431 lines
17 KiB
Markdown
431 lines
17 KiB
Markdown
# AWatch-rus: обзор решения для продажи и коммерческого представления
|
||
|
||
## Executive Summary
|
||
|
||
`AWatch-rus` — это корпоративная система мониторинга активности сотрудников с DLP-функциями, управленческим слоем и интеграцией в существующий ИТ/ИБ-контур компании.
|
||
|
||
По сути это практичный средний слой между простыми time-tracker решениями и тяжелыми enterprise DLP-платформами:
|
||
|
||
- есть контроль действий пользователей и DLP-сигналы;
|
||
- есть реальный management layer, а не только сырые события;
|
||
- есть интеграции с `1С`, Grafana, Linux-инфраструктурой и forensic follow-up;
|
||
- при этом стоимость входа и сопровождения обычно ниже, чем у классических enterprise-комплексов.
|
||
|
||
Решение особенно уместно там, где:
|
||
|
||
- есть `Windows` и `RDP`-сценарии;
|
||
- важен контроль активности и дисциплины данных;
|
||
- уже используется `1С`;
|
||
- нужен open-source контур без жесткой привязки к одному вендору.
|
||
|
||
## Основные возможности
|
||
|
||
### DLP мониторинг
|
||
|
||
Система уже собирает и обрабатывает:
|
||
|
||
- события `clipboard`;
|
||
- печать;
|
||
- `USB`;
|
||
- браузерные домены и web-категории;
|
||
- исходящую почту;
|
||
- файловые операции;
|
||
- DLP-инциденты и review workflow.
|
||
|
||
### Enforcement
|
||
|
||
`AWatch-rus` умеет не только наблюдать, но и ограничивать:
|
||
|
||
- `clipboard block`;
|
||
- `USB write-block`;
|
||
- отмену печати;
|
||
- block path для email в поддерживаемом Outlook-сценарии.
|
||
|
||
Это дает возможность внедрять контур поэтапно: сначала `monitor`, затем `enforce`.
|
||
|
||
### Браузеры
|
||
|
||
Поддерживается:
|
||
|
||
- сбор доменов и web-контекста;
|
||
- категоризация активности;
|
||
- связка браузерной телеметрии с DLP и worktime;
|
||
- использование данных в dashboard и incident path.
|
||
|
||
### Email
|
||
|
||
Поддерживается:
|
||
|
||
- мониторинг исходящей почты;
|
||
- правила `endpoint.email[]`;
|
||
- сигналы по теме, адресатам и вложениям;
|
||
- блокирующий сценарий в Outlook mode.
|
||
|
||
### Worktime
|
||
|
||
Система дает:
|
||
|
||
- фактический worktime по RDP-сессиям;
|
||
- ежедневные отчеты;
|
||
- `HTML/CSV/JSON` выдачу;
|
||
- server-side management reporting на `:5610`.
|
||
|
||
### Management Report Layer
|
||
|
||
Это одна из самых сильных частей решения. Поверх телеметрии строится:
|
||
|
||
- управленческий отчет;
|
||
- очередь действий по сотрудникам и подразделениям;
|
||
- source freshness;
|
||
- executive summary;
|
||
- trend-анализ.
|
||
|
||
### Интеграция с 1С
|
||
|
||
Есть отдельный file-based `1С` analytics contour:
|
||
|
||
- telemetry по файловым базам;
|
||
- `ClickHouse`-модели;
|
||
- company intelligence;
|
||
- manager brief и management actions;
|
||
- Grafana boards для руководителя и операционного контура.
|
||
|
||
### Linux поддержка
|
||
|
||
Решение не замкнуто только на Windows:
|
||
|
||
- Linux server-side runtime;
|
||
- Linux operational integrations;
|
||
- SSH/console logging;
|
||
- смешанный Windows/Linux operational model.
|
||
|
||
### pfSense
|
||
|
||
Система может быть включена в perimeter/security contour компании через:
|
||
|
||
- внешний `pfSense` poller;
|
||
- передачу network telemetry в общий контур;
|
||
- единый operator visibility path.
|
||
|
||
### Forensic анализ
|
||
|
||
`Hayabusa` интегрирован как bounded DFIR layer:
|
||
|
||
- EVTX export с Windows;
|
||
- server-side processing;
|
||
- case linkage;
|
||
- Telegram alert path для follow-up.
|
||
|
||
Это усиливает ценность решения для ИБ без превращения продукта в отдельную SIEM/DFIR-платформу.
|
||
|
||
## Управленческие функции
|
||
|
||
### Management Report Layer
|
||
|
||
Руководитель получает не просто технические bucket-данные, а:
|
||
|
||
- картину по активности сотрудников;
|
||
- сводку по owner/department;
|
||
- проблемные зоны и приоритеты;
|
||
- понятную очередь действий.
|
||
|
||
### Actions с приоритетами
|
||
|
||
Система умеет формировать:
|
||
|
||
- `critical/high` actions;
|
||
- рекомендации, кого проверять первым;
|
||
- причины для escalation;
|
||
- управленческий список действий без ручного разбора сырых событий.
|
||
|
||
### Executive summary
|
||
|
||
Management API и `1С` management brief формируют human-readable summary уровня:
|
||
|
||
- что сломалось;
|
||
- где данные stale;
|
||
- кто не показывает активность;
|
||
- какие пользователи и предприятия требуют внимания в первую очередь.
|
||
|
||
### Trend-анализ
|
||
|
||
В продукт уже встроены:
|
||
|
||
- несколько дней тренда по worktime;
|
||
- trend и weekly views в `1С` intelligence contour;
|
||
- сравнительный анализ текущего и исторического состояния.
|
||
|
||
### Source freshness
|
||
|
||
Это критически важная функция для менеджмента и ИБ:
|
||
|
||
- система показывает, где проблема в поведении пользователя, а где в деградации источника;
|
||
- решения не принимаются вслепую по сломанной телеметрии.
|
||
|
||
### Алиасы пользователей
|
||
|
||
Поддерживаются:
|
||
|
||
- normalized user aliases;
|
||
- owner/department mapping;
|
||
- manager-facing каталоги ответственных.
|
||
|
||
За счет этого отчеты пригодны для бизнеса, а не только для инженеров.
|
||
|
||
## Архитектура и компоненты
|
||
|
||
Архитектура строится как цепочка:
|
||
|
||
- `Windows Clients / RDP host`;
|
||
- `Linux Server`;
|
||
- `Integration Layer`;
|
||
- `Monitoring Stack`;
|
||
- выделенный `Forensic Layer`.
|
||
|
||
Практически это означает:
|
||
|
||
- Windows PowerShell collectors;
|
||
- Linux `AW-rus` server;
|
||
- DLP Policy API и Case API;
|
||
- Grafana/Prometheus/ClickHouse analytics;
|
||
- Proxmox/operator gateway;
|
||
- `Hayabusa` follow-up path.
|
||
|
||
### Windows коллекторы
|
||
|
||
В состав входят:
|
||
|
||
- endpoint DLP collector;
|
||
- browser domains collector;
|
||
- file operations collector;
|
||
- email outbound collector;
|
||
- worktime session collector;
|
||
- deploy/hardening/validation toolkit.
|
||
|
||
### Linux сервер
|
||
|
||
Серверный слой включает:
|
||
|
||
- `ActivityWatch` API и WebUI;
|
||
- RU patch и DLP overlay;
|
||
- `aw-worktime-api` на `:5610`;
|
||
- policy engine;
|
||
- case management;
|
||
- health/autoheal path.
|
||
|
||
### Monitoring стек
|
||
|
||
Визуализация и наблюдаемость строятся через:
|
||
|
||
- Grafana;
|
||
- Prometheus-compatible monitoring path;
|
||
- `1С` analytics dashboards;
|
||
- Proxmox Web Gateway как operator entrypoint.
|
||
|
||
### Proxmox Web Gateway
|
||
|
||
Gateway дает:
|
||
|
||
- одну точку входа для операторов и руководства;
|
||
- маршруты на Proxmox GUI, AW-rus UI, management pages, Grafana;
|
||
- HTTPS access path для внутреннего management contour.
|
||
|
||
## Преимущества перед конкурентами
|
||
|
||
### Open-source
|
||
|
||
- нет vendor lock-in;
|
||
- прозрачный код и архитектура;
|
||
- можно дорабатывать под процессы заказчика;
|
||
- проще аудитировать и сопровождать.
|
||
|
||
### Легкий агент
|
||
|
||
- PowerShell collector model;
|
||
- нет обязательного тяжелого kernel-level агента;
|
||
- легче пилот и проще сопровождение.
|
||
|
||
### Гибкая DLP политика
|
||
|
||
- JSON-based policy;
|
||
- server-side policy API;
|
||
- monitor/enforce режимы;
|
||
- адаптация под реальные каналы утечки и корпоративные правила.
|
||
|
||
### Русификация
|
||
|
||
- русифицированный WebUI;
|
||
- русские Grafana dashboards;
|
||
- русская эксплуатационная документация;
|
||
- нормальная operator terminology без англоязычного vendor-noise.
|
||
|
||
### Linux поддержка
|
||
|
||
- Linux server-side runtime;
|
||
- Linux operational integrations;
|
||
- гибридный Windows/Linux контур.
|
||
|
||
### Management Layer
|
||
|
||
Это сильная дифференциация относительно простых time-tracker решений:
|
||
|
||
- actions;
|
||
- executive summary;
|
||
- source freshness;
|
||
- owner/department rollups;
|
||
- trend и management pages.
|
||
|
||
### Низкая стоимость владения
|
||
|
||
По сравнению с классическими enterprise DLP-платформами заказчик получает шанс:
|
||
|
||
- снизить лицензионную нагрузку;
|
||
- не переплачивать за лишний функционал;
|
||
- дешевле входить в пилот;
|
||
- лучше контролировать стоимость масштабирования.
|
||
|
||
Корректная подача здесь простая: это не “бесплатная замена любому enterprise DLP”, а прагматичный контур с сильным TCO-профилем.
|
||
|
||
## Сценарии использования
|
||
|
||
### Защита от утечек
|
||
|
||
Подходит, если нужно:
|
||
|
||
- видеть рискованные действия по `clipboard`, `USB`, печати, email, browser и files;
|
||
- фиксировать инциденты;
|
||
- в нужных каналах включать block/restrict path.
|
||
|
||
### Мониторинг продуктивности
|
||
|
||
Подходит, если компании нужно:
|
||
|
||
- учитывать активность в RDP;
|
||
- получать реальные worktime-данные;
|
||
- понимать, кто неактивен по факту, а не по формальному входу в систему.
|
||
|
||
### Комплаенс 152-ФЗ
|
||
|
||
Система полезна как practical control/evidence layer:
|
||
|
||
- DLP incidents;
|
||
- compliance reports;
|
||
- operator review;
|
||
- контроль работы с чувствительными данными.
|
||
|
||
Это не “автоматическая сертификация”, а инструмент реального operational compliance support.
|
||
|
||
### Интеграция с 1С
|
||
|
||
Подходит для компаний, где важно:
|
||
|
||
- видеть состояние файловых баз;
|
||
- понимать активность и риски по предприятиям;
|
||
- связывать ИТ, ИБ и управленческий слой.
|
||
|
||
### Управленческий контроль
|
||
|
||
Подходит для:
|
||
|
||
- руководителей подразделений;
|
||
- операционных менеджеров;
|
||
- ИБ и ИТ, которым нужны единые summary и actions;
|
||
- сменных и распределенных управленческих контуров.
|
||
|
||
### Forensic анализ
|
||
|
||
Полезен для заказчиков, которым нужен:
|
||
|
||
- bounded forensic follow-up;
|
||
- EVTX-based post-incident path;
|
||
- связка инцидента, кейса и расследования в одном operational контуре.
|
||
|
||
## Технические требования
|
||
|
||
Базовый practical profile:
|
||
|
||
- `Windows 10/11` для рабочих станций;
|
||
- `Windows Server` / RDP-host сценарии, включая текущий production-target `Windows Server 2025`;
|
||
- `Linux` серверный контур на `Debian/Ubuntu`;
|
||
- `Docker` для части monitoring/analytics stack;
|
||
- `PostgreSQL` и/или другие аналитические БД в интеграционных сценариях;
|
||
- `ClickHouse` для file-based `1С` analytics;
|
||
- Grafana для визуализации.
|
||
|
||
Иными словами, продукт не требует exotic stack и нормально ложится в типовую инфраструктуру компании.
|
||
|
||
## Уровни зрелости продукта
|
||
|
||
Состояние продукта корректно описывать так:
|
||
|
||
- operational phases `1-3` по production health, operator path и Windows hardening уже закрыты;
|
||
- server-side DLP chain, content-analysis base и docs/release sync уже реализованы;
|
||
- maturity по DLP roadmap сейчас выглядит так:
|
||
- `Phase 1` — сделано;
|
||
- `Phase 2` — внедрено частично;
|
||
- `Phase 2.5` enforcement и email outbound — внедрены;
|
||
- `Phase 3+` — дальнейшее развитие policy/correlation/SIEM/advanced analytics.
|
||
|
||
Roadmap дальше идет в сторону:
|
||
|
||
- deeper DLP runtime;
|
||
- дополнительных regression guards;
|
||
- усиления management и integration layer.
|
||
|
||
То есть продукт уже production-usable, но остается пространством для целевых enterprise-усилений под конкретного заказчика.
|
||
|
||
## Стоимость и ROI
|
||
|
||
### Сравнение с enterprise решениями
|
||
|
||
Типовой enterprise DLP-проект часто означает:
|
||
|
||
- дорогое лицензирование;
|
||
- тяжелый агент;
|
||
- длительный rollout;
|
||
- дорогое сопровождение изменений.
|
||
|
||
`AWatch-rus` выигрывает там, где заказчику важны:
|
||
|
||
- lower entry cost;
|
||
- управляемый пилот;
|
||
- понятная архитектура;
|
||
- возможность адаптации без полной смены платформы.
|
||
|
||
### Экономия на лицензиях
|
||
|
||
Корректная коммерческая формулировка такая:
|
||
|
||
- заказчик потенциально экономит на лицензиях и внедрении по сравнению с тяжелыми enterprise-пакетами;
|
||
- итоговая экономия зависит от числа endpoint'ов, объема enforcement, требований к SIEM/SSO/RBAC и объема кастомизации;
|
||
- сильная сторона решения — контролируемая стоимость владения, а не обещание “заменить все enterprise DLP в один клик”.
|
||
|
||
## Поддержка и обучение
|
||
|
||
Проект уже опирается на:
|
||
|
||
- подробную русскую документацию;
|
||
- runbook и deployment guides;
|
||
- Ansible и PowerShell automation;
|
||
- community-style support model;
|
||
- возможность кастомизации под нужды конкретного заказчика.
|
||
|
||
Для коммерческого внедрения это означает, что можно предложить:
|
||
|
||
- пилот;
|
||
- rollout;
|
||
- обучение операторов и ИБ;
|
||
- кастомизацию dashboard, policy и integration path.
|
||
|
||
## Контакты и следующий шаг
|
||
|
||
Практический следующий шаг для потенциального заказчика:
|
||
|
||
1. Провести короткий discovery по инфраструктуре, числу Windows/RDP-host'ов и наличию `1С`.
|
||
2. Определить, нужен ли только monitor-mode или сразу важен enforcement path.
|
||
3. Выделить пилотный сегмент.
|
||
4. Поднять pilot deployment с management report layer и базовым DLP/monitoring контуром.
|
||
5. После пилота решить, какие enterprise-усиления действительно нужны, а какие не дадут окупаемого эффекта.
|
||
|
||
Самая сильная подача продукта простая: не обещать “всё для всех”, а показывать, что `AWatch-rus` уже дает работающий operational control contour с DLP, management и forensic follow-up там, где многие компании либо переплачивают за тяжелые платформы, либо вообще живут без управляемого контроля.
|