Διαχειριστείτε το BitLocker Εύκολα

Λάβετε πρώτα έναν πράκτορα σε κάθε μηχανή

Η κονσόλα μπορεί να διαχειριστεί μόνο αυτό που μπορεί να δει. Κάθε υπολογιστής χρειάζεται πρώτα να εγκατασταθεί ο κεντρικός πράκτορας Endpoint Central και να υποβάλει αναφορά — χωρίς πράκτορα, ένα μηχάνημα είναι αόρατο στην πολιτική, στο θησαυροφυλάκιο κλειδιών και σε κάθε αναφορά σε αυτόν τον οδηγό.

Συγκρίνετε τη λίστα μηχανημάτων της κονσόλας με αυτό που πραγματικά κατέχει το γραφείο — εγγραφές αγορών, λίστα υπολογιστών Active Directory, σάρωση δικτύου. Οποιοσδήποτε υπολογιστής λείπει δεν είναι "πιθανώς κρυπτογραφημένος". είναι άγνωστο και άγνωστος είναι ο κίνδυνος. Τα έργα κρυπτογράφησης στόλου συνήθως αποτυγχάνουν σε αυτό το βήμα ορατότητας, όχι στο βήμα κρυπτογράφησης — κλείστε πρώτα το κενό.

Γράψτε μία πολιτική πριν αγγίξετε οποιονδήποτε υπολογιστή

Δημιουργήστε την πολιτική BitLocker κεντρικά αντί να διαμορφώνετε τους υπολογιστές έναν προς έναν. Η πολιτική είναι ένας ορισμός του όρου "κρυπτογραφημένο σωστά" και η αναλυτική παρουσίαση του βίντεο καθορίζει τις αποφάσεις που έχουν σημασία:

Προστατευτικό: Το TPM ξεκλειδώνει τη μονάδα μόνο αυτόματα κατά την εκκίνηση — ένας κλεμμένος φορητός υπολογιστής εξακολουθεί να φτάνει στην οθόνη σύνδεσης των Windows. Το TPM + PIN ζητά ένα PIN πριν καν ξεκινήσουν τα Windows, η οποία είναι η ρύθμιση που σταματάει πραγματικά έναν κλέφτη. για φορητούς υπολογιστές που ταξιδεύουν, αξίζει η μικρή καθημερινή τριβή. Μηχανήματα χωρίς TPM μπορούν να χρησιμοποιήσουν ένα προστατευτικό φράσης πρόσβασης - μια σκόπιμη επιλογή, ποτέ ένα ατύχημα.

Αλγόριθμος και εύρος: XTS-AES 128 ή 256 (το 256 είναι αυτό που αρέσει στους περισσότερους ελεγκτές να βλέπουν καταγεγραμμένο, ούτε είναι brute-forced στην πράξη) και κρυπτογράφηση μόνο για χρήση χώρου για ολοκαίνουργια μηχανήματα έναντι πλήρους δίσκου για οποιοδήποτε μηχάνημα έχει ήδη αποδεσμευθεί, επειδή δεν υπάρχει ακόμη χώρος σε λειτουργία.

Ρυθμίστε το Key Escrow — και επαληθεύστε το πριν επιβάλετε οτιδήποτε

Κάθε μονάδα BitLocker έχει ένα κλειδί ανάκτησης 48 ψηφίων και την ημέρα που ένας υπολογιστής εμφανίζει την μπλε οθόνη ανάκτησης, αυτό το κλειδί είναι το μόνο πράγμα μεταξύ του χρήστη και μιας μονάδας που έχει διαγραφεί. Η μεσεγγύηση σημαίνει ότι το κλειδί συλλέγεται αυτόματα και αποθηκεύεται εκεί που το ελέγχει ο οργανισμός: στον κεντρικό διακομιστή Endpoint, με την επιλογή δημιουργίας αντιγράφων ασφαλείας των κλειδιών στο Active Directory ή στο Azure AD.

Ο κανόνας του Endpoint Central είναι αυστηρός και η αυστηρότητα είναι η δυνατότητα: η κρυπτογράφηση δεν ξεκινά μέχρι να αποθηκευτεί με ασφάλεια το κλειδί ανάκτησης στον διακομιστή. Μια μονάδα δίσκου δεν μπορεί ποτέ να καταλήξει κρυπτογραφημένη με το μοναδικό της κλειδί να βρίσκεται στο ίδιο το μηχάνημα.

Ωθήστε την Πολιτική πρώτα σε μια πιλοτική ομάδα

Αναπτύξτε την ολοκληρωμένη πολιτική σε μια μικρή πιλοτική ομάδα πριν από ολόκληρο το γραφείο — μερικά μηχανήματα στα οποία μπορείτε να περπατήσετε. Παρακολουθήστε τους να μετακινούνται στις καταστάσεις της κονσόλας, επιβεβαιώστε ότι το κλειδί ανάκτησης καθενός προσγειώθηκε στο θησαυροφυλάκιο και μόνο στη συνέχεια διευρύνετε την κυκλοφορία σε ομάδες μηχανημάτων (έγγραφα ManageEngine ωθούν έως και 250 συσκευές τη φορά). Τα νέα μηχανήματα μπορούν να πάρουν την πολιτική αυτόματα καθώς εντάσσονται, έτσι ώστε ο στόλος να παραμένει καλυμμένος μετά τη λήξη του έργου.

Διαβάστε τον πίνακα κατάστασης — Κρυπτογραφημένο, σε εκκρεμότητα, μη συμβατό

Από εδώ η δουλειά είναι το διάβασμα, όχι το ταξίδι. Η προβολή BitLocker Managed Computers της κονσόλας μεταφέρει κάθε διαχειριζόμενο μηχάνημα σε μία από τις τρεις καταστάσεις: Κρυπτογραφημένο, Εκκρυπτογράφηση σε εκκρεμότητα ή Μη συμβατό. Αυτός ο πίνακας - όχι μια βόλτα στο γραφείο - είναι πώς απαντάτε "ποιοι από τους υπολογιστές μας δεν είναι ακόμα κρυπτογραφημένοι;"

Επεξεργαστείτε τη Λίστα Κενών σε σειρά κινδύνου

"Εκκρεμεί" και "Μη συμμορφούμενο" είναι συμπτώματα, όχι διαγνώσεις. Οι συνήθεις αιτίες: το μηχάνημα δεν έχει κάνει check-in (απενεργοποίηση, άδεια, ο πράκτορας σταμάτησε να αναφέρει). μια προϋπόθεση απέτυχε — ο προ-ανάπτυξη της κονσόλας ελέγχει κλασικές σημαίες όπως ασυμβατότητα λειτουργίας BIOS και σφάλματα ιδιοκτησίας TPM. το μηχάνημα δεν έχει TPM και δεν είχε προγραμματιστεί εναλλακτική φράση πρόσβασης. ή η έκδοση των Windows δεν μπορεί να κάνει καθόλου το BitLocker — ένα μηχάνημα Windows Home θα παραμείνει στο κενό για πάντα μέχρι να αναβαθμιστεί ή να αντικατασταθεί.

Διαγράψτε τη λίστα με τη σειρά κινδύνου: φορητοί υπολογιστές που εγκαταλείπουν πρώτα το κτίριο, μετά μηχανήματα που διαθέτουν ευαίσθητα δεδομένα (λογαριασμοί, HR, αρχεία πελατών), μετά επιτραπέζιοι υπολογιστές σε κοινόχρηστους χώρους και μετά σταθεροί επιτραπέζιοι υπολογιστές σε ελεγχόμενα δωμάτια. Και επαληθεύστε το φινίρισμα σωστά σε κάθε μηχάνημα: η κατάσταση δείχνει Κρυπτογραφημένο και μπορείτε να ανακτήσετε το κλειδί ανάκτησής του από το θησαυροφυλάκιο. Και τα δύο — όχι ένα.

Αποδείξτε το — Αναφορές, άσκηση ανάκτησης και τοπικός έλεγχος

Όταν η πλακέτα είναι καθαρή, τραβήξτε την αναφορά κρυπτογράφησης: ποια μηχανήματα είναι κρυπτογραφημένα, με ποια πολιτική και εάν είναι αποθηκευμένο το κλειδί κάθε μονάδας δίσκου. Αυτή η έκθεση είναι η απόδειξη ελέγχου — η διαφορά μεταξύ του "πιστεύουμε ότι είμαστε κρυπτογραφημένοι" και ενός εγγράφου που μπορείτε να παραδώσετε.

Στη συνέχεια, κάντε μια πρόβα στη χειρότερη μέρα: επιλέξτε ένα μηχάνημα, ανοίξτε την αναζήτηση κλειδιού ανάκτησης της κονσόλας και ανακτήστε το κλειδί του όπως θα κάνατε κατά τη διάρκεια ενός πραγματικού κλειδώματος. Η μεσεγγύηση που δεν έχετε δοκιμάσει ποτέ είναι μια ελπίδα, όχι ένα σύστημα. Κάντε το ίδιο όταν αλλάζουν οι άνθρωποι: όταν ένας υπάλληλος αποχωρεί, περιστρέψτε τα κλειδιά και αποκτήστε πρόσβαση σωστά αντί να αφήνετε ζωντανά την παλιά του πρόσβαση και τα παλιά κλειδιά.

Καθισμένοι μόνοι σας σε έναν υπολογιστή, μπορείτε να ελέγξετε την κατάσταση αυτού του μηχανήματος από μια γραμμή εντολών διαχειριστή:

manage-bde -status C:

Αυτό σας λέει την κατάσταση αυτής της μονάδας — δεν λέει τίποτα για το πού βρίσκεται το κλειδί ανάκτησης. Το θησαυροφυλάκιο είναι η απάντηση σε αυτή τη δεύτερη ερώτηση και είναι το όλο νόημα της διαχείρισης του BitLocker από μία κονσόλα.