Lira RDP Security

ДОКУМЕНТАЦИЯ ПРОДУКТА · ПЛАТФОРМА

Обновления платформы Lira RDP

Хронология улучшений безопасности, надежности и эксплуатации портала и сервисной платформы Lira. Выпуски Windows-агента документируются отдельно.

Последнее обновление платформыЗакрытый технический preview Lira Agent 3 и Lira Access

История обновлений платформы

Безопасность и надежностьПоследнее обновление платформы

Закрытый технический preview Lira Agent 3 и Lira Access

  • Новая архитектура Agent 3 разделяет надзор, сбор событий, транспорт, локальную защиту, обновления и MFA. Текущая сборка разработки проходит 660 управляемых контрактных проверок и проверок безопасности; это инженерное подтверждение, а не заявление об общей доступности.
  • Идентичность устройства Lira Access прошла реальную проверку под обычным пользователем в Windows 10 и Windows 11. Закрытый ключ ECDSA P-256 создаётся локально в Windows CNG, не экспортируется и доступен только SYSTEM и владельцу Windows.
  • Приглашения устройств в рамках организации, одобрение администратором, отзыв и ротация идентичности с двумя ключами реализованы за выключенным feature flag. Портал не может использовать этот канал для выполнения произвольных shell- или PowerShell-команд на устройстве.
  • Lira Access остаётся закрытым техническим preview без публичного установщика. Сквозная проверка клиента и туннеля, публичная цифровая подпись, стабилизационный прогон точного бинарного пакета и независимый аудит безопасности остаются условиями релиза. Заявки на пилот принимаются по адресу [email protected].
Безопасность и надежность

Инженерный анонс Lira Agent v3

  • Начата разработка новой архитектуры Windows-агента для Windows Server и Windows 10/11. Надзор, сбор событий, транспорт, локальная защита, обновления и MFA разделяются, чтобы сбой одной интеграции не мог незаметно остановить весь агент.
  • Канал управления v3 использует привязанную к регистрации идентичность устройства, строгие контракты сообщений и защиту от повторного воспроизведения. Локальная защита должна продолжать работу при недоступности control plane; портал не может выполнять произвольные shell-команды на endpoints.
  • Портал уже распознаёт протокол v3 и блокирует активацию MFA до завершения подписанного provisioning и матрицы проверок входа Windows. Agent v3 является инженерной предварительной версией, пока недоступен для общего использования и пройдёт лабораторный, пилотный и ограниченный production-этапы.
Безопасность и надежность

Более безопасная установка Server и Endpoint

  • Раздел «Устройства» теперь разделяет серверы, конечные устройства и общий список. В диалоге установки предусмотрены отдельные пути Server и Endpoint с соответствующим MSI и командой PowerShell.
  • Новые установки используют краткосрочный Install ID и не помещают секреты регистрации в командную строку службы Windows. Состояние агента и каталоги обновлений доступны только SYSTEM и администраторам, а широкие исключения Defender больше не создаются.
  • Пакеты Server и Endpoint имеют отдельные идентификаторы продукта и отклоняют неправильный класс устройства Windows. Lira Endpoint работает с ограниченным профилем наблюдения, а использование его лицензий показывается отдельно.
  • Графический MSI поддерживает английский, украинский, русский, немецкий, испанский и французский языки. Переход к выбору каталога исправлен, чтобы исключить ошибку Windows Installer 2819.
  • Подписанные метаданные начальной установки связывают канал, версию, размер пакета и SHA-256. Операционные уведомления стали понятными, сбои центрального межсетевого экрана восстанавливаются автоматически, а локальные блокировки агента получают определённый срок. Публичная версия агента остаётся 2.7.39.
Безопасность и надежность

Деинсталляция Windows и надёжность подписанных обновлений

  • Агенты, установленные скриптом портала, теперь регистрируют штатные команды удаления Windows, удаляющие службу, watchdog, Credential Provider/Filter и локальное состояние регистрации.
  • Профиль манифеста RSA-PSS исправлен для совместимости с .NET, доверенные origin остались узко ограниченными, а конкурирующие пути обновления сериализованы.
  • Глобальная цель — 2.7.39. 22 из 25 активных агентов обновились автоматически; три остались онлайн на 2.7.34 без корня доверия. Все шесть артефактов прошли Authenticode; backend: 552 passed, 1 skipped.
Безопасность и надежность

Исправление совместимости сбора событий агента

  • При поэтапном развёртывании heartbeat продолжал поступать, хотя ошибка контракта ответа прерывала сбор событий Security.
  • Серверное исправление восстановило все проверенные сборщики 2.7.33 из сохранённых checkpoint без очистки журналов Windows.
  • Агент 2.7.34 изолирует ошибки проверки обновлений от сбора. 22 из 25 активных агентов уже работают на 2.7.34 и прошли подписанные read-only проверки. Глобальная цель — 2.7.34; три безопасно остаются на 2.7.31 до независимой установки корня подписи. Полный backend regression: 549 passed, 1 skipped.
Безопасность и надежность

Усиление безопасности и поэтапное развёртывание агента

  • Команды агента теперь используют индивидуальные подписанные конверты со сроком действия, локальным списком разрешённых действий и устойчивой защитой от повторного выполнения; устаревшая общая токен-аутентификация удалена.
  • Для MFA теперь явно документируется и применяется поведение fail-open или fail-closed через Windows Credential Provider Filter, при этом проверку учётных данных по-прежнему выполняет Windows LSA.
  • Цепочка доверия подписанных обновлений, разделённое по организациям хранение TOTP, ограничения защиты от фишинга, результаты тестов и оставшиеся границы доверия описаны в публичном инженерном отчёте.
  • Агент 2.7.33 прошёл контролируемые canary-обновления на Windows Server 2016 и 2022. Глобальной целевой версией остаётся 2.7.31 до независимого распространения корня доверия и завершения оставшихся live-тестов.
Безопасность и надежность

Надёжность подключения агентов

  • Исправлена серверная маршрутизация основного канала агентов в реальном времени для установок, которые перешли на резервный опрос.
  • Установленные агенты возвращаются на основной канал в рамках обычного цикла автоматических повторных попыток; переустановка или новая версия Windows-агента не требуются.
  • Резервный опрос остаётся доступным при прерывании канала реального времени, поэтому состояние агентов и доставка команд могут восстановиться без повторной ручной регистрации.
Безопасность и надежность

Исправления французской локализации портала и документации

  • Французские показатели пилота теперь показывают либо опубликованные строки стран и уведомление о пороге конфиденциальности, либо сообщение о недостаточности данных, но никогда оба состояния одновременно. Общее число по-прежнему отделено от опубликованного списка.
  • Французская Политика конфиденциальности теперь содержит раздел об обработке данных ИИ, который разграничивает детерминированного инженерного ассистента и необязательного ассистента поддержки и уточняет, какие операционные или секретные данные не прикладываются автоматически.
  • На французской странице Инженерной безопасности бренд, результат, область проверки и дата теперь представлены отдельными семантическими элементами. Также исправлена формулировка об учётных данных портала в руководстве по безопасному началу работы.
  • Завершена профессиональная редакционная вычитка на французском языке отступов и демонстрационных текстов главной страницы, описаний продуктов и сервисов, а также руководств по RDP MFA и установке агента.
Безопасность и надежность

Немецкая локализация портала и документации

  • Полностью отредактирована немецкая версия портала, включая защищённые экраны, сообщения проверки, уведомления и транзакционные письма, для профессиональной эксплуатации инфраструктуры в регионе DACH.
  • Немецкие страницы входа, регистрации и восстановления пароля теперь локализованы уже в исходном HTML, а выбранный язык сохраняется в ссылках аутентификации и юридических документов.
  • Терминология для парка серверов, регистрации агентов, сигналов состояния, списков разрешений, восстановления, MFA, Windows Update, Microsoft Defender и сертификатов RDP теперь используется единообразно.
  • Публичные показатели пилота теперь чётко разделяют общее число зафиксированных стран-источников и меньший список, опубликованный после применения порога конфиденциальности.
Безопасность и надежность

Непрерывность подписки и доступа

  • Портал теперь предупреждает администраторов за пять дней до окончания подписки и явно показывает последующий период восстановления.
  • Уже установленные агенты могут повторно подключаться в течение десяти дней после окончания подписки, что позволяет восстановить сервис после оплаты без переустановки.
  • При приостановке защиты сохранённая политика MFA не удаляется и автоматически восстанавливается после возобновления подписки.
  • На страницах агентов теперь различаются активный канал управления и резервный опрос, а небезопасное удаление блокируется, пока принудительная MFA ещё действует.
  • Установка обновлений Windows теперь сразу переходит в состояние выполнения без краткого показа ошибки от предыдущей попытки.
Безопасность и надежность

Обновление надежности сессии портала

  • Вкладки портала, оставленные открытыми после истечения сессии, теперь при следующем действии переходят на страницу входа вместо бесконечного ожидания обновления панели. Для продолжения достаточно войти снова.
Безопасность и надежность

Обновление безопасности и надежности

  • Портал теперь предоставляет авторизованным администраторам пошаговую помощь с проверкой готовности сервера и восстановлением доступа.
  • Надёжность регистрации улучшена для периодов с несколькими одновременными новыми посещениями.
  • Защита браузерной части усилена, чтобы снизить риск выполнения неавторизованного содержимого страницы.