Agnitum Outpost Office

Мы уже много раз писали о том, что сегодня даже в не слишком больших организациях требуется комплексный подход к обеспечению безопасности, касающийся не только корпоративного периметра, но и каждого рабочего места. Иначе картину можно сравнить с некой гипотетической страной, у которой имеются пограничные службы, но напрочь отсутствует милиция. Вы хотели бы жить в такой?

Большинство экспертов сходятся во мнении, что установка на рабочие места стандартных антивирусов давно уже не решает всех проблем – мало того что эффективность самих этих программ находится под вопросом, их к тому же надо настроить, регулярно обновлять и т. д. Хорошим дополнением, безусловно, окажется персональный брандмауэр, однако его еще труднее адекватно конфигурировать (даже достаточно подготовленному пользователю), соответственно управление только усложняется.

Пожалуй, первой пример качественного решения подобных задач продемонстрировала компания Symantec в своем пакете Client Security, предусматривающем централизованное развертывание и управление комплектом из антивируса и персонального брандмауэра. К сожалению, последний в данном случае явно представляет собой слабое звено, оказываясь прозрачным для многих (даже не слишком изощренных) тестов-«утечек» – а ведь независимо от существования реальных хакерских инструментов, использующих аналогичные приемы, сам факт наличия известных уязвимостей лишит спокойного сна любого сисадмина или специалиста, ответственного за безопасность. Поэтому нам особенно приятно сообщить, что подобные же продукты стали появляться в арсенале и других компаний-разработчиков, в частности Agnitum, чей персональный брандмауэр, несомненно, относится к числу лучших.

Административная консоль организована весьма удобно: все необходимые инструменты постоянно находятся под рукой, а пояснения помогут быстро разобраться с принципами функционирования

Итак, Outpost Office представляет собой готовое решение из компонента Outpost Client Firewall, предназначенного для установки на рабочих местах в локальной сети, и специальной консоли Command Center, обеспечивающей централизованное управление. В принципе, этот продукт можно было бы с чистой совестью ориентировать на организации малого и среднего размера (тем более что его цена формируется исключительно из стоимости клиентских лицензий, которые, в свою очередь, обходятся не дороже таковых для Outpost Firewall Pro, а административную консоль разрешается устанавливать даже на рабочую станцию), если бы не одно «но».

Дело в том, что предпочтительной средой для функционирования данного защитного комплекса является домен, управляемый службой Active Directory (AD), наличие которого нехарактерно для небольших офисов. На самом деле развернуть Outpost Office можно и вручную, хотя это, конечно, лишает решение определенной доли гибкости и универсальности. Скажем, групповые политики (для инсталляции персонального брандмауэра) будут автоматически применяться к вновь подключенным рабочим станциям, тогда как при отсутствии AD об этом придется позаботиться самостоятельно. А раз Outpost Office ориентируется исключительно на конкретную сетевую инфраструктуру, то нет каких бы то ни было вспомогательных инструментов (в том числе и для контроля за ситуацией) на случай ее отсутствия. Конечно, неплохо было бы иметь возможность обозревать сеть любой архитектуры, самостоятельно организовывать группы компьютеров и пр. Однако когда речь идет лишь о первой версии пакета, подобные ограничения не кажутся критичными, к тому же миграция на AD – неизбежная перспектива для Windows-сетей с доменной организацией, поскольку современные серверные ОС Microsoft иного не предусматривают.

Несмотря на название раздела «Дополнительно», в него стоит заглянуть обязательно

Что касается собственно Outpost Client Firewall, то это практически полный аналог Outpost Firewall Pro, естественно, приспособленный для взаимодействия с центральным компонентом. Присутствуют все привычные возможности и подключаемые модули, обновление обеих программ ведется параллельно (хотя и отдельно). Так, с момента обзора Outpost Firewall Pro 2.5 персональный брандмауэр обзавелся специальной панелью для Internet Explorer, которая упрощает настройку функций, обеспечивающих безопасность Web-серфинга.

Централизация системы позволяет решать фактически всего две (если не считать развертывание клиентской части, основывающееся на механизмах AD), но довольно востребованные в корпоративной среде задачи.

Во-первых, все необходимые заплатки и программные изменения с сайта Agnitum загружаются исключительно административным компонентом Outpost Office, а клиентские программы обновляются локально. Таким образом, налицо экономия внешнего трафика, что, впрочем, не так критично, как в случае с антивирусами, многие из которых актуализируют базы сигнатур чуть ли не ежедневно. Другой плюс такой архитектуры – корректное обновление брандмауэров даже на машинах, не имеющих доступа в Интернет.

Такая панель обеспечивает управление функциями брандмауэра, отвечающими за Web-серфинг

Во-вторых, администратор получает в свое распоряжение предельно простой механизм поддержания единых настроек на обслуживаемых рабочих станциях – ему достаточно лишь сформировать нужную конфигурацию в специальном редакторе и «опубликовать» ее, а все активные компоненты Outpost Client Firewall загрузят ее автоматически (соответствующие проверки осуществляются каждые 10 минут). Преимущества же поддержания единых правил во всей организации вряд ли необходимо дополнительно разъяснять.

Однако торопиться с введением драконовских законов не стоит – конфигурация должна быть очень тщательно продумана, иначе повышенная защищенность аукнется крайним неудобством работы. Скажем, легко ввести какие-то запреты и ограничения (к примеру, включить компонентный контроль), но при этом не позволить программе запоминать стандартные решения пользователя. Чтобы исправить подобную оплошность, в редакторе конфигураций есть раздел Дополнительно, где и осуществляется управление полномочиями пользователей – имеют ли они право изменять настройки и т. д. Кстати, обратную задачу решить гораздо проще, для пущей важности доступ к настройкам брандмауэра можно даже закрыть паролем.

Опять же, исходя из архитектурных особенностей Outpost Office нельзя назначить различные конфигурации разным группам компьютеров, впрочем, то же самое касается и конкурирующих продуктов. Видимо, ситуации, в которых такая возможность могла бы реально пригодиться, все же не типичны – скажем, достаточно подготовленным пользователям проще установить персональные версии Outpost Firewall Pro (по цене лицензии Outpost Client Firewall), чем поддерживать для них специальный набор «щадящих» настроек.

Функции контроля за работой Outpost Office реализованы на основе нескольких системных журналов, где, в частности, хранится информация о всех опубликованных конфигурациях и о последних загруженных на обслуживаемые рабочие станции. Аналогичная «история» ведется и для программных обновлений. В принципе, инструментарий довольно аскетичный, однако в большинстве случаев (особенно, если речь не идет об огромных организациях) вполне достаточный.

Таким образом, по нашему мнению, Outpost Office – наиболее простой продукт данного класса, обеспечивающий централизованное управление безопасностью на рабочих станциях. При этом он располагает всеми наиболее критичными функциями, а его клиентские компоненты выше всяких похвал. Удобный интерфейс и хорошая документация (в том числе и на русском языке) помогут быстро решить любые задачи, благодаря чему Outpost Office можно рекомендовать даже не слишком крупным организациям, не имеющим штата выделенных IT-специалистов.

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365