Verwalten Sie BitLocker einfach

Holen Sie sich zuerst einen Agenten auf jeder Maschine

Die Konsole kann nur verwalten, was sie sehen kann. Auf jedem PC muss zunächst der Endpoint Central-Agent installiert und gemeldet werden. Ohne Agent ist ein Computer für die Richtlinie, den Schlüsseltresor und jeden Bericht in diesem Handbuch unsichtbar.

Vergleichen Sie die Maschinenliste der Konsole mit dem, was das Büro tatsächlich besitzt – Kaufdatensätze, die Active Directory-Computerliste, ein Netzwerkscan. Ein fehlender PC sei „wahrscheinlich nicht verschlüsselt“; es ist unbekannt, und unbekannt ist das Risiko. Flottenverschlüsselungsprojekte scheitern normalerweise an diesem Schritt der Sichtbarkeit, nicht am Schritt der Verschlüsselung – schließen Sie zuerst die Lücke.

Schreiben Sie eine Richtlinie, bevor Sie einen PC berühren

Erstellen Sie die BitLocker-Richtlinie zentral, anstatt PCs einzeln zu konfigurieren. Eine Richtlinie ist eine Definition von „richtig verschlüsselt“, und die exemplarische Vorgehensweise des Videos legt die wichtigen Entscheidungen fest:

Schutz: TPM entsperrt das Laufwerk nur automatisch beim Booten – ein gestohlener Laptop erreicht immer noch den Windows-Anmeldebildschirm. TPM + PIN fragt vor dem Start von Windows nach einer PIN, was die Einstellung ist, die einen Dieb wirklich aufhält; Bei Laptops, die unterwegs sind, lohnt sich die kleine tägliche Reibung. Maschinen ohne TPM können einen Passphrase-Schutz verwenden – eine bewusste Entscheidung, kein Zufall.

Algorithmus und Umfang:

Richten Sie eine Schlüsselhinterlegung ein – und überprüfen Sie sie, bevor Sie etwas durchsetzen

Jedes BitLocker-Laufwerk verfügt über einen 48-stelligen Wiederherstellungsschlüssel, und an dem Tag, an dem ein PC den blauen Wiederherstellungsbildschirm anzeigt, ist dieser Schlüssel das einzige, was zwischen dem Benutzer und einem gelöschten Laufwerk steht. Escrow bedeutet, dass der Schlüssel automatisch erfasst und dort gespeichert wird, wo die Organisation ihn kontrolliert: auf dem Endpoint Central-Server, mit der Option, Schlüssel auch in Active Directory oder Azure AD zu sichern.

Die Regel von Endpoint Central ist streng, und die Strenge ist die Funktion: Die Verschlüsselung beginnt erst, wenn der Wiederherstellungsschlüssel sicher auf dem Server gespeichert wurde. Ein Laufwerk kann niemals verschlüsselt werden, wenn der einzige Schlüssel auf dem Computer selbst verbleibt.

Geben Sie die Richtlinie zunächst an eine Pilotgruppe weiter

Stellen Sie die fertige Richtlinie einer kleinen Pilotgruppe vor dem gesamten Büro zur Verfügung – ein paar Maschinen, zu denen Sie gehen können. Beobachten Sie, wie sie sich durch die Konsolenzustände bewegen, bestätigen, dass der Wiederherstellungsschlüssel jedes einzelnen Geräts im Tresor gelandet ist, und erst dann den Rollout auf Gruppen von Maschinen ausweiten (ManageEngine dokumentiert Push-Vorgänge von bis zu 250 Geräten gleichzeitig). Neue Maschinen können die Police bei ihrem Beitritt automatisch übernehmen, sodass die Flotte auch nach Projektende abgesichert bleibt.

Lesen Sie die Statustafel – Verschlüsselt, Ausstehend, Nicht konform

Von hier aus besteht die Aufgabe darin, zu lesen, nicht zu reisen. In der Ansicht „Von BitLocker verwaltete Computer“ der Konsole wird jeder verwaltete Computer in einem von drei Zuständen angezeigt: Verschlüsselt, Verschlüsselung ausstehend oder Nicht konform. Auf dieser Tafel – kein Rundgang durch das Büro – antworten Sie: „Welche unserer PCs sind immer noch nicht verschlüsselt?“

Bearbeiten Sie die Lückenliste in der Risikoreihenfolge

„Ausstehend“ und „Nicht konform“ sind Symptome, keine Diagnosen. Die üblichen Ursachen: Der Automat hat sich nicht eingecheckt (ausgeschaltet, im Urlaub, Agent meldet sich nicht mehr); eine Voraussetzung ist fehlgeschlagen – die Prüfungen der Konsole vor der Bereitstellung kennzeichnen Klassiker wie BIOS-Modus-Inkompatibilität und TPM-Besitzfehler; Die Maschine verfügt über kein TPM und es war kein Passphrase-Fallback geplant. oder die Windows-Edition kann BitLocker überhaupt nicht – ein Windows Home-Computer bleibt für immer in der Lücke, bis er aktualisiert oder ersetzt wird.

Durchsuchen Sie die Liste in der Reihenfolge der Risiken: Laptops, die das Gebäude zuerst verlassen, dann Maschinen mit sensiblen Daten (Konten, Personalwesen, Kundendaten), dann Desktops in gemeinsam genutzten Bereichen und dann feste Desktops in kontrollierten Räumen. Und überprüfen Sie die Fertigstellung auf jedem Computer ordnungsgemäß: Der Status wird Verschlüsselt angezeigt und Sie können den Wiederherstellungsschlüssel aus dem Tresor abrufen. Beides – nicht eines.

Beweisen Sie es – Berichte, die Wiederherstellungsübung und eine lokale Überprüfung

Wenn das Board sauber ist, rufen Sie den Verschlüsselungsbericht ab: Welche Maschinen sind mit welcher Richtlinie verschlüsselt und ob der Schlüssel jedes Laufwerks gespeichert ist. Dieser Bericht ist der Prüfbeweis – der Unterschied zwischen „Wir glauben, dass wir verschlüsselt sind“ und einem Dokument, das Sie übergeben können.

Dann wiederholen Sie einmal den schlimmsten Tag: Wählen Sie eine Maschine aus, öffnen Sie die Wiederherstellungsschlüsselsuche der Konsole und rufen Sie den Schlüssel ab, so wie Sie es bei einer echten Aussperrung tun würden. Escrow, das Sie noch nie getestet haben, ist eine Hoffnung, kein System. Machen Sie dasselbe, wenn Mitarbeiter wechseln: Wenn ein Mitarbeiter geht, tauschen Sie Schlüssel und Zutritt ordnungsgemäß aus, anstatt den alten Zugang und die alten Schlüssel aktiv zu lassen.

Wenn Sie selbst an einem PC sitzen, können Sie den Status dieses Computers über eine Administrator-Eingabeaufforderung überprüfen:

manage-bde -status C:

Das verrät Ihnen den Zustand dieses Laufwerks – es sagt nichts darüber aus, wo sich sein Wiederherstellungsschlüssel befindet. Der Tresor ist die Antwort auf diese zweite Frage und der Sinn und Zweck der Verwaltung von BitLocker über eine Konsole.