Ajan Mimarisi

Her Moftgate ajanı, heartbeat adı verilen düzenli bir zamanlamayla sunucuya bağlanır. Her heartbeat’te sunucu ajanın ne yapacağına karar verir: hangi ayarları uygulayacağını, hangi DLP politikalarını zorunlu kılacağını, hangi modülleri çalıştıracağını ve hangi özel alanları veya güncelleme dışlamalarını dikkate alacağını. Bu kılavuz bu kararları yönetici perspektifiyle anlatır; böylece ajanları güvenle yapılandırabilirsiniz.

Yapılandırma her heartbeat’te sırayla çalışan üç katmanla iletilir: önce sunucu o endpoint için aktif profili seçer, ardından DLP politikalarını hedef kapsama göre filtreler ve son olarak seçilen profili tenant varsayılanlarıyla birleştirir. Lisans kontrolleri bu akışın yanında çalışır; böylece lisanssız özellikler ajana asla gönderilmez.

Ajan profili, yeniden kullanılabilir bir ayar paketidir - DLP anahtarları, USB kuralları, Web Content Gateway seçenekleri, dosya bütünlüğü izleme yolları ve daha fazlası. Her endpoint’i tek tek yapılandırmak yerine, cihaz rollerinize uyan birkaç profil oluşturursunuz (örneğin "Finans laptopları", "Kiosk terminalleri", "Geliştirici iş istasyonları") ve her endpoint’e bir profil atarsınız.

Bir ajan ilk kez kayıt olduğunda otomatik olarak varsayılan profile atanır. Bir profili varsayılan olarak işaretlediyseniz onu kullanır; aksi halde en eski profil yedek olarak kullanılır. Profili istediğiniz zaman endpoint detay sayfasından yeniden atayabilirsiniz.

1. 1
   Endpoint detay sayfasını açın

   Fleet Intelligence’e gidin, yapılandırmak istediğiniz endpoint’i açın ve Agent Profile seçicisini bulun.

2. 2
   Bir profile seçin

   Cihaz rolüne uygun ajan profilini seçin (örn. "Finans laptopları", "Kiosk terminalleri"). Değişiklik bir sonraki heartbeat’te etkili olur.

3. 3
   Ajan önbelleğinde doğrulayın

   Endpoint üzerinde "agent --profile" çalıştırarak önbelleğe alınan ayarların, DLP politikalarının ve aktif modüllerin yapılandırmanızla eşleştiğini doğrulayın.

Görseli kapat

Hedef kapsam, bir profile veya politikanın hangi endpoint’lere uygulanacağına karar verir. Sunucu bir endpoint için aktif profili seçerken en spesifikten en az spesifiğe doğru bir öncelik merdiveninde ilerler. İlk eşleşen kapsam kazanır ve o karar için düşük öncelikli kapsamlar yok sayılır.

Öncelik sırası en yüksekten en düşüğe: endpoints, ardından users, ardından groups, ardından profiles, ardından all. Basitçe: tek bir cihaza yönelik bir kural, bir kişiye yönelik olandan önceliklidir; kişi gruptan, grup profilden, profil ise herkese yönelik bir kuraldan önceliklidir.

Gruplar, politika ve profilleri cihaz veya kişi koleksiyonlarına hedeflemenizi sağlar. Moftgate iki bağımsız grup üyeliği türü tutar: endpoint grupları (hangi cihazlar bir araya gelir, örn. "IT sunucuları", "Muhasebe iş istasyonları") ve kullanıcı grupları (hangi kişiler bir araya gelir, örn. "Taşeronlar", "Yöneticiler").

Bir politika "groups" kapsamını kullandığında sunucu her iki üyelik türünü de kontrol eder: endpoint veya o an oturum açmış kullanıcı seçili gruplardan en az birine aitse politika uygulanır. Bu VEYA mantığı, tek bir kuralla "Finans grubundaki herkes veya Finans grubundaki her cihaz" şeklinde hedefleme yapmanızı sağlar.

• Endpoint grupları cihaz rolü politikaları için idealdir (örn. kiosk terminallerinde katı USB engelleme).
• Kullanıcı grupları kişi bazlı politikalar için idealdir (örn. yöneticilerin hangi laptopu kullandığından bağımsız olarak pano aktarımına izin verme).
• Tek bir endpoint birden çok gruba, tek bir kullanıcı da birden çok gruba ait olabilir.

DLP politikaları her heartbeat’te hedef kapsama göre filtrelenir; böylece her ajan yalnızca kendisiyle ilgili politikaları alır. Aynı beş kapsam kullanılır; "groups" kapsamı için önemli bir ayrıntı: endpoint seçili bir gruba VEYA oturum açmış kullanıcı seçili bir gruba aitse eşleşir.

Bir ajanın gerçekte ne yapacağı iki şeyle belirlenir: lisansınızın modülü içermesi ve modülün endpoint’in aktif profilinde etkin olması. Özelliğin çalışması için her ikisinin de doğru olması gerekir. Bu iki katmanlı kontrol, lisanssız özelliklerin ajana gönderilmesini engeller ve bir modülü lisanslı olsa bile profil bazında kapatmanıza olanak tanır.

Her heartbeat’te sunucu ajana kısa bir aktif modül listesi gönderir. Ajan yalnızca listedeki modüller için arka plan görevlerini başlatır - DLP pasifse pano veya USB izlemez, visibility pasifse dosya bütünlüğü izlemez, vb. Bu, boştaki ajanları hafif tutar.

• Heartbeat her zaman çalışır; lisans olmasa bile ajan panelde görünür kalır.
• Lisans dosyası yoksa tüm modüller kapanır ve ajan heartbeat dışında hiçbir şey yapmaz.
• Profilde kapatılan modül ajana gönderilmez; CPU, bellek ve ağ tasarrufu sağlar.
• Lisans değiştiğinde aktif modül listesi bir sonraki heartbeat’te güncellenir.

Özel alanlar ve KB (knowledge base) dışlamaları, politikalarla aynı hedef eşleştirme mantığıyla ajanlara iletilir. Her özel alan veya dışlama tüm endpoint’lere, bir gruba, bir profile, bir etikete veya tek bir endpoint’e kapsamlanabilir; böylece ajanlar yalnızca kendilerine uyanı alır.

Özel alanlar her endpoint’ten ek meta veri toplamanızı sağlar (örneğin "Maliyet Merkezi", "Departman", "Demet Etiketi"). Ajan hostname, işletim sistemi ve kullanıcı adı gibi bilinen değerleri otomatik toplar, geri kalan için varsayılan değeri kullanır ve değerleri her heartbeat’te sunucuya raporlar.

KB dışlamaları ajana hangi OS güncellemelerini atlaması gerektiğini söyler. Ajan bir güncelleme yüklemek üzereyken önce dışlama listesini kontrol eder; dışlanan güncellemeler atlanır ve loglanır. Dışlamalar işletim sistemi türüne göre de filtrelenebilir; böylece yalnızca Windows’a özel bir dışlama macOS ajanını asla etkilemez.

İleri düzey kullanıcılar ve destek mühendisleri için ajan küçük bir komut satırı bayrağı setiyle gelir. Bunlar bir endpoint’in gerçekte ne yaptığını tanımlamak ve bir politika dağıtmadan önce bir dosyayı DLP kurallarına karşı test etmek için yararlıdır.