Hallitse BitLockeria helposti

Hanki agentti jokaiselle koneelle ensin

Konsoli voi hallita vain sitä, mitä se näkee. Jokaiseen tietokoneeseen on ensin asennettava Endpoint Central -agentti ja raportoitava - ilman agenttia kone on näkymätön käytännölle, avainvarastolle ja jokaiselle tämän oppaan raportille.

Vertaa konsolin koneluetteloa siihen, mitä toimisto todella omistaa – ostotietueet, Active Directory -tietokoneluettelo, verkkoskannaus. Puuttuva PC ei ole "todennäköisesti salattu"; se on tuntematon, ja riski on tuntematon. Kaluston salausprojektit epäonnistuvat yleensä tässä näkyvyysvaiheessa, eivät salausvaiheessa – kuro ensin aukko.

Kirjoita yksi käytäntö ennen kuin kosket mihinkään tietokoneeseen

Luo BitLocker-käytäntö keskitetysti sen sijaan, että määrität tietokoneita yksitellen. Käytäntö on yksi "salattu oikein" määritelmästä, ja videon esittelyssä määritetään tärkeät päätökset:

Suojaus: TPM avaa aseman lukituksen automaattisesti vain käynnistyksen yhteydessä – varastettu kannettava tietokone saavuttaa silti Windowsin kirjautumisnäytön. TPM + PIN pyytää PIN-koodia ennen kuin Windows edes käynnistyy, mikä on asetus, joka todella pysäyttää varkaan. matkustaville kannettaville tietokoneille se on pienen päivittäisen kitkan arvoista. Koneet, joissa ei ole TPM:ää, voivat käyttää salasanasuojaa – tietoinen valinta, ei koskaan onnettomuus.

Algoritmi ja laajuus: XTS-AES 128 tai 256 (256 on se, mitä useimmat tarkastajat haluavat kirjoittaa muistiin; kumpaakaan ei käytännössä pakoteta raa'alla tavalla) ja vain tilaa käyttävä salaus upouusille koneille verrattuna täysi levyyn kaikille jo käytössä oleville koneille, koska "tyhjiä" tiedostoja säilytetään.

Aseta Key Escrow - ja varmista se ennen kuin pakotat mitään

Jokaisella BitLocker-asemalla on 48-numeroinen palautusavain, ja sinä päivänä, jona tietokone näyttää sinisen palautusnäytön, tämä avain on ainoa asia käyttäjän ja tyhjennetyn aseman välillä. Escrow tarkoittaa, että avain kerätään automaattisesti ja tallennetaan sinne, missä organisaatio sitä hallitsee: Endpoint Central -palvelimelle, ja avaimet voidaan myös varmuuskopioida Active Directoryyn tai Azure AD:hen.

Endpoint Centralin sääntö on tiukka, ja tiukuus on ominaisuus: salaus ei ala ennen kuin palautusavain on tallennettu turvallisesti palvelimelle. Asema ei voi koskaan päätyä salattuun siten, että sen ainoa avain on jumissa itse koneessa.

Työnnä käytäntö ensin pilottiryhmälle

Ota valmis käytäntö käyttöön pienelle pilottiryhmälle ennen koko toimistoa – muutama kone, jonka luokse voit kävellä. Katso heidän liikkuvan konsolin tilojen läpi, varmista, että kunkin palautusavain on laskeutunut holviin ja vasta sitten laajentaa käyttöönottoa koneryhmiin (ManageEngine dokumentoi jopa 250 laitteen työntöjä kerralla). Uudet koneet voivat poimia politiikan automaattisesti liittyessään, joten kalusto pysyy suojattuna projektin päätyttyä.

Lue Status Board - Salattu, Odottaa, Ei yhteensopiva

Tästä eteenpäin työ on lukemista, ei matkustamista. Konsolin BitLocker Managed Computers -näkymässä jokainen hallittu kone on jossakin kolmesta tilasta: Salattu, Odottaa salausta tai Ei yhteensopiva. Se taulu - ei kävely toimistossa - on vastaus "mitkä tietokoneistamme eivät ole vieläkään salattuja?"

Käytä aukkoluetteloa riskijärjestyksessä

"Odottaa" ja "Ei yhteensopiva" ovat oireita, eivät diagnooseja. Tavalliset syyt: kone ei ole kirjautunut sisään (poissa, lomalla, agentti lopetti raportoinnin); edellytys epäonnistui – konsolin käyttöönottoa edeltävät tarkistukset ilmoittavat klassikoista, kuten BIOS-tilan yhteensopimattomuudesta ja TPM-omistusvirheistä; koneessa ei ole TPM:ää eikä salalauseen vaihtoa ole suunniteltu; tai Windows-versio ei voi tehdä BitLockeria ollenkaan – Windows Home -kone pysyy aukossa ikuisesti, kunnes se päivitetään tai vaihdetaan.

Tyhjennä lista riskijärjestyksessä: kannettavat tietokoneet, jotka lähtevät ensin rakennuksesta, sitten koneet, joissa on arkaluontoisia tietoja (tilit, HR, asiakastiedot), sitten pöytäkoneet jaetuilla alueilla, sitten kiinteät pöytäkoneet valvotuissa tiloissa. Ja tarkista viimeistely oikein jokaisessa koneessa: tila on Salattu ja voit noutaa sen palautusavaimen varastosta. Molemmat - ei yksi.

Todista se – raportit, palautusharjoitus ja paikallinen tarkistus

Kun levy on puhdas, vedä salausraportti: mitkä koneet on salattu, millä käytännöllä ja onko jokaisen aseman avain tallennettu. Tämä raportti on tarkastustodistus – ero "uskomme olevansa salattu" ja asiakirjan, jonka voit luovuttaa, välillä.

Harjoittele sitten kerran pahin päivä: valitse kone, avaa konsolin palautusavaimen haku ja hae sen avain samalla tavalla kuin todellisen työsulun aikana. Escrow, jota et ole koskaan testannut, on toivo, ei järjestelmä. Tee samoin, kun ihmiset vaihtuvat: kun työntekijä lähtee, käännä avaimia ja käytä oikein sen sijaan, että jättäisit vanhat käyttöoikeudet ja vanhat avaimet käyttöön.

Kun istut itse yhden tietokoneen ääressä, voit tarkistaa koneen oman tilan järjestelmänvalvojan komentokehotteesta:

manage-bde -status C:

Se kertoo tämän aseman tilan – se ei kerro mitään sen palautusavaimen sijainnista. Holvi on vastaus tähän toiseen kysymykseen, ja se on koko BitLockerin hallinnan tarkoitus yhdestä konsolista.