Madaling Pamahalaan ang BitLocker

Kumuha muna ng Ahente sa Bawat Machine

Mapapamahalaan lang ng console kung ano ang nakikita nito. Kailangan muna ng bawat PC ang Endpoint Central agent na naka-install at nag-uulat sa — nang walang ahente, ang isang makina ay hindi nakikita ng patakaran, sa key vault at sa bawat ulat sa gabay na ito.

Ihambing ang listahan ng makina ng console sa kung ano talaga ang pagmamay-ari ng opisina — mga talaan ng pagbili, listahan ng computer ng Active Directory, isang pag-scan sa network. Ang anumang PC na nawawala ay hindi "malamang na naka-encrypt"; ito ay hindi alam, at hindi alam ang panganib. Karaniwang nabibigo ang mga proyekto ng pag-encrypt ng fleet sa hakbang na ito ng visibility, hindi sa hakbang ng pag-encrypt — isara muna ang puwang.

Sumulat ng Isang Patakaran Bago Pindutin ang Anumang PC

Lumikha ng patakaran ng BitLocker sa gitna sa halip na i-configure ang mga PC nang paisa-isa. Ang isang patakaran ay isang kahulugan ng "naka-encrypt nang maayos," at ang walkthrough ng video ay nagtatakda ng mga desisyong mahalaga:

Protektor: Awtomatikong ina-unlock ng TPM ang drive sa boot — ang isang ninakaw na laptop ay umaabot pa rin sa Windows login screen. Humihingi ng PIN ang TPM + PIN bago pa man magsimula ang Windows, na siyang setting na tunay na humihinto sa isang magnanakaw; para sa mga laptop na naglalakbay, sulit ang maliit na pang-araw-araw na alitan. Ang mga makinang walang TPM ay maaaring gumamit ng isang tagapagtanggol ng passphrase — isang sadyang pagpili, hindi kailanman isang aksidente.

Algorithm at saklaw: XTS-AES 128 o 256 (256 ang gustong makita ng karamihan sa mga auditor na isinulat; hindi rin pinipilit sa pagsasanay), at ginamit-space-only na encryption para sa mga bagong makina kumpara sa full disk para sa anumang machine na nasa serbisyo na, dahil may hawak pa ring "empty na espasyo."

I-set Up ang Key Escrow — at I-verify Ito Bago Magpatupad ng Anuman

Ang bawat BitLocker drive ay may 48-digit na recovery key, at sa araw na ipinapakita ng PC ang asul na recovery screen, ang key na iyon ang tanging bagay sa pagitan ng user at ng wiped drive. Ang ibig sabihin ng Escrow ay awtomatikong kinokolekta at iniimbak ang susi kung saan kinokontrol ito ng organisasyon: sa Endpoint Central server, na may opsyong i-back up din ang mga key sa Active Directory o Azure AD.

Mahigpit ang panuntunan ng Endpoint Central, at ang kahigpitan ay ang feature: hindi magsisimula ang pag-encrypt hangga't hindi ligtas na naiimbak ang recovery key sa server. Ang isang drive ay hindi kailanman maaaring ma-encrypt na may tanging susi na na-stranded sa mismong makina.

Itulak muna ang Patakaran sa isang Pilot Group

I-deploy ang natapos na patakaran sa isang maliit na pilot group bago ang buong opisina — ilang makina na maaari mong puntahan. Panoorin silang lumipat sa mga estado ng console, kumpirmahin na ang recovery key ng bawat isa ay nakarating sa vault, at pagkatapos lamang ay palawakin ang rollout sa mga pangkat ng mga machine (Ang mga dokumento ng ManageEngine ay nagtutulak ng hanggang 250 device sa isang pagkakataon). Maaaring awtomatikong kunin ng mga bagong makina ang patakaran habang sumasali sila, kaya mananatiling sakop ang fleet pagkatapos ng proyekto.

Basahin ang Lupon ng Katayuan — Naka-encrypt, Nakabinbin, Hindi sumusunod

Mula dito ang trabaho ay pagbabasa, hindi paglalakbay. Ang view ng BitLocker Managed Computers ng console ay nagdadala ng bawat pinamamahalaang machine sa isa sa tatlong estado: Naka-encrypt, Nakabinbing pag-encrypt o Hindi sumusunod. Ang board na iyon — hindi isang paglalakad sa paligid ng opisina — ay kung paano mo sasagutin ang "alin sa aming mga PC ang hindi pa rin naka-encrypt?"

Gumawa ng Gap List sa Risk Order

Ang "Nakabinbin" at "Hindi sumusunod" ay mga sintomas, hindi mga diagnosis. Ang mga karaniwang dahilan: hindi naka-check in ang makina (naka-off, naka-leave, huminto sa pag-uulat ang ahente); nabigo ang isang paunang kinakailangan — sinusuri ng pre-deployment ng console ang mga classic ng flag tulad ng hindi pagkakatugma ng BIOS mode at mga error sa pagmamay-ari ng TPM; ang makina ay walang TPM at walang passphrase fallback ang binalak; o ang Windows edition ay hindi makakagawa ng BitLocker — isang Windows Home machine ang mananatili sa puwang magpakailanman hanggang sa ito ay ma-upgrade o mapalitan.

I-clear ang listahan sa pagkakasunud-sunod ng peligro: mga laptop na unang umalis sa gusali, pagkatapos ay mga machine na may hawak na sensitibong data (mga account, HR, mga talaan ng customer), pagkatapos ay mga desktop sa mga nakabahaging lugar, pagkatapos ay inayos ang mga desktop sa mga kinokontrol na kwarto. At i-verify nang maayos ang finish sa bawat machine: ipinapakita ng status ang Naka-encrypt at maaari mong makuha ang recovery key nito mula sa vault. Parehong - hindi isa.

Patunayan Ito — Mga Ulat, ang Recovery Drill, at isang Lokal na Pagsusuri

Kapag malinis na ang board, hilahin ang ulat ng pag-encrypt: kung aling mga makina ang naka-encrypt, kung aling patakaran, at kung ang susi ng bawat drive ay naka-imbak. Ang ulat na iyon ay ang patunay ng pag-audit — ang pagkakaiba sa pagitan ng "naniniwala kami na naka-encrypt kami" at isang dokumentong maaari mong ibigay.

Pagkatapos ay i-rehearse ang pinakamasamang araw nang isang beses: pumili ng makina, buksan ang paghahanap ng recovery key ng console, at kunin ang susi nito sa paraang gagawin mo sa panahon ng totoong lockout. Ang escrow na hindi mo pa nasusubok ay isang pag-asa, hindi isang sistema. Gawin din ito kapag nagbago ang mga tao: kapag umalis ang isang empleyado, i-rotate ang mga susi at i-access nang maayos sa halip na iwanang live ang kanilang lumang access at mga lumang key.

Nakaupo sa isang PC mismo, maaari mong suriin ang sariling estado ng makina na iyon mula sa isang admin Command Prompt:

manage-bde -status C:

Sinasabi nito sa iyo ang estado ng drive na ito — wala itong sinasabi tungkol sa kung saan nakatira ang recovery key nito. Ang vault ang sagot sa pangalawang tanong na iyon, at ito ang buong punto ng pamamahala ng BitLocker mula sa isang console.