Технологии Intel vPro и Intel Centrino Pro для корпоративного сектора

Сергей Пахомов

Постановка задачи

Технология Intel vPro

Как работает технология Intel vPro

Варианты технологии Intel vPro

Технология Intel Centrino Pro

Проводное подключение ноутбуков

Беспроводное подключение ноутбуков

Головная боль любого администратора и сотрудника службы технической поддержки — это поддержание парка компьютеров пользователей в рабочем состоянии. Если речь идет о небольшой компании, насчитывающей всего несколько десятков ПК и расположенной в одном здании, то задача обеспечения стабильной работы сетевой инфраструктуры решается очень просто: достаточно, чтобы в штате компании имелся специалист, обеспечивающий техническую поддержку пользователей. Но в крупных сетях, насчитывающих сотни компьютеров и расположенных в разных зданиях, а нередко даже в разных городах, поддержание стабильной работы парка компьютеров представляет собой куда более сложную задачу. Приходится содержать целый штат технического персонала, на плечи которого ложится эта нелегкая работа.
В настоящей статье мы расскажем о новой технологии Intel VT, которая ориентирована на корпоративный сектор и позволяет эффективно управлять компьютерами пользователей.

Постановка задачи

Причин, по которым компьютеры пользователей могут ломаться или просто не загружаться, предостаточно. Это и выход из строя их отдельных комплектующих, и зловредные вирусы, и просто неправильные настройки BIOS. Кроме того, компьютеры нуждаются в профилактическом уходе (дефрагментация, обновление антивирусной базы данных и т.д.). К тому же время от времени пользователям нужно устанавливать новое программное обеспечение. Понятно, что все эти задачи решает служба технической поддержки, сотрудники которой вынуждены бегать от одного пользователя к другому. Причем чем больше компьютеров им приходится обслуживать, тем ниже эффективность управления ИТ-инфраструктурой.

Сотрудникам службы технической поддержки крайне важно иметь простой способ обеспечения безопасности и управляемости настольных ПК.

Одним из способов повышения эффективности управления ИТ-инфраструктурой является удаленное управление компьютерами. По данным независимой исследовательской компании Coleman Parkes, которая в 2006 году провела по заказу Intel опрос среди ИТ-руководителей девяти европейских стран, включая Россию, 66% российских ИТ-директоров в числе критически важных проблем, стоящих перед отечественными компаниями и решаемых (частично или полностью) с помощью передовых ИТ, назвали управление ИТ-инфраструктурой и повышение информационной безопасности. При этом каждый второй российский ИТ-директор отметил нехватку ИТ-инструментария для целенаправленного и системного подхода к решению возникающих проблем, 43% руководителей ИТ-служб пожаловались на отсутствие возможности дистанционного обновления систем, а 40% — на трудности с управлением корпоративной сетью и обеспечением ее надежной бесперебойной работы в условиях отсутствия дополнительного финансирования. В качестве технологий, которые отечественные ИТ-директора хотели бы видеть в своем арсенале, были указаны VoIP (34%), инструменты для совместной работы (30%), удаленного управления ИТ-инфраструктурой (26%) и виртуализации (10%).

Естественно, на рынке предлагаются разнообразные программные средства, позволяющие реализовать удаленное управление компьютерами, и любой специалист службы технической поддержки имеет их в своем арсенале. Однако все эти программные средства требуют как минимум загруженной операционной системы на компьютере пользователя и не позволяют получить доступ к настройкам BIOS удаленного компьютера. А как быть, если компьютер пользователя не загружается? В этом случае традиционные программы удаленного управления не помогут — получить удаленный доступ к компьютеру пользователя не получится.

Предлагаются и программно-аппаратные решения, которые позволяют не только осуществлять удаленное управление, но и удаленно включать, перезагружать и выключать компьютеры, получать удаленный доступ к настройкам BIOS, однако эти дорогостоящие «фирменные» решения ориентированы на использование в серверах, а не на компьютерах пользователей.

Идеальным средством удаленного управления можно считать такое программно-аппаратное решение, которое обеспечивает полный доступ к удаленному компьютеру, включая доступ к настройкам BIOS и возможность его удаленной перезагрузки. Именно такую задачу и решают технологии Intel vPro и Intel Centrino Pro.

Технология Intel vPro

Intel vPro — это технология удаленного управления и обеспечения безопасности настольными компьютерами, особенность которой заключается в том, что она позволяет управлять компьютерами даже в том случае, если они выключены (но подключены к электросети).

Компьютеры с поддержкой технологии Intel vPro предоставляют простые средства дистанционного управления и защиты от несанкционированного вмешательства, благодаря чему персонал службы технической поддержки может осуществлять контроль наиболее удобным для него способом — с помощью консоли.

Вот некоторые из возможностей, предоставляемых персональными компьютерами с поддержкой технологии Intel vPro:

• инвентаризация оборудования и ПО — персонал службы технической поддержки может отслеживать изменения и проводить инвентаризацию аппаратных и программных активов персонального компьютера, включая сведения о версии, даже если система выключена или ее ОС неработоспособна. Например, данные о программных активах содержат информацию о версиях файлов, а в данные об аппаратных активах входят настройки и имя изготовителя BIOS, наименование модели и информация о гарантии на жесткие диски, модули памяти, карты расширения и другие компоненты;
• дистанционное устранение проблем — персонал службы технической поддержки может диагностировать и решать множество проблем дистанционно, независимо от состояния питания ПК и ОС, вследствие этого затраты, связанные с визитами на рабочее место пользователя, уменьшаются;
• надежные средства обеспечения безопасности, поддерживаемые аппаратно, — персонал службы технической поддержки может защищать системы с помощью двух новых уровней безопасности, используя виртуализацию, благодаря которой программы других поставщиков всегда остаются доступными в случае необходимости, а вирусы, сетевые черви и другие угрозы идентифицируются и ликвидируются более эффективно.

Как работает технология Intel vPro

Компьютеры, поддерживающие технологию Intel vPro, должны отвечать определенным требованиям. В частности, данная технология реализована только на компьютерах, оснащенных процессорами Intel Core 2 Duo серии E6000 с поддержкой технологии виртуализации Intel VT, набором системной логики Intel Q965 Express (южный мост ICH8DO) и адаптером Gigabit Ethernet Intel 82566DM. Впрочем, сочетание этих компонентов еще не означает, что компьютер обязательно поддерживает технологию Intel vPro. Системная плата на компьютерах, поддерживающих технологию Intel vPro, должна иметь специальный контроллер, энергонезависимую память и, конечно же, BIOS, позволяющую производить конфигурирование данной технологии.

Intel vPro, по сути, представляет собой сочетание двух других технологий: технологии удаленного мониторинга (Intel Active Management Technology, Intel AMT) и технологии виртуализации (Intel Virtualization Technology, Intel VT). Отметим, что сама по себе технология Intel AMT не нова, но до этого использовалась исключительно в серверных решениях.

Для удаленного управления компьютерами с помощью технологии Intel vPro необходимы два компонента технологии Intel AMT:

• канал для взаимодействия с удаленной консолью, постоянно доступный для уполномоченного ИT-персонала;
• энергонезависимая память, в которой можно безопасно хранить информацию о приложениях сторонних поставщиков.

Кроме того, для реализации технологии Intel vPro в полном объеме необходимо обеспечить защиту от несанкционированного доступа и канала для взаимодействия с удаленной консолью, и энергонезависимой памяти.

Канал для взаимодействия с удаленной консолью

Обычно в корпоративной сети программные инструменты для управления и обеспечения безопасности могут обмениваться информацией с ПК только в том случае, когда он включен («внутриполосно») и его операционная система функционирует в штатном режиме. Поскольку эти чисто программные решения установлены на том же уровне, что и ОС, возможен несанкционированный доступ к их агентам. Обеспечение секретности передаваемой информации также создаст проблемы, поскольку внутриполосный коммуникационный канал, реализованный программно и используемый этими агентами, не является безопасным.

Отличительная черта технологии Intel vPro — это предоставление двух различных способов обмена информацией с ПК:

• традиционный незащищенный коммуникационный канал, по которому сетевой трафик пересылается через программный стек операционной системы;
• более безопасный коммуникационный канал, организованный на аппаратном уровне, работающий «ниже» операционной системы (см. рисунок) и не зависящий от ее состояния.

Канал дистанционных коммуникаций

Этот «внеполосный» канал пересылает сетевую информацию через стек, встроенный в аппаратный компонент технологии Intel AMT и в ее микрокод. Даже если компьютер выключен или его ОС не работает, этот коммуникационный канал по-прежнему остается доступным. Поскольку коммуникационный канал технологии Intel AMT поддерживается на аппаратном уровне, можно получить доступ к машине в любое время при условии, что ПК подключен к источнику питания и подсоединен к сети. Этот канал обеспечивает продолжение обмена особо важной системной информацией (например, оповещения о событиях) и выполнение некоторых операций (например, удаленной загрузки), даже если в работе ОС возникли проблемы. Таким образом, можно проводить поиск, диагностику и устранение неисправностей ПК независимо от того, включен он или нет, работоспособна его ОС или нет. Можно в любое время прочитать журналы событий, изучить настройки BIOS, получить доступ к информации о жестких дисках и проверить состояние агентов обеспечения безопасности и агентов управления системой. Можно провести опрос устройств пользователей в нерабочее время, компьютеры могут высылать оповещения об особо важных системных событиях, даже если ПК выключен. Можно дистанционно включить систему с ИT-консоли и провести удаленную перезагрузку, дистанционно восстановить данные или устранить неисправности, даже если ОС неработоспособна.

Настройка «внеполосного» канала связи компьютера с консолью управления производится в специальном разделе BIOS. Здесь же можно указать IP-адрес компьютера вручную либо задать получение IP-адреса от DHCP-сервера.

Энергонезависимая память

Одной из главных проблем в управлении ПК является извлечение информации в тех случаях, когда компьютер выключен, изменена его конфигурация, перекомпонована операционная система или он неисправен; обычно в таких ситуациях информация утрачивается или становится недоступной. Для решения этой проблемы технология Intel vPro предоставляет более безопасную, энергонезависимую память, работающую «ниже» операционной системы. Эта энергонезависимая память защищена от несанкционированного доступа хакеров и воздействия вирусов, сетевых червей и других угроз безопасности. Энергонезависимая память делится на три ключевые области:

• хранилище подписанного, зашифрованного программного механизма управления технологии Intel vPro, а также информации, используемой технологией Intel AMT;
• хранилище информации об аппаратных активах, автоматически обновляемой при каждом запуске процедуры POST (самотестирование при включении питания);
• хранилище, которое может конфигурироваться уполномоченным персоналом для использования программным обеспечением других компаний в целях безопасности, при проведении инвентаризации или для хранения другой информации (указателей на эту информацию). Особо важная системная информация теперь доступна в любое время без необходимости «пробуждения» системы. Кроме того, данные сохраняются при новых компоновках ОС, создании новых образов ПО и переконфигурировании системы, поэтому упрощается обслуживание системы и восстановление информации после сбоев.

Защита от несанкционированного доступа

Даже если ПК с поддержкой технологии Intel vPro выключен, механизм управления персональным компьютером не отключается, пока система остается подключенной к источнику питания и подсоединенной к сети. Средства управления и обеспечения безопасности интегрированы в платформу ПК на аппаратном уровне. Этот «микрокод» подписан, зашифрован и хранится в энергонезависимой памяти, а доступ к ней контролируется дескриптором ACL (список контроля доступа), чтобы предотвратить несанкционированный доступ к этой области памяти со стороны хакеров, вирусов и других угроз безопасности. Данные других программ не шифруются в энергонезависимой памяти, однако доступ к ним контролируется с помощью дескриптора ACL. В то же время безопасность обмена информацией по сети, необходимого для функционирования механизма управления, предоставляется через TLS и аутентификацию по протоколу HTTP для предотвращения доступа к интернет-протоколу (IP) путем подмены IP-адреса. Благодаря этим мерам, реализованным аппаратно, даже при выключении ПК или неработоспособности его операционной системы конфиденциальность, средства аутентификации коммуникационного канала и безопасность записанной информации сохраняются.

Варианты технологии Intel vPro

Технология Intel vPro предполагает два режима использования, ориентированных на различные сегменты корпоративного рынка: SMB и Enterprise.

Режим SMB

Режим SMB (Small Medium Business) является базовым и ориентирован на небольшие корпоративные сети. В данном режиме применения обеспечиваются следующие возможности:

• удаленное управление питанием компьютеров;
• просмотр данных об основном оборудовании (инвентаризация);
• просмотр журнала событий.
• удаленное обновление AMT Firmware.

Для реализации этих базовых функциональных возможностей технологии Intel vPro предусмотрен web-интерфейс, и для того, чтобы получить доступ к соответствующим настройкам, достаточно обратиться с консоли по необходимому IP-адресу удаленного ПК через порт 16992.

Возможности базового SMB-режима могут быть существенно расширены при использовании дополнительного стороннего ПО, такого как SyAM Software (System Area Manager и System Client) или LANDesk Management Suite.

При использовании стороннего ПО, совместимого с технологией Intel vPro, к базовым функциям добавляются такие возможности, как:

• удаленная загрузка компьютеров;
• переадресация консоли через протокол Serial over LAN (SOL);
• настраиваемая система оповещений на основе аппаратных датчиков платформы;
• фильтрация входящего и исходящего трафика ОС (встроенные аппаратные фильтры для проверки внутриполосного и внеполосного сетевого трафика);
• изоляция зараженных ПК (аппаратное блокирование сетевого трафика);
• проверка наличия агентов обеспечения безопасности;
• установка обновлений и патчей в удаленном режиме.

Удаленная загрузка компьютеров

Удаленная загрузка компьютеров средствами интерфейса IDE-Redirect подразумевает возможность загрузки компьютера с агентом Intel vPro (vPro-клиента) c сервера. Эта функция может быть использована, например, в случае невозможности загрузить ОС на клиентском компьютере, тогда можно воспользоваться образом ОС, расположенным на сервере.

Функция переадресации консоли по протоколу SOL предназначена для перенаправления консоли удаленного ПК на центральную консоль управления. В рамках SOL-сессии можно управлять всеми этапами восстановления поврежденной системы, включая удаленный доступ в BIOS.

Настраиваемая система оповещений

Настраиваемая система оповещений на основе аппаратных датчиков платформы подразумевает, что все системные оповещения, генерируемые ПК с поддержкой технологии Intel vPro, записываются в журнал событий, хранящийся в энергонезависимой памяти, и доступны для просмотра авторизованному персоналу. Используя соответствующие настройки, можно указать, какие из уведомлений также должны пересылаться на ИT-консоль и/или какие из них должны инициировать определенные действия (например, немедленный опрос активов).

Фильтрация входящего и исходящего трафика, изоляция зараженных ПК, проверка наличия агента управления и обновления антивирусного ПО в удаленном режиме — это новые функциональные уровни защиты ПК, предоставляемые технологией Intel vPro.

Фильтрация сетевого трафика и изоляция ПК

Функции фильтрации сетевого трафика и изоляции ПК — это своего рода первый уровень защиты ПК. Как правило, программные приложения, обеспечивающие безопасность, опираются на агенты, устанавливаемые в качестве надстройки над ОС для защиты ПК. Главная проблема такого подхода заключается в том, что имеется потенциальная возможность удалить или отключить агенты и оповещения, вследствие чего система защиты становится особенно уязвимой. Когда система поражена или не отвечает, обычно ИT-персонал дистанционно не может не только установить обновления системы безопасности или принудительно обеспечить ее соответствие требованиям, но даже локализовать ПК, если другие агенты управления также отключены. Технология Intel vPro позволяет программному обеспечению других производителей:

• идентифицировать большее число угроз до того, как они смогут поразить ОС;
• быстрее изолировать пораженные системы;
• гарантировать постоянную активность агентов обеспечения безопасности.

Технология Intel vPro предоставляет в распоряжение ИT-подразделений программируемые аппаратные фильтры для контроля поведения сетевого трафика. Эти фильтры проверяют пакеты, входящие в программный стек операционной системы и исходящие из него. Теперь сам ПК помогает сдерживать угрозы путем реализации ИT-политики для фильтрации внутри- и внеполосного трафика операционной системы.

Фильтрация осуществляется путем проверки IP-адресов отправителя и получателя, а также портов, указанных в заголовках пакетов. Вследствие программируемости фильтров, управляющее ПО может определять события, инициируемые при запрещенном поведении пакетов, например регистрацию оповещения, отправку оповещения ИT-подразделению или отключение информационного канала, сдерживающее распространение угрозы.

Если аппаратный фильтр распознал несанкционированное поведение пакета, ПК с поддержкой технологии Intel vPro могут сдерживать распространение угрозы путем отключения собственной ОС от сетевых коммуникаций. ПК отключается от сетевого информационного канала на уровне программного стека ОС прежде, чем сетевой трафик реально поступит в операционную систему. Кроме того, система может установить для сетевого трафика ограничение по скорости, чтобы помочь ИT-персоналу в исследовании потенциальной угрозы. Персонал может по-прежнему обмениваться информацией с базовым оборудованием ПК через встроенный коммуникационный стек на базе аппаратных компонентов и микрокода.

Впоследствии ИT-персонал может использовать коррекционное ПО для устранения проблемы и возвращения ПК в корпоративную сеть. Поскольку отключаются только сетевые коммуникации операционной системы, приложения пользователя остаются работоспособными и пользователь может продолжать работу.

Проверка наличия агентов обеспечения безопасности

Чтобы подтвердить присутствие агентов безопасности на удаленных ПК, ИТ-консоль посылает им контрольные сообщения. ПК с поддержкой технологии Intel vPro применяют регулярную, программируемую проверку присутствия контрольных сообщений, встроенную в программный механизм управления. Контрольные сообщения используют «сторожевой» таймер, поэтому ПО сторонних производителей, обеспечивающее безопасность (или другие особо важные для бизнеса приложения), с помощью механизма управления может осуществлять проверку через программируемые с точностью до секунды интервалы, чтобы убедиться в активности агента. После каждой проверки агент сбрасывает свой таймер. Если до истечения установленного значения таймера агент не подтвердит свою активность, он считается удаленным, испорченным или отключенным. После этого механизм управления немедленно автоматически регистрирует оповещение и оповещает (если это указано) ИT-консоль. ПК с поддержкой технологии Intel vPro может осуществлять мониторинг до 16 различных агентов. Благодаря использованию аппаратных контрольных сообщений повышается надежность результатов проверки присутствия агентов и сокращается окно программной уязвимости.

Установка обновлений и патчей в удаленном режиме

До появления технологии Intel vPro ИT-подразделения не имели возможности проводить дистанционное обновление ПО систем, питание которых было выключено. Поэтому ИT-персонал должен был откладывать обслуживание этих ПК до того момента, когда их питание снова будет включено, в результате многие системы оставались уязвимыми для атак на протяжении опасно долгого времени.

Сегодня используется несколько различных методов вывода ПК из «спящего» режима для проведения обновлений ПО, однако они не обеспечивают безопасность либо работают только в том случае, когда ОС функционирует в штатном режиме. Для ПК с поддержкой технологии Intel vPro обновления и патчи могут устанавливаться дистанционно и более безопасно независимо от того, включено ли питание системы и работоспособна ли ее ОС.

Режим Enterprise

Режим Enterprise ориентирован на крупные корпоративные сети, в которых первостепенное значение имеет обеспечение сетевой безопасности. Он включает все функциональные возможности режима SMB, но, в отличие от него, предусматривает «закрытые» каналы связи между клиентами vPro и консолью управления.

В режиме Enterprise для каждой vPro-системы создается уникальная учетная запись и поддерживается аутентификация с помощью ключей и шифрования. Корпоративная версия Enterprise требует наличия сервера SCS (Setup and Configuration Server), отвечающего за шифрование и аутентификацию. При использовании технологии Intel vPro в режиме Enterprise применяются протоколы шифрования TLS w/AES 128-bit или TLS w/RC4 128-bit, что значительно повышает уровень безопасности.

Ключи безопасности генерируются на сервере, а затем переносятся на клиентские ПК на USB флэш-носителях. После установки ключей безопасности на клиентские ПК администрирование клиентов, поддерживающих технологию Intel vPro, возможно только после взаимной аутентификации и конфигурирования.

Технология Intel Centrino Pro

Технология Intel Centrino Pro — это аналог технологии Intel vPro для мобильных ПК. Соответственно она обеспечивает ту же самую функциональность (возможность удаленного управления и обеспечение безопасности), что и технология Intel vPro. Разница в данном случае заключается лишь в том, что технология Intel vPro предусматривает возможность сетевого управления компьютерами по проводному соединению, а технология Intel Centrino Pro, кроме удаленного управления по проводному интерфейсу, предусматривает возможность удаленного управления по беспроводному интерфейсу. Однако функциональность технологии Intel Centrino Pro при проводном и беспроводном подключении несколько различается.

Технология Intel Centrino Pro может быть реализована только на ноутбуках нового поколения на платформе Santa Rosa. С аппаратной точки зрения технология Intel Centrino Pro требует, чтобы ноутбук был оснащен процессором Intel Core 2 Duo серий T, L или U 7000, набором системной логики Intel GM965 Express или Intel PM965 Express с усовершенствованным южным мостом ICH8M, проводным сетевым контроллером Gigabit Ethernet Intel 82566DM, а также беспроводным сетевым контроллером Intel 4965AGN с поддержкой стандартов 802.11a/g/n.

Естественно, сочетание всех вышеупомянутых компонентов еще не обеспечивает поддержку технологии Intel Centrino Pro. Как и в случае с технологией Intel vPro, системная плата ноутбука, поддерживающего технологию Intel Centrino Pro, должна иметь интегрированную энергонезависимую память и специальный контроллер, обеспечивающий аппаратную поддержку технологии Intel AMT, которая является составной частью технологий Intel Centrino Pro и Intel vPro.

Проводное подключение ноутбуков

Если ноутбук с технологией Intel vPro подключен к источнику питания (к электросети) и подсоединен к корпоративной сети с помощью кабеля Ethernet, то средства обеспечения безопасности и управления, предоставляемые технологией Intel Centrino Pro, функционируют в полном объеме и ничем не отличаются от средств, предоставляемых технологией Intel vPro. Управление такими ноутбуками и настольными ПК с технологией Intel vPro производится сходным образом с помощью стандартных функций управляющего ПО, предлагаемого другими компаниями. Практически все средства управления доступны даже для ноутбука, находящегося в «спящем» режиме, если он подключен к сети переменного тока.

Беспроводное подключение ноутбуков

Если используется беспроводное подключение ноутбука к корпоративной сети и он питается от батареи, то возможно дистанционное обеспечение безопасности и управление ноутбуком, но только в том случае, если ноутбук находится в активном («неспящем») состоянии. При этом все функциональные возможности остаются доступными даже в тех случаях, когда ОС этих систем не отвечает, программные агенты подверглись нападению или отсутствуют, а также при отказе оборудования.

Некоторые возможности, такие как проверка присутствия агентов, получение информации о программных/аппаратных активах, а также предупреждения, доступны, даже если применяется беспроводное подключение ноутбука через VPN-соединение.

В табл. 1 и 2 показано, какие функциональные возможности доступны для ноутбуков, использующих проводное и беспроводное подключение к корпоративной сети и за ее пределами и находящихся в различных состояниях.

Таблица 1. Функциональные возможности ноутбуков, поддерживающих технологию Intel Centrino Pro
при использовании проводного интерфейса подключения к корпоративной сети

Таблица 2. Функциональные возможности ноутбуков, поддерживающих технологию Intel Centrino Pro
при использовании беспроводного интерфейса подключения к корпоративной сети

КомпьютерПресс 9'2007