TgWitnessДовідка / Налаштування
Доступ та дозволи
Надавайте доступ до облікових записів та чатів з обмеженим обсягом повноважень, обирайте права доступу, обмежуйте сеанси та IP-адреси, а також скасовуйте доступ.
Надайте рецензенту доступ до одного чату, аналітику — дозвіл на експорт справи, а оператору — контроль над обраними акаунтами. Кожна особа отримує власний токен. Головний токен панелі залишається у адміністратора.
Налаштування облікового запису · Маршрути підключення · Модель безпеки
Дві сфери застосування, дві різні посади#
Обсяг збору даних визначає, що саме записує обліковий запис: вибрані чати, папку Telegram або весь обліковий запис. Обсяг доступу визначає, які з цих записаних облікових записів та чатів може переглядати та використовувати інша особа. Надання доступу не означає приєднання до чату Telegram, початок збору даних або надання дозволів на доступ до облікового запису Telegram.
Доступ може відкривати вибрані робочі простори, вибрані чати в їх межах або всі робочі простори. Усі робочі простори, включаючи додані пізніше, також охоплюють майбутні облікові записи. Явно вибирайте робочі простори, коли справа має обмежуватися лише ними.
Надати комусь доступ#
- Увійдіть як головний адміністратор і відкрийте розділ «Доступ».
- У розділі «Надати комусь доступ» введіть ім’я, яке ви зможете впізнати в журналі.
- Виберіть робочі простори та, за потреби, окремі чати.
- Виберіть, що ця особа може робити. Опція «Переглянути» завжди включена.
- Налаштуйте термін дії, обмеження на входи/сесії та дозволені адреси відповідно до потреб.
- Натисніть «Створити доступ». Скопіюйте токен зараз: він відображається лише один раз.
- Надішліть адресу панелі та токен у приватному повідомленні. Одержувач вводить цей токен на звичайній сторінці входу; йому не потрібен ваш основний токен панелі чи сесія Telegram.
Відкрийте панель із виданим токеном в окремій сесії браузера та перевірте доступні чати та дозволені дії, перш ніж передати його.
Виберіть права доступу#
| Дозвіл | Що це дозволяє |
|---|---|
view |
Переглядайте дозволені чати, збережені повідомлення, профілі, файли та відфільтровані записи журналу. Завжди включено. |
export |
Дозволено експортувати історію чатів та досьє. Для експорту доказів з усього робочого простору необхідний доступ до всього робочого простору. |
sources |
Управління джерелами, знімками екрана та збереженням профілів. Доступ, обмежений чатами, діє лише для дозволених чатів; функції пошуку джерел та налаштування сфери дії для всього облікового запису залишаються недоступними. |
collect |
Запустити або зупинити колектор. Потрібен доступ до всього робочого простору, оскільки збір даних впливає на обліковий запис. |
interact |
Виконуйте підтримувані дії в Telegram у межах наданого доступу. При обмеженому доступі до чату неможливо використовувати попередній перегляд посилань для всього облікового запису. |
settings |
Змінюйте налаштування збору даних, часові мітки, сповіщення, зовнішні копії та параметри. Потрібен доступ до всього робочого простору. |
account |
Увійдіть або вийдіть із Telegram та керуйте маршрутами з’єднання. Потрібен доступ до всього робочого простору. |
Права доступу та їхній обсяг перевіряються одночасно. Встановлення галочки біля права доступу не відкриває інші чати та не розблоковує операції на рівні робочого простору для доступу, обмеженого одним чатом. Для паралельного експорту доступ повинен охоплювати експортований чат у кожному вибраному обліковому записі. Наданий доступ не дозволяє створювати нові доступи, керувати сесіями інших користувачів або відкривати консоль адміністратора.
Три корисні налаштування#
| Особа | Сфера застосування | Дозволи |
|---|---|---|
| Рецензент | Записані чати з однієї справи | view |
| Аналітик, який готує передачу справ | Чати для розслідування та експорту | view, export; додайте interact лише в тому випадку, якщо їм потрібно діяти через Telegram |
| Оператор збору даних | Вибрані цілі робочі простори | view, sources, collect; додавайте settings або account лише за потреби |
Це приклади, які ви налаштовуєте за допомогою прапорців дозволів, а не фіксовані ролі.
Обмеження та сесії#
| Налаштування | Як це працює |
|---|---|
| Паралельні сесії | Обмежте кількість одночасних сеансів до 1–100. При досягненні межі відхиліть наступний вхід або завершіть найстаріший сеанс. |
| Доступний вхід у систему | Обмежте кількість успішних використань токена для запуску сеансів. Існуючі сеанси не завершуються лише через те, що було використано останній дозволений вхід. |
| Дійсно до | Абсолютний термін дії доступу. Користувач із простроченим доступом не може увійти в систему або продовжувати надсилати запити. |
| Протоколи без активності | Тайм-аут неактивності сесії — від 5 хвилин до 30 днів. Успішні запити подовжують цей час; відкрита панель може підтримувати свою активність за допомогою періодичних запитів. |
| Дозволені адреси | Дозвольте використання конкретних IP-адрес або підмереж CIDR. Залиште поле порожнім, щоб дозволити будь-яку адресу, якщо не ввімкнено прив’язку до першого входу. |
| Прив’язати до першого входу | Після першого успішного входу система фіксує дозволену адресу для цього доступу. |
IP-адреса — це адреса клієнта, яку бачить додаток. Якщо ви перебуваєте за зворотним проксі-сервером або тунелем, перш ніж покладатися на правила, пов’язані з IP-адресами, перевірте адресу, вказану в розділі «Відкриті сесії»: інакше може здатися, що кілька користувачів використовують одну й ту саму адресу проксі-сервера.
Змінити або скасувати доступ#
Відредагуйте запис у розділі «Доступи», щоб змінити його сферу дії, дозволи або обмеження. Зміни сфери дії та дозволів перевіряються під час наступних запитів, включаючи запити з сеансів, які вже відкриті. Скасування доступу припиняє його сеанси та робить виданий токен непридатним для використання. Функція «Відкриті сеанси» також дозволяє адміністратору завершити окремий сеанс без скасування всього доступу.
Скасування не дозволяє відкликати файли, які хтось уже завантажив. Вихід із системи, блокування панелі або завершення сеансу не зупиняють роботу колектора.
Що бачить адміністратор#
Журнал з моменту запуску поєднує журнали процесів із записами активності з кожного робочого простору: входи, відмови, зміни маршруту та дії оператора. Це консоль у пам’яті для поточного процесу, а не постійна копія кожного повідомлення. Події, що повторюються часто, залишаються в журналі, а не заповнюють консоль.
Надання, зміна та скасування доступу, а також початок або закінчення сеансів також створюють
підписані записи в журналі access.*. Токени не включаються до цих записів.
Видані токени та облікові дані сеансів зберігаються у вигляді хеш-значень у зашифрованому сховищі.