Assistierte Sitzungen: Funktionsweise

Prinzip

Eine assistierte Sitzung verbindet einen Techniker mit einer Person, die an ihrem Computer sitzt. Der Techniker sieht den Bildschirm, steuert Maus und Tastatur und kann Dateiübertragungen anbieten. Alles läuft über Port 443 mit TLS 1.3: Aufseiten des Nutzers ist kein eingehender Port erforderlich.

Schritt für Schritt

1. Der Techniker erstellt die Sitzung in der Konsole. Ein sechsstelliger Code wird erzeugt, der nur einmal und zeitlich begrenzt gilt.
2. Die Person gibt den Code ein auf der Seite Sitzung beitreten oder im Client.
3. Der temporäre Client startet. Er installiert sich nicht: Es sind keine Administratorrechte nötig, und nach dem Schließen bleibt nichts zurück.
4. Die Person akzeptiert die Fernsteuerung. Der Bildschirm wird freigegeben und die Kontrolle geht an den Techniker. Die Person kann die Kontrolle zurückholen und die Sitzung jederzeit beenden.
5. Die Sitzung endet. Der Client schließt sich, die Bildschirmfreigabe stoppt und die Sitzung wird im Auditprotokoll festgehalten.

Der sechsstellige Code

Der Code ist das einzige Sitzungsgeheimnis aufseiten des Nutzers. Einige Regeln:

• Geben Sie ihn mündlich oder über einen Kanal weiter, der von der Sitzung selbst getrennt ist;
• er läuft ab, wenn er nicht genutzt wird, und ein abgelehnter Code ist nicht wiederverwendbar;
• Eingabeversuche sind serverseitig begrenzt.

Der temporäre Client

Der temporäre Client ist eine signierte ausführbare Datei, die Sie über Download beziehen. Er:

• läuft ohne Installation und ohne erhöhte Rechte;
• startet nie von selbst;
• endet mit der Sitzung und hinterlässt keinen Restdienst.

Dateiübertragung

Die Dateiübertragung unterliegt der verpflichtenden Bestätigung des Nutzers: Der Techniker schlägt vor, die Person nimmt an oder lehnt ab, Datei für Datei. Der Techniker kann diese Bestätigung nicht abschalten, und jede Entscheidung wird protokolliert.

Anzeigequalität

Der Stream wird mit bis zu 4K bei 60 fps dargestellt, wenn Rechner und Verbindung es zulassen. Die Qualität passt sich automatisch an die verfügbare Bandbreite an.

Aufzeichnung

Die Sitzungsaufzeichnung gibt es ab dem Plan Pro. Aufzeichnungen werden in der Speicherregion des Arbeitsbereichs gespeichert. Informieren Sie die Person, bevor Sie eine Aufzeichnung starten.

Nach der Sitzung

Jede Sitzung speist das hashverkettete Auditprotokoll: Identität des Technikers, verwendeter Code, Gerät, Beginn und Ende, Übertragungen und Bestätigungen. Jeder Eintrag verweist auf den Fingerabdruck des vorherigen, sodass jede Veränderung sichtbar wird. Das Protokoll lässt sich in ein SIEM exportieren. Siehe Sicherheitsmodell und Verschlüsselung.

Voraussetzungen

• eine Internetverbindung mit ausgehendem HTTPS auf Port 443;
• ein aktueller Browser oder der heruntergeladene Client;
• der sechsstellige Code, den der Techniker vorgibt.

Aufseiten des Nutzers sind keine eingehenden Ports, keine VPN und keine installierte Software nötig. Wenn eine Person Hilfe auf einem Rechner braucht, auf dem die lokale Richtlinie jede Installation blockiert, ist der temporäre Client genau für diesen Fall gebaut: Er läuft ohne Installation.

Assistiert oder unbeaufsichtigt?

Wählen Sie die assistierte Sitzung, wenn eine Person Aktionen direkt bestätigen kann. Wählen Sie den unbeaufsichtigten Zugriff für Server, Kioske und Rechner ohne jemanden davor. Beide Modi teilen dieselbe Verschlüsselung, dieselbe MFA und dasselbe Auditprotokoll.

Bewährte Praktiken

• Öffnen Sie nie eine Sitzung zu einer Person hin, die keine angefordert hat: Der Code wird immer aufseiten des Nutzers eingegeben.
• Bitten Sie die Person, Anwendungen mit sensiblen Daten zu schließen, bevor Sie die Kontrolle übernehmen.
• Verwenden Sie für Rechner ohne Nutzer den unbeaufsichtigten Zugriff statt einer assistierten Sitzung.