BitLocker را به راحتی مدیریت کنید

ابتدا یک نماینده در هر ماشین دریافت کنید

کنسول فقط می تواند آنچه را که می بیند مدیریت کند. هر رایانه شخصی ابتدا به عامل Endpoint Central نیاز دارد که در آن نصب شده و در آن گزارش شود - بدون عامل، یک ماشین برای خط مشی، صندوق کلید و هر گزارش در این راهنما نامرئی است.

لیست ماشین کنسول را با آنچه دفتر واقعاً در اختیار دارد مقایسه کنید - سوابق خرید، لیست رایانه Active Directory، اسکن شبکه. هر رایانه شخصی که گم شده است "احتمالاً رمزگذاری شده" نیست. ناشناخته است و ناشناخته خطر است. پروژه‌های رمزگذاری ناوگان معمولاً در این مرحله قابل مشاهده با شکست مواجه می‌شوند، نه در مرحله رمزگذاری - ابتدا شکاف را ببندید.

قبل از لمس هر رایانه شخصی یک خط مشی بنویسید

سیاست BitLocker را به‌جای پیکربندی رایانه‌های شخصی یک به یک، به‌طور مرکزی ایجاد کنید. یک خط‌مشی یکی از تعریف‌های «رمزگذاری‌شده به‌درستی» است، و بررسی ویدیو تصمیم‌های مهم را تعیین می‌کند:

محافظ: TPM فقط درایو را به طور خودکار در هنگام راه‌اندازی باز می‌کند - لپ‌تاپ دزدیده شده همچنان به صفحه ورود به سیستم ویندوز می‌رسد. TPM + PIN قبل از شروع ویندوز حتی یک پین می‌خواهد، این تنظیماتی است که واقعاً یک دزد را متوقف می‌کند. برای لپ تاپ هایی که سفر می کنند، ارزش اصطکاک کوچک روزانه را دارد. ماشین‌های بدون TPM می‌توانند از یک محافظ رمز عبور استفاده کنند - یک انتخاب عمدی، هرگز تصادفی نیست.

الگوریتم و دامنه: XTS-AES 128 یا 256 (256 چیزی است که بیشتر حسابرسان دوست دارند یادداشت شود؛ در عمل هم اجباری نمی شود)، و رمزگذاری فضای مورد استفاده فقط برای ماشین های کاملاً جدید در مقابل دیسک کامل برای هر دستگاهی که از قبل فضای خالی در سرویس وجود دارد، "هنوز نگهداری می شود."

Key Escrow را تنظیم کنید - و قبل از اجرای هر چیزی آن را تأیید کنید

هر درایو BitLocker دارای یک کلید بازیابی 48 رقمی است و در روزی که رایانه صفحه نمایش آبی رنگ بازیابی را نشان می دهد، آن کلید تنها چیزی است که بین کاربر و یک درایو پاک شده است. Escrow به این معنی است که کلید به طور خودکار جمع‌آوری شده و در جایی که سازمان آن را کنترل می‌کند ذخیره می‌شود: در سرور Endpoint Central، با گزینه‌ای برای تهیه نسخه پشتیبان از کلیدها در Active Directory یا Azure AD.

قانون Endpoint Central سختگیرانه است، و سختگیری این ویژگی است: رمزگذاری شروع نمی شود تا زمانی که کلید بازیابی به طور ایمن در سرور ذخیره نشده باشد. یک درایو هرگز نمی تواند در نهایت رمزگذاری شود و تنها کلید آن روی خود دستگاه قرار داشته باشد.

ابتدا سیاست را به یک گروه آزمایشی فشار دهید

خط مشی تمام شده را در یک گروه آزمایشی کوچک قبل از کل دفتر اجرا کنید - چند ماشین که می توانید به آنها بروید. حرکت آن‌ها را در حالت‌های کنسول تماشا کنید، تأیید کنید که کلید بازیابی هرکدام در خزانه فرود آمده است، و تنها پس از آن راه‌اندازی را به گروه‌هایی از ماشین‌ها گسترش دهید (مستندات ManageEngine حداکثر ۲۵۰ دستگاه را در یک زمان فشار می‌دهند). ماشین‌های جدید می‌توانند به‌طور خودکار هنگام پیوستن، خط‌مشی را انتخاب کنند، بنابراین پس از پایان پروژه، ناوگان تحت پوشش قرار می‌گیرد.

تابلوی وضعیت را بخوانید - رمزگذاری شده، در انتظار، ناسازگار

از اینجا کار مطالعه است نه سفر. نمای رایانه‌های مدیریت‌شده BitLocker کنسول، هر دستگاه مدیریت‌شده را در یکی از سه حالت قرار می‌دهد: رمزگذاری‌شده، رمزگذاری در انتظار یا غیر سازگار. این تخته - نه یک قدم زدن در دفتر - این است که چگونه پاسخ می دهید "کدام یک از رایانه های شخصی ما هنوز رمزگذاری نشده است؟"

لیست شکاف را به ترتیب ریسک کار کنید

"در انتظار" و "غیر سازگار" علائم هستند، نه تشخیص. علل معمول: دستگاه بررسی نشده است (خاموش، در مرخصی، نماینده گزارش را متوقف کرده است). یک پیش شرط ناموفق بود - پیش از استقرار کنسول پرچم های کلاسیک مانند ناسازگاری حالت BIOS و خطاهای مالکیت TPM را بررسی می کند. دستگاه فاقد TPM است و هیچ رمز عبوری برنامه ریزی نشده است. یا نسخه ویندوز اصلاً نمی تواند BitLocker را انجام دهد - یک دستگاه Windows Home برای همیشه در شکاف خواهد ماند تا زمانی که ارتقا یا جایگزین شود.

فهرست را به ترتیب ریسک پاک کنید: لپ‌تاپ‌هایی که ابتدا ساختمان را ترک می‌کنند، سپس ماشین‌هایی که داده‌های حساس (حساب‌ها، منابع انسانی، سوابق مشتری) را در خود نگه می‌دارند، سپس دسکتاپ‌ها در مناطق مشترک، سپس دسکتاپ‌های ثابت در اتاق‌های کنترل‌شده. و پایان کار را به درستی در هر ماشینی تأیید کنید: وضعیت رمزگذاری شده و نشان می‌دهد که می‌توانید کلید بازیابی آن را از خزانه بازیابی کنید. هر دو - نه یکی.

آن را ثابت کنید - گزارش ها، تمرین بازیابی، و یک بررسی محلی

وقتی برد تمیز است، گزارش رمزگذاری را بکشید: کدام ماشین‌ها رمزگذاری شده‌اند، با کدام خط‌مشی، و اینکه آیا کلید هر درایو ذخیره می‌شود یا خیر. این گزارش اثبات حسابرسی است - تفاوت بین "ما معتقدیم رمزگذاری شده ایم" و سندی که می توانید تحویل دهید.

سپس یک بار بدترین روز را تمرین کنید: یک دستگاه را انتخاب کنید، جستجوی کلید بازیابی کنسول را باز کنید، و کلید آن را همانطور که در یک قفل واقعی انجام می دهید، بازیابی کنید. امانی که هرگز آزمایش نکرده اید یک امید است، نه یک سیستم. هنگامی که افراد تغییر می کنند، همین کار را انجام دهید: وقتی یک کارمند ترک می کند، کلیدها را بچرخانید و به درستی دسترسی داشته باشید به جای اینکه دسترسی قدیمی و کلیدهای قدیمی خود را زنده بگذارید.

با نشستن روی یک رایانه شخصی، می توانید وضعیت خود دستگاه را از طریق Command Prompt مدیر بررسی کنید:

manage-bde -status C:

این وضعیت این درایو را به شما می گوید - هیچ چیزی در مورد محل زندگی کلید بازیابی آن نمی گوید. طاق پاسخ به این سوال دوم است، و تمام هدف مدیریت BitLocker از یک کنسول است.