إدارة BitLocker بسهولة

احصل على وكيل لكل جهاز أولاً

يمكن لوحدة التحكم إدارة ما يمكنها رؤيته فقط. يحتاج كل جهاز كمبيوتر أولاً إلى تثبيت وكيل Endpoint Central وإعداد التقارير - بدون وكيل، يكون الجهاز غير مرئي للسياسة ولخزنة المفاتيح ولكل تقرير في هذا الدليل.

قارن قائمة الأجهزة الخاصة بوحدة التحكم بما يمتلكه المكتب فعليًا - شراء السجلات، وقائمة كمبيوتر Active Directory، وفحص الشبكة. أي جهاز كمبيوتر مفقود ليس "مشفرًا على الأرجح"؛ إنه غير معروف، والمخاطر غير معروفة. عادةً ما تفشل مشاريع تشفير الأسطول في خطوة الرؤية هذه، وليس في خطوة التشفير - أغلق الفجوة أولاً.

اكتب سياسة واحدة قبل لمس أي جهاز كمبيوتر

قم بإنشاء سياسة BitLocker مركزيًا بدلاً من تكوين أجهزة الكمبيوتر واحدًا تلو الآخر. السياسة هي أحد تعريفات "التشفير بشكل صحيح"، وتحدد الإرشادات التفصيلية للفيديو القرارات المهمة:

الحامي: يقوم TPM فقط بإلغاء قفل محرك الأقراص تلقائيًا عند التمهيد - لا يزال الكمبيوتر المحمول المسروق يصل إلى شاشة تسجيل الدخول إلى Windows. يطلب TPM + PIN إدخال رقم PIN قبل بدء تشغيل Windows، وهو الإعداد الذي يوقف اللص فعليًا؛ بالنسبة لأجهزة الكمبيوتر المحمولة التي تسافر، فإن الأمر يستحق الاحتكاك اليومي البسيط. يمكن للأجهزة التي لا تحتوي على TPM استخدام أداة حماية عبارة المرور - وهو اختيار متعمد، وليس من قبيل الصدفة أبدًا.

الخوارزمية والنطاق: XTS-AES 128 أو 256 (256 هو ما يرغب معظم المدققين في رؤيته مكتوبًا؛ ولا يتم فرض أي منهما في الممارسة العملية)، والتشفير المستخدم للمساحة فقط للأجهزة الجديدة تمامًا مقابل القرص الكامل لأي جهاز موجود بالفعل في الخدمة، لأن المساحة "الفارغة" لا تزال تحتوي على الملفات المحذوفة.

قم بإعداد ضمان المفتاح — وتحقق منه قبل فرض أي شيء

يحتوي كل محرك أقراص BitLocker على مفتاح استرداد مكون من 48 رقمًا، وفي اليوم الذي يعرض فيه جهاز الكمبيوتر شاشة الاسترداد الزرقاء، يكون هذا المفتاح هو الشيء الوحيد بين المستخدم ومحرك الأقراص الذي تم مسحه. الضمان يعني أنه يتم جمع المفتاح تلقائيًا وتخزينه حيث تتحكم فيه المؤسسة: على خادم Endpoint Central، مع خيار نسخ المفاتيح احتياطيًا أيضًا في Active Directory أو Azure AD.

قاعدة Endpoint Central صارمة، والصرامة هي الميزة: لا يبدأ التشفير حتى يتم تخزين مفتاح الاسترداد بأمان على الخادم. لا يمكن أبدًا تشفير محرك الأقراص باستخدام مفتاحه الوحيد الموجود على الجهاز نفسه.

ادفع السياسة إلى المجموعة التجريبية أولاً

انشر السياسة النهائية لمجموعة تجريبية صغيرة قبل المكتب بأكمله — عدد قليل من الأجهزة التي يمكنك التوجه إليها. شاهدهم وهم يتحركون عبر حالات وحدة التحكم، ويتأكدون من وصول مفتاح الاسترداد الخاص بكل واحد منهم إلى القبو، وعندها فقط يتم توسيع نطاق الطرح ليشمل مجموعات من الأجهزة (يتم دفع مستندات ManageEngine لما يصل إلى 250 جهازًا في المرة الواحدة). يمكن للأجهزة الجديدة التقاط البوليصة تلقائيًا عند انضمامها، لذلك يظل الأسطول مشمولاً بالتغطية بعد انتهاء المشروع.

اقرأ لوحة الحالة — مشفرة، معلقة، غير متوافقة

من هنا الوظيفة هي القراءة وليس السفر. تعرض طريقة عرض أجهزة الكمبيوتر المُدارة باستخدام BitLocker لوحدة التحكم كل جهاز مُدار في إحدى الحالات الثلاث: مشفر، أو في انتظار التشفير، أو غير متوافق. هذه اللوحة - وليس التجول في المكتب - هي الطريقة التي تجيب بها "أي من أجهزة الكمبيوتر لدينا لا تزال غير مشفرة؟"

العمل على قائمة الفجوات في ترتيب المخاطر

"معلق" و"غير متوافق" هما أعراض وليس تشخيصات. الأسباب المعتادة: عدم وصول الجهاز (إيقاف التشغيل، أثناء الإجازة، توقف الوكيل عن الإبلاغ)؛ فشل أحد المتطلبات الأساسية - يتحقق النشر المسبق لوحدة التحكم من العناصر الكلاسيكية مثل عدم توافق وضع BIOS وأخطاء ملكية TPM؛ لا يحتوي الجهاز على وحدة TPM ولم يتم التخطيط لإجراء احتياطي لعبارة المرور؛ أو أن إصدار Windows لا يمكنه تشغيل BitLocker على الإطلاق - سيبقى جهاز Windows Home في الفجوة إلى الأبد حتى تتم ترقيته أو استبداله.

امسح القائمة بترتيب المخاطر: أجهزة الكمبيوتر المحمولة التي تغادر المبنى أولاً، ثم الأجهزة التي تحتوي على بيانات حساسة (الحسابات والموارد البشرية وسجلات العملاء)، ثم أجهزة الكمبيوتر المكتبية في المناطق المشتركة، ثم أجهزة الكمبيوتر المكتبية الثابتة في الغرف الخاضعة للتحكم. وتحقق من الانتهاء بشكل صحيح على كل جهاز: تظهر الحالة مشفر و ويمكنك استرداد مفتاح الاسترداد الخاص به من المخزن. كلاهما – وليس واحدا.

إثبات ذلك - التقارير، وتدريبات الاسترداد، والفحص المحلي

عندما تكون اللوحة نظيفة، اسحب تقرير التشفير: ما هي الأجهزة التي تم تشفيرها، وبأي سياسة، وما إذا كان يتم تخزين مفتاح كل محرك أقراص أم لا. هذا التقرير هو دليل التدقيق - وهو الفرق بين عبارة "نعتقد أننا مشفرون" والمستند الذي يمكنك تسليمه.

ثم تدرب على أسوأ يوم مرة واحدة: اختر جهازًا، وافتح مفتاح البحث عن مفتاح الاسترداد الخاص بوحدة التحكم، واسترد مفتاحه بالطريقة التي تفعلها أثناء الإغلاق الحقيقي. الضمان الذي لم تختبره من قبل هو أمل وليس نظامًا. افعل الشيء نفسه عندما يتغير الأشخاص: عندما يغادر أحد الموظفين، قم بتدوير المفاتيح والوصول بشكل صحيح بدلاً من ترك الوصول القديم والمفاتيح القديمة مباشرة.

من خلال الجلوس أمام جهاز كمبيوتر شخصي واحد، يمكنك التحقق من حالة هذا الجهاز من خلال موجه أوامر المسؤول:

manage-bde -status C:

يخبرك هذا بحالة محرك الأقراص هذا - ولا يذكر شيئًا عن مكان وجود مفتاح الاسترداد الخاص به. القبو هو الإجابة على هذا السؤال الثاني، وهو بيت القصيد من إدارة BitLocker من وحدة تحكم واحدة.