v1.3_9.12 Диагностика проверки соответствия требованиям ИБ (Posture)

Введение

Предполагается, что услуга настроена согласно инструкции v1.3_4.15 Настройка проверки соответствия требованиям ИБ (Posture).

Используемые инструменты диагностики

• Страницы WEB-интерфейса NAICE:
  • Мониторинг → RADIUS → Активность на сети
  • Мониторинг → RADIUS → Активные сессии
  • Пользователи и устройства → Управление идентификацией → Эндпоинты → <детальная информация об эндпоинте> (кнопка Подробнее)
• Логи агента соответствия на пользовательском устройстве:
  • Windows: C:\ProgramData\Eltex\Naice Secure Client\Logs\posture.log
  • Linux: /var/log/naice-secure-client/posture.log
• Дашборды системы самомониторинга Peeper (см. v1.3_7. Мониторинг и логирование ).

Устройство пользователя не попадает ни в карантинную, ни в корпоративную сеть

В WEB-интерфейсе NAICE перейти на страницу Мониторинг → RADIUS → Активность на сети и посмотреть наличие запросов от устройства-аутентификатора за последнее время.

Проблемы со стороны устройства-аутентификатора

В этом случае в мониторинге не будет ни одного запроса от ожидаемого устройства. Запросы могут не доходить при наличии проблем конфигурации. Необходимо проверить, что:

• корректно настроена аутентификация 802.1X;
• корректно указан адрес RADIUS-сервера (NAICE) и его секретный ключ;
• ping с аутентификатора по указанному адресу RADIUS-сервера успешный.

Проблемы со стороны клиентского устройства

В этом случае запросы в мониторинге могут как быть, так и отсутствовать. 

Если запросов нет, то необходимо проверить, что на устройстве пользователя корректно настроена 802.1X авторизация (см. v1.3_8. Настройка подключения клиента).

При наличии записей в журнале подключений причина ошибки подключения отображается в подробностях сессии (например, User not found in identity sources  -  указанный логин не найден в источниках идентификации политики, под которую попало подключение).

Устройство пользователя попадает в карантин, но не попадает в корпоративную сеть

В WEB-интерфейсе NAICE перейти на страницу Пользователи и устройства → Управление идентификацией → Эндпоинты, найти эндпоинт проблемного устройства и открыть его карточку по кнопке Подробнее. На вкладке Результат соответствия ИБ посмотреть, имеется ли отчет.

Если отчета нет, то возможно есть проблемы с его отправкой или получением. 

Если отчет есть, и в нем указан статус "Не соответствует", значит устройство по одной из причин проваливает проверку соответствия.

Агент соответствия не установлен

Признак проблемы: В списке установленного программного обеспечения устройства нет пакета Naice Secure Client (Windows) / naice-secure-client (Linux).

Решение: Услуга проверки соответствия (Posture) требует установки агента соответствия на клиентском устройстве для сбора проб. Выполните установку согласно v1.3_4.15 Настройка проверки соответствия требованиям ИБ (Posture).

Агент соответствия не может связаться с NAICE

Некорректный адрес NAICE при установке агента

Признак проблемы:

1. При выполнении с устройства пользователя ping по указанному при установке доменному имени/адресу NAICE нет ответа.
2. В конфигурации агента (Windows - C:\ProgramData\Eltex\Naice Secure Client\config.ini, Linux - /etc/naice-secure-client/config.ini ) указан некорректный адрес NAICE.

Решение:

1. Исправить адрес на корректный.
2. Перезапустить службу для применения настройки.

Отсутствие доступа к NAICE из карантинной сети

Признак проблемы: 

1. При выполнении с устройства пользователя ping по указанному при установке доменному имени/адресу NAICE нет ответа.
2. В конфигурации агента (Windows - C:\ProgramData\Eltex\Naice Secure Client\config.ini, Linux - /etc/naice-secure-client/config.ini ) указан корректный адрес NAICE.
3. В логах агента (Windows - C:\ProgramData\Eltex\Naice Secure Client\Logs\posture.log, Linux - /var/log/naice-secure-client/posture.log) присутствуют ошибки вида:
   

   2026-10-30T10:01:28.699+07:00 ERROR [posturing.queue ] posture task failed task_id=1b9a2d12-3987-4e86-b740-9bef4fb3c932 error="get policies: execute policies request: Get \"https://100.110.2.216:8102/api/v1/posture/agent/policies?agentType=HIDDEN&osType=WINDOWS_11_PRO&policyHash=4b068c70754dbbd1e50a72b9d9f051551a38c51ceba7f3f4e2c00a646b8da6de\": dial tcp 100.110.2.216:8102: connectex: A socket operation was attempted to an unreachable host." source=/builds/ems-group/naice/naice-posture-client/internal/service/task/task_manager.go:180
   

Решение: Обеспечить доступ до NAICE устройствам из карантинной сети.

Агент не доверяет сертификату сервера соответствия

Признак проблемы: В логах агента (Windows - C:\ProgramData\Eltex\Naice Secure Client\Logs\posture.log, Linux - /var/log/naice-secure-client/posture.log) присутствуют ошибки вида:

2026-10-30T09:49:58.705+07:00 ERROR [posturing.pipeline ] NAICE server certificate is not trusted: TLS connection rejected operation="get policies" error="execute policies request: Get \"https://100.110.2.216:8102/api/v1/posture/agent/policies?agentType=HIDDEN&osType=WINDOWS_11_PRO&policyHash=4b068c70754dbbd1e50a72b9d9f051551a38c51ceba7f3f4e2c00a646b8da6de\": tls: failed to verify certificate: x509: certificate is valid for 172.21.8.4, not 100.110.2.216" source=/builds/ems-group/naice/naice-posture-client/internal/service/pipeline.go:355

Решение: Адрес сервера в сертификате не совпадает с адресом сервера в конфигурации агента. Необходимо выпустить сертификат с корректным адресом, загрузить его в Настройки системы → Хранилище сертификатов → Серверные сертификаты (тип - HTTPS) и назначить его в Настройки системы → Узлы → <узел> → Сервер политик соответствия → Серверный сертификат. Подробнее в v1.3_3.6 Использование сертификатов безопасности.

2026-10-30T09:56:59.516+07:00 ERROR [posturing.queue               ] posture task failed task_id=bf535fe5-981f-4843-b612-c4eec4599bec error="get policies: execute policies request: Get \"https://100.110.2.216:8102/api/v1/posture/agent/policies?agentType=HIDDEN&osType=WINDOWS_11_PRO&policyHash=4b068c70754dbbd1e50a72b9d9f051551a38c51ceba7f3f4e2c00a646b8da6de\": tls: failed to verify certificate: x509: cannot validate certificate for 100.110.2.216 because it doesn't contain any IP SANs" source=/builds/ems-group/naice/naice-posture-client/internal/service/task/task_manager.go:180

Решение: Адрес NAICE указан в виде IP-адреса, но сертификат не содержит в Subject Alternative Names (SANs) ни одного адреса. Необходимо выписать сертификат с корректными SANs, загрузить его в Настройки системы → Хранилище сертификатов → Серверные сертификаты (тип - HTTPS) и назначить его в Настройки системы → Узлы → <узел> → Сервер политик соответствия → Серверный сертификат. Подробнее в v1.3_3.6 Использование сертификатов безопасности.

2026-10-30T10:02:28.759+07:00 ERROR [posturing.pipeline            ] NAICE server certificate is not trusted: TLS connection rejected operation="get policies" error="execute policies request: Get \"https://100.110.2.216:8102/api/v1/posture/agent/policies?agentType=HIDDEN&osType=WINDOWS_11_PRO&policyHash=4b068c70754dbbd1e50a72b9d9f051551a38c51ceba7f3f4e2c00a646b8da6de\": tls: failed to verify certificate: x509: certificate signed by unknown authority" source=/builds/ems-group/naice/naice-posture-client/internal/service/pipeline.go:355

Решение: Агент не доверяет сертификату сервера соответствия. Необходимо на устройстве пользователя добавить сертификат центра сертификации, выписавшего серверный сертификат, или сам серверный сертификат в список доверенных центров сертификации. Подробнее в:

• v1.3_4.15.1 Распространение агента соответствия с помощью групповых политик Active Directory
• v1.3_4.15.2 Установка, удаление и настройка агента соответствия на ОС Windows 10/11
• v1.3_4.15.3 Установка, удаление и настройка агента соответствия на ОС Ubuntu/Astra Linux/RedOS

Устройство зависло в статусе "Не определено" ("Unknown")

Сетевое устройство преждевременно завершает активную сессию

При определенном поведении устройства-аутентификатора может возникнуть ситуация, когда эндпоинт остается в статусе "Не определено", несмотря на получение системой NAICE отчета с результатами проверки. Сценарий может выглядеть следующим образом:

1. Пользовательское устройство первично подключается к сети и имеет статус "Не определено" ("Unknown").
2. Согласно политике доступа к сети устройство помещается в карантин.
3. Параллельно агент получает от NAICE список требований ИБ, собирает по ним пробы и отправляет отчет.
4. После получения отчета NAICE отправляет CoA Reauth-запрос на устройство-аутентификатор с новыми доступами к сети.
5. Устройство-аутентификатор вместо применения изменений к текущей сессии завершает её и начинает новую, отправляя при этом RADIUS Accounting-Stop.
6. NAICE получает этот запрос и завершает активную сессию, что приводит к сбросу текущего статуса соответствия, т.е. эндпоинт снова получает статус "Не определено" ("Unknown").
7. Цикл повторяется.

Признак проблемы:

1. В разделе Мониторинг → RADIUS → Активность на сети для данного эндпоинта несколько последовательных подключений со статусом соответствия "Не определено" подряд.
2. В разделе Мониторинг → RADIUS → Активные сессии периодически исчезает и появляется снова, то появляется активная сессия для пользовательского устройства, но уже с другим ID сессии.

Решение: Включить Период доверия к результату проверки (Posture Lease) на странице Доступ к сети → Соответствия ИБ → Интервалы проверок.

Устройство проваливает проверку соответствия (статус "Не соответствует")

Устройство по каким-либо причинам не соответствует требованиям по настроенным в NAICE политикам соответствия.

Не настроена подходящая под устройство политика

Признак проблемы: 

1. В логах агента (Windows - C:\ProgramData\Eltex\Naice Secure Client\Logs\posture.log, Linux - /var/log/naice-secure-client/posture.log) присутствуют ошибки вида:
   

   2026-10-30T11:02:58.639+07:00 INFO [posturing.api                 ] received posture policies:
   {
     "policyHash": null,
     "policyNames": null,
     "requirements": null
   } source=/builds/ems-group/naice/naice-posture-client/internal/service/api/policies.go:74
   
   2026-10-30T11:02:58.661+07:00 ERROR [posturing.queue               ] posture task failed task_id=477a8a32-af3c-4d31-b28f-360c8d8eb23b error="connect report requires cached policies with a non-empty hash" source=/builds/ems-group/naice/naice-posture-client/internal/service/task/task_manager.go:180

2. В детальной эндпоинта Пользователи и устройства → Управление идентификацией → Эндпоинты → <эндпоинт> (кнопка Подробнее) статус соответствия ИБ отображается "Не соответствует". Под полем отображается "Не выполнены требования нескольких политик безопасности". В блоке "Результат последней проверки безопасности" нет данных.

Решение: В детальной эндпоинта на вкладке "Результат соответствия ИБ" посмотреть "Данные о проверке устройства". Убедиться, что найденная ОС эндпоинта является поддерживаемой. Убедиться, что в Доступ к сети → Соответствия ИБ → Политики соответствия ИБ есть политика для данного типа ОС и она включена. При необходимости настроить подходящую политику.

Устройство не соответствует требованиям политик

Признак проблемы: В детальной эндпоинта Пользователи и устройства → Управление идентификацией → Эндпоинты → <эндпоинт> (кнопка Подробнее) отображается статус соответствия ИБ "Не соответствует". Под полем отображается "Не выполнены требования политики безопасности <имя политики>" или "Не выполнены требования нескольких политик безопасности". 

Решение:

1. В детальной эндпоинта на вкладке "Результат соответствия ИБ" посмотреть "Результат последней проверки безопасности". Данный блок содержит подробный отчет о проводимых проверках и их результатах. Если эндпоинт не соответствует какому-либо требованию, то данное требование помечается красным цветом и статусом "Не соответствует".
2. Устранить причину несоответствия на устройстве пользователя или скорректировать требования в политиках соответствия.

Не работает перепроверка уже проверенных устройств

Не работает фоновая периодическая перепроверка (PRA)

PRA может не запускаться по одной из следующих причин:

1. Устройство не находится в статусе "Соответствует" (Compliant). Данный функционал предназначен только для перепроверки эндпоинтов со статусом “Соответствует”, эндпоинты со статусами "Не определен" ("Unknown") и "Не соответствует" ("Non-compliant") не подвергаются перепроверке по PRA.
   Решение: Проверить текущий статус эндпоинта в NAICE, дождаться успешного прохождения первичной проверки или устранить нарушения безопасности.
   
   
2. Отключен функционал PRA в настройках NAICE.
   Решение: Проверить настройки в разделе Доступ к сети → Соответствия ИБ → Интервалы проверок и убедиться, что механизм включен и задан корректный интервал (не менее 15 минут).
   
   
3. Потеряна связь агента с NAICE.
   Решение: см. сценарий Агент соответствия не может связаться с NAICE.
   
   
4. Истек или сбросился Posture Lease, из-за чего эндпоинт приобрел статус "Не определен" после завершения активной сессии.
   Решение: см. сценарий Устройство не находится в статусе "Соответствует" (Compliant).