Spravujte BitLocker snadno

Získejte nejprve agenta na každém počítači

Konzole může spravovat pouze to, co vidí. Na každém počítači je nejprve potřeba nainstalovat agenta Endpoint Central a podávat zprávy – bez agenta je počítač neviditelný pro zásady, trezor klíčů ani pro každou zprávu v této příručce.

Porovnejte seznam počítačů konzoly s tím, co kancelář skutečně vlastní – záznamy o nákupech, seznam počítačů v Active Directory, skenování sítě. Žádný počítač, který chybí, není „pravděpodobně zašifrovaný“; je neznámý a neznámé je riziko. Projekty šifrování vozového parku obvykle selhávají v tomto kroku viditelnosti, nikoli v kroku šifrování – nejprve uzavřete mezeru.

Napište jednu zásadu, než se dotknete jakéhokoli počítače

Vytvořte zásadu BitLocker centrálně namísto konfigurování počítačů po jednom. Zásady jsou jednou z definic slova „správně šifrováno“ a návod k videu určuje rozhodnutí, na kterých záleží:

Protektor: TPM odemkne disk pouze automaticky při spouštění – ukradený notebook se stále dostane na přihlašovací obrazovku Windows. TPM + PIN požaduje PIN ještě před spuštěním Windows, což je nastavení, které skutečně zastaví zloděje; u notebooků, které cestují, stojí za to malé denní tření. Stroje bez modulu TPM mohou používat ochranu přístupové fráze – záměrná volba, nikdy nehoda.

Algoritmus a rozsah: XTS-AES 128 nebo 256 (256 je to, co většina auditorů ráda vidí zapsána; ani jedno není v praxi vynuceno hrubou silou) a šifrování pouze s využitím místa pro zcela nové stroje versus plný disk pro jakýkoli stroj, který je již v provozu, protože „prázdné“ místo stále obsahuje smazané soubory.

Nastavte úschovu klíče – a ověřte ji, než cokoliv vynutíte

Každý disk BitLocker má 48místný klíč pro obnovení a v den, kdy počítač zobrazí modrou obrazovku obnovení, je tento klíč jedinou věcí mezi uživatelem a vymazaným diskem. Escrow znamená, že klíč je shromažďován automaticky a uložen tam, kde jej má organizace pod kontrolou: na serveru Endpoint Central s možností také zálohovat klíče do Active Directory nebo Azure AD.

Pravidlo Endpoint Central je přísné a přísností je funkce: šifrování se nespustí, dokud není klíč pro obnovení bezpečně uložen na serveru. Jednotka nemůže nikdy skončit zašifrovaná s jediným klíčem uvázaným na samotném počítači.

Nejprve předejte zásadu pilotní skupině

Rozmístěte hotovou politiku do malé pilotní skupiny před celou kanceláří – několik strojů, ke kterým můžete přejít. Sledujte, jak procházejí stavy konzole, ověřte, že klíč pro obnovení každého z nich přistál v trezoru, a teprve potom rozšiřte zavádění na skupiny počítačů (dokumenty ManageEngine tlačí až 250 zařízení najednou). Nové stroje si mohou zásady automaticky převzít, jakmile se připojí, takže flotila zůstane pokryta i po skončení projektu.

Přečtěte si stavovou desku – šifrované, čekající, nevyhovující

Odtud je práce číst, ne cestovat. Zobrazení BitLocker Managed Computers konzoly přenáší každý spravovaný počítač v jednom ze tří stavů: Zašifrováno, Čeká na šifrování nebo Nevyhovuje. Na této tabuli – nikoli na procházce po kanceláři – odpovídáte „které z našich počítačů stále nejsou zašifrované?“

Zpracujte seznam mezer v pořadí rizika

„Nevyřízené“ a „Nevyhovující“ jsou příznaky, nikoli diagnózy. Obvyklé příčiny: stroj se nepřihlásil (vypnutý, na dovolené, agent přestal hlásit); předpoklad selhal – před nasazením konzoly se kontrolují klasické příznaky, jako je nekompatibilita režimu BIOS a chyby vlastnictví TPM; stroj nemá TPM a nebylo plánováno žádné nouzové heslo; nebo edice pro Windows neumí BitLocker vůbec – počítač se systémem Windows Home zůstane v mezeře navždy, dokud nebude upgradován nebo nahrazen.

Vyčistěte seznam v pořadí podle rizik: notebooky, které opouštějí budovu jako první, pak stroje uchovávající citlivá data (účty, HR, záznamy o zákaznících), pak stolní počítače ve sdílených oblastech a poté pevné stolní počítače v kontrolovaných místnostech. A řádně ověřte dokončení na každém počítači: stav ukazuje Zašifrováno a můžete získat jeho obnovovací klíč z trezoru. Oba — ne jeden.

Dokažte to — Zprávy, cvičení pro obnovu a místní kontrola

Když je deska čistá, vytáhněte zprávu o šifrování: které počítače jsou šifrovány, s jakou politikou a zda je uložen klíč každého disku. Tato zpráva je důkazem auditu – rozdíl mezi „domníváme se, že jsme zašifrováni“ a dokumentem, který můžete předat.

Pak si ten nejhorší den jednou vyzkoušejte: vyberte si počítač, otevřete na konzole vyhledání klíče pro obnovení a získejte jeho klíč stejným způsobem, jako byste to udělali při skutečném zablokování. Úschova, kterou jste nikdy nezkoušeli, je naděje, nikoli systém. Udělejte totéž, když se lidé mění: když zaměstnanec odejde, otočte klíči a řádně přistupujte, místo abyste nechali svůj starý přístup a staré klíče naživu.

Sami sedíte u jednoho počítače a můžete zkontrolovat vlastní stav tohoto počítače z příkazového řádku správce:

manage-bde -status C:

To vám říká stav tohoto disku – neříká to nic o tom, kde se nachází jeho obnovovací klíč. Trezor je odpovědí na tuto druhou otázku a je to celý smysl správy BitLockeru z jedné konzoly.