Administrer BitLocker nemt

Få en agent på hver maskine først

Konsollen kan kun administrere, hvad den kan se. Hver pc skal først have Endpoint Central-agenten installeret og rapporteret ind - uden en agent er en maskine usynlig for politikken, for nøgleboksen og for hver rapport i denne vejledning.

Sammenlign konsollens maskinliste med det, kontoret faktisk ejer - købsregistreringer, Active Directory-computerlisten, en netværksscanning. Enhver pc, der mangler, er ikke "sandsynligvis krypteret"; det er ukendt, og ukendt er risikoen. Flådekrypteringsprojekter mislykkes normalt ved dette synlighedstrin, ikke ved krypteringstrinnet - luk hullet først.

Skriv én politik, før du rører en hvilken som helst pc

Opret BitLocker-politikken centralt i stedet for at konfigurere pc'er én efter én. En politik er én definition af "krypteret korrekt", og videoens gennemgang bestemmer de beslutninger, der betyder noget:

Beskytter: TPM låser kun drevet op automatisk ved opstart - en stjålet bærbar computer når stadig Windows-loginskærmen. TPM + PIN beder om en PIN-kode, før Windows overhovedet starter, hvilket er den indstilling, der virkelig stopper en tyv; for bærbare computere, der rejser, er det den lille daglige friktion værd. Maskiner uden en TPM kan bruge en adgangssætningsbeskytter - et bevidst valg, aldrig et uheld.

Algorithme og omfang: XTS-AES 128 eller 256 (256 er, hvad de fleste revisorer kan lide at se nedskrevet; heller ikke bliver brute-forced i praksis), og kryptering med kun brugt plads til splinternye maskiner versus fuld disk for enhver maskine, der allerede er i brug, fordi "slettede" filer stadig holder.

Konfigurer Key Escrow - og bekræft det, før du håndhæver noget

Hvert BitLocker-drev har en 48-cifret gendannelsesnøgle, og den dag en pc viser den blå gendannelsesskærm, er denne nøgle den eneste ting mellem brugeren og et slettet drev. Escrow betyder, at nøglen indsamles automatisk og gemmes, hvor organisationen kontrollerer den: på Endpoint Central-serveren, med mulighed for også at sikkerhedskopiere nøgler i Active Directory eller Azure AD.

Endpoint Centrals regel er streng, og strengheden er funktionen: kryptering starter ikke, før gendannelsesnøglen er blevet sikkert gemt på serveren. Et drev kan aldrig ende med at blive krypteret med dens eneste nøgle strandet på selve maskinen.

Send først politikken til en pilotgruppe

Implementer den færdige politik til en lille pilotgruppe før hele kontoret - et par maskiner, du kan gå over til. Se dem bevæge sig gennem konsoltilstandene, bekræfte, at hver enkelts gendannelsesnøgle landede i hvælvingen, og kun derefter udvide udrulningen til grupper af maskiner (ManageEngine dokumenterer push på op til 250 enheder ad gangen). Nye maskiner kan hente policen automatisk, efterhånden som de tilslutter sig, så flåden forbliver dækket efter projektets afslutning.

Læs statustavlen — krypteret, afventende, ikke-kompatibel

Herfra er jobbet at læse, ikke at rejse. Konsollens BitLocker Managed Computers-visning bærer hver administreret maskine i en af ​​tre tilstande: Krypteret, Afventer kryptering eller Ikke-kompatibel. Den tavle - ikke en tur rundt på kontoret - er, hvordan du svarer "hvilke af vores pc'er er stadig ikke krypteret?"

Arbejd gaplisten i risikorækkefølge

"Afventer" og "Ikke-kompatible" er symptomer, ikke diagnoser. De sædvanlige årsager: maskinen har ikke tjekket ind (fra, på orlov, agent holdt op med at rapportere); en forudsætning mislykkedes — konsollens forudinstallation kontrollerer flagklassikere som BIOS-tilstandsinkompatibilitet og TPM-ejerskabsfejl; maskinen har ingen TPM, og der var ikke planlagt nogen adgangssætning; eller Windows-udgaven kan slet ikke gøre BitLocker - en Windows Home-maskine vil sidde i hullet for evigt, indtil den er opgraderet eller udskiftet.

Ryd listen i risikorækkefølge: bærbare computere, der forlader bygningen først, derefter maskiner med følsomme data (konti, HR, kunderegistreringer), derefter stationære computere i delte områder, derefter faste desktops i kontrollerede rum. Og bekræft finishen korrekt på hver maskine: status viser Krypteret og du kan hente dens gendannelsesnøgle fra boksen. Begge - ikke en.

Bevis det - rapporter, genoprettelsesøvelsen og en lokal kontrol

Når brættet er rent, skal du trække krypteringsrapporten: hvilke maskiner er krypteret, med hvilken politik, og om hvert drevs nøgle er gemt. Denne rapport er revisionsbeviset — forskellen mellem "vi tror, ​​vi er krypteret" og et dokument, du kan aflevere.

Så øv den værste dag én gang: vælg en maskine, åbn konsollens gendannelsesnøgleopslag, og hent dens nøgle, som du ville gøre under en rigtig lockout. Escrow, du aldrig har testet, er et håb, ikke et system. Gør det samme, når folk ændrer sig: Når en medarbejder forlader, skal du rotere nøgler og få adgang korrekt i stedet for at lade deres gamle adgang og gamle nøgler være levende.

Når du selv sidder ved en pc, kan du kontrollere maskinens egen tilstand fra en admin kommandoprompt:

manage-bde -status C:

Det fortæller dig dette drevs tilstand - det siger intet om, hvor dets gendannelsesnøgle bor. Hvælvingen er svaret på det andet spørgsmål, og det er hele pointen med at administrere BitLocker fra én konsol.