Monitorización en vivo y terminación
Observe, pause, reanude o corte una sesión privilegiada mientras sigue en curso, desconecte un inicio de sesión de la consola y permita que los usuarios compartan un terminal en vivo con un compañero.
Qué es esto y cuándo usarlo
Los perfiles autorizados pueden actuar sobre una sesión privilegiada mientras está ocurriendo. Desde la lista de sesiones activas, un administrador o un auditor puede observar la sesión, congelarla, devolver el control o cortarla, y seguir los comandos y las transferencias de archivos según se producen.
Úselo cuando algo en curso tenga que verse o detenerse: una ventana de cambio que está supervisando, un tercero desconocido trabajando, una alerta sobre una sesión que sigue abierta.
Tres cosas se confunden con facilidad, y la distinción decide qué pantalla necesita:
Actuar sobre una sesión en curso
Auditoría › Sesiones › En línea, esta página
Reproducir una sesión que ya terminó
Desconectar a alguien de la consola misma, no de un activo
Auditoría › Consola › Usuarios en línea, más abajo
La monitorización de sesión y el uso compartido de sesión también son cosas distintas. La monitorización es algo que un auditor hace sobre la sesión de otra persona, bajo RBAC. El uso compartido es algo que hace el propio dueño de la sesión, repartiendo un enlace.
Antes de empezar
Un rol que conceda permisos sobre sesiones en vivo. Monitorizar la sesión de otra persona está controlado por RBAC y, sin ese permiso, las sesiones de los demás usuarios no son visibles ni accionables. Consulte Roles.
Una idea del radio de impacto. Pausar, Reanudar y Desconectar surten efecto de inmediato en la pantalla del usuario monitorizado. Mantenga estos permisos en los perfiles de administración y de auditoría.
Si su política lo exige, la aprobación del usuario original antes de que alguien pueda entrar a monitorizar una sesión. Esto puede activarse para que la observación no sea silenciosa.
Para compartir, el Uso compartido de sesión debe estar habilitado en Configuración del sistema › Seguridad › Sesiones, y el usuario necesita la acción Compartir en la autorización que le concede el activo. Consulte Autorizaciones.
Actuar sobre una sesión en vivo
Abra Auditoría › Sesiones › En línea. La lista muestra, en tiempo real, cada sesión activa con su usuario, activo de destino, cuenta, protocolo, método de autenticación y hora de inicio.
Localice la sesión y use la columna Operación, o el menú de más acciones.
Observar
Abre la sesión en vivo en solo lectura, como una sombra. Ve exactamente lo que ve el usuario y no puede interferir
Pausar
Suspende la sesión de inmediato. La pantalla del usuario se congela y no se acepta ninguna entrada mientras siga en pausa. Eso es lo que le da tiempo para evaluar algo sospechoso sin destruir la sesión
Reanudar
Devuelve el control al usuario desde el punto en que fue interrumpido
Desconectar
Termina la sesión al instante, cortando la conexión del usuario con el activo
Pausar es la herramienta para una situación ambigua y Desconectar es la herramienta para una situación ya decidida. Pausar preserva la sesión y todo lo que hay en ella mientras usted decide; desconectar la termina, y el usuario tiene que empezar de nuevo.
Mientras observa, el contenido de la sesión sigue fluyendo hacia los registros de auditoría: los comandos según se escriben, las subidas y descargas según se producen, y los eventos de inicio, pausa, reanudación y fin con la identidad de quien provocó cada uno. Consulte Registro de auditoría.
Compartir una sesión en vivo con un compañero
Compartir es colaboración iniciada por el usuario, no supervisión: el dueño de una sesión invita a alguien a entrar, para pedir ayuda o para ser observado.
El uso compartido funciona solo para sesiones SSH y Telnet abiertas en el terminal web. Las sesiones RDP, VNC y de base de datos no se pueden compartir. Un auditor sí puede observarlas en vivo desde Auditoría › Sesiones › En línea.
Desde una sesión activa en el terminal web:
Haga clic en el icono de compartir, a la derecha de la ventana de la sesión.
Fije cuánto tiempo sigue siendo válido el enlace.
Elija el tipo de acceso: Read and write, marcado con un lápiz, permite al invitado escribir; Solo lectura, marcado con un ojo, le permite solo observar.
Opcionalmente, fije un código de verificación que el invitado debe introducir además de tener el enlace.
Cree el enlace y envíeselo al compañero.
El icono de compartir pasa entonces a mostrar cuántas personas hay en la sesión. El dueño puede desconectar a cualquier invitado en cualquier momento, y cerrar el enlace impide nuevas entradas. Los comandos se atribuyen individualmente a cada participante en los registros de auditoría, de modo que un uso compartido con escritura no difumina quién hizo qué.
Desconectar un inicio de sesión de la consola
Auditoría › Consola › Usuarios en línea trata de la interfaz web de la propia solución, no de las sesiones en activos. Lista quién ha iniciado sesión, cómo se autenticó y cuándo, con un botón Desconectar por usuario y opciones masivas en el menú de más acciones.
Conviene conocer dos límites antes de ponerse a buscar a un usuario que no aparece:
Aquí solo aparecen los usuarios conectados por la web.
No puede desconectar su propia sesión actual desde esta pantalla.
Terminación automática
Algunas terminaciones no necesitan operador. En Configuración del sistema › Seguridad › Sesiones:
Tiempo máximo de inactividad (minutos)
30
Desconecta una sesión inactiva durante más tiempo que este
Tiempo máximo en línea (horas)
No documentado
Desconecta una sesión abierta durante más tiempo que este, activa o no
Expirar la sesión al cerrar el navegador
No documentado
Termina la sesión de consola del usuario cuando cierra el navegador, con independencia del tiempo de inactividad
Cómo verificar que funcionó
Verifique con una sesión real, no leyendo la lista de permisos. Use un segundo perfil de navegador, o un usuario de prueba, para poder ver ambos lados:
Como usuario de prueba, abra una sesión hacia un activo. Debe aparecer en Auditoría › Sesiones › En línea en segundos. Si no aparece, o bien el RBAC no le está concediendo las sesiones de otros usuarios, o bien la sesión no se está intermediando.
Obsérvela y escriba desde el lado del usuario de prueba. La salida debe aparecer en su vista de sombra, y nada de lo que usted escriba debe llegar al activo.
Pausela. En el lado del usuario de prueba, la pantalla debe congelarse y la entrada debe rechazarse. Esta es la comprobación que la gente se salta, y es la que más importa en un incidente.
Reanúdela y confirme que el control vuelve en el punto de la interrupción, y no en un prompt nuevo.
Desconéctela y confirme que la conexión del usuario de prueba cae y que la sesión sale de En línea hacia Sesiones históricas, donde su grabación queda disponible.
Abra el registro de auditoría y confirme que sus cuatro acciones quedan registradas contra su propia cuenta, con la sesión identificada.
Errores frecuentes
Solo ve sus propias sesiones en En línea
Su rol no concede visibilidad de las sesiones de otros usuarios
Ajuste el rol; consulte Roles
Observar se abre pero no ocurre nada
El usuario original tiene que aprobar la entrada de quien monitoriza, y todavía no lo ha hecho
Espere la aprobación, o desactive el requisito si su política es de observación silenciosa
Una sesión sigue en En línea después de que el usuario se desconectara
La sesión no se cerró limpiamente
Tiene que cerrarse antes de que se ofrezca su grabación; revise la entrada y termínela desde esta pantalla
El usuario informa de "La sesión ha terminado porque entra en conflicto con otra sesión"
Otra persona con permiso sobre el mismo activo se hizo con el acceso
Identifique a quién en Auditoría › Sesiones; no hay nada roto, el acceso fue sustituido
El icono de compartir no está en la ventana de la sesión
El Uso compartido de sesión está deshabilitado globalmente, el usuario carece de la acción Compartir, o el protocolo es RDP, VNC o base de datos
Habilite el uso compartido y conceda la acción; para las sesiones gráficas, use Observar como auditor
Un usuario al que quiere desconectar no está en Usuarios en línea
No está conectado por la web, o es usted mismo
Solo se listan los usuarios conectados por la web, y no puede desconectar su propia sesión actual
Referencia de campos
Columnas de Auditoría › Sesiones › En línea:
Usuario
Quién abrió la sesión
Activo de destino
El activo al que se accede
Cuenta
La credencial en uso
Protocolo
SSH, RDP, VNC, base de datos y otros
Método de autenticación
Cómo se autenticó el usuario
Hora de inicio
Cuándo empezó la sesión
Operación
Observar, Pausar, Reanudar, Desconectar
Columnas de Auditoría › Consola › Usuarios en línea:
Usuario
Quién tiene sesión iniciada en la consola
Método de autenticación
Cómo inició sesión, por ejemplo por contraseña
Fecha de inicio de sesión
Cuándo inició sesión
Activo
Si el inicio de sesión sigue activo
Operación
Desconectar
Páginas relacionadas
Grabaciones de sesión: las mismas sesiones una vez terminadas
Grabación de sesión: qué se captura, y la marca de agua
Registro de auditoría: dónde se registran las acciones de monitorización y los eventos de sesión
Autorizaciones: dónde se concede la acción Compartir
Roles: los permisos de RBAC que controlan la monitorización
Atualizado
Isto foi útil?