Admin By Request Web Access Management – kontrola stron i pobierania plików w Windows

Web Access Management to moduł Admin By Request, który kontroluje dostęp do stron internetowych i pobieranie plików wykonywalnych bezpośrednio na endpoincie Windows, bez chmurowego proxy i bez dodatkowej infrastruktury sieciowej. Funkcja jest dostępna w Admin By Request for Windows 9.0 i korzysta z tego samego agenta oraz portalu, co Endpoint Privilege Management i Secure Remote Access.

To zmiana w miejscu, które w wielu organizacjach pozostaje słabo kontrolowane. Lokalne uprawnienia administratora są odbierane i przyznawane przez workflow, ale przeglądarka nadal pobiera dowolny plik z dowolnego źródła. Web Access Management (WAM) domyka ten etap: decyduje, czy dany użytkownik, na danym urządzeniu, może w ogóle pobrać konkretny program – zanim pojawi się pytanie o podniesienie uprawnień.

Poniżej opisujemy, jak WAM działa technicznie, jakie ma ograniczenia w pierwszym wydaniu, czym różni się od EPM, EDR i Secure Web Gateway oraz jak zaplanować pilotaż, żeby nie skończył się kolejką ręcznych akceptacji na helpdesku.

Kluczowe wnioski

• WAM jest dostępny w Admin By Request for Windows 9.0 i wymaga endpointu z Windows 10 lub nowszym oraz klienta 9.0+. Pierwsze wydanie nie obsługuje macOS ani Linux.
• Osobny produkt i osobne SKU: subskrypcja Endpoint Privilege Management lub Secure Remote Access nie aktywuje Web Access Management automatycznie.
• Bezterminowy plan bezpłatny na 25 endpointów Windows pozwala wykonać kontrolowany proof of concept bez budżetu i bez limitu czasu.
• Kontrola jest lokalna: inspekcja TLS odbywa się na urządzeniu, ruch nie jest przekierowywany przez chmurowe proxy ani bramę producenta – ta sama polityka działa w biurze, w domu i poza VPN.
• WAM nie zastępuje EDR, Secure Web Gateway ani DLP. Odpowiada na wcześniejsze pytanie: czy to pobranie powinno się w ogóle wydarzyć.
• Pierwsze wydanie ma realne ograniczenia: brak natywnego konektora SIEM dla logów WAM, limit 250 MB dla chmurowej analizy nieznanych plików, możliwe konflikty z innymi warstwami inspekcji TLS.

Wersja 9.0 jest dostępna, ale producent nie uruchamia automatycznej aktualizacji jednocześnie u wszystkich klientów. Standardowe wdrażanie przez Auto-Update rozpoczyna się zwykle 4-8 tygodni po premierze. Jeżeli chcesz rozpocząć testy wcześniej, pobierz aktualny instalator z portalu albo zwróć się o udostępnienie najnowszej wersji.

Web Access Management: nowa warstwa kontroli w Admin By Request

Web Access Management działa wcześniej niż Endpoint Privilege Management. Klasyczne Endpoint Privilege Management w Admin By Request odpowiada na pytanie: czy uruchomiony program powinien otrzymać podwyższone uprawnienia? WAM pozwala określić, czy użytkownik może wejść na daną stronę lub pobrać oprogramowanie, na jakich warunkach i czy plik powinien zostać zatrzymany do akceptacji albo skanowania.

To istotna różnica. Przeglądarka może pobierać programy, łączyć się z usługami chmurowymi i uruchamiać kod zewnętrzny, a na wielu zarządzanych urządzeniach pozostaje słabiej kontrolowana niż lokalne uprawnienia administratora. Web Access Management ma ograniczyć to ryzyko bez blokowania każdej legalnej potrzeby użytkownika.

Jak działa kontrola na urządzeniu?

Polityka jest egzekwowana lokalnie przez agenta Admin By Request, a nie przez zewnętrzną bramę. Odszyfrowanie TLS, inspekcja i ponowne szyfrowanie odbywają się na urządzeniu z użyciem lokalnie wygenerowanego certyfikatu głównego. Ruch z przeglądarki trafia bezpośrednio do miejsca docelowego – nie jest przekierowywany przez chmurowy serwer proxy, bramę producenta ani dodatkowe urządzenie w sieci lokalnej. Mechanizm opisuje dokumentacja Web Access Management w Admin By Request Documentation Center.

• nie trzeba wdrażać proxy, filtra DNS, plików PAC ani tuneli do zewnętrznej bramy;
• ta sama polityka działa w biurze, w domu i poza VPN;
• odszyfrowana treść HTTPS nie opuszcza endpointu w celu inspekcji;
• ustawienia są centralnie zarządzane w portalu i synchronizowane z agentami.

Ta architektura ogranicza zależność od lokalizacji użytkownika, ale wymaga testów zgodności. Inne produkty wykonujące inspekcję lub ponowne podpisywanie TLS – między innymi wybrane Secure Web Gateway, firewalle z deep packet inspection i klienci VPN – mogą wejść w konflikt z lokalną inspekcją. Aplikacje korzystające z certificate pinning mogą omijać inspekcję z założenia. To pierwszy element, który trzeba sprawdzić w pilotażu, a nie po włączeniu polityki produkcyjnej.

Najważniejsze funkcje Web Access Management

Web Access Management składa się z ośmiu obszarów ustawień: kontroli przeglądarek, reguł dla stron, kontroli pobierania, pre-approval i blokad, warunków tożsamości i stanu urządzenia, skanowania antymalware, automatycznej akceptacji oraz sub-settings i audytu. Pełną listę parametrów zawiera Web Access Settings Reference.

1. Browser Lockdown

Administrator może określić dozwolone przeglądarki i minimalną akceptowaną wersję każdej z nich. Polityki obejmują Chrome, Edge, Firefox, Internet Explorer oraz ruch generowany przez przeglądarki osadzone w aplikacjach. Niezatwierdzona lub zbyt stara wersja może zostać zablokowana na endpoincie.

2. Reguły dla stron internetowych

Web Access Management pozwala blokować witryny według domeny głównej i opcjonalnej ścieżki oraz tworzyć listę wcześniej zatwierdzonych miejsc docelowych. Reguła blokująca ma pierwszeństwo przed zezwalającą. Można również wyłączyć otwarte przeglądanie i pozostawić dostęp tylko do zatwierdzonych stron, na przykład na urządzeniach kioskowych.

Jeżeli polityka organizacji to dopuszcza, użytkownik może poprosić o czasowy dostęp do zablokowanej witryny i podać uzasadnienie. Decyzja trafia do administratora w portalu, dzięki czemu wyjątek nie musi oznaczać trwałej zmiany reguł.

3. Kontrola pobierania plików wykonywalnych

Administrator może zezwolić na pobieranie, zablokować je globalnie, wymagać akceptacji lub uzasadnienia. Reguły dotyczą pobrań wykonywalnych przechwytywanych na endpoincie, także w obsługiwanych przepływach inicjowanych przez aplikacje, a nie tylko w klasycznej przeglądarce.

Plik jest najpierw umieszczany w chronionym, niedostępnym dla użytkownika obszarze tymczasowym. Dopiero po przejściu kontroli polityki i skanowania może zostać udostępniony w systemie plików użytkownika. W przeciwnym razie pozostaje zablokowany lub trafia do kwarantanny.

4. Pre-approval i twarde blokady

Zaufane oprogramowanie można zatwierdzać wcześniej, a niepożądane – blokować niezależnie od ogólnej polityki. Reguły mogą wykorzystywać:

• stronę źródłową,
• bezpośredni URL pobrania,
• sumę kontrolną SHA-256,
• certyfikat cyfrowy producenta,
• połączenie certyfikatu producenta i nazwy aplikacji.

Blokada ma pierwszeństwo przed zezwoleniem. Z kolei pre-approval omija wyłącznie ręczną akceptację – nie wyłącza MFA, kontroli zgodności w Intune ani skanowania antymalware.

5. MFA, zgodność Intune i właściciel urządzenia

Dla działań podwyższonego ryzyka można dodać kolejne warunki:

• MFA przed pobraniem – ponowne uwierzytelnienie przez Microsoft 365 lub Entra ID, opcjonalnie z kontrolą zgodności adresu e-mail;
• Intune compliance gating – blokada pobierania na urządzeniach oznaczonych w Microsoft Intune jako niezgodne;
• owner-only downloads – możliwość pobierania plików wykonywalnych wyłącznie przez właściciela przypisanego do endpointu. Mechanizm rozwija znaną już w Admin By Request funkcję właściciela urządzenia.

MFA i kontrola zgodności Intune wymagają skonfigurowanego Entra ID Connector. Ograniczenie do właściciela ma sens tylko wtedy, gdy przypisania właścicieli w Inventory są kompletne i utrzymywane. Jeżeli inwentaryzacja jest nieaktualna, owner-only downloads wygeneruje zgłoszenia do helpdesku zamiast realnej kontroli.

6. Skanowanie przez OPSWAT MetaDefender

Pliki, które przejdą kontrolę uprawnień, mogą być sprawdzane przez OPSWAT MetaDefender. Dla znanych plików wykonywane jest sprawdzenie reputacji na podstawie sumy kontrolnej. Nieznane pliki mogą zostać wysłane do analizy wielosilnikowej w chmurze przed ich udostępnieniem użytkownikowi.

Nie jest to zamiennik EDR ani lokalnego antywirusa. Skanowanie Web Access Management działa przed udostępnieniem pobranego pliku i podejmuje decyzję polityczno-autoryzacyjną. EDR nadal odpowiada za wykrywanie zachowania procesu i reakcję po uruchomieniu. Według specyfikacji Web Access Management 9.0 chmurowa analiza nieznanych plików obejmuje pliki do 250 MB; większe pliki pozostają do oceny lokalnym mechanizmom ochronnym.

7. Automatyczna akceptacja

Powtarzalne zgłoszenia mogą być obsługiwane automatycznie. Machine Learning Auto-Approval zaczyna zatwierdzać aplikację po określonej liczbie wcześniejszych ręcznych zgód. AI Auto-Approval wykorzystuje ocenę reputacji aplikacji i producenta w skali 0-100. Obie funkcje mają znaczenie tylko wtedy, gdy dla pobrań włączono obowiązek akceptacji.

8. Sub-settings, powiadomienia i audyt

Różne polityki można przypisać do grup Active Directory, grup Entra ID i jednostek organizacyjnych. Sub-settings nadpisują wybrane sekcje ustawień globalnych, dzięki czemu jedna organizacja może zastosować inne wymagania wobec finansów, IT, zarządu, urządzeń współdzielonych lub kiosków.

Portal rejestruje decyzje dotyczące pobrań, wejścia na zablokowane strony, akceptacje, odmowy i wykrycie malware. Logowanie można włączać na poziomie poszczególnych reguł, a zdarzenia mogą być kierowane e-mailem do helpdesku lub systemu ITSM.

Granica widoczności jest istotna dla audytu. Web Access Management nie zapisuje pełnej historii zwykłego, dozwolonego przeglądania. Rejestrowane są zablokowane wizyty, zdarzenia pobierania oraz wejścia na wcześniej zatwierdzone strony, jeśli dla danej reguły włączono logowanie. W pierwszym wydaniu nie ma też natywnego konektora SIEM dla logów WAM – dostępne są portal i kanał e-mail do systemu ITSM.

Web Access Management a EPM, EDR i Secure Web Gateway

Te cztery warstwy odpowiadają na różne pytania i nie są wobec siebie zamienne. WAM decyduje o pobraniu, EPM o uprawnieniach, EDR o zachowaniu procesu, a Secure Web Gateway o szerokim ruchu sieciowym.

Największą wartość Web Access Management daje więc nie jako kolejny filtr URL, lecz jako spójna z EPM warstwa decyzji: od źródła oprogramowania, przez zgodę i weryfikację użytkownika, aż po jego ewentualne uruchomienie z podwyższonymi uprawnieniami. Szerszy kontekst tej warstwy opisujemy w artykule o tym, czym jest PAM i zarządzanie dostępem uprzywilejowanym.

Gdzie Web Access Management ma najwięcej sensu?

WAM daje największy zwrot tam, gdzie ryzyko wynika z pobierania oprogramowania spoza kontrolowanych źródeł, a nie z samej treści przeglądanych stron. Pięć scenariuszy, w których to widać najwyraźniej:

• Urządzenia współdzielone i kioski: ograniczenie przeglądania do zatwierdzonych stron oraz pobierania do przypisanego właściciela.
• Zespoły wysokiego ryzyka: MFA, zgodność Intune i obowiązek akceptacji dla finansów, zarządu, działu prawnego lub użytkowników obsługujących dane wrażliwe.
• Organizacje z problemem shadow IT: kontrola źródła oprogramowania, uzasadnienia i pełny ślad decyzji dotyczących pobierania.
• Pracownicy poza siecią firmową: ta sama polityka na urządzeniu w biurze, w domu i w podróży, bez zależności od firmowego VPN.
• Środowiska regulowane: powiązanie pobrania z tożsamością użytkownika, stanem urządzenia i udokumentowaną decyzją administratora.

W środowisku, które potrzebuje pełnej kategoryzacji ruchu WWW, analizy treści, CASB lub DLP, Web Access Management pozostanie jedną z warstw architektury, a nie jej samodzielnym zamiennikiem.

Czego Web Access Management nie robi

WAM nie jest Secure Web Gateway, nie jest EDR, nie jest DLP i nie jest systemem pełnego audytu przeglądania. Te ograniczenia warto znać przed pilotażem, bo część z nich wpływa na projekt polityki i na oczekiwania audytu.

• Osobne licencjonowanie: WAM jest odrębnym produktem względem EPM i Secure Remote Access – istniejąca subskrypcja go nie obejmuje.
• Tylko Windows: pierwsze wydanie działa na Windows 10+ z agentem 9.0+; macOS i Linux nie są obsługiwane, a producent nie podał harmonogramu.
• Konflikty inspekcji TLS: inne warstwy deszyfrujące ruch mogą kolidować z lokalną inspekcją; aplikacje z certificate pinning mogą ją omijać.
• Brak pełnego audytu przeglądania: zwykłe dozwolone wizyty nie są logowane.
• Brak natywnego konektora SIEM dla logów WAM w pierwszym wydaniu; pozostaje portal i kanał e-mail do ITSM.
• Limit skanowania w chmurze: analiza wielosilnikowa nieznanych plików obejmuje pliki do 250 MB.
• Zależności integracyjne: MFA i Intune compliance gating wymagają Entra ID Connector, a owner-only downloads – utrzymanej inwentaryzacji właścicieli urządzeń.

Dokumenty producenta podają rozbieżny czas ważności czasowego dostępu do zablokowanej strony, dlatego celowo nie podajemy tu liczby godzin. Przed opisaniem tego parametru w wewnętrznej procedurze potwierdź zachowanie w swoim portalu.

Co jeszcze zmienia Admin By Request for Windows 9.0?

Poza Web Access Management wydanie 9.0 dodaje dwie funkcje związane z sesjami administracyjnymi. Obie opisuje dokument Release Notes: Admin By Request for Windows 9.0.

• Extend Active Session Timer – użytkownik może przedłużyć trwającą Admin Session bez czekania na jej wygaśnięcie i bez ponownego MFA, jeżeli pozwala na to polityka. Administrator określa liczbę i długość przedłużeń, a zdarzenie jest logowane.
• Zdalne zakończenie sesji z podwyższonymi uprawnieniami – uprawniony administrator portalu może natychmiast zakończyć aktywną Admin Session, opcjonalnie uruchomić okres blokady ponownej elewacji i wymusić zamknięcie procesów działających z podwyższonymi uprawnieniami.

Jak podejść do wdrożenia?

Zacznij od obserwacji, nie od blokowania. Dokumentacja producenta rekomenduje podejście: najpierw otworzyć i obserwować pobrania, następnie zbudować reguły dla rzeczywiście używanego oprogramowania, a dopiero później zaostrzać politykę. Kolejność kroków opisuje przewodnik Getting Started with Web Access Management.

1. Uruchom pilotaż na niewielkiej grupie urządzeń Windows 10/11 z agentem 9.0.
2. Sprawdź współdziałanie z EDR, VPN i wszystkimi warstwami prowadzącymi inspekcję TLS.
3. Zidentyfikuj legalne źródła oprogramowania i zbuduj pre-approval na możliwie wąskich kryteriach.
4. Włącz skanowanie, logowanie i proces akceptacji przed twardym ograniczeniem pobrań.
5. Dodaj MFA, zgodność Intune i polityki owner-only tylko tam, gdzie są uzasadnione ryzykiem.
6. Rozdziel ustawienia dla użytkowników standardowych, IT, grup wysokiego ryzyka i urządzeń współdzielonych.
7. Po pilotażu rozszerz zakres oraz ustal właściciela reguł, obsługę wyjątków i cykl przeglądu logów.

Miarą udanego pilotażu nie jest działający agent, tylko liczba zgłoszeń, które trafiają do helpdesku po włączeniu egzekwowania. Jeżeli po dwóch tygodniach kolejka akceptacji rośnie, problemem jest zwykle zbyt wąski pre-approval, a nie sam mechanizm kontroli.

Licencjonowanie i plan bezpłatny

Web Access Management jest osobnym produktem i SKU. Może działać samodzielnie lub obok Endpoint Privilege Management i Secure Remote Access, ale obecna subskrypcja EPM albo SRA nie aktywuje go automatycznie. Producent udostępnia osobny bezpłatny plan WAM obejmujący do 25 endpointów Windows bez ograniczenia czasowego. To wystarczający zakres do wykonania kontrolowanego proof of concept przed decyzją o szerszym wdrożeniu.

Źródła producenta

Status dostępności, wymagania i parametry techniczne opisane w tym artykule opierają się na dokumentacji technicznej Admin By Request. Materiały marketingowe producenta mogą być aktualizowane z opóźnieniem – w razie rozbieżności pierwszeństwo mają release notes i dokumentacja techniczna.

• Admin By Request Documentation Center: Web Access Management
• Release Notes: Admin By Request for Windows 9.0
• Getting Started with Web Access Management
• Web Access Settings Reference
• Web Access Management Spec Sheet 9.0
• Web Access Management: Full Product FAQ
• Web Access Management – karta produktu
• How Web Access Management works and where it fits
• Admin By Request: Core Features

Podsumowanie

Web Access Management uzupełnia Admin By Request o kontrolę wcześniejszego etapu ryzyka: zanim program trafi do użytkownika i zanim pojawi się pytanie o podwyższenie jego uprawnień. Najmocniejszy wariant to połączenie WAM, Endpoint Privilege Management i EDR – trzy warstwy odpowiadają wtedy kolejno na pytania: czy pobranie jest dozwolone, czy program może działać z wyższymi uprawnieniami i czy jego zachowanie jest bezpieczne.

WAM nie zastępuje pełnego Secure Web Gateway, CASB, DLP ani EDR, a pierwsze wydanie obejmuje wyłącznie Windows i nie ma natywnego konektora SIEM. Przy tych zastrzeżeniach zamyka realną lukę między przeglądarką a kontrolą wykonania aplikacji – i robi to bez dokładania kolejnej infrastruktury sieciowej.

Sprawdź Web Access Management na 25 endpointach

Jeżeli chcesz zweryfikować WAM w swoim środowisku, zacznij od bezpłatnego pilotażu. Securivy może pomóc sprawdzić zgodność z EDR, VPN i obecną inspekcją TLS oraz zaprojektować polityki pobierania, wyjątków i akceptacji. Celem testu powinien być nie tylko działający agent, ale potwierdzenie, że kontrola ogranicza ryzyko bez tworzenia kolejki ręcznych zgód.

🚀 Załóż bezpłatne konto (plan WAM: do 25 endpointów Windows, bez limitu czasu):
https://yio8.share-eu1.hsforms.com/2xEClvW7_TeK4bt8TfYFqng

🎯 Omów wdrożenie i otrzymaj indywidualną wycenę:
https://share.hsforms.com/1b9xK7GEXQuOVP2jCZ59SqQyio8

🎥 Obejrzyj webinar VOD: Demo Admin By Request
https://youtu.be/OE7ummPiyYc

FAQ – najczęściej zadawane pytania