предоставляет права на Чтение и Выполнение в следующих функциональных областях: Общие функции: Базовая функциональность. Виртуальные Серверы администрирования.
Аудитор	Разрешает все операции в следующих функциональных областях: Общие функции: Доступ к объектам независимо от их списков ACL. Удаленные объекты. Управление отчетами. Вы можете назначить эту роль сотруднику, который выполняет аудит вашей организации.
Администратор установки приложений	Разрешает все операции в следующих функциональных областях: Общие функции: Базовая функциональность. Развертывание приложений "Лаборатории Касперского". Управление лицензионными ключами. Предоставляет права на Чтение и Выполнение в области Общие функции: Виртуальные Серверы администрирования.
Оператор установки приложений	Предоставляет права на Чтение и Выполнение в следующих функциональных областях: Общие функции: Базовая функциональность. Развертывание приложений "Лаборатории Касперского" (также предоставляет права на Управление патчами "Лаборатории Касперского" в этой же области). Виртуальные Серверы администрирования.
Администратор Kaspersky Endpoint Security	Разрешает все операции в следующих функциональных областях: Общие функции: Базовая функциональность. Область Kaspersky Endpoint Security, включая все функции. Предоставляет права на Чтение и Запись в области Общие функции: Управление ключами шифрования.
Оператор Kaspersky Endpoint Security	Предоставляет права на Чтение и Выполнение в следующих функциональных областях: Общие функции: Базовая функциональность. Область Kaspersky Endpoint Security, включая все функции.
Главный администратор	Разрешает все операции во всех функциональных областях, кроме следующих областей: Общие функции: Доступ к объектам независимо от их списков ACL. Управление отчетами. Предоставляет права на Чтение и Запись в области Общие функции: Управление ключами шифрования.
Главный оператор	Предоставляет права на Чтение и Выполнение (если применимо) в следующих функциональных областях: Общие функции: Базовая функциональность. Удаленные объекты. Операции с Сервером администрирования. Развертывание приложений "Лаборатории Касперского". Виртуальные Серверы администрирования. Область Kaspersky Endpoint Security, включая все функции.
Администратор управления мобильными устройствами	Разрешает все операции в области Общие функции: Базовая функциональность.
Специалист по безопасности	Разрешает все операции в следующих функциональных областях: Общие функции: Доступ к объектам независимо от их списков ACL. Управление отчетами. Предоставляет права на Чтение, Запись, Выполнение, Сохранение файлов с устройств на рабочем месте администратора и Выполнение операций с выборками устройств в области Управление системой: Подключения. Вы можете назначить эту роль сотруднику, который отвечает за ИТ-безопасность в вашей организации.
Пользователь Self Service Portal	Разрешает все операции в области Управление мобильными устройствами: Self Service Portal. Эта функция не поддерживается в версиях приложения Kaspersky Security Center 11 и выше.
Контролер	Предоставляет права на Чтение в областях Общие функции: ‏Доступ к объектам независимо от их списков ACL и Общие функции: Управление отчетами. Вы можете назначить эту роль специалисту по безопасности и другим менеджерам, которые отвечают за ИТ-безопасность в вашей организации.
XDR-роли
Главный администратор	Разрешает все операции в функциональных областях XDR: Алерты и инциденты. НКЦКИ-инциденты. Плейбуки и действия по реагированию. Управление активами. IAM. Тенанты. Интеграции. Лицензии.
Администратор тенанта	Разрешает все операции в функциональных областях XDR: Алерты и инциденты. НКЦКИ-инциденты. Плейбуки и действия по реагированию. Управление активами. IAM. Тенанты. Интеграции. Лицензии. Эта роль соответствует роли Главного администратора, но имеет ограничение. В KUMA администратор тенанта имеет ограниченный доступ к предустановленным объектам.
Администратор SOC	Предоставляет следующие права в функциональных областях XDR: Плейбуки и действия по реагированию: Чтение, Запись и Удаление. IAM: Чтение пользователей и ролей, Назначение ролей и Списки пользователей. Тенанты: Чтение и Запись. Интеграции: Чтение, Запись и Удаление. Лицензии: Чтение.
Младший аналитик	Предоставляет следующие права в функциональных областях XDR: Алерты и инциденты: Чтение и Запись. Плейбуки и действия по реагированию: Чтение и Выполнение. Управление активами: Чтение. IAM: Чтение пользователей и ролей и Списки пользователей. Тенанты: Чтение. Интеграции: Чтение. Лицензии: Чтение.
Аналитик 2-го уровня	Предоставляет следующие права в функциональных областях XDR: Алерты и инциденты: Чтение и Запись. Плейбуки и действия по реагированию: Чтение, Запись, Удаление и Выполнение. Управление активами: Чтение. IAM: Чтение пользователей и ролей и Списки пользователей. Тенанты: Чтение. Интеграции: Чтение. Лицензии: Чтение.
Аналитик 1-го уровня	Предоставляет следующие права в функциональных областях XDR: Алерты и инциденты: Чтение и Запись. Плейбуки и действия по реагированию: Чтение, Запись, Удаление и Выполнение. Управление активами: Чтение. IAM: Чтение пользователей и ролей и Списки пользователей. Тенанты: Чтение. Интеграции: Чтение. Лицензии: Чтение. Эта роль соответствует роли Аналитик 2-го уровня, но она имеет ограничение. В KUMA аналитик 1-го уровня может изменять только свои объекты.
Менеджер SOC	Предоставляет следующие права в функциональных областях XDR: Алерты и инциденты: Чтение и Запись. Плейбуки и действия по реагированию: Чтение. Управление активами: Чтение. IAM: Чтение пользователей и ролей и Списки пользователей. Тенанты: Чтение. Интеграции: Чтение. Лицензии: Чтение.
Подтверждающий	Предоставляет следующие права в функциональных областях XDR: Алерты и инциденты: Чтение, Запись, Закрытие. Плейбуки и действия по реагированию: Чтение и Подтверждение действий по реагированию. Управление активами: Чтение. IAM: Чтение пользователей и ролей. Тенанты: Чтение. Интеграции: Чтение. Лицензии: Чтение.
Наблюдатель	Предоставляет следующие права в функциональных областях XDR: Алерты и инциденты: Чтение. Плейбуки и действия по реагированию: Чтение. Управление активами: Чтение. IAM: Чтение пользователей и ролей и Списки пользователей. Тенанты: Чтение. Интеграции: Чтение. Лицензии: Чтение.
Работа с НКЦКИ	Предоставляет следующие права в функциональных областях XDR: Алерты и инциденты: Чтение и Запись. НКЦКИ-инциденты: Чтение и Запись. Плейбуки и действия по реагированию: Чтение. Управление активами: Чтение. IAM: Чтение пользователей и ролей и Списки пользователей. Тенанты: Чтение. Интеграции: Чтение. Лицензии: Чтение. Вы можете работать с XDR-инцидентами, создавать НКЦКИ-инциденты на их основе и экспортировать НКЦКИ-инциденты (без доступа к критически важной информационной инфраструктуре).
Доступ к объектам КИИ	Предоставляет следующие права в функциональных областях XDR: Алерты и инциденты: Чтение, Запись, просмотр наличия затронутых объектов КИИ. Управление активами: Чтение. IAM: Чтение пользователей и ролей и Списки пользователей. Тенанты: Чтение. Интеграции: Чтение. Лицензии: Чтение. Вы можете посмотреть список алертов и инцидентов, которые включают хотя бы один актив, являющийся объектом критической информационной инфраструктуры (КИИ).
Роли служб
Автоматическое реагирование на угрозы	Предоставляет учетным записям служб право реагировать на угрозы. Права доступа настраиваются автоматически в соответствии с правами доступа на основе ролей политик Kaspersky Security Center Linux и управляемых приложений "Лаборатории Касперского". Вы можете назначать эту роль только учетным записям служб. Эту роль невозможно изменить.

В начало

Назначение прав доступа к набору объектов

В дополнение к назначению прав доступа на уровне сервера, вы можете настроить доступ к конкретным объектам, например, к требуемой задаче. Приложение позволяет указать права доступа к следующим типам объектов:

Группы администрирования
Задачи
Отчеты
Выборки устройств
Выборки событий

Чтобы назначить права доступа к конкретному объекту:

В зависимости от типа объекта в главном меню перейдите в соответствующий раздел:
- Активы (Устройства) → Иерархия групп.
- Активы (Устройства) → Задачи.
- Мониторинг и отчеты → Отчеты.
- Активы (Устройства) → Выборки устройств.
- Мониторинг и отчеты → Выборки событий.
Откройте свойства объекта, к которому вы хотите настроить права доступа.
Чтобы открыть окно свойств группы администрирования или задачи, нажмите на название объекта. Свойства других объектов можно открыть с помощью кнопки в панели инструментов.
В окне свойств откройте раздел Права доступа.
Откроется список пользователей. Перечисленные пользователи и группы безопасности имеют права доступа к объекту. Если вы используете иерархию групп администрирования или Серверов, список и права доступа по умолчанию наследуются от родительской группы администрирования или главного Сервера.
Чтобы иметь возможность изменять список, включите параметр Использовать права пользователей.
Настройте права доступа:
- Используйте кнопки Добавить и Удалить для изменения списка.
- Укажите права доступа для пользователя или группы безопасности. Выполните одно из следующих действий:
  - Если вы хотите указать права доступа вручную, выберите пользователя или группу безопасности, нажмите на кнопку Права доступа и укажите права доступа.
  - Если вы хотите назначить пользовательскую роль пользователю или группе безопасности, выберите пользователя или группу безопасности, нажмите на кнопку Роли и выберите роль для назначения.
Нажмите на кнопку Сохранить.

Права доступа к объекту настроены.

См. также:

Настройка прав доступа к функциям приложения Управление доступом на основе ролей

Права доступа к функциям приложения

Предопределенные роли пользователей

В начало

Назначение прав пользователям или группам пользователей

Вы можете назначить права пользователям или группам безопасности, чтобы использовать различные возможности Сервера администрирования и приложений "Лаборатории Касперского", для которых у вас есть плагины управления, например Kaspersky Endpoint Security для Windows.

Чтобы назначить права пользователю или группе безопасности:

В главном меню нажмите на значок параметров () рядом с именем требуемого Сервера администрирования.
Откроется окно свойств Сервера администрирования.
На вкладке Права доступа установите флажок рядом с именем пользователя или группы безопасности, которым нужно назначить права, а затем нажмите на кнопку Права доступа.
Вы не можете выбрать несколько пользователей или групп безопасности одновременно. Если вы выберете более одного объекта, кнопка Права доступа будет неактивна.
Настройте набор прав для пользователя или группы:
1. Разверните узел с функциями Сервера администрирования или другого приложения "Лаборатории Касперского".
2. Установите флажок Разрешить или Запретить рядом с нужной функцией или правом доступа.
  Пример 1: Установите флажок Разрешить рядом с узлом Интеграции приложения, чтобы предоставить пользователю или группе все доступные права доступа к функции интеграции приложения (Чтение, Запись и Выполнение).
  
  Пример 2: Разверните узел Управление ключами шифрования и установите флажок Разрешить рядом с разрешением Запись, чтобы предоставить пользователю или группе право доступа на Запись к функции управления ключами шифрования.
После настройки набора прав доступа нажмите на кнопку ОК.

Набор прав для пользователя или группа пользователей настроен.

Права Сервера администрирования (или группы администрирования) разделены на следующие области:

Общие функции:
- Управление группами администрирования.
- Доступ к объектам независимо от их списков ACL.
- Базовая функциональность.
- Удаленные объекты.
- Управление ключами шифрования.
- Обработка событий.
- Операции с Сервером администрирования.
- Теги устройств.
- Развертывание приложений "Лаборатории Касперского"
- Управление лицензионными ключами.
- Управление отчетами.
- Иерархия Серверов.
- Права пользователей.
- Виртуальные Серверы администрирования.
Управление мобильными устройствами:
- Общие.
Управление системой:
- Подключения.
- Инвентаризация оборудования.
- Управление доступом в сеть.
- Развертывание операционной системы.
- Управление уязвимостями и патчами.
- Удаленная установка.
- Инвентаризация приложений.

Если для права не выбрано ни Разрешить, ни Запретить, оно считается неопределенным: право отклоняется до тех пор, пока оно не будет явно отклонено или разрешено для пользователя.

Права пользователей являются суммой следующего:

собственных прав пользователя;
прав всех ролей, назначенных пользователю;
прав всех групп безопасности, в которые входит пользователь;
прав всех ролей, назначенных группам, в которые входит пользователь.

Если хотя бы в одном наборе прав есть запрещенное право (для права установлен флажок Запретить), тогда для пользователя это право запрещено, даже если в других наборах прав оно разрешено или не определено.

Также вы можете добавить пользователей и группы безопасности в область пользовательской роли, чтобы использовать различные возможности Сервера администрирования. Параметры, связанные с ролью пользователя, применяются к устройствам, принадлежащим тем пользователям, которым назначена эта роль, и только если эти устройства принадлежат к группам, которым назначена эта роль, включая дочерние группы.

В начало