Централизованное управление парком из 50–1000 ноутбуков на удалёнке и в офисах: UEM/MDM, телеметрия osquery + FleetDM и экстренное стирание при краже
Пока все компьютеры стояли под столами в одном здании, классического контроллера домена хватало за глаза. Но как только 40 % сотрудников разъехались с ноутбуками по домам в 18 часовых поясов и месяцами не поднимают полный L3 VPN, старые групповые политики ослепли:
- ИТ-директор не знает, у кого из 350 сотрудников прямо сейчас умирает SSD с
9 %остаточного ресурса, у кого осталась дырявая версия браузера с критической уязвимостью нулевого дня (CVE Zero-Day), а кто установил пиратский крякнутый графический редактор (подставляя компанию и генерального директора под проверку ОБЭП и иск на миллионы рублей по ст. 1301 ГК РФ и ст. 146 УК РФ!).
Связка современных открытых и российских инструментов управления конечными точками (GLPI Agent + FleetDM / osquery + Kaspersky Security Center / ALD Pro) даёт ИТ-директору 100 % рентгеновское зрение на все ноутбуки компании через обычный защищённый HTTPS 443 из любой точки мира БЕЗ VPN!
Архитектура зрелого контура управления смешанным парком ноутбуков (Windows + Российский Linux + macOS)
| Задача управления парком | Лучший инструмент в РФ в 2026 году | Что даёт бизнесу за первые 2 недели запуска |
|---|---|---|
1. Живой учёт активов ИТ + Хелпдеск (ITAM / CMDB + Service Desk) |
Открытая платформа GLPI 10 + GLPI Agent (или 1С:ITIL / Naumen / SimpleOne) |
Агент раз в сутки сам считывает серийник платы, модель процессора, серийники планок ОЗУ, подключённых мониторов (даже дома у удалёнщика!), остаток ресурса SSD/батареи и сверяет со списком основных средств бухгалтерии ФСБУ 6/2020! Годовая инвентаризация 400 ноутбуков занимает 15 минут вместо двух недель беготни со сканером! |
2. Мгновенный SQL-опрос всех 500 ноутбуков в реальном времени (Live Endpoint Telemetry) |
Открытый стандарт osquery + консоль FleetDM (100 % open-source, ставится On-Premise в ваш закрытый ЦОД за 20 минут, работает идентично на Astra Linux, РЕД ОС, Windows и macOS!) |
Безопасник пишет ОДИН простой SQL-запрос: SELECT hostname, name, version FROM programs WHERE name LIKE '%Torrent%' OR name LIKE '%AnyDesk%'; — и ЧЕРЕЗ 4 СЕКУНДЫ получает точный список всех ноутбуков с несанкционированным софтом удалённого доступа или торрентами! |
3. Доставка обновлений ПО, исправление уязвимостей и антивирус (Patch Management & EDR) |
Kaspersky Security Center (KSC со шлюзом Connection Gateway в DMZ без VPN!) + ALD Pro / Ansible Pull для Linux |
Все ноутбуки удалёнщиков получают свежие базы, патчи стороннего ПО (браузеров, архиваторов 7-Zip, PDF-ридеров) и отчитываются в консоль каждую минуту просто при выходе ноутбука в домашний интернет! |
4. Защита Zero-Touch Lock / Remote Wipe при увольнении конфликтного удалёнщика или краже! |
MDM Lock (Apple Business Manager на Mac — не снимается ДАЖЕ полной переустановкой macOS и заменой чипа!) + криптографическое уничтожение ключей шифрования диска BitLocker / LUKS2! |
При отказе недобросовестного сотрудника вернуть ноутбук (акт приёма-передачи ТК РФ) при первом же выходе ноутбука в интернет команда агента мгновенно стирает заголовок LUKS2 / TPM BitLocker — все корпоративные данные на SSD гарантированно превращаются в невосстановимый белый шум за 0,8 секунды! |
Проактивная замена умирающих дисков и вздувающихся батарей ДО поломки (Predictive Maintenance)!
Самый дорогой простой — когда у ведущего инженера или финансового директора ноутбук внезапно не включается за 2 часа до сдачи тендера!
Настройте в GLPI / FleetDM / Zabbix Agent автоматический триггер создания тикета в службу ИТ по трём метрикам SMART и ACPI, заложенным ещё на этапе корпоративного золотого образа:
NVMe Percentage Used > 85 %или появление первого жеMedia and Data Integrity Error > 0-> инженер техподдержки САМ звонит сотруднику: «Иван Петрович, телеметрия показала деградацию вашего SSD, мы уже подготовили вам клонированный новый накопитель, зайдите завтра на 15 минут!» — сотрудник в шоке от уровня сервиса ИТ!Battery Full Charge Capacity < 60 % от Design Capacity-> плановая закупка свежих оригинальных батарей раз в полгода одной оптовой поставкой в 2 раза дешевле срочной розницы!- Свободное место на системном разделе
< 10 %-> автозапуск скрипта очистки старых кэшей обновлений и временных папок до того, как зависнет база почтового клиента!
Чек-лист при закупке корпоративных ноутбуков Apple MacBook в РФ: ловушка чужого профиля MDM!
- [ ] При корпоративной закупке ноутбуков
MacBookпараллельного импорта в обязательном порядке прописывайте в договоре поставки гарантию отсутствия привязки серийного номера к чужому иностранному профилю корпоративного управленияApple Business Manager / DEP (Remote Management)и проверяйте каждый серийный номер при приёмке с подключённым интернетом!
Частые вопросы
Законно ли компании ставить агент инвентаризации ПО (GLPI / osquery) на корпоративный ноутбук сотрудника без его согласия, и можно ли ставить такой же агент на ЛИЧНЫЙ домашний ноутбук удалёнщика (BYOD)?
Разница кардинальная! На принадлежащий компании корпоративный ноутбук работодатель как собственник имущества (ст. 209 ГК РФ, ст. 22 ТК РФ) имеет 100 % полное безусловное право и обязанность устанавливать любые средства инвентаризации оборудования, лицензионного контроля и защиты информации (закрепив это в Положении об использовании ИТ-ресурсов). А вот на ЛИЧНЫЙ ноутбук сотрудника (BYOD) ставить агент управления, способный стереть весь его личный диск с семейными фотографиями, КАТЕГОРИЧЕСКИ НЕЛЬЗЯ без отдельного добровольного письменного соглашения — для личных компьютеров подрядчиков и BYOD-сотрудников используйте ТОЛЬКО изолированное окно VDI / браузерный контур без доступа к личным файлам человека!
Нагружает ли агент osquery + GLPI процессор и батарею лёгкого ноутбука?
Грамотно составленное расписание osquery (опрос инвентарных таблиц раз в 4–12 часов без тяжёлого непрерывного хеширования всего диска file_events на каждое чтение!) потребляет менее 0,3 % CPU и 45 МБ оперативной памяти — на автономность ноутбука это не влияет вообще!