Manual - data.sodatsw.czdata.sodatsw.cz/pdf/manual_agneo.pdf · Manual installation ... Operation...

SODATSW spol. s r.o.

Kamenice 771/34

625 00 Brno, Česká republika

IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Manual

English manual Page 2-33

Český manuál Strana 35-71


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

1. About

Name: Manual File: manual_agneo.pdf

1.1. Revision

Version Changes Release

AreaGuard Neo

1.0. Basic document 1.1

1.1. Newly added functions described 1.3



1.4 Newly added functions described; newly supported operation systems added in the system requirements

1.6

1.5 Translated into English; fine improvements 1.7

1.6 Network encryption update 1.7

1.7 Updated system requirements 1.9

1.8 Newly added functions described 1.11

1.9 Newly added functions described 1.12

1.10 Added description of new cache feature. Document is newly in current company layout.

2.0

1.11 New feature described in chapter 8.2. 2.1

1.12 New document layout, added missing english translations 2.2

Change of this document is reserved without prior noticing. A printed copy of this document may not be current.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Content 1. About ................................................................................................................................................... 2

1.1. Revision ........................................................................................................................................ 2

2. Introduction ......................................................................................................................................... 5

2.1. Description of the product AreaGuard Neo .................................................................................. 5 2.2. Key features ................................................................................................................................. 5

3. Technical description of AreaGuard Neo ............................................................................................ 5

3.1. Functional schema of AreaGuard Neo ......................................................................................... 6

4. System requirements .......................................................................................................................... 7

4.1. Server ........................................................................................................................................... 7 4.2. Administration console ................................................................................................................. 7 4.3. Client............................................................................................................................................. 8 4.4. AreaGuard Neo – Logon .............................................................................................................. 8

HW support .................................................................................................................. 8

5. AreaGuard Neo Installation ................................................................................................................. 9

5.1. Pre-installation Preparation .......................................................................................................... 9 5.2. Server installation step by step .................................................................................................. 10

Installation rules check................................................................................................ 10 License number .......................................................................................................... 10 Options of installation ................................................................................................. 10 SQL ........................................................................................................................... 10 Port ........................................................................................................................... 11 GPO ........................................................................................................................... 11 Accounts .................................................................................................................... 11 Groups in Active Directory ........................................................................................... 12 Summary ................................................................................................................... 12

5.3. Server updates ........................................................................................................................... 12 5.4. Setup Report Viewer .................................................................................................................. 13 5.5. Uninstallation .............................................................................................................................. 13

Client uninstallation..................................................................................................... 13

6. Start with AreaGuard Neo ................................................................................................................. 13

6.1. AreaGuard Neo - Server technical description ........................................................................... 13 6.2. AreaGuard Neo - Admin introduction ......................................................................................... 14

First run of AreaGuard Neo - Admin ............................................................................. 14 Product activation ....................................................................................................... 14 Periods and states ...................................................................................................... 15 Layout of the administration console ............................................................................ 16

6.3. AreaGuard Neo - Admin – Setup wizard and tools .................................................................... 17

Setup wizard .............................................................................................................. 17 Version management .................................................................................................. 17 Component management ............................................................................................ 17 Emergency setting recovery ........................................................................................ 18 Token manager .......................................................................................................... 18 Options ...................................................................................................................... 18 Server availability over the internet .............................................................................. 18 Removable device encryption wizard ............................................................................ 18 Virtual groups of users (internal groups) ...................................................................... 19


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

6.4. Tabs ............................................................................................................................................ 19

Client Manager ........................................................................................................... 19 Removable Devices ..................................................................................................... 20 Local Folders .............................................................................................................. 21 Keys .......................................................................................................................... 21

7. AreaGuard Neo on workstations ....................................................................................................... 22

7.1. General description .................................................................................................................... 22 7.2. Technical description .................................................................................................................. 22

Setting update ............................................................................................................ 23

7.3. AreaGuard Neo - Installer installation methods ......................................................................... 23

Using Group Policy ...................................................................................................... 23 Manual installation ...................................................................................................... 23 Uninstallation ............................................................................................................. 23

7.4. Systray Component .................................................................................................................... 23

My Data Security ........................................................................................................ 24 Settings...................................................................................................................... 24 Event History .............................................................................................................. 24 Emergency Settings Recovery ...................................................................................... 24 Tools ......................................................................................................................... 24 About ......................................................................................................................... 24

7.5. Encryption of removable devices ............................................................................................... 24

Encryption with a portable key .................................................................................... 25 Decryption with a portable key .................................................................................... 25

7.6. Recovery Event .......................................................................................................................... 25 7.7. AreaGuard Neo – Logon ............................................................................................................ 25 7.8. Network encryption ..................................................................................................................... 25

File Server Encryption Wizard ...................................................................................... 25 Active Directory Settings ............................................................................................. 26 AreaGuard Neo Client installation to a Server (File Server) ............................................ 26 Running the Service .................................................................................................... 26

8. Server Reconfiguration ..................................................................................................................... 26

8.1. Server Recovery ......................................................................................................................... 27 8.2. Database Transfer ...................................................................................................................... 27 8.3. Configuration for importing logs to non-local SQL database...................................................... 30 8.4. Changing Service Account Password ........................................................................................ 31

Service Account .......................................................................................................... 31 IIS Service Account ..................................................................................................... 31

8.5. Automatic deleting an old records from ReportSet database..................................................... 32

9. Support .............................................................................................................................................. 32

9.1. Information about the form of support ........................................................................................ 32

Helpdesk SODATSW spol. s r.o. ................................................................................... 32

9.2. Contact info ................................................................................................................................ 32 9.3. Information about updates .......................................................................................................... 32

10. Information about SODATSW spol. s r.o. ....................................................................................... 33


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

2. Introduction

2.1. Description of the product AreaGuard Neo

AreaGuard Neo protects data and files stored on computers, notebooks and other devices

and also protects against connection of unauthorized USB devices. An enhanced level of

security provided through two factor authentication can be used to ensure secure login to

each user account (chip cards, tokens…..).

Installation and deployment on user stations is done remotely from the central administration

console.

Protection of personal data is considered as a must in many countries around the world and

in many cases it is even forced by the law. The central administration console of AreaGuard

Neo assures the security policies of the organization are fulfilled. AreaGuard Neo collects

client behavior data. This provides the administrator with detailed information about each

station’s security status. Based on this information, the administrator can modify the

encryption and USB device settings by specific user and reduce the risk of information

security incident at the minimal level.

2.2. Key features

Central management administration console

Easy actualization and security policy distribution

Easy evidence, backup and distribution of encryption keys

Monitoring of current status of the client

Management of the distribution of the clients and components to the machines

Easy setting of the policies by proactive information logging

Restriction of data transmission on removable device

Protection of data on PCs, notebooks, removable device or on data storage device by symmetric encryption

Use of strong AES 256bit algorithm

Full support of Microsoft Active Directory

Possibility of integration into current PKI of the organization

Possibility of usage of certificates on chip cards pro security of key

Possibility of two factor authentication into operation system (chip card, tokens)

Database built on effective Microsoft SQL Server

3. Technical description of AreaGuard Neo

The main goal of AreaGuard Neo is to secure any data stored on any device or data storage

with a possibility of using an enhanced level of security provided through two factor

authentication.

The security of data is realized by on-line transparent encryption (symmetric encryption algorithm AES 256). Encryption on the clients begins immediately after installation of the client software, based on the settings defined by the administrator console. With the basic setting the whole user profile is encrypted


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

and at the same time the data analyses is realized. These data analyses are centrally evaluated. The analyses give you the information about the type of the data (office, multimedia, resource data, etc.) and its size and age, so you have all the data for the definition of security policy per each station. It is important to keep all the secrets safe as the data are encrypted by the symmetric key. AreaGuard Neo includes encryption keys management stored at the secure storage. Operations with key exchanging, its invalidation or distribution are automatic. In case of necessity manual operation is available. AreaGuard Neo provides additional protection by restricting access of unauthorized external USB device. Data on defined allowed devices could be encrypted. Devices that are not allowed are rejected. The whole system AreaGuard Neo is functionally divided into three part, based on client – server architecture. Modern Microsoft server technologies which are used in the application are enabling easy deployment and easy control of clients in Windows domain.

3.1. Functional schema of AreaGuard Neo

Administration console

Internet/intranet

Log information storage Database server

IIS server

Workstations

WebServerDuplex communication

between workstations and WebServer

Acquisition of information about domain objects

Compiling the AD tree, evaluating log information

and defining policies

Storage and distribution of defined policies

Preparing reports for evaluation in the

administration console

NOTE: For the purpose of the schema were roles divided into more servers. In fact, less or one server could stand for more server roles.

Gathering log information and importing to the database

Domain Controller

with Active

Directory role


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

4. System requirements

4.1. Server

Instalation requirements – server

Computers and processors

Computers with 64bit (x64) processors, AMD®, Intel® or 100% compatible; recommended procesor speed 1,5 GHz

Memory Min. 2 GB RAM (recommended 3 GB and more)

Storage Min. 5 GB free space. Recommended 10 GB (depending on chosen edition of SQL server and other system parts). The space needed is based on the size of the database and the quantity of collected log information.

Operation system 64 bit. operation systems: Windows Server 2008 R2, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016.

SQL Server 32/64 bit editions Microsoft SQL server: Microsoft SQL Server 2005 Express and higher editions, Microsoft SQL Server 2008 Express and higher editions, Microsoft SQL 2008 R2 and higher editions, Microsoft SQL Server 2012 Express and higher editions.

Network Functional TCP/IP protocol, functional DNS service, AreaGuard Neo database connection, fixed IP address, fixed DNS server name. Active Directory Domain Services server available (domain 2003 and later).

Others Windows Installer 3.1 and later, NET Framework 4.0, Active Directory access + Domain Controller (does not have to be on the same server as AreaGuard Neo server), IIS 6.0/7.0/7.5 plug-in ASP.NET 2.0, Windows authentication in IIS, opened communication port in Firewall, functional TCP/IP protocol, GPMC is needed for automatic adding of installer into GPO.

4.2. Administration console

Instalation requirements – administration console


Computers with processors: Pentium IV or better, 32bit (x86) / 64bit (x64), AMD®, Intel® or 100% compatible; recommended processor speed 1,5 GHz

Memory 1 GB RAM (recommended 2 GB)

Storage 250 MB min free space on disc (recommended 500 MB)

Operation system 32/64 bit operation system: Windows Server 2008 R2, Windows Server 2008 SMB, Windows Server 2012, Windows 2012 R2, Windows 7 SP1, Windows 8, Windows 8.1, Windows 10.

Network Functional TCP/IP protocol, functional DNS service, AreaGuard Neo database connection

Others .NET Framework 4.0, IIS 6.0/7.0/7.5 with plug-ins ASP.NET 2.0, Windows authentication v IIS 6.0


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

4.3. Client

Installation requirement – client


Computers with processors Pentium IV or better, 32-bit (x86) / 64-bit (x64), AMD®, Intel® or 100% compatible, recommended processor speed 1,5 GHz

Memory 512 MB RAM (recommended 1GB MB)

Storage 250 MB min free space on disc (optimum 500 MB)

Operation system 32/64 bit operation systems: Windows 7 SP1, Windows 8, Windows 8.1, Windows 10

Network TCP/IP protocol, functional DNS service, AreaGuard Neo database connection

Others Windows Installer 3.1 and later, .NET Framework 2.0 SP2 (if MSI package in GPO, than automatic installation), for Windows 8 .NET Framework 4.0, for Windows 8.1 .NET Framework 4.5, for Windows 10 .NET Framework 4.6

There could be some conflict between other software for restrictions on removable devices in case you use any. We strictly recommend applying restrictions only by AreaGuard Neo.

4.4. AreaGuard Neo – Logon

Installation requirements are equal to client installation requirements, a part from operation systems. AreaGuard Logon could be used with 32/64 bit operation systems Windows 7 SP1, Windows 8 Windows 8.1 and Windows 10.

HW support

AreaGuard Neo – Logon supports HW items based on PKCS #11 standard. We guarantee compatibility with products from SafeNet Company. Middleware for HW items must be installed (e.g. SafeNet Authentication Client).


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

5. AreaGuard Neo Installation

5.1. Pre-installation Preparation

What is necessary for easy implementation on server?

Latest update of OS

Windows Installer 3.1 and newer

.NET Framework 4.0

SQL Server 2005 (Express) and newer

Functional domain, AD (containing user and stations)

IIS with default parameters + supplements ASP.NET v2.0 a Windows authentication

What is necessary for easy implementation on client?


.NET Framework 2.0 SP2 and newer (automatically distributed through GPO together with AreaGuard Neo - Installer)

What is necessary to have functional administration console?


.NET Framework 4.0

Correctly functioning administration console requires IIS with ASP.NET 2.0 role service and SQL with appropriate database accounts. Appropriate databases and accounts are created using administrators account during the installation. In case you are not sufficiently authorized for managing the SQL database, you will be asked for the credentials of an account with higher privilege. If the SQL database is running on a different server than the AreaGuard Neo - Server, the server with SQL database must have following settings:

1) Protocol TCP/IP must be enabled for the SQL service.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

2) SQL Server Browser must be running.

5.2. Server installation step by step We recommend closing all the applications running before you start AreaGuard Neo installation. Start the installation and go through all the steps described in following chapters.

Installation rules check

Check all the preconditions which must be fulfilled. If any is not fulfilled you will be informed about it. Check the states again after you fulfill the preconditions. In case you still fail to pass the installation rules check you won’t be able to continue the installation.

License number

Enter your license number here. Doesn´t apply if you have trial version. After the purchase, just enter full license number into the running application.

Options of installation

5.2.3.1. Typical installation

This is standard installation; SQL Server Express will be automatically installed. You will be asked only about distribution through domain policy.

5.2.3.2. Custom

This is a custom installation where you choose your settings as described in following chapters.

SQL

SQL Server Express might be automatically installed either from installation package or as a download from the internet. All the settings are chosen to be compatible with AreaGuard Neo application. You can use your existing SQL server, than choose „Own database engine“. Enter the information about the server or instance. Check the connection. Your account in SQL must have at least public server role so the installation of AreaGuard Neo could be successful. In case you won’t have sufficient privileges during the installation you’ll be asked for credentials of an account with such privileges. The installation process creates 2 databases for IdentityManager, 2 databases for ComponentManager and one for ReportSet (logs, evaluation).


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

1) AreaGuard Neo – CmDb 2) AreaGuard Neo – CmPm 3) AreaGuard Neo – ImDb 4) AreaGuard Neo – ImPm 5) AreaGuard Neo – ReportSet

Port

Client – server communication is run through a particular port. Port 23546 is suggested as default during the installation. If this port is used for anything else, we recommend changing it. Incoming automatic rule for this port is set in Windows firewall automatically on the server. In case you are using other firewall than the one integrated in Windows, you will have to define this rule and perhaps the outgoing rule on the client computers also. The port 45682 for communication between administrators GUI and IIS is added automatically into incoming firewall rules as well.

GPO

Domain policy could be used for the client distribution. Select a group for application of the AreaGuard Neo distribution policy. AreaGuard Neo – Installer.msi is installed trough the domain policy as a software including .NET Framework 2.0 if needed. AreaGuard Neo installer maintains the installation of other components according to the installation rules in AreaGuard Neo database. If you don´t choose distribution through GPO the distribution policy is still created but „Security Filtering“ list will be empty so the policy won’t be applied. You can still use this way of distribution later if you add a group or more into the “Security Filtering” list of the distribution policy. If adding of the policy fails during the installation, most likely you don´t have GPMC (Group Policy Management Console) on the server. Repeat the action according the instructions (here) after the installation is completed.

Accounts

2 service accounts are required to keep the application running. There are critical services using these service accounts. We strongly don´t recommend using these accounts for different purposes (e.g. domain admin…). The service accounts with all the required attributes and rights could be created during the installation. In case you have to use you own accounts, create new ones dedicated only for this purpose, with no password expiration. The description of the service accounts is in the following chapters.

5.2.7.1. Service account

All AreaGuard Neo services are using this account. Database is accessible from this account. Necessary account parameters: An existing account in the domain which is a member of “Domain Users”. It is not recommended to use the account for different purposes! After you click the Next button, the installer verifies the name and password. If it fails to login you’ll be informed and the installer is waiting for the new entry. The property read “memberOf” in Active Directory is absolutely necessary and critical for this account. Without it the account won’t be able to compile the Active Directory tree in the administration console. Sometimes the installation fails to assign this property so you will have to assign it manually. During the installation, installer tries to assign all the parameters to this account, such as rights, rights for SQL database etc. So there is no difference between automatically and manually created account. The password for the automatically created service account is randomly generated during the installation and it is displayed after the installation. The password will be stored in the setup report. You will need it later for update.

http://support.sodatsw.cz/entries/21298647-pridani-instalace-areaguard-neo-do-gpo


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

5.2.7.2. Service account IIS

The application pool of AreaGuard Neo – ReportSet in IIS is using the service account IIS. The application pool is used as an access point for database query necessary for evaluating in the administration console. Necessary account parameters: An existing account in the domain which is a member of “Domain Users”. It is not recommended to use the account for different purposes! After you click the Next button, the installer verifies the name and password. If it fails to login you’ll be informed and the installer is waiting for the new entry. During the installation, installer tries to assign all the parameters to this account, such as rights, rights for SQL database etc. So there is no difference between automatically and manually created account. This account needs to have public rights for the database AreaGuardNeo – ReportSet. The password for the automatically created service account is randomly generated during the installation and it is displayed after the installation. The password will be stored in the setup report. You will need it later for update.

5.2.7.3. AreaGuard Neo Administrators

This group could run and use the administration console on the server or on another workstation. During the installation the group AreaGuardNeo_Admins with all the rights is created within AD and Domain Admins are added into this group by default. You can change the members of this group later after the installation.

Groups in Active Directory

The default groups follow default policies (e.g. Installation of packages, user profile encryption, distribution of encryption keys, etc.) which are applied on users or computers after the installation process is completed. The group AreaGuardNeo_Users where Domain User group is added and the group AreaGuardNeo_Computers where Domain Computers group is added are created in AD. Any changes for users could be done later in AD. Any change for computers must be done before distribution of application on workstations. If you would apply any changes for the group AreaGuardNeo_Computers when running, the newly becoming non-member workstations will lose their settings and lose connection with the server.

Summary

Here you can find general information about the application and its installation such as:

- Paths to msi installation packages for clients

- The passwords of the service accounts (necessary for AreaGuard Neo updates)

- DRP password, necessary for server recovery in case of an accident, loss or damage of the server

The summary is backed up as a protected XML in the current user documents. We recommend protecting this file with a password, as all the passwords in this file are very delicate and could be abused. We also recommend backing up this XML summary file. For review you have to use our special application SetupReport Viewer.

5.3. Server updates Run the installation file, AreaGuard Neo installer runs automatically update if the previous version is present on the server. During the update you will be asked for password of the service accounts. These passwords are stored in the summary that is created right after the installation. The summary is backed up as a protected XML in the current user documents. To open it, use the application Setup Report Viewer. Run it as the


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

user that installed AreaGuard Neo – Server. If you have chosen to protect the file with a password you will need it now. If you have lost or forgotten your passwords please contact the technical support. At the end of the update you will be asked to restart the server. We recommend doing so but it is not necessary. You may find the new version of the application in the version management dialog in the administration console after the updating process is finished. You can apply new version on a specific workstation, group or whole domain, using the Version management.

5.4. Setup Report Viewer

A simple application displaying the server installation encrypted report. It could be found in program folder of AreaGuard Neo %AreaGuard Neo%\bin\SetupReportViewer.exe.

5.5. Uninstallation Before you step forward to uninstall AreaGuard Neo from your server you have to make sure that:

- All data are decrypted and clients are uninstalled

- The whole AreaGuard Neo database back up was performed

- The DRP password was backed up

Note: Automatically installed SQL server and the group policy won’t be uninstalled or deleted.

Client uninstallation

In the Client manager tab choose one workstation and click Uninstall. The status of uninstallation process is visible in detail of a workstation log. For more information about uninstallation process move your mouse over the “i” icon. For complete data decryption all users who have been using the workstation, have to login to decrypt his data, so the uninstallation could be performed. Users can be sometimes asked for rebooting their computers. Advice them to do it if fast uninstallation is in your interest. After the decryption, all client packages are automatically uninstalled. Only AreaGuard Neo – Installer remains. After all client packages from all the workstations are uninstalled, AreaGuard Neo - Server could be uninstalled. Close the console and in Start menu open Control panel – Add or remove programs/Programs and functions – Remove AreaGuard Neo – Server.

6. Start with AreaGuard Neo

6.1. AreaGuard Neo - Server technical description AreaGuard Neo - Server handles inquiries (settings, encryption keys, etc.) from workstations, categorizes them and response to them. All the sensitive data are safely encrypted in SQL database. Only the password protected service account has the access. The secondary function of the server is to process logs from workstations. Logs and their evaluation are displayed in the administration console after processing. Following processes and services must be running for the correct operation

1) LogSubs 2) SubscribePoolService 3) WebServer


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

4) WebServerHandler_ComponentManager 5) WebServerHandler_DataRepository 6) WebServerHandler_IdentityManager 7) WebServerHandler_UserAgent

Within the IIS runs the “ReportSet” service which is used for evaluating in the administration console. This service is not critical for the server operation.

6.2. AreaGuard Neo - Admin introduction It is the control panel for the whole AreaGuard Neo. It is used for evaluation of results from workstations, classification of results according selected criteria, key management, settings of encrypted folders, removable devices management, presence and components on workstations, etc.

First run of AreaGuard Neo - Admin

AreaGuard admin console is located in Start menu in the AreaGuard Neo folder. The first run could take few minutes depending on number of objects and complexity of your Active Directory. During the first run is loaded the structure of AD into the database. The navigation tree is created from this database and it’s displayed and available in the administration console. AreaGuard Neo 2.0 comes with new feature of pre-load objects from Active Directory into encrypted local cache memory AreaGuard Neo. Service AreaGuard Neo pre-loading is defaultly set on one hour. Interval length can be changed in administration console. Objects are load into encrypted local file. This file is used by AreaGuard services and Administration console for correct functionality. If you change structure of AD (for example: create new user), this operation will not take effect immediately. Changes will be available after cache synchronization with AD (default 1 hour). Structure of AD will not refresh automatically. For refresh AD structure in admin console you have to restart console or reload structure via console in tab „File“ and „Reload AD cache“. When the structure is loaded the administration console is displayed. First you see the pop up screen with the status of your license. The same information could be found under license number information dialog. The license number dialog is located in the Info menu. Here it is possible to buy the license, contact our company or enter a new license number. After you enter a license number it is necessary to activate your license. For the activation you will be asked automatically. More information about the activation will follow in the next chapter. Next time you run AreaGuard Neo, the splash screen shows the information about the license number you have entered before. You will be informed about the expiration date of your maintenance in advance. In case you will extend your maintenance you will have to go through the activation again. In case you don’t extend your maintenance, the application is fully functional but you are not entitled to update the application or to get any a technical support.

Product activation

There are two steps for the AreaGuard Neo activation.

6.2.2.1. First step

Go to http://www.areaguard.com/activating, either from the administration console or in a web browser. Fill in the form, upload the file with the activation request and send it.

6.2.2.2. Activation

Few moments after subscribing the form you’ll get the activation file via e-mail. Follow the instructions in the administration console to finish your activation.

http://www.areaguard.com/activa


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Periods and states

There are several periods and states in a life cycle of AreaGuard Neo. They are described in the following table:

Period Interval Status Limitations

Trial Max 30 days AreaGuard Neo not activated

No limitations

Trial After 30 days AreaGuard Neo not activated

New keys are not generated any more, uninstallation of workstations commences

Promo trial Individual AreaGuard Neo not activated

No limitations

Commercial version

Depends on a license

AreaGuard Neo is activated

No limitations

Commercial version with

no maintenance

AreaGuard Neo is activated, license expired

Update and some functions are not available


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Layout of the administration console

The administration console is designed very similarly to the Microsoft Windows MMC.

U can switch between modules by using the module tabs under the address bar. In each tab are shown the relevant log information and the corresponding control panel buttons related to the selected object in the navigation tree. Feel free to adjust the time period of shown log information or use the default ones. Tooltips for your orientation are available for every single element. Just slide over one to know what it does and what it’s for. Displayed log information describes usually type of an event, date and time, name of a user and workstation where the event was recorded and description of the event. Click on the arrow button on the left to expand the detail information about the event. Use the column headers to sort or filter the log information. Displayed log information can be exported into PDF file.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

6.3. AreaGuard Neo - Admin – Setup wizard and tools

Setup wizard

A simplified setup wizard for the AreaGuard Neo global settings.

6.3.1.1. Encryption

Create or remove setting for encryption of folder for the default group of users. More about encryption setting in the chapter Local folders and Shared data.

6.3.1.2. Removable devices

Here you can decide if you want to forbid using of all removable devices except the allowed ones. You still get the information about its connecting and on its basis you can allow it or not for the future use. Monitoring of removable devices could be switched off. However you will still get the log information about inserting the forbidden devices. All the removable media could be encrypted if the security administrator or user chooses so. Company encryption key is set for encryption of removable devices as default. To use a different encryption key user needs to be able to change the type of an encryption key. Set this policy the way it satisfies you. More about removable device encryption from the user’s perspective could be found in the chapter Encryption of removable devices.

6.3.1.3. Logon

Choose the appropriate checkbox of you want to use AreaGuard Neo – Logon for logging in the users. How to install the component on your workstations read here. Next you can suppress logging in by other credential providers. However we do not recommend it, because if there is a problem with logging in, the user won’t be able to login using a different way. Anyway if this problem appears, change the policy and restart the problematic workstation. AreaGuard Neo – Logon also allows setting recovery right from the logon screen when the local user account is securely created and receives the encryption keys of the recovered user.

6.3.1.4. Logon policies

Set common global policies for logging in with AreaGuard Neo - Logon in combination with HW tokens.

Version management

After a successful AreaGuard Neo - Server update the new version is automatically added into “Version management”. This dialog helps you to manage versions of AreaGuard Neo workstations. The list of available versions is on the left. Icon indicates whether the version is applied on a computer, group or not at all. Administrator could apply update on one or a group of workstations to test it before releasing into whole organization. It is necessary to have the latest version of AreaGuard Neo on server but it’s not when it comes to workstations. Downgrade is also possible. Workstation checks every 4 hours if there is an update for him. If there is, the workstation downloads it and updates itself automatically. It needs rebooting after the update but it is possible to postpone it.

Component management

Component management provides easy management, distribution and uninstallation of individual AreaGuard Neo components in domain for selected groups or workstations. Changes are not applied on workstations out of AreaGuardNeo_Computers security group. After saving the setting the workstations finds out that there is change that involves themselves after their regular synchronization and they will perform it. The synchronization period is also 4 hours.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

6.3.3.1. AreaGuard Neo – Admin

If you want control AreaGuard Neo on workstations or just see the results in the administration console on a different computer than the server, install this component on the workstation you choose. Just add the object and the component will be applied. We remind that the rights to run the administration console can only the members of the AreaGuardNeo_Admins group. It is possible to use the “runas” command or SHIFT+right click on the icon and click “Run as…”.

6.3.3.2. AreaGuard Neo – Client

This component maintains encryption, monitoring and restriction of removable devices.

6.3.3.3. AreaGuard Neo – Logon

AreaGuard Neo – Logon allows users logging in using HW tokens and emergency setting recovery from the logon screen.

Emergency setting recovery

A wizard relevant to a setting recovery scenario using the systray setting recovery or the setting recovery from the logon screen. You don’t need to know more because the wizard guides the administrator and the user on both sides very well.

Token manager

First just check if you meet the conditions for using HW tokens. You can initialize the token. That practically means erasing or resetting it. Then set a name and PIN for it. Default is a minimum of 4 characters, non-complex. We recommend using the option “Force PIN change on first use”. Now add credentials of an user on the token. You can choose the user from Active Directory od fill in manually. You can change his password manually in this dialog or generate him a new one that no one will ever know. For generating a new password you have to have the sufficient rights of course. After this operation is the token ready to be assigned to the user.

Options

Set options of the administration console as you like. Show/hide specific AD objects, paging, after how many days of inactivity mark workstation as invalid, select language etc. It is also possible to set secondary authentication using password to access the console AreaGuard Neo. This password will be same for all users – so access will be possible for users that are members of group „AreaGuardNeo_Admins“ and know this password. In this section you can define frequency of data scans for specific object. In AreaGuard Neo 2.0 is available change validity of created keys. Newly there is an option to encrypt all removable devices for specific objects. You can turn off monitoring of removable devices for specific object, allow deleting files without relevant key only with NTFS verification. Also you can define count of IP endpoints (addresses for communication from clients to the server) and hide expired keys.

Server availability over the internet

It is possible that clients can communicate with the server using public IP address by adding new IP endpoint in the console options. By default is used TCP port 23546 and it is needed to have routing rule (NAT) it the current network. The AreaGuard Neo Client is trying to communicate via first IP endpoint address (usually local server address) and then via second IP endpoint address (public server address).

Removable device encryption wizard

The wizard allows to set encryption of all files that are being stored on a specific removable device for selected object (user, computer, security group, organizational unit)


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

This setting may be used along with the option of general removable device encryption but individual setting has higher priority.

6.3.8.1. Object selection

Setting is always applied to a specific object in your Active Directory. In case you select security group or organizational unit the setting is received by all its members. When you select a group, please make sure it includes users, not computers.

6.3.8.2. Basic setting

Allows to define if users can use portable keys or if they can choose to not encrypt at all. User can select these options in the systray after a device is inserted.

6.3.8.3. Device encryption

The dialog includes the list of devices and their settings. You can add a device in three ways:

1. Detection of inserted device – allows to import a device which is actually inserted in USB port of your workstation with the launched administration console.

2. Insert a device manually – it is possible to fill in the HWID and SN of devices manually.

3. Importing devices from CSV – for bulk adding of devices from CSV file. Using this option, both HWID and SN are required to be included in the CSV file.

After adding a device, the custom object key is selected automatically. You can switch the key in the advanced setting extension.

Virtual groups of users (internal groups)

It is possible to create own groups that can contain only objects type „users“. The groups is not possible to remove, because to the groups are automatically created group keys for possible encryption by the group key, but it is possible to edit the groups (remove members or rename the group). In the console AreaGuard Neo you can work with internal groups like with domain groups. All created groups will be visible under main group „AreaGuardNeo_Groups“ in the root of your domain.

6.4. Tabs The tabs in the administration console represent individual modules of the application. You can freely switch between them, read the results of evaluation, and create settings and policies. At the very begging you must realize what tells you the information you get in every tab. All records are from the past. Imagine that as something happened on a workstation, an event, the components record it and send it to the server where these logs are automatically imported to the SQL database. The administration console just queries the database about these logs and shows you results. Graphs and sums are also generated the same way. Only real-time information is in setting dialogs.

Client Manager

This tab primarily serves as the overview of the workstations state. Workstations are shown as invalid for the following reasons:

1) The workstation has not contacted the server more than the number of days set in the options 2) The actual state of the components does not meet the required state (installed, uninstalled,

updated)

Expand the detail of the error log to learn why the workstation is in the invalid state. The detail includes a simple table where you are able to see what exact component is in the wrong state, version of the components etc.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

The buttons on the right control panel are used for install or uninstall of the client components on the workstations. This of course requires the presence of AreaGuard Neo – Installer on the workstations. Changes you execute are saved in the database and distributed to the workstations. As soon as the workstations get the change of state, they will try to fulfill the required state. The uninstallation is performed by following procedure: As soon as the workstation gets the information about the uninstallation, decrypting of all encrypted folders starts. The user, owner of the data, has to be logged in for this procedure or else the encryption keys are not available and the decryption could not proceed. In case of more than one user ever logged in on the workstation, they have to login again as well or else the decryption could not be performed. Encryption keys, except group and company keys, are not shared between users. Until all data are decrypted the uninstallation is not performed. You are able to see the state of decryption in the detail. More detailed information could be found in the tooltip when you slide over the blue “i” icon. Client manager also shows operational and critical errors from the workstations.

Removable Devices

Achilles heel of every organization – removable devices. Observe what removable devices the user connects to the workstations. Keep track of how many removable devices are connected, who connected them. Forbid the users connecting their private devices or whatever. There are 4 types of log information:

1) The first presence of device 2) Undefined 3) Enabled 4) Disabled

Click on a log and you are able to enable or disable the device according his HWID or serial number. Just use the buttons on the right control panel. Serial number is unique for all devices. Older devices may not have it. HWID is likely to be shared for whole series of devices. This you can use, for example, for allowing company devices which was bought at once and are the same type. All dialogs are as simple as they can be. Just select the object you want to apply the policy to. For overview of the setting click on the last button on the right control panel. Here you can also remove the setting you’ve made. There are priorities by which the application decides: 1. Computer – enabled (highest priority) 2. Computer – disabled

3. User – enabled 4. User – disabled (lowest priority)

In practice, this means that the user who’s not allowed to use a certain device, logs in to a workstation which has enabled that device, the user is able to use it. The ladder of the priorities is compiled on the basis of many years of experience in the field of data security. You can also set the policy “disableUndefinedDevice” in the display setting dialog. This policy was already mentioned in the “Setup wizard” chapter, only here you can choose an object to apply the policy to. The option “Show the final setting…” shows the final setting for selected objects, such as user or computer. You can export the result into CSV file. Every setting could be deleted in this dialog. This feature also includes collision detection. Workstations update their setting ever hour, including the removable devices policy. After connecting a device the event is logged and as well also the information what happened to the device, whether it was enabled or disabled. Every 5 minutes are the logs sent to the server and imported to the database.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Local Folders

This tab gives the administrator an overview of the data on local storages of the workstations, encryption state of the data, usage of the data, and if the data are in the encrypted folders or not. You can set what folders are encrypted on the individual workstations or generally through the whole organization. The user profile of every member of AreaGuardNeo_Users is encrypted by default. Types of events:

1) The data in the protected location are encrypted 2) Unencrypted data in the protected locations 3) A lot of used data outside the protected locations / Used data outside the protected locations 4) The data outside the protected location are in order

Notice that the view is changing according to selected object. For user, computer or group is a different view of results. This is for better clarity and greater information value. What information you get and how do they get to you? Right after the installation the first data scan is performed. The time it takes depends on the data size, usually in minutes. It’s absolutely normal that the post-install scan returns that no data are encrypted because it’s done before the information about encrypting the user profile even get there. After the scanning is done the log is sent to the server and imported to the database. In the future the scan is done randomly once a day. The scan checks usage of data and if they are encrypted where they should be, it browse all hard drives except system folders etc. Next the scan evaluates file count, size, key, and category according file’s extension. All of this you are able to see in sophisticated tables in the details of every log. Select a log or any reasonable line in the detail’s table to enable the “Create protected location” button. Now click the very same button to open the setting dialog. The folder is prefilled but you can modify it. You can also use system variables. Don’t forget to select an object you want to apply this setting to. Selection of the encryption key is also important:

1) Personal key (a general personal key of anybody) 2) CustomObjectKey (a specific key of the selected object – personal or group key) 3) Company key (everybody from the group AreaGuardNeo_Users disposes it)

On the other hand, you can set the encrypted locations as inactive by selecting one of the logs of protected locations and then click the “Remove location” button on the right control panel. The dialog “Show options” allows you to view the setting on different objects and also removes the setting you’ve made. In case you are in a hurry and you need some results as soon as possible, there is a way to get the scan done manually using the systray tools. The scan performs immediately and in few minutes you have the results available in the administration console.

Keys

The encryption of data is not possible without encryption keys. The tab “Keys” allows you to manage and overview all the keys in your organization. There are 7 types of keys:

1) UserPersonalKey – Users personal key. The title of a key looks this way: %logonname%_Personal_XXX, where the XXX stands for the serial number of the key. This key is generated for member of AreaGuardNeo_User. The personal key expires every 1 year and it’s automatically replaced by a new one. This key is used for encrypting the user profile by default.

2) SettingRecoveryKey – As the name suggests, this key is used for setting recovery. If you don’t want to see them in results hide them in the administration console Options.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

3) UserRecoveryKey – This type of key is created when you assign users’ key somebody else, for example when the employee leaves the organization and you want preserver the access to his data. The assignee is able to decrypt his data but he can’t use the key for encrypting.

4) ExpiredKey – Simply an expired key. The owner is able to use it for decryption but it’s not active for encryption anymore.

5) InactiveKey – This operation could be used in security situations. User is no longer able to decrypt anything with a key set as inactive right after next login. This operation is reversible.

6) CompanyKey – Company key receives every member of the AreaGuardNeo_Users group. This key is usually used for encrypting shared data, general company data.

7) GroupKey – Every time you set an encrypted location for a security group encrypted with a CustomObjectKey the specific group key for that security group is generated and everybody from the group has it.

The buttons on the right control panel are used for the key operations.

1) Assign the key to another user – This is actually described in the item number 3 above. 2) Remove the key from the user – The outcome and reason of this operation is described above

in the item number 5. 3) Expire the key – You can have the key expired instantly for a security reason. A new is

generated immediately after next login of the user. The decryption and encryption with the new key happens automatically.

4) Return the key to its original user – This is the reverse operation to the “Remove the key…” operation.

5) Display settings – In this window you are able to see real time detailed status of the keys for the target user.

Remember that every operation takes effect after next login of the user. You will be informed about usage of someone else’s key in this tab as well.

7. AreaGuard Neo on workstations

7.1. General description Provides effective way of protection data using AES256 Protection of user files by encrypting file-system Online transparent encryption of files on workstations Online transparent encryption of files on network Online transparent encryption of files on removable devices Minimum requirements for knowledge of users Monitoring of usage of removable devices in your organization

Restriction of usage of removable devices in your organization Possibility to use AreaGuard Neo – Logon for two factor authentication

7.2. Technical description The client, designate to communicate with the server part of the application, gets distributed and installed on endpoint workstations as per the domain policy. Based on settings, the client installs any additional modules and versions of AreaGuard Neo as required. During installation, the default settings are applied to ensure endpoint data security. The user profile is secured by default. Actions performed by the client are managed by the respective planners. Workstation events are logged to a XML-structured file. All recorded information is being continuously processed by the server, and presented to the operator. The server also keeps verifying integrity of the log files in order to detect any modification or corruption by potential attackers. The client part communicates with the server trough a webserver which forwards requests to specific components and sends back replies. For correct function of the application is critical to have these services and processes running on the workstations:


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

1) DataSafe_DriverResponder 2) LogSubs 3) SubscribePoolService 4) SysTray 5) UserServer

Right after the installation of the client package is possible to experience a certain slowdown due to encryption of actual data until it’s completely done.

Setting update

The setting of client computers is updated at certain intervals. Computer setting is also updated at computer start. User setting is also updated after his login. Availability of application updates and component presence is detected at certain intervals as well. Learn more in the following table:

Action Interval

Component update and install rules 4 hours or Windows start

Removable devices policy 1 hour or Windows start

Encryption settings 1 hour or Windows start

Encryption keys After user login

State report available in the Client Manager tab 4 hours or Windows start

In case of a hurry you can update all settings manually using the systray tools.

7.3. AreaGuard Neo - Installer installation methods

Using Group Policy

You could choose this option back at the AreaGuard Neo – Server installation. AreaGuard Neo – Installer is automatically installed on every computer in the AreaGuardNeo_Computers group using Group Policy. After installation of AreaGuard Neo – Installer are automatically installed other components of the application. The policy is created right in the root of your domain. If you haven’t chosen using GPO for the distribution you can still activate it. Just add a group in the “Security filtering” list. If the policy hasn’t been created for any reason you can create it later by a command. Find here how the command should look.

Manual installation

1. Find the AreaGuard Neo – Installer MSI packages for both platforms (x86/x64) in the default path: c:\Program Files\AreaGuard Neo\Server\db\Msi\ 2. Run the package on the workstation you want to install the application on. 3. Click next until it’s done. 4. That’s it. Just maintain the connection to the server. Everything else is taken care of automatically. Note: For quiet installation user a parameter /quiet. The command should look like this: msiexec AreaGuard Neo_Installer.msi /quiet

Uninstallation

Only option to uninstall the application from workstation is in the administration console. Learn more in the chapter Client Manager.

7.4. Systray Component The systray component is the only part of the application that is visible to users on their workstations. The component‘s color indicates the status of AreaGuard Neo on the workstation. White-red = OK. Gray with a yellow exclamation mark = warning, attention needed. Right-clicking on the systray icon triggers a drop-down menu with the following options:



Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

My Data Security

A list of folders currently set for encryption. Each item displays its encryption key. A user can start a scan to verify their data security status. The scan only processes folders that have encryption keys available, that is, the folders in the top part of the list.

Settings

7.4.2.1. Language

Select the language that AreaGuard Neo should use to communicate with users.

Event History

Logs of important events: 1) Station locked/unlocked 2) Unauthorized device connected 3) File access denied (user‘s encryption key does not match)

Again, there is a possibility to export the whole list to a CSV file, mainly for troubleshooting purposes.

Emergency Settings Recovery

This option will launch the Emergency Settings Recovery wizard, which enables a logged-in user to recover their access to encrypted data. The wizard enables the user to select a recovery key; they will be then asked to exchange a security passphrase with the administrator, which will grant access to the key. After obtaining the key, the original encryption keys will be recovered from the local secure storage.

Tools

7.4.5.1. Reload keys

Reloads the keys in case the user lost them, or another problem occured.

7.4.5.2. Request settings

Requests the complete user profile and machine setup from the server.

7.4.5.3. Scan of locations

Performs instant scan. The result is sent to the server, allowing for a data audit through the administration console.

7.4.5.4. Detailed scan of locations

Records the details about files in unsolicited status (for example, unencrypted files in encrypted locations or vice versa) to a log file.

About

This section contains the AreaGuard Neo version number and status information. Click „Version details“ to display detailed list of the application components and their versions, optionally export it to a CSV file. You will find this option useful when dealing with technical support.

7.5. Encryption of removable devices The policy allowing encryption has to be enabled. After connecting a device comes up an information panel from the systray. The user is informed about connecting a device and that the data moving on the device will be encrypted with a certain key. If the policy allows him, the user can choose to use another key or not to encrypt at all. Company, personal and portable key could be available. Former data are not encrypted.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Data encrypted with company or personal key are accessible on the basis of the ownership of these keys.

Encryption with a portable key

In cases you need to safely transport data on a removable device outside the organization there is an opportunity to use encryption with a portable key. Data encrypted this way are only accessible under the condition of knowledge of a password. If there is not created a portable key yet on the device, create a new one using the guide. After creating or selecting an existing key you can move files on the device. A dialog offering you a removal of the device should appear. When the moving of the data is done remove the device. A summary now appears.

Decryption with a portable key

7.5.2.1. On a computer with AreaGuard Neo – Client

When the device is connected, right click on the AreaGuard Neo systray icon and choose “Access to encrypted files”. The guide should help you through with the decryption. In the systray is also available “Key management”. Here you can manage portable keys and view the summary.

7.5.2.2. On a computer without AreaGuard Neo – Client

On a computer without the AreaGuard Neo application is the behavior kind of different. On the removable device you find “AreaGuardNeo_Portable.exe”. The guide will again help you go through the decryption process. The Portable key management is available as well.

7.6. Recovery Event A tool for creating a recovery account, allowing you to get a key belonging to a user who lost access and cannot connect to the server. Accessible upon clicking a tile on the login screen in Windows Vista or later, provided that the recovery support is turned on in global settings. For successful recovery, it is essential to contact the administrator to exchange security passphrases with. A local administration account is then created, containing encryption keys for the user account to be recovered.

7.7. AreaGuard Neo – Logon In addition to managing HW tokens from the console, it is also possible to manage them locally. Let us remind you of the minimum requirements for AreaGuard Neo – Logon on client workstations. By default, the interface for HW token administration is accessible from the Start menu. The interface and its controls are virtually identical to Token Manager, except the tokens are not subject to global rules defined in the Logon Policy, for example, required PIN length and complexity. You need to provide the current password, as this dialog does not allow changing the AD password. To change the password, use the standard Windows access (Ctrl+Alt+Del >> Change password).

7.8. Network encryption Since AreaGuard Neo 1.7, we have changed the way of encrypting shared data. This is now done on the server side. As a result, the data is accessible also from other devices, including devices without the AreaGuard Neo client installed, while keeping the data secure.

File Server Encryption Wizard

Since version 1.9, the administration console also includes a wizard which enables you to set up file server encryption in a few steps. Select a specific Active Directory Server and decide whether you want to ignore user locations, which are virtually all except the local ones on the server, for example user profiles and so on. We recommend to turn this option on, otherwise all profiles of all users who access the encrypted locations on the server will be unnecessarily encrypted, too.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

The default value for keeping keys in memory is the recommended one. The value represents the time a user‘s key should be kept in the server memory since the user accessed the encrypted location. This speeds up subsequent access to the location within the same workday. The next step enables you to set up specific locations on the file server to be encrypted. This is done the same way as regular location setup. Here, it applies to the particular server. You can take advantage of variables such as %username%, in which case select the Personal key option. You can also use group or company keys. The structure and logic is up to you.

Active Directory Settings

For correct functioning, you need to set up „Trust for Delegation to Service“ (Kerberos authentication only) in Active Directory. Launch MMC for „Active Directory Users and Computers“. Select the file server you want to encrypt, and click „Properties“. Go to the „Delegation“ tab and select the second option (see picture).

Add the file server to the AreaGuardNeo_Computer group, otherwise you won‘t be able to install the application at all. Once the settings are updated, restart the server.

AreaGuard Neo Client installation to a Server (File Server)

On the AreaGuard Neo server, there is a dedicated MSI package for server installation, specifically in the path c:\Program Files\AreaGuard Neo\Server\db\msi\... file name AreaGuardNeo_Installer_server.msi. Use it for installation on your file server. !!! Do not install it on Domain Controller or the AreaGuard Neo server !!! On application request, restart the server.

Running the Service

Try to access the encrypted shared locations using entrusted user account. The first attempt to access a shared folder on a file server can take up to a minute, as the user profile is being created and the keys made available. Subsequent access for the same user should be granted in seconds.

8. Server Reconfiguration

For strict security reasons, it is not possible to uninstall the server part of the application without uninstalling the client parts first. If you do not follow this rule, clients with new instances of AreaGuard Neo will not be able to communicate to the server. Should you need to reconfigure AreaGuard Neo server, please find instructions in the following chapters.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

8.1. Server Recovery In case you lose the AreaGuard Neo server, there is an option to recover the service. All vital data including settings, keys, etc. is stored in a SQL database, which we strongly recommend to back up regularly to a separate location! For successful server recovery, you also need the DRP (Database Recovery Password) password set at installation (for versions older than 1.4) or a XML summary (versions 1.4 and later). For successful AreaGuard Neo server recovery, please follow these steps: 1) Disconnect the server from the network, or use other means to prevent clients from communicating with the server during the recovery process. 2) Install AreaGuard Neo on the server. 3) Activate AreaGuard Neo. 4) Disable all AreaGuard Neo services on the server: a) LogSubs b) SubscribePoolService c) WebServer d) WebServerHandler_ComponentManager e) WebServerHandler_DataRepository f) WebServerHandler_IdentityManager g) WebServerHandler_UserAgent 5) DO NOT DELETE THE CREATED SQL DATABASES!!! 6) Use them to put the recovered databases there. 7) Launch the server recovery application c:\Program Files\AreaGuard Neo\Server\bin\ShellLayer_Cryptography_ConfigRecovery.exe as the AreaGuard Neo service account (AreaGuard Neo_Service). 8) Based on the method of DRP protection selected at the installation, either type a password, or enter a path to the DRP file (up to version 1.3) or to a Setup report. (The option to recover a lost DRP file is available since version 2.0.) 9) Activate all AreaGuard Neo services on the server. 10) Connect the server to the network.

8.2. Database Transfer First of all, stop all AreaGuard Neo services on the server. In the SQL Management Studio, create a backup of all five AreaGuard Neo databases: 1) AreaGuard Neo – CmDb 2) AreaGuard Neo – CmPm 3) AreaGuard Neo – ImDb 4) AreaGuard Neo – ImPm 5) AreaGuard Neo – ReportSet


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Connecting to a new database

. Select a path to the database.

For endpoint connection, it is necessary to select the database name (see picture).


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Continue by reconfiguring database connections. Modify and sign the following configuration XML files as described. C:\Program Files\AreaGuard Neo\Server\db\conf\NASF_WebServerHandler_ComponentManager\ NASF_WebServerHandler_ShellLayer_ProviderServer_CM-local.xml In this file, change the text inside the <Connection> element Server=connection to the remote SQL server and instance C:\Program Files\AreaGuard Neo\Server\db\conf\NASF_WebServerHandler_IdentityManager\ NASF_WebServerHandler_ShellLayer_ProviderServer_IM-local.xml In this file, change the text inside the <Connection> element Server=connection to the remote SQL server and instance

After updating the files, you need to sign them so that their integrity can be verified. Launch the Signer application (ConfigurationPool_Integrity.exe) from within the AreaGuard Neo_Service service account. ConfigurationPool_Integrity.exe -i input.xml -o output.xml -h -r PROVIDER_SERVER


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

In file: C:\Program Files\AreaGuard Neo\Server\db\conf\NASF_WebService_ReportSet\Directory\web.config Find „connectionString“ and in the „Server“ parameter, change the path to the SQL server. In registry: HKEY_LOCAL_MACHINE\SOFTWARE\SODATSW\AreaGuard Neo\local\installer Change the „P_CONN_STRING-0“ item by updating the path to the SQL server. Activate the remote SQL server connectivity, and in its instance - Switch off firewall (or enable the required port) - Enable the SQLEXPRESS protocol (TCP/IP) - Launch the SQL Server Browser After performing the above steps, restart SQL. Complete the transfer by modifying the path to the data import database as per the following chapter.

8.3. Configuration for importing logs to non-local SQL database On the server where AreaGuard Neo is installed, install the Microsoft SQL Server NativeClient 10 (the client is backward-compatible with older SQL servers). Modify the file: C:\Program Files\AreaGuard Neo\Server\db\conf\NASF_WebService_ReportSet\NASF_Import.Auto_Batch-local.xml In this file, change the text inside the <SqlConnectionString> element Server=connection to a remore SQL server and instance Provider=SQLNCLI10 DataTypeCompatibility=80 MARS Connection=True In the <ImportType> element, change text to XML (mind the uppercase!). See the following picture for illustration:

Since AreaGuard Neo version 1.6.1612.0, do not forget to add the following attribute to the updated elements in XML: doNotUpdate=“1“ as indicated in the picture in green color, otherwise the next AreaGuard Neo update will replace your values with the original ones. It is important to keep the parameters for SqlConnectionString a ImportType, in specific cases also PrimaryWorkStationID.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

8.4. Changing Service Account Password

Service Account

Any change of a service account (AreaGuardNeo_Service) password requires the same change not only in AD, but also in all services that run under the account. We recommend that you temporarily stop all services that will be affected by the change, and start them again afterwards. The services are as follows: AreaGuard Neo – WebServer AreaGuard Neo – WebServerHandler_ComponentManager AreaGuard Neo – WebServerHandler_DataRepository AreaGuard Neo – WebServerHandler_IdentityManager AreaGuard Neo – WebServerHandler_UserAgent

IIS Service Account

In case you need to change the IIS service account (AreaGuardNeo_IIS) password, it is sufficient to update the password in the IIS Manager, specifically Application Pool AreaGuardNeo – ReportSetAppPool.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

8.5. Automatic deleting an old records from ReportSet database From version 2.1 is available automatic deleting an old records from AreaGuard Neo – ReportSer database. This feature provides possibility to reduce hardware requirements on SQL server. Setting for data history length is set in registry value removeDataOlderThan-0 (type REG_SZ) on server with AreaGuard Neo administration console. HKEY_LOCAL_MACHINE\SOFTWARE\SODATSW\AreaGuard Neo\configuration\ Registry value sets count of months for saving records. For example. If value „removeDataOlderThan-0“ is set on 6, records are saved for 6 months.

9. Support

9.1. Information about the form of support Support of the products of the company SODATSW is in accordance with the Program of SODATSW technical support and maintenance contract primarily using the helpdesk SODATSW spol. s r.o..

Helpdesk SODATSW spol. s r.o.

Besides of creating a new ticket for technical support you can find there a lot of interesting advices, tips and procedures for solving your problems. You need to register to use the helpdesk.

9.2. Contact info

SODATSW spol. s r.o. Kamenice 771/34 625 00 BRNO Czech Republic DIČ: CZ25323989 Tel: +420 543 236 177 E-mail: [email protected] Web: http://www.areaguard.com Helpdesk URL: http://support.sodatsw.cz E-mail for technical support: [email protected]

9.3. Information about updates Information about updates of the applications is accessible here and also regularly sent to our customers as newsletters.

http://support.sodatsw.cz/


mailto:[email protected]

http://www.areaguard.com/



http://support.sodatsw.cz/forums/20437688-aktualizace-produktu


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

10. Information about SODATSW spol. s r.o.

SODATSW, the developer of AreaGuard Neo, was formed in 1990’s during the early stages of IT Security growth. It was in 1997 that SODATSW was incorporated as a company specializing in data protection. The founders of the company, Martin Hanzal and Tomas Stranyanek, had a vision based on the growing need of protecting confidential information. They brought a focused and innovative approach to developing security technology, with an eye on the long-term: resulting in satisfaction and security for their clients. All employees are experts with extensive experience in the industry, which is shown by the prestigious awards the company has received. SODATSW is also a member of leading international cybernetics associations.

© 1997-2017 SODATSW spol. s r. o., all rights reserved.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Manuál


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

1. Informace o dokumentu

Název: Manual Soubor: manual_agneo.pdf

1.1. Revize nápovědy

Verze Změny Release

AreaGuard Neo

1.0. Základní dokument 1.1

1.1. Změna názvu dokumentu na „Nápověda“, popsány nové funkce aplikace přidané v aktuální verzi

1.3

1.2. Popsány nové funkce aplikace přidané v aktuální verzi 1.4

1.3. Popsány nové funkce aplikace přidané v aktuální verzi 1.5

1.4 Popsány nové funkce aplikace přidané v aktuální verzi, přidány nově podporované operační systémy do systémových požadavků

1.6

1.5 Přeloženo do angličtiny, jemná vylepšení 1.7

1.6 Aktualizace síťového šifrování 1.7

1.7 Popsány nové funkce zejména v Systray a Průvodci nastavením (admin) 1.8

1.8 Přidán postup šifrování na file serveru, aktualizovány systémové požadavky

1.9

1.9 Šifrování paměťových médií na základě sériového čísla, možnost zobrazení skutečných oprávnění pro výměnná zařízení

1.11

1.10 Popsány nově přidané internení skupiny v konzoli a také možnost ověřování pomocí hesla při spouštění konzole

1.12

1.11 Přidán popis funkcionality cache paměti. Nová grafická podoba dokumentu.

2.0

1.12 Přidán popis záznamu činnosti v admin.exe do aplikačního event. logu 2.1

1.13 Nová podoba dokumentu, drobné úpravy 2.2

Změna tohoto dokumentu je vyhrazena i bez předchozího upozornění. Tištěná kopie tohoto dokumentu nemusí být aktuální verzí.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Obsah 1. Informace o dokumentu .................................................................................................................... 35

1.1. Revize nápovědy ........................................................................................................................ 35

2. Úvod .................................................................................................................................................. 38

2.1. Obecný popis řešení AreaGuard Neo ........................................................................................ 38 2.2. Klíčové funkce ............................................................................................................................ 38

3. Technický popis AreaGuard Neo ...................................................................................................... 39

3.1. Schéma produktu AreaGuard Neo ............................................................................................. 39

4. Systémové požadavky ...................................................................................................................... 40

4.1. Serverová část ............................................................................................................................ 40 4.2. Administrátorské rozhraní .......................................................................................................... 40 4.3. Klientská část ............................................................................................................................. 41 4.4. AreaGuard Neo – Logon ............................................................................................................ 41

Podpora HW předmětů ................................................................................................ 41

5. Instalace AreaGuard Neo.................................................................................................................. 41

5.1. Předinstalační příprava............................................................................................................... 41 5.2. Postup instalace serverové části krok za krokem ...................................................................... 43

Kontrola instalačních pravidel ...................................................................................... 43 Licenční číslo .............................................................................................................. 43 Typ instalace .............................................................................................................. 43 SQL ........................................................................................................................... 43 Port ........................................................................................................................... 43 GPO ........................................................................................................................... 44 Účty ........................................................................................................................... 44 Skupiny v Active Directory ........................................................................................... 45 Souhrn ....................................................................................................................... 45

5.3. Aktualizace serverové části ........................................................................................................ 45 5.4. Setup Report Viewer .................................................................................................................. 45 5.5. Odinstalace AreaGuard Neo ...................................................................................................... 46

Odinstalace klientů...................................................................................................... 46

6. Začínáme s AreaGuard Neo ............................................................................................................. 47

6.1. Technický popis AreaGuard Neo - Server.................................................................................. 47 6.2. Úvod do AreaGuard Neo - Admin .............................................................................................. 47

První spuštění AreaGuard Neo - Admin ......................................................................... 47 Aktivace produktu ....................................................................................................... 48 Období a stavy ........................................................................................................... 48 Orientace a ovládání v Gui ........................................................................................... 49 Zapnutí záznamu činnosti administrátora ...................................................................... 50

6.3. AreaGuard Neo - Admin – Průvodci a Nástroje ......................................................................... 50

Průvodce nastavením .................................................................................................. 50 Správa verzí ............................................................................................................... 51 Správa komponent ...................................................................................................... 51 Nouzová obnova nastavení .......................................................................................... 52 Token manager .......................................................................................................... 52 Nastavení ovládací konzole .......................................................................................... 52


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Dostupnost serveru přes veřejnou síť ........................................................................... 52 Šifrování výměnných zařízení na základě sériového čísla ................................................ 52 Interní skupiny uživatelů ............................................................................................. 53

6.4. Záložky ....................................................................................................................................... 53

Správa klientů ............................................................................................................ 54 Výměnná zařízení ........................................................................................................ 54 Lokální adresáře ......................................................................................................... 55 Klíče........................................................................................................................... 56 Sdílená data ............................................................................................................... 57

7. AreaGuard Neo na klientské stanici .................................................................................................. 57

7.1. Obecný popis .............................................................................................................................. 57 7.2. Technický popis klienta .............................................................................................................. 58

Aktualizace nastavení klienta ....................................................................................... 58

7.3. Způsoby instalace klienta ........................................................................................................... 58

Instalace pomocí doménové politiky GPO ..................................................................... 58 Ruční instalace ........................................................................................................... 59 Odinstalace klienta ...................................................................................................... 59

7.4. Systray komponenta ................................................................................................................... 59

Bezpečnost mých dat .................................................................................................. 59 Nastavení ................................................................................................................... 59 Historie akcí ............................................................................................................... 60 Nouzová obnova nastavení .......................................................................................... 60 Nástroje ..................................................................................................................... 60 O Programu ................................................................................................................ 60

7.5. Šifrování výměnných zařízení .................................................................................................... 60

Šifrování přenosným klíčem ......................................................................................... 60 Dešifrování přenosným klíčem ..................................................................................... 61

7.6. Recovery událost ........................................................................................................................ 61 7.7. AreaGuard Neo – Logon ............................................................................................................ 61 7.8. Šifrování na síti ........................................................................................................................... 61

Průvodce šifrováním souborového serveru .................................................................... 61 Nastavení v Active Directory ........................................................................................ 62 Instalace AreaGuard Neo Client na souborový server .................................................... 62 Funkce v praxi ............................................................................................................ 62

8. Rekonfigurace serveru ...................................................................................................................... 63

8.1. Obnova serveru .......................................................................................................................... 63 8.2. Přesun databáze ........................................................................................................................ 64 8.3. Konfigurace pro import logů na nelokální SQL server ............................................................... 68 8.4. Změna hesel servisních účtů ...................................................................................................... 69

Servisní účet ............................................................................................................... 69 Servisní účet IIS ......................................................................................................... 69

8.5. Automatické mazání starších záznamů z databáze ReportSet.................................................. 70

9. Support .............................................................................................................................................. 70

9.1. Informace o způsobu supportu ................................................................................................... 70

Helpdesk SODATSW spol. s r.o. ................................................................................... 70

9.2. Kontaktní údaje ........................................................................................................................... 70 9.3. Informace o aktualizacích ........................................................................................................... 70

10. Informace o společnosti SODATSW spol. s r.o. ............................................................................. 71


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

2. Úvod

2.1. Obecný popis řešení AreaGuard Neo

Kombinuje ochranu dat společně s omezením nežádoucího využívání výměnných médií. Pomocí centrálního managementu lze snadno chránit data na noteboocích, koncových stanicích uživatelů, výměnných zařízeních a síťových discích organizace. V rámci AreaGuard Neo lze využít i možnosti zabezpečení přístupu do operačního systému prostřednictvím dvoufaktorové autentizace (čipové karty, tokeny). Ochrana důvěrných osobních informací je dnes požadována za samozřejmost v mnoha státech po celém světě a její povinnost stanovuje zákon. Centrální správa AreaGuard Neo napomáhá důslednému dodržování bezpečnostních politik organizace. Díky logování a reportingu aktuálního stavu na koncové stanici snižuje riziko bezpečnostního incidentu na minimum.

2.2. Klíčové funkce

Centrální správa řešení prostřednictvím administrátorské konzole

Snadná distribuce politik a aktualizací

Snadná evidence, záloha a přidělování šifrovacích klíčů uživateli

Monitoring aktuálního stavu klienta na koncové stanici

Správa distribuce jednotlivých klientů a komponent na stanice

Snadné nastavení politik pomocí proaktivního logování informací

Omezení pohybu dat na výměnných zařízeních pomocí restrikcí

Ochrana dat uložených na výměnných zařízeních pomocí symetrické kryptografie

Ochrana dat na koncové stanici prostřednictvím symetrické kryptografie

Ochrana dat uložených na síti pomocí symetrické kryptografie Použití silného algoritmu AES 256bit

Plná podpora Microsoft Active Directory

Možnost integrace do stávajícího PKI organizace

Možnost využití certifikátů na čipových kartách pro zabezpečení klíčů uživatele

Možnost využíti dvoufaktorové autentizace do operačního systému (čipové karty, tokeny)

Databáze postavená na efektivním nástroji Microsoft SQL


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

3. Technický popis AreaGuard Neo

Hlavním úkolem AreaGuard Neo je zabezpečení dat uložených na koncových stanicích uživatelů, výměnných zařízeních a síti. Součástí AreaGuard Neo je i možnost využití čipových karet a tokenů v rámci autentizace do operačního systému. Ochrana dat se realizuje prostřednictvím online transparentního šifrování, zajištěném symetrickou kryptografií algoritmu AES 256. Ve standardním nastavení se po instalaci klienta automaticky zašifruje profil uživatele. Klient současně provádí na koncové stanici analýzu dat. Informace jsou centrálně vyhodnocovány. Součástí analýzy jsou informace o typu dat (kancelářské balíky, multimédia, zdrojové kódy atd.), jejich velikosti a stáří. Máte tak všechny informace potřebné k definování bezpečnostní politiky na každé stanici. Protože jsou data šifrována symetrickými klíči, je nutné toto tajemství bezpečně uchovávat. Součástí AreaGuard Neo je tak kompletní správa šifrovacích klíčů, které jsou uloženy v zabezpečené databázi. Věci spojené s výměnou klíčů, jejich zneplatněním a vydáváním jsou maximálně automatizovány. Současně je ovšem možné v případě potřeby veškeré akce provést ručně. Další funkcionalitou je možnost omezení využívání výměnných médií uživatelem. AreaGuard Neo dokáže rozpoznat zařízení, na které je možno uložit data a dovolí správci jej zakázat. Stejným způsobem lze definovat pouze povolená zařízení. Zároveň můžete data na výměnných zařízeních, která jsou používaná pro firemní účely šifrovat. AreaGuard Neo je funkčně rozdělen do 3 částí, které díky vzájemnému propojení tvoří jednotný celek postavený na klient – server architektuře. Aplikace využívá moderních technologií serverových operačních systému od společnosti Microsoft. Ty umožňují snadnou distribuci a ovládání klientů v doménovém prostředí založeném na Active Directory.

3.1. Schéma produktu AreaGuard Neo

Internet/intranet

Úložiště logovaných

informací

Databázový server

IIS server

Administrátorská

konzoleKlientské stanice

WebServerObousměrná komunikace klienta s

WebServer

Získání informací o doménových

objektech

Sestavení AD stromu, vyhodnocení informací,

definice politik

Ukládání a distribuce politik

Příprava reportů pro vyhodnocení v

administrátorské konzoli

POZN: Pro účely schématu bylo využito rozdělení rolí na více fyzických serverů. Reálně může jeden server zastávat více rolí.

Sběr a vyhodnocení informací od klientů. Převod dat do databáze.

Doménový řadič

MS Active Directory


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

4. Systémové požadavky

4.1. Serverová část

Minimální požadavky – serverová část

Počítač a procesor

Počítač s procesorem serverové řady 64bit (x64), AMD®, Intel® či 100% kompatibilní nebo rychlejší; doporučen procesor s rychlostí alespoň 1,5 GHz

Paměť Minimálně 2 GB RAM (doporučeno 3 GB a více)

Pevný disk Minimálně 5 GB volného místa na disku. Doporučeno 10 GB (nezbytné pro instalaci zvolené edice SQL serveru a další systémové součásti). Potřebný prostor je závislý na velikosti databáze a množství logovaných informací.

Operační systém 64 bitové operační systémy: Windows Server 2008 R2 (SP1), Windows Server 2012, Windows Server 2012 R2, Windows Server 2016

SQL Server 32/64 bitové edice Microsoft SQL server: Microsoft SQL Server 2005 Express a vyšší edice, Microsoft SQL Server 2008 Express a vyšší edice, Microsoft SQL 2008 R2 a vyšší edice, Microsoft SQL Server 2012 Express a vyšší edice

Síť Funkční TCP/IP protokol v organizaci, funkční služba DNS v síti, konexe k databázi AreaGuardNeo, pevná IP adresa, neměnný DNS název serveru. Dostupný server s Active Directory Domain Services (úroveň domény 2003 a novější).

Další součásti Windows Installer 3.1 a novější, NET Framework 4.0, přístup k ActiveDirectory + DomainControler (nemusí být na stejném serveru jako AreaGuard Neo server), IIS 6.0/7.0/7.5 s doplňky ASP.NET 2.0, Windows autentizace v IIS, povolený komunikační port ve Firewall, funkční TCP/IP protokol v organizaci, pro funkční automatické přidání Installeru do GPO vyžaduje GPMC

4.2. Administrátorské rozhraní

Minimální požadavky – administrátorská konzole


Počítač s procesorem Pentium IV nebo rychlejší, 32bit (x86) / 64bit (x64), AMD®, Intel® či 100% kompatibilní; doporučen procesor s rychlostí alespoň 1,5 GHz

Paměť 1 GB RAM (doporučeno 2 GB)

Pevný disk 250 MB volného místa na disku (doporučeno 500 MB)

Operační systém 32/64 bitové operační systémy: Windows Server 2008 R2, Windows Server 2008 SMB, Windows Server 2012, Windows Server 2012 R2, Windows 7 SP1, Windows 8, Windows 8.1, Windows 10

Síť Funkční TCP/IP protokol v organizaci, funkční služba DNS v síti, konexe k databázi AreaGuard Neo

Další součásti .NET Framework 4.0, IIS 6.0/7.0/7.5 s doplňky ASP.NET 2.0, Windows autentizace v IIS 6.0


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

4.3. Klientská část

Minimální požadavky – klient


Počítač s procesorem Pentium IV nebo rychlejším, 32-bit (x86) / 64-bit (x64), AMD®, Intel® či 100% kompatibilní, doporučen procesor s rychlostí alespoň 1,5 GHz

Paměť 512 MB RAM (doporučeno 1GB MB)

Pevný disk 250 MB volného místa na disku (doporučeno 500 MB)

Operační systém 32/64 bitové operační systémy: Windows 7 SP1, Windows 8, Windows 8.1, Windows 10

Síť TCP/IP protokol, funkční služba DNS v síti, konexe k serverové části AreaGuard Neo

Další součásti Windows Installer 3.1 a novější, .NET Framework 2.0 SP2 (pokud je MSI balíček v GPO, instaluje automaticky), pro Windows 8 .NET Framework 4.0, pro Windows 8.1 .NET Framework 4.5, pro Windows 10 .NET Framework 4.6

V případě, že používáte jiný software, který nějakým způsobem ovlivňuje připojování výměnných zařízení, či na ně aplikuje restrikce, musíme vás informovat o tom, že mohou nastat možné konflikty s AreaGuard Neo. Samozřejmě pouze tehdy, pokud edice AreaGuard Neo, kterou vlastníte, disponuje modulem „Výměnná zařízení“. V tomto případě bychom určitě doporučili aplikovat restrikce na výměnná zařízení pouze prostřednictvím AreaGuard Neo.

4.4. AreaGuard Neo – Logon Totožné požadavky jako u klientské části s výjimkou u operačních systémů. AreaGuard Logon lze využít pro 32/64 bitové operační systémy Windows 7 SP1, Windows 8, Windows 8.1 a Windows 10.

Podpora HW předmětů

AreaGuard Neo – Logon podporuje HW předměty pracující na standardu PKCS #11. Zaručujeme funkčnost s výrobky společnosti SafeNet. Nutná přítomnost middleware HW předmětů (např. SafeNet Authentication Client).

5. Instalace AreaGuard Neo

5.1. Předinstalační příprava

Co je potřeba zajistit pro hladkou implementaci na serveru?

plně aktualizovaný OS

Windows Installer 3.1 a novější

.NET Framework 4.0

SQL Server 2005 (Express) a novější

funkční doména, AD (s uživateli a stanicemi)

IIS s výchozími parametry + doplňky ASP.NET v2.0 a Windows autentizace

Co je potřeba zajistit pro hladkou implementaci na klienta?


.NET Framework 2.0 SP2 a novější (pokud je Installer v GPO, tak se distribuje automaticky)


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Co je potřeba zajistit pro funkčnost administrátorské konzole?


.NET Framework 4.0

Pro správnou funkčnost administrátorské konzole je vyžadována funkční IIS s doplňky ASP.NET 2.0, dále musí existovat SQL server a v něm patřičné databáze a účty. Instalátor si sám patřičné databáze a účty vytvoří pod administrátorským účtem během instalace

Pokud se v průběhu instalace zjistí, že nemáte dostatečná oprávnění do SQL databáze, budete dotázáni na přístupové údaje do SQL databáze k účtu s dostatečnými oprávněními. Ideální stav: Instalovat jako Domain Admin, který je zároveň sysadmin v SQL (tohoto docílíte instalací SQL serveru až po přidání serveru do domény). Tím předejdete jakýmkoliv potížím při instalaci. V případě, že SQL server bude provozován na jiném serveru než AreaGuard Neo - Server, je nutné mít server, na kterém běží SQL databáze, nastavený takto:

1) Na serveru, kde běží server SQL, je potřeba povolit u služby SQL protokol TCP/IP.

2) Na serveru, kde běží server SQL, je potřeba mít zapnutý SQL Server Browser.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

5.2. Postup instalace serverové části krok za krokem Dříve než začnete instalovat AreaGuard Neo - Server, doporučujeme Vám ukončit všechny aplikace. Spusťte instalaci a projděte jednotlivé kroky, které jsou detailněji popsány v následujících kapitolách a podkapitolách.

Kontrola instalačních pravidel

Zkontroluje všechny předpoklady, které musí být bezpodmínečně splněny. Pokud nějaké nebudou splněny, budete o tom informováni. Po nápravě stavu spusťte test pro znovuověření splnění podmínek. Pokud podmínky nesplníte, průvodce Vás nepustí do další fáze instalace.

Licenční číslo

Krok přeskočte v případě, že produkt prozatím zkoušíte. Pokud se později rozhodnete produkt koupit, dostanete vlastní licenční číslo, které za běhu do aplikace vložíte. Pokud jste produkt již zakoupili a licenční číslo máte přidělené, vepište ho.

Typ instalace

5.2.3.1. Typická instalace

Všechny parametry instalace budou standardní a nainstaluje se SQL Server Express. Kromě možnosti instalace na klienty pomocí doménové politiky, nebudete ohledně ničeho tázáni.

5.2.3.2. Vlastní

Vlastní typ instalace Vám umožní si veškeré parametry instalace nastavit dle Vašich představ. Důležité kroky a tipy k nim jsou rozepsány v následujících podkapitolách.

SQL

Máte možnost nechat automaticky instalovat SQL Server Express, který je buď součástí instalační sady, nebo si ho instalátor sám stáhne z internetu. Všechny parametry, instance, účty budou automaticky voleny tak, aby byly kompatibilní s aplikací AreaGuard Neo. Pokud chcete použít Váš již připraveny server SQL, zvolte variantu „Vlastní databázový engine“. Zvolte nebo vepište server, popř. instanci. Otestujte připojení. Aby to bylo možné, je nutné, aby účet, pod kterým AreaGuard Neo nyní instalujete, byl v SQL obsažen alespoň s minimálními právy tj. public. Pokud se v průběhu instalace zjistí, že nemáte dostatečná oprávnění do SQL databáze, budete dotázáni na přístupové údaje do SQL databáze k účtu s dostatečnými oprávněními, tj. sysadmin. Ideální stav: Provádět instalaci jako domain admin, kdy SQL server byl instalován na server až po přidání serveru do domény. V průběhu vlastní instalace, kdy jsou již dostupné soubory na disku, vzniknou na SQL serveru 2 databáze pro IdentityManager, 2 databáze pro ComponentManager a jedna pro ReportSet (logy, vyhodnocování):


Port

Komunikace mezi klienty a serverem probíhá přes určitý port. Instalace standardně nabízí port 23546. Pokud daný server již tento port využívá k jiným účelům, změňte ho. Pro zadaný port se také vytvoří na server automaticky příchozí pravidlo ve firewallu Windows. Pokud používáte v organizaci jiný firewall než integrovaný Windows FW, budete si muset pravidlo vydefinovat a je možné, že i odchozí na klientech.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Port pro komunikaci administrátorského GUI s IIS se přidává do příchozích pravidel firewallu opět automaticky. Konkrétně se jedná o port 45682.

GPO

Pro následnou distribuci na klientské stanice můžete využít doménovou politiku. Zvolte, jaké skupině v doméně se má politika distribuce AreaGuard Neo týkat. Jedná se o klasický skript, který instaluje malý balíček AreaGuard Neo – Installer.msi na stanici, včetně .NET Framework 2.0. Jaké další komponenty se budou na klientské stanice instalovat už si Installer řídí sám v závislosti na politice nastavené a uložené v databázi AreaGuard Neo. Pokud volbu distribuce pomocí GPO nezatrhnete, politika se i tak pokusí vytvořit, ale „Security Filtering“ bude prázdný, čili politika se nebude aplikovat. Potom si tam např. můžete přidat skupinu „AreaGuardNeo_Computers“, jinak bude nutné provést instalaci na jednotlivé klientské stanice ručně nebo jinými individuálními způsoby. Pokud se Vám přidávání politiky skončilo při instalaci chybou, s největší pravděpodobností nemáte na serveru přítomnou GPMC (Group Policy Management Console). Po jejím doinstalavání můžete spustit příkaz přidání politiky instalace AreaGuard Neo znovu podle návodu zde.

Účty

Aplikace vyžaduje pro svůj správný běh 2, tzv. servisní účty. Pod těmito účty běží služby aplikace a jsou pro ni kritické. Důrazně nedoporučujeme použít účty určené k jiným účelům jako např. doménový admin apod.. Instalace umožňuje servisní účty vytvořit se všemy vyžadovanými vlastnostmi a oprávněními, což doporučujeme drtivé většině administrátorů. Pokud z nějakého důvodu musíte použít účty vlastní, vytvořte nové, určené pouze pro tento účel, a kterým nevyprší hesla. Podrobnější popis servisních účtů následuje.

5.2.7.1. Servisní účet

Pod tímto účtem běží na serveru všechny služby AreaGuard Neo. Přistupuje se pod ním tak do databáze. Nezbytné parametry vlastního účtu: Je třeba zadat jméno a heslo k existujícímu doménovému účtu potřebného pro produkt AreaGuardNeo. Uživatelské jméno se zadává způsobem doména\uživatel. Účet je standardně v AD členem skupiny „Domain Users“. Absolutně nevhodné je použít účet určený k jiným účelům! Po kliknutí na tlačítko Další instalátor ověřuje jméno i heslo, a pokud něco nesedí, je o tom uživatel informován a instalátor čeká na zadání korektních údajů. Možnost - Oprávnění čtení property „memberOf“ z AD je nutné pro správné vyčtení umístění a členství objektu ve skupinách, přiřazení správných politik na daný objekt a celkové sestavení stromu v AreaGuard admin konzoli. Pokud se to při instalaci nepodaří, je třeba oprávnění dodatečně nastavit. Všechny parametry v AD, oprávnění, oprávnění pro databáze v SQL serveru apod., se instalátor pokusí přidělit během instalace. Nehraje roli, zdali se jedná o automaticky generovaný nebo váš ručně vytvořený účet. Heslo pro automaticky vytvářený servisní účet je při instalaci generováno náhodně a v dalším kroku instalace se zobrazí. Heslo bude nutné znát při aktualizaci AreaGuard Neo na serveru, proto doporučujeme si heslo bezpečně uložit.

5.2.7.2. Servisní účet IIS

Pod tímto účtem běží fond aplikace (application pool) AreaGuardNeo - ReportSet v IIS, přes kterou přistupuje do databáze při dotazování na výsledky, které požaduje administrátorské ovládací rozhraní. Stejný případ jako servisní účet výše popsaný. Nese název „AreaGuardNeo_Iis“. V SQL serveru má, pro správnou funkci, nastaveno „public“ u databáze „AreaGuardNeo – ReportSet“.



Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Heslo pro automaticky vytvářený servisní účet je při instalaci generováno náhodně a v dalším kroku instalace se zobrazí. Heslo bude nutné znát při aktualizaci AreaGuard Neo na serveru, proto doporučujeme si heslo opsat nebo vytisknout a bezpečně uložit.

5.2.7.3. Administrátoři AreaGuard Neo

Tato skupina bude oprávněna spustit administrátorskou konzoli, a to i na jiné stanici než je server. Při instalaci bude v AD vytvořena skupina AreaGuardNeo_Admins, která toto oprávnění mít bude, a do které se přidá skupina Domain Admins. Pokud chcete, aby tomu bylo jinak, změňte nyní zde nebo kdykoliv později v AD.

Skupiny v Active Directory

Výchozí skupiny se týkají výchozích politik, které se aplikují na uživatele nebo počítač po instalaci, např. instalace balíčků, šifrování uživatelského profilu, přidělení šifrovacího klíče a další. V AD budou vytvořeny skupiny AreaGuardNeo_Users, do které bude přidána skupina Domain Users, a AreaGuardNeo_Computers, do které bude přidána skupina Domain Computers. Pokud chcete, aby tomu bylo jinak, změňte nyní zde nebo kdykoliv později v AD v případě uživatelů. V případě počítačů, nejpozději před distribucí aplikace na klienty. Pokud zařazení do skupiny AreaGuardNeo_Computers změníte za běhu, stanicím, které nově nebudou členy, se vynuluje nastavení a tím ztratí spojení se serverem.

Souhrn

Mimo obecných informací, týkajících se aplikace a její instalace, zde naleznete důležité informace jako: - Cesty k instalačním msi balíčkům pro klienty - Hesla k servisním účtům (nutná k pozdější aktualizaci produktu AreaGuard Neo) - Heslo DRP potřebné k obnově serveru v případě nehody, ztráty, poškození serveru.

Celý souhrn se vždy zálohuje jako chráněné XML do dokumentů aktuálního uživatele. Doporučujeme chránit heslem, protože veškerá hesla v souboru obsažená jsou velice citlivá a zneužitelná, i když ne snadno. Dále doporučujeme XML soubor souhrnu dobře zálohovat. Jelikož je souhrn, z důvodu bezpečnosti, uložen v šifrované podobě, musíte k jeho náhledu použít naší speciální aplikaci Setup Report Viewer.

5.3. Aktualizace serverové části Aktualizace serverové části probíhá s využitím kompletní instalace AreaGuard Neo - Server. Spusťte instalační soubor, a pokud je již na serveru předchozí verze produktu AreaGuard Neo instalátor sám spustí aktualizaci produktu. Aktualizace vyžaduje znalost hesel servisních účtů. Tato hesla můžete získat ze souhrnného souboru, který se vytvořil při instalaci AreaGuard Neo. Jedná se o chráněné XML, které naleznete v adresáři s dokumenty uživatele, pod nímž probíhala instalace na server. Jelikož je soubor uložen v šifrované podobě, musíte k jeho náhledu použít naší speciální aplikaci Setup Report Viewer. Tu spustíte pod účtem, pod kterým jste AreaGuard Neo na server nainstalovali. Pokud jste při instalaci zvolili ochranu tohoto souboru heslem, budete jej nyní potřebovat. Pokud jste hesla ztratili nebo zapomněli, postupujte dle pokynů pro změnu hesla. Na konci aktualizace budete dotázáni na restart serveru. Není to nezbytně nutné, ale pro správný chod aplikace bychom to doporučili. Po aktualizaci bude nová verze vidět i ve správě verzí v administrátorské konzoli, kde můžete novou verzi určit k distribuci na konkrétní stanice, skupinu stanic či celou doménu.

5.4. Setup Report Viewer

Jednoduchá aplikace sloužící k zobrazení šifrovaného reportu z instalace vašeho AreaGuard Neo serveru. Naleznete jí zde: %programový adresář AreaGuard Neo%\bin\SetupReportViewer.exe.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

5.5. Odinstalace AreaGuard Neo Dříve než přikročíme k odinstalaci AreaGuard Neo, je potřeba mít několik věcí na paměti, pro případné budoucí kroky.

- Aby všichni klienti měli dešifrovaná data a byli odinstalovaní

- Byla provedena záloha databází pro případ opětovné instalace

- Bylo zálohováno heslo DRP nebo soubor DRP

Dodáváme, že odinstalace AreaGuard Neo ze serveru neodinstaluje automaticky instalovaný SQL server, vytvořené databáze, a neodebere ani politiku distribuce na klientské stanice, pokud jste jí při instalaci využili.

Odinstalace klientů

Vyberte tedy ve Správě klientů jednu stanici a zvolte vpravo na panelu Odinstalovat. V detailu logu stanice uvidíte stav odinstalace, popř. průběh dešifrování dat před odinstalací. Ještě podrobnější informace o dešifrování dat naleznete v bublinové nápovědě nad modrým informačním „i“. Pro úplné dešifrování je nutné, aby se přihlásili všichni uživatelé, kteří mají na stanici zašifrovaný profil či jiná data. Uživatelům se může v této fázi stát, že je AreaGuard Neo vyzve k restartování počítače. To v žádném případě není na škodu a celý proces odinstalace to do jisté míry urychlí. Po dešifrování dat se klientské balíčky automaticky odinstalují. Na stanici zůstává pouze AreaGuard Neo – Installer. Po odinstalaci klientských balíčků ze všech stanic, můžete přistoupit k samotné odinstalaci AreaGuard Neo ze serveru. Ukončete konzoli a v menu nabídky Start přejděte na Ovládací panely - Přidat nebo odebrat programy/Programy a funkce – Odebrat AreaGuard Neo - Server.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

6. Začínáme s AreaGuard Neo

6.1. Technický popis AreaGuard Neo - Server

Primárně vyřizuje požadavky klientských stanic, třídí je a odesílá na ně odpovědi. Pod slovem požadavky si představte např. nastavení, šifrovací klíče apod. Všechny citlivé položky jsou v SQL databázi uloženy v šifrované podobě, čili má k nim přístup pouze servisní účet, který je chráněn heslem. Sekundárně má server na starosti zpracování logů z uživatelských stanic, které poté zobrazuje v administrátorské konzoli. Pro správný chod serveru je třeba, aby běželi následující procesy a služby:

1) LogSubs 2) SubscribePoolService 3) WebServer 4) WebServerHandler_ComponentManager 5) WebServerHandler_DataRepository 6) WebServerHandler_IdentityManager 7) WebServerHandler_UserAgent

Navíc v rámci IIS běží webová služba „ReportSet“. Běžící Internetová Informační Služba není nutná pro chod serveru, ale bez ní nebude administrátorská konzole schopna vyhodnocovat výsledky z klientských stanic.

6.2. Úvod do AreaGuard Neo - Admin Jedná se o ovládací aplikaci pro celé řešení AreaGuard Neo. Slouží k vyhodnocování výsledků, třídění dle zadaných kritérií, správu klíčů, nastavení šifrování adresářů, managementu výměnných zařízení, instalaci a deinstalaci na klientských stanicích atd.

První spuštění AreaGuard Neo - Admin

Zástupce pro spuštění administrátorské konzole naleznete v nabídce „Start“ >AreaGuard Neo. První spuštění může trvat několik minut v závislosti na počtu objektů, košatosti a složitosti Active Directory. Při prvním spuštění totiž probíhá kompletní načtení struktury AD do databáze AreaGuard Neo. Z této databáze se vytvoří navigační strom, se kterým poté pracujete v samotné administrátorské konzole. Verze AreaGuard Neo 2.0 přichází s funkcionalitou před načítání položek z Active Directory do šifrované lokální cache paměti Areaguard Neo. Servisní služba Areaguard Neo přednačítá v pravidelných intervalech objekty ze struktury Active Directory. Interval před načítání je ve výchozím stavu nastaven na 1 hodinu. Délku intervalů lze pomocí administrátorské konzole konfigurovat. Objekty jsou načítány do lokálního šifrovaného souboru, se kterým následně pracují další služby a Administrátorská konzole AreaGuard Neo. Při provedení změny ve struktuře Active Directory (například vytvoření nového uživatele) se tato změna v ovládací konzoli neprojeví okamžitě, nýbrž až po synchronizaci cache paměti se strukturou Active Directory v přednastaveném intervalu. Obnovení struktury Active Directory se neprojeví samovolně, je potřeba konzoli restartovat nebo znovu načíst strom objektů pomocí volby „Přednačtení cache AD“ v záložce „Soubor“. Po načtení informací z Active Directory se zobrazí admin prostředí. Jako první uvidíte tzv. popup okno, ve kterém vidíte stav Vaší licence. Stejné informace uvidíte i v záložce licenční číslo. Do položky licenční číslo se dostanete přes záložku Info. V této záložce máte možnost zakoupit licenci, kontaktovat naši společnost a vložit již zakoupené licenční číslo. Po vložení zakoupeného licenčního čísla je ještě třeba provézt aktivaci. K tomuto kroku budete automaticky vyzváni. O aktivaci se více dozvíte v následující kapitole. Při dalším spuštění vidíte v tzv. Splashscreenu, že se typ licence se změnil ze zkušební na komerční verzi. Dále také vidíte termín vypršení maintenance. Před vypršením maintenance budete s dostatečným předstihem upozorněni k prodloužení. Jestliže se rozhodnete prodloužit maintenance, budete muset zopakovat výše uvedený krok o aktivaci. V případě nezakoupení maintenance Vám zůstává aplikace nadále plně funkční, ale už nemáte nárok na služby technické podpory a na upgrade na novější verze.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Aktivace produktu

Aktivace Vašeho AreaGuard Neo probíhá dvěma kroky.

6.2.2.1. Krok aktivace č. 1

Buď z admin konzole nebo přímo ve webovém prohlížeči se dostaňte na adresu http://www.areaguard.cz/aktivace. Zde vyplňte formulář dle pokynů a přiložte soubor s žádostí o aktivaci. Formulář odešlete.

6.2.2.2. Samotná aktivace

Za několik mále okamžiků od odeslání formuláře Vám, po ověření údajů a nároku na aktivaci, dojde e-mailem aktivační soubor. Ten dle pokynu v admin konzoli použijte k aktivaci.

Období a stavy

Od aktivace nebo předchozích stavů se také odvíjí různá období nebo stavy, ve kterých se produkt AreaGuard Neo nachází. Období jsou popsána v následující tabulce:

Období Interval Stav Omezení

Zkušební verze

Maximálně 30 dní AreaGuard Neo není aktivován

Produkt není žádným způsobem omezen po dobu platnosti licence

Zkušební verze

Po 30 ti dnech AreaGuard Neo není aktivován

Negenerují se nové klíče, klienti obdrží příkaz k odinstalaci

Zkušební verze promo

Závisí na délce licence

AreaGuard Neo není aktivován

Produkt není žádným způsobem omezen po dobu platnosti licence

Komerční verze

Závisí na délce licence

AreaGuard Neo je aktivován

Produkt není žádným způsobem omezen

Komerční verze bez

prodloužení maintenance

AreaGuard Neo je aktivován, vypršela však licence

Nelze aktualizovat, některé funkce nejsou k dispozici

http://www.areaguard.cz/aktivace


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Orientace a ovládání v Gui

GUI administrátorské konzole obsahuje drtivou většinu familiárních prvků z operačních systémů Microsoft Windows, popř. jejich MMC. Záložkami se přepínáte mezi jednotlivými moduly a zobrazíte si příslušné logové události vztahující se k objektu, který je vybraný v navigačním stromu. Vyhledávácí panel Vám umožňuje vyhledávat objekty a v reálném čase zobrazovat v panelu navigačního stromu. Vyhledávání začíná reagovat od druhého vepsaného znaku. Dole v rozbalovacím seznamu „Hledat v“ si zvolte objekt, jakého typu hledáte, pro usnadnění hledání. Tlačítko u „Vybraného období“ Vám je k dispozici, kdykoliv budete potřebovat vidět logové informace vázající se k určitému období. Standardně jsou zobrazeny logy od nynějška 30 dní zpět. Po pravé části se nachází panel s ovládacími prvky. Akční tlačítka se mění dle vybrané záložky. Panel lze zvětšit nebo zmenšit, dle vašich potřeb. Při přijetí kurzorem nad souhrnné grafy či sumy se zobrazí bublinová nápověda, která Vám vysvětlí, co daný graf nebo suma vyjadřuje. Sumy a koláčové grafy se vztahují k vybranému objektu za vybrané období. Filtry je neovlivňují. Logy, které vidíte, Vám říkají, o jaký typ události se jedná, ze kterého data a času pochází, jaký uživatel na jaké stanici byl přihlášený v okamžiku, kdy událost nastala a popis události. Po rozbalení logu šipkou vlevo, tzv. detail, se dostanete k ještě podrobnějším informacím. Logy lze klasicky filtrovat nebo řadit dle potřeby. Při větším množství logů se začne stránkovat. Počet logů na stránku lze upravit v nastavení. Zobrazené logy lze exportovat do souboru ve formátu PDF.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Zapnutí záznamu činnosti administrátora

Od verze 2.1 je možné zapnout výpis činnosti administrátora v konzoli admi.exe. Zapnutí se provádí prostřednictvím zápisu nové hodnoty do registrového klíče: HKEY_LOCAL_MACHINE\SOFTWARE\SODATSW\AreaGuard Neo\configuration\trace Zde vytvořte novou hodnotu „adminevent-0“ typu REG_SZ a nastavte na 1. Jednotlivé události jsou následně zaznamenávány do aplikačního event logu počítače. Do event logu jsou zaznamenávány tyto činnosti:

ID události

Typ události

1001 Spuštění Admin.exe

1002 Ukončení Admin.exe

1101 Vytvoření lokace + cesta

1102 Zrušení lokace + cesta

1201 Odebrání klíče uživateli: uživatel

1202 Zkrácení platnosti klíče uživatele: uživatel

1203 Předání klíče uživateli: uživatel

6.3. AreaGuard Neo - Admin – Průvodci a Nástroje

Průvodce nastavením

Zjednodušený průvodce globálního nastavením AreaGuard Neo ve vaší organizaci.

6.3.1.1. Šifrování

Vytvořte nebo odeberte nastavení šifrování adresáře výchozí skupině uživatelů AreaGuard Neo. Výchozím nastavení je šifrování uživatelského profilu prostřednictvím osobního klíče. Pro uživatelský profil je používá vlastní proměnná %User-profile%, která je na koncové stanici překládána na %Userprofile%. Důvodem využívání vlastní proměnné je začlenění výjimek na soubory, které není možné v profilu šifrovat. Upozornění: Proměnou %Userprofile% není možné v průvodci použít, došlo by k znepřístupnění uživatelského profilu. Více o nastavení a klíčích viz Lokální adresáře a Sdílená data.

6.3.1.2. Výměnná média

Můžete zapnout možnost, kdy na klientských stanicích budou zakázána všechna výměnná zařízení, která nepovolíte. Informace o připojení zakázaného zařízení se k Vám dostane a na jejím základě můžete zařízení dodatečně povolit. Pokud nemáte zájem výměnná zařízení vůbec monitorovat, můžete tuto možnost vypnout. Přestože nebudete výměnná zařízení monitorovat, budou Vám do konzole chodit informace o vložení zakázaného zařízení. Možnost šifrovat všechna výměnná média umožní koncovému uživateli šifrovat soubory ukládané na výměnné zařízení. Výchozí politika je nešifrovat, lze zvolit z 2 možností: umožnit šifrování výměnných zařízení či šifrovat všechna výměnná zařízení. Pokud uživatelům šifrování pouze umožníte, budou moci při vložení výměnného zařízení definovat, zda se mají soubory šifrovat a jakým klíčem. Pokud zvolíte vynucené šifrování a nepovolíte uživatelům měnit typ výchozího šifrování, budou se soubory


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

automaticky šifrovat firemním klíčem. Pohled ze strany uživatele je popsán v kapitole Šifrování výměnných zařízení.

6.3.1.3. Logon

Pokud chcete pro přihlašování uživatelů používat komponentu AreaGuard Neo - Logon, zaškrtněte příslušný checkbox + musí být tato komponenta na klientských počítačích nainstalovaná. Jak na to vysvětlí kapitola Správa komponent. Pokud komponentu AreaGuard Neo Logon používáte, můžete potlačit přihlášení pomocí ostatních Credential Providerů (Poskytovatelů přihlášení). Tuto možnost nedoporučujeme, jelikož může dojít k tomu, že se uživatel nebude moci přihlásit. Pokud taková situace nastane, změňte tuto politiku a restartujte problémovou stanici. Komponenta AreaGuard Neo – Logon umožňuje i Nouzovou obnovu nastavení z dlaždice, kdy se bezpečně vytvoří účet lokálního uživatele, který dostane klíče obnovovaného uživatele.

6.3.1.4. Zásady přihlášení

Nastavte běžné globální zásady přihlašování pomocí komponenty Logon v kombinaci s HW tokeny.

Správa verzí

V případě, že úspěšně zaktualizujete AreaGuard Neo server, automaticky Vám přibyde v nástroji „Správa verzí“ nová verze. Tento nástroj Vám umožní naprosto nejjednodušší cestou spravovat verze na klientských stanicích a rozhodovat o jejich aktualizacích. Vlevo vidíte seznam dostupných verzí. Ikona u jednotlivé verze naznačuje, jakým způsobem jste se rozhodli verzi aplikovat nebo neaplikovat. Vybráním jednotlivých verzí si zobrazíte datum, kdy jste AreaGuard Neo server aktualizovali, seznam balíčků, které aktualizace obsahuje, modifikovatelnou poznámku a hlavně aktuální nastavení distribuce aktualizace na klientské stanice. Administrátor má možnost distribuovat aktualizaci např. na jednu testovací stanici, popř. na vzorek testovacích stanic, než aplikuje novou verzi na celou doménu. V případě jakýchkoliv problémů či konfliktů, má možnost danou verzi neaplikovat vůbec. Na serveru je vždy nejnovější verze. Na klientech se mohou verze lišit. Aplikace počítá i s případným downgradem na verzi starší.

Správa komponent

Správa komponent umožňuje snadnou správu, distribuci a odinstalaci jednotlivých komponent systému AreaGuard Neo v doméně, na vybrané skupiny či stanice. Změny se neaplikují na stanice mimo výchozí skupinu počítačů AreaGuardNeo_Computers. Po uložení nastavení se stanice při nejbližší synchronizaci dozví, že si má stáhnout a nainstalovat balíček. Časový interval je stejný jako u aktualizace nastavení počítače, čili 1x za 4 hodiny.

6.3.3.1. AreaGuard Neo – Admin

Instalace ovládacího prostředí na klientskou stanici se provádí při potřebě ovládat AreaGuard Neo mimo server. Přidejte objekt, který reprezentuje stanici nebo skupinu, na kterou chcete administrátorskou konzoli nainstalovat. Připomínáme, že právo spustit administrátorskou konzoli mají pouze uživatelé ze skupiny, jež byla vybrána při instalaci jako administrační. Je možné využít i standardní příkaz „runas“ nebo SHIFT + pravý klik na soubor.

6.3.3.2. AreaGuard Neo – Client

Výkonná klientská komponenta zajišťující šifrování, monitoring a restrikce výměnných zařízení.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

6.3.3.3. AreaGuard Neo – Logon

Komponenta zajišťující přihlašování ke stanicím pomocí HW tokenů a nouzovou obnovu nastavení z dlaždice.

Nouzová obnova nastavení

Relevantní s nouzovou obnovou nastavení klienta ze systray a dlaždice. Více prakticky nepotřebujete znát, průvodce by Vám měl vše objasnit. Pro jistotu si ve Správě klientů zjistěte, jaká verze klienta je na stanici, kde se o obnovu pokoušíte. Mezi verzemi 1.3 a 1.4 je použita rozdílná technologie. Administrátorská konzole ve verzích 1.4. na to samozřejmě myslí výběrem v průvodci.

Token manager

V prvé řadě zkontrolujte, zdali splňujete podmínky pro podporu HW předmětů. Token můžete inicializovat, což se rovná vymazat, vynulovat. Posléze mu nastavte jméno a PIN. Zde standardně min. 4 znaky, nekomplexní. Doporučujeme využít možnost „Při prvním použití vynutit změnu PINu. Přidejte na token přihlašovací údaje uživatele tak, že ho vyberete v Active Directory nebo vepíšete dle vzoru. Heslo v Active Directory uživateli můžete zde buď ručně změnit, nebo generovat, takže ho nebude nikdo znát. Pro tuto operaci musíte mít jako uživatel dostatečné oprávnění. Po této operaci je token připraven na to, být předán koncovému uživateli. Uživateli můžete později editovat heslo tlačítkem níže anebo dokonce z tokenu odebrat jeho přihlašovací údaje.

Nastavení ovládací konzole

Dialog nastavení umožňuje nastavit základní možnosti jako, objekty jakého typu zobrazovat/nezobrazovat v navigačním stromu, po kolika záznamech stránkovat zobrazení, po kolika dnech prohlásit klienta jako neaktivního v záložce „Správa klientů“, jazyk aplikace apod. V části sekundární ověřování je možné nastavit přístupu do ovládací konzole pomocí hesla. Heslo je platné pro všechny uživatele administrátorské konzole. Upozornění: Heslo je nutno si zapamatovat. Není možné jej bez znalosti původního hesla změnit ani se přihlásit. V této záložce je možné definovat četnost datových scanů pro konkrétní objekty. Od verze AreaGuard Neo 2.0 je možné zkrátit nebo prodloužit platnost nově vytvořených klíčů, nastavit šifrování všech výměnných zařízení pro konkrétní objekt, vypnout sledování výměnných zařízení pro konkrétní objekt, povolit mazání dat bez vlastnictví klíče pouze na základě NTFS oprávnění, definovat více IP endpointů (adresy pro komunikaci klienta se serverem) a skrýt expirované klíče.

Dostupnost serveru přes veřejnou síť

Klientské stanice mohou se serverem komunikovat i přes internet právě přidáním dalšího IP endpointu, kde se obvykle zadává veřejná IP adresa s nastaveným portem pro AreaGuard Neo, který je defaultně 23546 protokolu TCP. U takového portu by bylo nutné nastavit směrování (pravidlo NAT), aby se komunikace z internetu směrovala pod tímto portem na lokální adresu serveru. Klient AreaGuard Neo pak nejdříve zkouší komunikovat na prvním IP endpointu (obvykle lokální adresa serveru) a v případě nedostupnosti zkusí druhou adresu (veřejná adresa serveru).

Šifrování výměnných zařízení na základě sériového čísla

Průvodce dovoluje nastavit šifrování obsahu ukládaného na konkrétní výměnná paměťová zařízení pro administrátorem zvolený objekt (uživatel, bezpečnostní skupina, organizační jednotka a počítač).


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Nastavení šifrování daného výměnného zařízení je možno kombinovat se šifrováním všech výměnných zařízení. Nastavení pro toto zařízení má však přednost. Data budou tedy šifrována klíčem, jenž byl pro toto zařízení zvolen.

6.3.8.1. Volba objektu

Nastavení je vždy aplikováno konkrétnímu objektu ve vaší Active Directory. V případě že volíte bezpečností nebo organizační skupinu, tak nastavení obdrží všichni její členové. V případě výběru skupiny je nutné, aby daná skupiny obsahala účty typu uživatel nikoliv počítač.

6.3.8.2. Základní nastavení

Umožňuje definovat práva uživatele umožňující měnit výchozí nastavení šifrování. Na toto nastavení reaguje SysTray ikona na klientské stanici. Dle nastavení je uživateli dovoleno využití klíče organizace, osobního klíče nebo klíče přenosného.

6.3.8.3. Šifrování zařízení

Dialog obsahuje seznam zařízení a jejich nastavení. Zařízení je možno do seznamu vložit třemi způsoby.

4. Detekce vloženého zařízení – umožňuje importovat zařízení vložené do USB portu stanice, na které je spuštěno administrátorské rozhraní.

5. Ruční vložení zařízení – je možno identifikaci zařízení zapsat ručně. Je vyžadováno správné zapsání HWID a SN v opačném případě nebude nastavení funkční.

6. Import zařízení z CSV – pro hromadné vložení zařízení je možno využít importu z CSV. Při importu je vyžadováno zadání sériového čísla a hardware ID.

Při vložení výměnného zařízení je automaticky jako klíč zvolen klíč daného objektu. Tedy v případě, kdy je zvolena skupina, je použit klíč skupiny, který je následně vytvořen všem jejím členům. Výjimku tvoří objekt počítače. V tomto případě je vybrán klíč firemní. Důvodem je, že vlastníkem klíče je uživatel nikoliv počítač. Rozšířené nastavení - umožňuje změnit typ klíče pro vybrané zařízení.

Interní skupiny uživatelů

Interní skupiny jsou určeny pro vytváření separátních bezpečnostních politik v případech, kdy je nežádoucí propojení se skupinami v Microsoft Active Directory. Je možné vytvořit neomezený počet interních skupin, do kterých je možné vkládat uživatelské objekty. Není možné vkládat objekty typu skupiny, organizační jednotka nebo počítač. Upozornění: Vytvořené skupiny nelze mazat. Důvodem je generování unikátního skupinového šifrovacího klíče pro zabezpečení dat. V případě smazání skupiny by došlo k jeho znepřístupnění. V rámci skupiny je možné uživatele libovolně editovat (vkládat a mazat) Interní skupiny se zobrazují v levém stromu pod hlavní skupinou „AreaGuardNeo_Groups“ v kořenu stromu domény. Se skupinou lze po vytvoření pracovat stejným způsobem jako se skupinami v Microsoft Active Directory.

6.4. Záložky

Záložky v administrátorské konzoli představují jednotlivé moduly aplikace. Lze mezi nimi libovolně přepínat, číst informace, které nám poskytují, a provádět případně určité kroky nastavení, ať už vyplývající nebo ne, z logů, které máme k dispozici. Pro úplný začátek si musíte uvědomit, jaké povahy informace, které nám jednotlivé záložky poskytují, jsou. Všechny záznamy, jsou informace z minulosti. Vycházejte z toho, že na klientské stanici dojde


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

k události. Komponenty událost zalogují a pošlou na server. Server logy automaticky převede do SQL databáze. AreaGuard Neo admin nedělá nic jiného, než že se na tyto informace databáze dotazuje a filtruje jejich zobrazení např. podle nastaveného období, kdy k události došlo. K danému zobrazení se vygenerují i grafy a sumy. Jediné aktuální informace jsou viditelné v jednotlivých dialozích nastavení pro jednotlivé moduly. Následuje přehled, popis a „how to…“ k jednotlivým záložkám.

Správa klientů

Záložka primárně slouží k přehledu o stavu stanic v organizaci. Logy budou mít chybový stav z různých důvodů:

1) Stanice se nepřihlásila více jak nastavený počet dní 2) Na stanici nejsou balíčky v požadovaném stavu (instalované, odinstalované, aktualizované)

Pro informace, např. proč je stanice v chybovém stavu, si můžete rozbalit detail každého logu. Podrobnosti obsahují jednoduchou tabulku, ve které je jasně vidět, z jakého důvodu je stanice ve stavu, v jakém se nachází. Z detailu jste schopni vyčíst poslední kontrolu stavu klienta, poslední aktivitu nebo např. verzi jednotlivých balíčků. Akčními tlačítky na ovládacím panelu vpravo můžete, po označení logu, ze stanice klientský balíček libovolně odinstaloval či instalovat. Instalace vyžaduje podmínku nainstalovaného AreaGuard Neo - Installer. Změny, které provedete, se uloží do databáze. V momentě, kdy se klient dotáže serveru na nastavení a dostane odpověď, začne pracovat na změně stavu. Na klientovi odinstalace probíhá následujícím způsobem: Všechny šifrované lokace se začínají postupně dešifrovat. V případě, že se k počítači přihlašovalo více lidí, musí se i oni přihlásit, aby se jim mohla data dešifrovat. Uživatelé totiž mezi sebou osobní šifrovací klíče nesdílí. AreaGuard Neo - Client se neodinstaluje, dokud všechna data nebudou dešifrovaná. V opačném případě by totiž vznikl problém. V detailu logu stanice vidíte stav odinstalace, popř. průběh dešifrování dat před odinstalací. Ještě podrobnější informace o dešifrování dat naleznete v bublinové nápovědě nad modrým informačním „i“. Mezi logy o stavu stanic můžete objevit i logy provozních chyb.

Výměnná zařízení

Achillova pata organizace – výměnná zařízení. Sledujte jaká výměnná zařízení, která umožňují zápis, uživatelé ve vaší organizaci připojují ke stanicím. Mějte např. přehled o tom, kolik uživatelů jaké zařízení používá a zakažte uživatelům některá nebo všechna zapisovatelná výměnná zařízení. Existují zde 4 typy záznamů (logů):

1) První výskyt zařízení 2) Nedefinované zařízení 3) Povolené zařízení 4) Zakázané zařízení

Po označení logu jste schopen zakázat zařízení dle jeho hardware ID nebo sériového čísla. Sériové číslo – SN je unikátní číslo každého zařízení. Některá starší zařízení ho nemusí mít. Stejné HWID mohou sdílet např. celé série USB Flash disků. Toho můžete využít např. při povolování firemních USB Flash disků. Jako administrátor si zjistíte, že 20 „flashek“ má stejné HW ID. Předem, než je rozdáte uživatelům, je tedy všechny povolíte jedním příkazem na celé doméně. Ke každé akci slouží jedno tlačítko vpravo na panelu. Dialogy všech akcí vypadají velice podobně. Podstatné je vybrat cílový objekt. Může to být uživatel, organizační jednotka nebo počítač. Promyslete si důkladně, na jaký objekt chcete, aby se politika vztahovala. Existuje určitý žebříček priorit, se kterým aplikace pracuje. Žebříček priorit: 1. počítač – povoleno (nejvyšší priorita)

2. počítač - zakázáno 3. uživatel - povoleno 4. uživatel – zakázáno (nejnižší priorita)


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

V praxi to znamená např.: Pokud uživateli zakáži používat určité zařízení, ale stanice, na které pracuje má dané zařízení povolené, uživatel bude schopen se zařízením pracovat. Žebříček priorit je sestaven na základě mnohaleté zkušenosti v oboru bezpečnosti v organizacích. Dialog nastavení výměnného zařízení obsahuje dále přehled jednotlivých nastavení na vybraný cílový objekt + tučně nově přidávaný. Poznámku si libovolně modifikujte, např. „Flashka oddělení kontroly kvality“. Nastavení dokončíte tlačítkem „Vytvořit“. Jednotlivá nebo více nastavení si můžete prohlédnout popř. odebrat v dialogu „Zobrazit nastavení“, který se skrývá pod nejspodnějším tlačítkem. Opět vyberte objekt, který vás zajímá. V tabulce se zobrazí všechna jeho nastavení. Můžete jedno nebo více nastavení označit a odebrat. Po ukončení práce stiskněte tlačítko OK. Zvláště vykutálená je však, v dialogu „Zobrazit nastavení“, možnost „Zakázat všechna nedefinovaná USB zařízení“. Jinými slovy, co nebude povoleno, se automaticky na stanici zakáže. K nastavení této politiky se dostanete přes tlačítko „Rozšířené nastavení“. Ve sloupci „Stav“ změňte na „Nastaveno“ a vyberte níže objekt, na který chcete politiku aplikovat a potvrďte. Možnost "Zobrazení skutečného oprávnění" umožňuje zobrazit konečné nastavení restrikcí vztahující se ke konkrétním uživatelům nebo stanicím. Do výběru je možné vložit více uživatelských objektů v rámci téže skupiny nebo organizační jednotky. Pro všechny vybrané objekty bude zobrazeno výsledné nastavení, které se na tento objekt vztahuje a včetně nastavení, která objekt zdědil z nadřazených struktur. Výsledný obsah je možno exportovat od CSV souboru. Jednotlivá nastavení je možno odebrat. Dialog obsahuje detekci kolizí umožňující zkontrolovat správnost nastavení. Klientská stanice si nastavení pro výměnná zařízení stahuje ze serveru každou hodinu s náhodným rozptylem. Při vložení výměnného zařízení, na které lze zapisovat, se událost zaloguje, včetně akce, která událost provázela. Tj. zda bylo zařízení povolené, zakázané nebo nedefinované. Každých pět minut tyto logy putují na server, kde se dále zpracovávají do SQL databáze. Ve chvíli, kdy jsou informace v databázi, je admin konzole schopna tyto logy zobrazit.

Lokální adresáře

Tato záložka administrátorovi dává přehled o datech na lokálních discích klientských stanic. O stavu zašifrování, zda jsou data používána (data mladší nebo starší než 180 dní) a jestli se nachází v šifrovaných lokacích. Máte možnost nastavovat, jaké adresáře budou na stanicích šifrovány. Standardně se šifruje profil každému doménovému uživateli. Typy logů:

1) Data v lokacích OK 2) Nezašifrovaná data v lokacích 3) Mnoho používaných dat mimo lokace / Používaná data mimo lokace 4) Data mimo lokace v pořádku

Všimněte si, že zobrazení logů se liší podle toho, jestli je zobrazujete pro skupinu uživatelů nebo počítačů. Stejně tak pro jednotlivé uživatele a počítače. Je to z důvodu logiky zobrazovaných informací, lepší přehlednost a větší informační hodnotu. Jaké informace se k Vám dostanou a jakým způsobem? Ihned po instalaci klientského balíčku na stanici se provede počáteční scan. Rychlost provedení závisí na velikosti dat, ale v běžném stavu je to v řádech minut. Po provedení se scan automaticky odešle na server, naimportuje do databáze a v této chvíli je možné výsledek zobrazit v admin konzoli. Scan se jinak provádí v náhodný čas jednou denně. Scan prohledává šifrované lokace a kontroluje, zdali jsou soubory zašifrované, či nikoliv. Je logické a v pořádku, že první poinstalační scan vrátí výsledek nezašifrovaných dat v nastavených lokacích. Dále scan prohledává všechny pevné disky, mimo výjimky, jako je systémový adresář apod. Vyhodnocuje stáří dat, respektive jejich poslední použití, počet souborů, jejich velikost, klíč, kterým jsou data zašifrovaná, a podle koncovky roztřiďuje do jednotlivých kategorií, jako kancelářské balíky, multimédia a další a následně do dalších podkategorií jako např. dokumenty či obrázky.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Ze získaných dat jste poté v GUI schopni zjistit stav zašifrování dat v lokacích. A množství používaných dat mimo nastavené šifrované lokace + samozřejmě další podrobnosti, které scan poskytuje, v sofistikované tabulce v detailech každého logu, kde můžete vidět jednotlivé adresáře, typy souborů rozdělené do kategorií, jejich velikost a procentuální využití, uživatele, kteří stanici využívají a stav zašifrování dat. Když čísla dosáhnou určité výše, která je všeobecně považována za nebezpečnou, zčervenají. Při označení některé z nelokací v podrobnostech logu typu „Mnoho používaných dat mimo lokace“, popř. označení logu „Používaná data mimo lokace“ v případě vybraného počítače nebo skupiny počítačů, můžete tlačítkem na panelu vpravo vytvořit lokaci. V dialogu bude tatáž lokace předepsaná, můžete jí samozřejmě i přepsat na jinou. Například na obecně používanou v organizaci apod. Je možné, stejně jako u výměnných zařízení, vybrat objekt, ke kterému se bude nastavení vztahovat. Nastavení spolupracuje se systémovými proměnnými, čímž se otvírá spousta možností, jak nastavení globalizovat na celou organizaci apod. Nutno dodat, že pokud mají stanice přesměrovány např. dokumenty a další, AreaGuard Neo s tímto počítá a cíl, kam jsou adresáře přesměrovány, považuje za profil uživatele, z čehož vyplývá, že je adresář automaticky zařazen do šifrovaných lokací. Nastavení, které tedy momentálně provádíte, je vyznačeno tučně. Popis libovolně modifikujte. Důležitý je výběr klíče, kterým adresář bude šifrován. V případě předvoleného výběru „Mnou zvolený klíč“, musíte zvolit uživatele nebo skupinu, jejíž klíčem se bude daný adresář šifrovat. Pouze tento uživatel nebo skupina bude mít data přístupná. Výjimka je pouze tehdy, pokud jeho klíč přidělíte někomu jinému, o čemž se dočtete v následující kapitole. Pokud zvolíte „Osobní klíč“, tak se adresář zašifruje osobním klíčem uživatele, který je k počítači přihlášený nebo se první přihlásí, po získání nastavení. Přihlášení dalších uživatelů již nehraje roli. Data pro ně nebudou přístupná. Poslední možnost je firemní klíč, který má standardně k dispozici každý uživatel AreaGuard Neo ve vaší organizaci. Naopak u logů typu „Data v lokacích OK“ a „Nezašifrovaná data v lokacích“ je možno nastavení adresáře odebrat dalším tlačítkem. V případě, že se Vám zobrazují logy typu „Nezašifrovaná data v lokacích“, není třeba panikařit. Může to být z několika důvodů.

1) Ještě se nestihla zašifrovat všechna data. Velké množství dat může trvat i několik hodin nebo dní.

2) Na stanici se přihlásil uživatel, který nebyl přihlášen dostatečně dlouho, aby se mu data stihla zašifrovat. Od té doby se už nikdy nepřihlásil. Můžete to zkontrolovat v podrobnostech logu.

3) Nastal konflikt při šifrování a v takovém případě se obraťte na technickou podporu produktu AreaGuard Neo.

„Zobrazit nastavení“ je dialog přehledu jednotlivých nastavení pro jednotlivé objekty či skupiny. Vyberte si objekt, pro který chcete nastavení zobrazit. Máte možnost nastavení i odebrat. V případě, že potřebujete rychle scan a nemáte čas čekat na náhodný jednou za den, stačí na klientské stanici využít nástroje v systray AreaGuard Neo. Jakmile se scan provede, putuje na server obvyklou cestou.

Klíče

Šifrování dat není možné bez šifrovacího klíče. Záložka „Klíče“ slouží k přehledu a správě těchto klíčů. Je navržena stejným způsobem jako ostatní moduly, takže i zde se setkáváte s logovanými informacemi. Jednotlivé logy, vyjímaje log „Problém s klíčem“, jsou vlastně klíče. Klíčů máme několik typů:

1) UserPersonalKey – osobní klíč uživatele. Nese název tvaru: %logonname%_Personal_XXX, kde XXX je pořadové číslo klíče jednotlivého uživatele. Každému doménovému uživateli, který se přihlásí ke stanici, na níž běží AreaGuard Neo klient, se vygeneruje osobní klíč. Osobní klíč má standardní platnost 1 rok. Tímto klíče se standardně šifruje uživatelův profil a další nastavení lokace.

2) SettingRecoveryKey – klíč pro obnovu nastavení. Nese název tvaru: %logonname%_SettingRecovery_XXX, kde XXX je pořadové číslo klíče jednotlivého uživatele.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Každému doménovému uživateli, který se přihlásí ke stanici, na níž běží AreaGuard Neo klient, se vygeneruje tento klíč, který má standardní platnost 1 rok. Klíč primárně slouží k obnově nastavení AreaGuard Neo na stanicích, které se momentálně nachází mimo organizace, bez možnosti vzdáleného připojení do organizace a její domény. Jeho zobrazování či nikoliv lze nastavit v „Nastavení GUI“.

3) UserRecoveryKey – klíč obnovy. V případě, že něčí osobní klíč přidělíte jinému uživateli, např. při odchodu původního zaměstnance z organizace, přičemž chcete zachovat přístup k jeho datům třeba jeho nástupci, uvidíte u nového zaměstnance/nástupce právě log tohoto typu. Nový vlastník je pak schopen zašifrovaná data původního vlastníka číst a nakládat s nimi, jako by byla jeho. Nebude však tímto klíčem schopen cokoliv zašifrovat.

4) ExpiredKey – klíč, kterému vypršel platnost. Zůstává původnímu majiteli, který je schopen pomocí tohoto klíče dešifrovat původní data.

5) InactiveKey – odebraný/neaktivní klíč uživatele. Klíč, který byl odebrán např. bývalému zaměstnanci nebo zaměstnanci, kterému chcete odepřít možnost práce s jeho daty k jeho datům. V případě, že se někomu podaří přihlásit, ale klíč bude mít neaktivní, nebude schopen s ním cokoliv dešifrovat. Nejedná se o nevratný stav.

6) Firemní klíč – Tento klíč dostává každý uživatel, který je členem výchozí skupiny AreaGuard Neo, automaticky.

7) GroupKey – Skupinový klíč se vygeneruje vždy, když nastavíte šifrovanou lokaci pro určitou skupinu lidí (jako objekt v AD) klíčem CustomObjectKey. Každý z této skupiny ho bude mít k dispozici.

K operacím s klíči slouží akční tlačítka na ovládacím panelu vpravo. V následující části se dočtete jejich možnosti.

1) Přiděl klíč jinému uživateli – V případě, že něčí osobní klíč přidělíte jinému uživateli, např. při odchodu zaměstnance z organizace, přičemž chcete zachovat přístup k jeho datům třeba jeho nástupci, provedete tuto akci. Nástupce je pak schopen dešifrovat data původního vlastníka. Nebude však tímto klíčem schopen cokoliv zašifrovat.

2) Odeber klíč uživateli – Předchází stavu z bodu 5) InactiveKey v předchozím odstavci. Jedná se o stálé nebo dočasné znemožnění uživateli práce s daty zašifrovanými jeho klíčem. Do původního stavu se vrátíte funkcí „Vrať klíč uživateli“

3) Zkrátit platnost klíče – Odkaz na bod č. 4 v předchozím odstavci. Slouží jako další možnost vypršení klíče mimo standardní dobu vypršení klíče. Např. při podezření na kompromitaci klíče, můžete zkrátit platnost klíče. Při dalším přihlášení uživatele se uživateli vygeneruje nový osobní klíč. Data se uživateli automaticky přešifrují.

4) Zobrazit nastavení – dialog s aktuálními informacemi o klíčích a jejich nastavení. Lze je zobrazit logicky pouze na jednotlivé uživatele. Důležité mohou být sloupce: Stav, Původní vlastník, Změna vlastníka, Změna stavu.

Je dobré vědět, že veškeré nastavení a operace s klíči se u jednotlivých uživatelů projeví až v momentě, kdy se uživatel přihlásí do systému.

Sdílená data

Tato záložka již není od verze 1.7 dostupná. Změnil se způsob šifrování sdílených dat na síti. Více v kapitole Šifrování na síti.

7. AreaGuard Neo na klientské stanici

7.1. Obecný popis

Poskytuje efektivní způsob ochrany dat pomocí AES256 Ochrana souborů uživatele prostřednictvím šifrování file-systému Online transparentní šifrování souborů na koncové stanici Online transparentní šifrování souborů na síti Online transparentní šifrování souborů na výměnných zařízeních Minimální požadavky na znalosti uživatele


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Sledování využívání výměnných zařízení v organizaci Omezení využívání výměnných zařízení v organizaci Možnost využití AreaGuard Logon pro dvoufaktorovou autentizaci do operačního systému

7.2. Technický popis klienta

Pomocí distribuce prostřednictvím doménové politiky je na koncových stanicích nainstalován klient, který komunikuje se serverovou částí aplikace. Tento klient dle nastavení doinstaluje požadované moduly a verze AreaGuard Neo. V průběhu instalace je aplikováno výchozí nastavení zabezpečení dat na koncové stanici. Defaultně je chráněn uživatelský profil. Akce prováděné klientem jsou řízeny jednotlivými plánovači. Události na stanici se logují do souboru typu XML. Veškeré zaznamenané informace jsou tak postupně serverem zpracovávány a prezentovány obsluze. Server kontroluje integritu logových souborů z důvodu modifikace či poškození útočníkem. Klient komunikuje přes internetovou/intranetovou sít se službou WebServer, která předává informace dalším komponentám. Zpětně od této služby přijímá informace. Pro správné fungovaní na klientské stanici je třeba, aby běžely všechny služby a procesy. V případě jakýchkoliv problémů nebo podezření na funkčnost AreaGuard Neo na koncových stanicích, zkontrolujte, zdali všechny tyto služby a procesy běží. Jsou to následující:

6) DataSafe_DriverResponder 7) LogSubs 8) SubscribePoolService 9) SysTray 10) UserServer

Po instalaci klientské části na stanici je možné pozorovat určité zpomalení počítače z důvodu šifrování stávajících dat. Po kompletním zašifrování stávajících dat by již zpomalení nemělo být patrné.

Aktualizace nastavení klienta

Nastavení klientů se v určitých intervalech aktualizuje. Nastavení si počítač také stahuje při startu. Uživatelské nastavení se stahuje po jeho přihlášení. I dotazy na aktualizace či balíčky mají svůj časovač. Následuje tabulka jednotlivých nastavení a jejich časových intervalů:

Akce Interval

Aktualizace, balíčky (client, admin) 4 hod. nebo restart počítače

Nastavení výměnných médií 1 hod. nebo restart počítače

Nastavení lokálních adresářů 1 hod. nebo restart počítače

Nastavení klíčů Po přihlášení daného uživatele

Hlášení klienta o stavu do záložky „Správa klientů“ 4 hod. nebo restart počítače

V případě nutnosti lze nastavení stanice aktualizovat pomocí nástroje v systray AreaGuard Neo.

7.3. Způsoby instalace klienta

Instalace pomocí doménové politiky GPO

Pokud administrátor při instalaci serveru AreaGuard využije možnosti instalaci AreaGuardNeo - Installer na stanice pomocí doménové politiky, dosáhne tak stavu, kdy všechny PC v doméně se dokáží spojit s AreaGuard Neo serveru. Automaticky si stáhnou a nainstalují AreaGuardNeo - Client. Politika se při instalaci vytváří přímo do kořene domény, zvlášť pro 32 a 64bitové operační systémy (rozlišení probíhá automaticky).


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Důležitý je „Security Filtering“, kterým se určuje, na kterou skupinu se politika aplikuje. Doporučujeme standardně použít „AreaGuardNeo_Computers“, který se vytváří při instalaci, a do které si vložíte počítače, které chcete mít chráněny šifrováním. Pokud se Vám politika nevytvořila při instalaci, můžete si totožnou dodatečně vytvořit příkazem. Návod naleznete zde.

Ruční instalace

Zkopírujte instalační balíček pro danou platformu (x86/x64) na klientskou stanici. Umístění instalačního balíčku již znáte z konce instalace serverové části, kde byla možnost zobrazit umístění Installeru na serveru. Aktuální AreaGuard Neo – Installer.msi balíčky naleznete standardně v cestě: c:\Program Files\AreaGuard Neo\Server\db\Msi\. Spusťte msi instalační balíček a proklikejte se průvodcem. Po skončení instalace je hotovo. Instalace AreaGuard Neo - Client probíhá již automaticky. Instalaci bez průvodce lze provést i následujícím příkazem: Msiexec AreaGuard Neo_Installer.msi /quiet

Odinstalace klienta

Jediná možnost odinstalace klienta je z administrátorské konzole. Důvody a postupy naleznete v příslušné kapitole „Správa klientů“.

7.4. Systray komponenta Je to jediná část viditelná koncovým uživatelem na jeho stanici. Její barva naznačuje stav AreaGuard Neo na stanici. Bílo-červená = OK. Šedá se žlutým vykřičníkem = Něco není v pořádku. Po kliknutí pravým tlačítkem na systray ikonu se rozbalí několik možností:

Bezpečnost mých dat

Seznam aktuálně nastavených adresářů určených k zašifrování. Ke každému adresáři je přiřazen i klíč, kterým je adresář zašifrovaný. Uživatel má možnost spustit scan, aby se ujistil, v jakém stavu je zabezpečení jeho dat. Scan prohledává pouze adresáře šifrované klíči, které má k dispozici. Jinými slovy prohledává adresáře ze seznamu v horní části okna.

Nastavení

7.4.2.1. Jazyk

Vyberte jazyk, jakým bude AreaGuard Neo s uživatelem komunikovat.



Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Historie akcí

Zde se logují důležité akce:

1) Uzamčení/odemčení stanice 2) Vložení zakázaného zařízení 3) Odepřen přístup k souboru (uživatel nemá k dispozici správný šifrovací klíč)

Opět z důvodu řešení problémů zde existuje možnost celý seznam kompletně exportovat do CSV souboru.

Nouzová obnova nastavení

Tato volba spustí průvodce „Nouzová obnova nastavení“. Umožní přihlášenému uživateli obnovit přístup k šifrovaným datům. V následujících dialozích vyberete klíč obnovy a budete požádání o výměnu bezpečnostní fráze s administrátorem, která zajistí zpřístupnění tohoto klíče. Po získání tohoto klíče se uživateli obnoví šifrovací klíče z lokálního zabezpečeného úložiště.

Nástroje

7.4.5.1. Znovu načíst klíče

Znovu načte klíče, v případě, že o ně uživatel přišel nebo nastal jiný problém.

7.4.5.2. Vyžádat nastavení

Vyžádá ze serveru kompletně aktuální nastavení uživatele i počítače.

7.4.5.3. Provést scan lokací

Provede ihned scan, který odejde na server a je možné ho vyhodnotit v administrátorské konzoli jako datový audit.

7.4.5.4. Provést podrobný scan lokací

Vypíše do logového souboru, které soubory jsou v nevyžádaném stavu- např. nezašifrované v lokacích, nebo zašifrovány mimo lokace apod.

O Programu

Zde naleznete verzi AreaGuard Neo a informaci o jeho stavu. Pod tlačítkem „Verze podrobněji…“ se skrývá podrobný seznam komponent a jejich verzí, který lze exportovat do CSV souboru. Tuto možnost často využijete při řešení problémů s technickou podporou.

7.5. Šifrování výměnných zařízení

Vyžaduje povolenou globální politiku šifrování výměnných médií. Po připojení výměnného zařízení do počítače vyjede informační panel ze systray, který Vás informuje o tom, zda nově zapsaná data budou na výměnném zařízení šifrována. Dole na panelu můžete kliknout na nastavení a vybrat, zdali zařízení bude nebo nebude šifrováno a jakým klíčem. K dispozici máte firemní, osobní a přenosný klíč. Data na zařízení přítomna z dřívějška nebudou šifrována. Pokud na informační panel nebudete reagovat, zůstává v platnosti výchozí nastavení – buď nešifrovat neb šifrování firemním klíčem. Data šifrovaná firemní nebo osobním klíčem jsou dostupná na základě klíčů, které vlastní uživatel, který se data pokouší dešifrovat.

Šifrování přenosným klíčem

V případech, kdy potřebujete bezpečně přenést data na výměnném zařízení mimo organizaci, je vhodné použít tzv. přenosný klíč. Data zašifrovaná tímto klíčem jsou přístupná díky heslu, kterým je klíč zašifrovaný. Pokud na výměnném zařízení není dosud žádný klíč, který byste mohli nebo chtěli použít, vytvořte nový pomocí průvodce. Jakmile vyberete nebo vytvoříte klíč, nové soubory na výměnném zařízení budou již


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

šifrovány. Při vkládání souborů vyskočí informační dialog, který Vám zároveň umožní po skončení přesunu souborů zařízení vyjmout. Po vyjmutí média se zobrazí souhrn šifrovaných souborů.

Dešifrování přenosným klíčem

7.5.2.1. Na počítači s AreaGuard Neo – Client

Po připojení zařízení je vždy v systray AreaGuard Neo pod pravým tlačítkem myši možnost „Přístup k šifrovaným souborům“ a „Správa přenosných klíčů“. První je průvodce zadání hesla k šifrovacímu klíči, který dále umožní k šifrovaným souborům neomezeně přistupovat. Podobný průvodce se Vám nabídne v případě nějaké interakce se šifrovaným souborem, tentokrát z informačního panelu systray AreaGuard Neo. Správa přenosných klíčů slouží, jak již název napovídá, ke správě klíčů. Jsou dostupné informace, jaké soubory jsou klíčem zašifrovány nebo se dají klíče smazat.

7.5.2.2. Na počítači bez AreaGuard Neo – Client

Na počítači bez aplikace AreaGuard Neo je chování nepatrně odlišné. Na výměnném zařízení naleznete soubor „AreaGuardNeo _Portable.exe“, který spustíte, a dále Vás průvodce provede dešifrovacím procesem. Dostupná je opět i „Správa přenosných klíčů“.

7.6. Recovery událost

Slouží pro vytvoření účtu obnovy, který má pak k dispozici klíč uživatele, jež o nastavení dočasně přišel a nemá možnost spojení se serverem. Je dostupná formou dlaždice na přihlašovací obrazovce Windows Vista a výše a musí být zapnuta globální podpora této formy obnovení. Pro úspěšné provedení recovery události je potřeba být v kontaktu s administrátorem, který si s uživatelem pomocí průvodce vymění šifrovací fráze k obnově nastavení. Poté se na stanici vytvoří účet lokálního administrátora, který bude mít k dispozici šifrovací klíče obnovovaného uživatele.

7.7. AreaGuard Neo – Logon Mimo správy HW tokenů z konzole, lze HW tokeny spravovat i lokálně. Znovu připomínáme minimální požadavky na provoz AreaGuard Neo – Logon na klientských stanicích. Rozhraní umožňující správu HW předmětů je standardně dostupné z nabídky start. Rozhraní a jeho ovládání je prakticky totožné s Token managerem, na rozdíl od něj se však zde na tokeny vztahují globální politiky vydefinované v Zásadách přihlášení, jako např. délka a komplexita PINu. Heslo zadávejte vždy aktuální, z tohoto dialogu nejste schopni změnit heslo v AD. Pro změnu hesla použijte funkci Windows (CTRL+ALT+DEL >> Změnit heslo…).

7.8. Šifrování na síti Od verze AreaGuard Neo 1.7 jsme změnili způsob šifrování sdílených dat. Nyní se provádí ze strany serveru. Data nyní budou dostupná i z jiných zařízení a hlavně ze zařízení bez klienta AreaGuard Neo. Data přitom zůstávají stále zabezpečena.

Průvodce šifrováním souborového serveru

Od verze 1.9 je navíc v administrátorské konzoli průvodce, který Vás provede jeho kompletním nastavením v několika málo krocích. Vyberete z Active Directory konkrétní server a dále nastavíte, zdali chcete ignorovat uživatelské lokace, což jsou prakticky všechny ostatní lokace, mimo lokálních na serveru, jako uživatelské profily apod. Doporučujeme tuto volbu zapnout, jinak se Vám budou zbytečně šifrovat profily všech uživatelů, kteří se k šifrovaným lokacím na serveru v budoucnu přistoupí. Výchozí hodnota pro udržování klíčů v paměti je zároveň doporučená. Je to doba, po kterou si má server ponechat klíče uživatele, který přistoupil do šifrované lokace, v paměti. Urychlí to tak příští přístup k šifrované lokaci ten samý pracovní den.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

V dalším kroku se nastavují konkrétní šifrované lokace na souborovém serveru. Způsob je stejný, jako běžné nastavení lokací. Zde se nastavuje konkrétně na tento server. Můžete využívat proměnnou jako %username%, v takovém případě zvolte Osobní klíč. Lze využít taktéž skupinové nebo firemní klíče. Struktura a logika je na Vás.

Nastavení v Active Directory

V Active Directory je třeba pro správnou funkci nastavit „Důvěru pro delegaci služeb“ (pouze ověřování Kerberos). Spusťte MMC konzoli pro „Active Directory Users and Computers“. Zvolte Vámi určený file server, na kterém chcete provozovat šifrování sdílených dat a zobrazte „Vlastnosti“. Přejděte do záložky „Delegace“ a vyberte druhou možnost, viz obrázek.

File server určitě zařaďte do skupiny AreaGuardNeo_Computer, jinak se Vám na něj aplikaci vůbec nepodaří nainstalovat. Server po úpravách restartujte.

Instalace AreaGuard Neo Client na souborový server

Na serveru AreaGuard Neo naleznete speciální MSI pro instalaci na server a to v cestě c:\Program Files\AreaGuard Neo\Server\db\msi\... s názvem AreaGuardNeo_Installer_server.msi. Ten vezměte a nainstalujte na Vámi vybraný file server. !!! Nikdy neinstalujte na Domain Controller nebo server AreaGuard Neo !!! Na vyžádání aplikace server restartujte.

Funkce v praxi

Vyzkoušejte přistoupit k šifrovaným sdíleným lokacím pod nějakým pověřeným uživatelem. Při prvotním přístupu uživatele na sdílenou složku na file serveru může trvat cca minutu, než dojde k vytvoření profilu uživatele a zpřístupnění klíčů. Další budoucí přístupy stejného uživatele už budou otázky vteřin.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

8. Rekonfigurace serveru

Díky velice přísnému zabezpečení celé aplikace, není možné reinstalovat serverovou část, aniž byste aplikaci odinstalovali nejdříve z klientských stanic. Pokud byste tak neučinili, klienti s novou instalací AreaGuard Neo na serveru nebudou schopni komunikovat. V případě, že z určitých technických důvodů potřebujete nějak rekonfigurovat AreaGuard Neo serveru, v následujících kapitolách naleznete postupy, jak to bezpečně provést.

8.1. Obnova serveru

V případě, že z nějakého důvodu přijdete o Váš server s AreaGuard Neo, existuje samozřejmě možnost server obnovit. Jelikož všechno, ať už je to nastavení, klíče apod., je v SQL databázi, doporučujeme, abyste vaši SQL databázi pravidelně zálohovali jinam! Pro zdárnou obnovu serveru je také nutné mít k dispozici heslo DRP z instalace (starší než verze 1.4) nebo XML souhrnu (verze 1.4 a novější). Držte se prosím následujících kroků pro úspěšnou obnovu AreaGuard Neo server:

1) Odpojte server od sítě nebo mu jinak znemožněte, aby s ním nebyly schopny klientské stanice komunikovat během procesu obnovy.

2) Nainstalujte AreaGuard Neo na server. 3) Aktivujte AreaGuard Neo. 4) Vypněte všechny služby AreaGuard Neo na serveru. Jsou to:

a) LogSubs b) SubscribePoolService c) WebServer d) WebServerHandler_ComponentMa

nager e) WebServerHandler_DataRepository f) WebServerHandler_IdentityManage

r g) WebServerHandler_UserAgent

5) VYTVOŘENÉ SQL DATABÁZE NEMAZAT!!! 6) Obnovte do nich jednotlivé databázi. 7) Spusťte aplikaci pro obnovu serveru c:\Program Files\AreaGuard

Neo\Server\bin\ShellLayer_Cryptography_ConfigRecovery.exe jako servisní účet AreaGuard Neo (AreaGuard Neo_Service)

8) Dle způsobu zvolené ochrany DRP při instalaci vyplňte heslo ručně nebo zadejte cestu k souboru DRP (do verze 1.3 včetně) nebo k Setup reportu. (Od verze 2.0 je zde možnost obnovy DRP souboru v případě ztráty)

9) Spusťte znovu všechny služby AreaGuard Neo na serveru. 10) Připojte server k síti.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

8.2. Přesun databáze Začněte tím, že zastavíte všechny služby AreaGuard Neo na serveru. V SQL management studiu si vytvořte zálohu všech pěti databází AreaGuard Neo. Jsou to následující:


Připojení do nové databáze.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Vyberte cestu k databázi.

Pro konečné připojení je vždy třeba vybrat název databáze, viz obrázek


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Nyní je třeba překonfigurovat spojení k databázi. Níže uvedené konfigurační XML soubory přepište a podepište dle návodu. C:\Program Files\AreaGuard Neo\Server\db\conf\NASF_WebServerHandler_ComponentManager\ NASF_WebServerHandler_ShellLayer_ProviderServer_CM-local.xml V tomto souboru změníme text uvnitř elementu <Connection> Server=připojení k vzdálenému SQL serveru a instanci C:\Program Files\AreaGuard Neo\Server\db\conf\NASF_WebServerHandler_IdentityManager\ NASF_WebServerHandler_ShellLayer_ProviderServer_IM-local.xml V tomto souboru změníme text uvnitř elementu <Connection> Server=připojení k vzdálenému SQL serveru a instanci


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

Po změně těchto konfiguračních XML je třeba je ještě podepsat, aby byla ověřena integrita. Podepisovač (ConfigurationPool_Integrity.exe) spouštět pod servisním účtem AreaGuard Neo_Service ConfigurationPool_Integrity.exe -i input.xml -o output.xml -h -r PROVIDER_SERVER V souboru: C:\Program Files\AreaGuard Neo\Server\db\conf\NASF_WebService_ReportSet\Directory\web.config Najděte „connectionString“ a v parametru „Server“ změňte cestu k SQL server. V registru: HKEY_LOCAL_MACHINE\SOFTWARE\SODATSW\AreaGuard Neo\local\installer Změňte položku „P_CONN_STRING-0“ tak, že upravíte cestu k SQL serveru. Zprovoznit konektivitu do vzdáleného SQL serveru a na jeho instanci

- Firewall vypnout (nebo povolit port)

- Povolit protokol pro SQLEXPRESS (TCP/IP)

- Spustit SQL Server Browser

- Po těchto krocích je nutné restartovat SQL

Celý přesun dokončete krokem modifikace cesty k databázi pro import dat do ní v následující kapitole.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

8.3. Konfigurace pro import logů na nelokální SQL server Na server, kde je nainstalován AreaGuard Neo server, nainstalujte Microsoft SQL Server NativeClient 10 (tento klient je zpětně kompatibilní i se starším SQL Serverem). Upravte soubor: Program Files\AreaGuard Neo\Server\db\conf\NASF_WebService_ReportSet\NASF_Import.Auto_Batch-local.xml V tomto souboru změníme text uvnitř elementu <SqlConnectionString> Server=připojení k vzdálenému SQL serveru a instanci Provider=SQLNCLI10 DataTypeCompatibility=80 MARS Connection=True V elementu <ImportType> změňte na XML (velká písmena nutná) Vše pro jistotu v následujícím obrázku:

Od verze AreaGuard Neo 1.6.1612.0 přidávejte do XML k měněným elementům atribut: doNotUpdate=“1“ jako je zeleně vyznačeno v obrázku, jinak Vám aktualizace AreaGuard Neo přepíše hodnoty na výchozí. Důležité je zachovat parametry u SqlConnectionString a ImportType, výjmečně i PrimaryWorkStationID.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

8.4. Změna hesel servisních účtů

Servisní účet

Jakákoliv změna hesla u servisního účtu vyžaduje změnu hesla nejen v AD, ale zároveň nesmíte zapomenout ho změnit u všech služeb, které pod tímto účtem běží. Doporučujeme před celým procesem dočasně zastavit všechny služby, kterých se bude změna týkat, po změně znovu spusťte. Jedná se o následující služby: AreaGuard Neo – WebServer AreaGuard Neo – WebServerHandler_ComponentManager AreaGuard Neo – WebServerHandler_DataRepository AreaGuard Neo – WebServerHandler_IdentityManager AreaGuard Neo – WebServerHandler_UserAgent

Servisní účet IIS

V případě změny hesla servisního účtu IIS, postačí změnit heslo za nové pouze v IIS Manageru. Konkrétně u Application Pool AreaGuardNeo – ReportSetAppPool.


Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

8.5. Automatické mazání starších záznamů z databáze ReportSet Od verze 2.1 je možné provádět automatické mazání starších záznamů z databáze AreaGuard Neo – ReportSet. Udržováním konkrétní historie dat lze snížit nároky na hardware SQL serveru. Nastavení délky historie se provdání prostřednictvím registrové hodnoty removeDataOlderThan-0 (typ REG_SZ) na serveru AreaGuard Neo v registrovém klíči: HKEY_LOCAL_MACHINE\SOFTWARE\SODATSW\AreaGuard Neo\configuration\ Nastavená hodnota znamená dobu v měsících, za kterou jsou záznamy udržovány. Př. V případě nastavení hodnoty na 6, budou uchovávána data za posledních 6 měsíců.

9. Support

9.1. Informace o způsobu supportu

Podpora produktů společnosti SODATSW probíhá v souladu s platnými podmínkami Programu technické podpory SODATSW, maintenanční smlouvou a to především cestou helpdesku SODATSW.

Helpdesk SODATSW spol. s r.o.

Mimo založení nového ticketu pro technickou podporu, naleznete v helpdesku spoustu zajímavých rad, návodů a postupů při řešení problémů. Do fóra helpdesku vstoupíte tímto odkazem. Naleznete tady spoustu užitečných informací. Pro zobrazení příspěvků je nutná registrace, kterou provedete pod tímto odkazem.

9.2. Kontaktní údaje Sídlo společnosti:

SODATSW spol. s.r.o. Kamenice 771/34 625 00 Brno IČ: 253 23 989 DIČ: CZ25323989 Telefon: 543 236 177 E-mail: [email protected] Do klientské zóny je možné se přihlásit na adrese: http://support.sodatsw.cz E-mail technické podpory: [email protected]

9.3. Informace o aktualizacích

Informace o aktualizacích jsou zveřejňovány ve fóru helpdesku v části „Aktualizace produktů SODATSW“ a také jsou zákazníkům zasílány formou pravidelných newsletter.


http://support.sodatsw.cz/registration

http://support.sodatsw.cz/registration





Kamenice 771/34


IČO: 25323989

DIČ: CZ25323989

IČ DPH: CZ25323989

[email protected]

+420 543 236 177

www.sodat.com

10. Informace o společnosti SODATSW spol. s r.o.

Společnost SODATSW spol. s r.o. je výrobcem a dodavatelem originálních řešení určených pro správu a bezpečnost pracovních stanic v sítích bankovního a komerčního sektoru, státní správy, školství a v neposlední řadě i domácích uživatelů. Cílem společnosti SODATSW je poskytovat svým zákazníkům komplexní služby a řešení, které jsou špičkou ve svém oboru a přinášejí zákazníkům konkurenční výhody v jejich podnikání. Dbáno je také na důvěru a spokojenost zákazníků, které jsou založené na dlouhodobých vztazích, vstřícném přístupu a vysoké kvalitě poskytovaných služeb a řešení.

Společnost SODATSW je již mnoho let aktivní v rámci partnerského program Microsoft v oblasti ISV Software solutions. Také produkty společnosti prošly mnoha certifikacemi a ověřením kvality a kompatibility s operačními systémy Windows.

SODATSW spol. s r.o., Kamenice 771/34, 625 00 Brno, Tel.: +420 543 236 177 email: [email protected] www.sodat.com © 1997-2017 SODATSW spol. s r. o., všechna práva vyhrazena. Veškerá, i neoznačená obchodní jména, obchodní známky a

registrované obchodní značky/známky jsou známkami příslušných vlastníků.


http://www.sodat.com/

Date post:	18-Aug-2018
Category:	Documents
Upload:	buinhi
View:	233 times
Download:	1 times

Manual - data.sodatsw.czdata.sodatsw.cz/pdf/manual_agneo.pdf · Manual installation ... Operation...

Documents