נהל את BitLocker בקלות

תחילה קבל סוכן בכל מכונה

הקונסולה יכולה לנהל רק את מה שהיא יכולה לראות. כל מחשב צריך קודם כל להתקין את סוכן Endpoint Central ומדווח - ללא סוכן, מכונה אינה נראית למדיניות, לכספת המפתחות ולכל דיווח במדריך זה.

השווה את רשימת המחשבים של הקונסולה מול מה שבבעלות המשרד בפועל - רשומות רכישה, רשימת מחשבי Active Directory, סריקת רשת. כל מחשב שחסר אינו "כנראה מוצפן"; זה לא ידוע, ולא ידוע הוא הסיכון. פרויקטי הצפנת צי בדרך כלל נכשלים בשלב הנראות הזה, לא בשלב ההצפנה - סגור את הפער תחילה.

כתוב מדיניות אחת לפני שאתה נוגע בכל מחשב

צור את מדיניות BitLocker באופן מרכזי במקום להגדיר מחשבים אישיים אחד אחד. מדיניות היא אחת ההגדרות של "מוצפן כהלכה", וההדרכה של הסרטון קובעת את ההחלטות החשובות:

מגן: TPM פותח את הנעילה של הכונן באופן אוטומטי רק בעת האתחול - מחשב נייד גנוב עדיין מגיע למסך הכניסה של Windows. TPM + PIN מבקש PIN לפני הפעלת Windows, שזו ההגדרה שבאמת עוצרת גנב; עבור מחשבים ניידים שנוסעים, זה שווה את החיכוך היומיומי הקטן. מכונות ללא TPM יכולות להשתמש במגן ביטוי סיסמה - בחירה מכוונת, לעולם לא תאונה.

אלגוריתם והיקף: XTS-AES 128 או 256 (256 הוא מה שרוב המבקרים אוהבים לראות כתובים; אף אחד מהם לא נחוץ בפועל), והצפנת שטח משומשת בלבד עבור מכונות חדשות לגמרי לעומת דיסק מלא עבור כל מחשב שכבר נמצא בשירות, מכיוון ששטח קבצים "ריק" עדיין מחזיק מקום.

הגדר נאמנות מפתח - ואמת אותו לפני אכיפה של משהו

לכל כונן BitLocker יש מפתח שחזור בן 48 ספרות, וביום שבו המחשב מציג את מסך השחזור הכחול, המפתח הזה הוא הדבר היחיד בין המשתמש לכונן שנמחק. פקדון פירושו שהמפתח נאסף באופן אוטומטי ומאוחסן במקום שבו הארגון שולט בו: בשרת Endpoint Central, עם אפשרות לגבות מפתחות גם ב-Active Directory או Azure AD.

הכלל של Endpoint Central הוא קפדני, וההקפדה היא התכונה: ההצפנה לא מתחילה עד שמפתח השחזור אוחסן בבטחה בשרת. כונן לעולם לא יכול להיות מוצפן כשהמפתח היחיד שלו תקוע במכונה עצמה.

תחילה דחוף את המדיניות לקבוצת טייסים

פרוס את המדיניות המוגמרת לקבוצת טייסים קטנה לפני כל המשרד - כמה מכונות שאתה יכול ללכת אליהן. צפו בהם עוברים בין מצבי הקונסולה, מאשרים שמפתח השחזור של כל אחד מהם נחת בכספת, ורק אז מרחיבים את ההפצה לקבוצות של מכונות (דחיפת מסמכים של ManageEngine של עד 250 מכשירים בכל פעם). מכונות חדשות יכולות לאסוף את הפוליסה באופן אוטומטי כשהן מצטרפות, כך שהצי נשאר מכוסה לאחר סיום הפרויקט.

קרא את לוח המצב - מוצפן, בהמתנה, לא תואם

מכאן העבודה היא קריאה, לא נסיעה. תצוגת BitLocker Managed Computers של המסוף נושאת כל מחשב מנוהל באחד משלושה מצבים: מוצפן, בהמתנה להצפנה או לא תואם. הלוח הזה - לא טיול במשרד - הוא איך אתה עונה "איזה מהמחשבים שלנו עדיין לא מוצפנים?"

עבד את רשימת הפערים בסדר סיכונים

"בהמתנה" ו"לא תואם" הם סימפטומים, לא אבחנות. הסיבות הרגילות: המכונה לא עשתה צ'ק אין (כבוי, בחופשה, הסוכן הפסיק לדווח); תנאי מוקדם נכשל - הפריסה המוקדמת של הקונסולה בודקת דגלים קלאסיים כמו חוסר תאימות של מצב BIOS ושגיאות בעלות של TPM; למכונה אין TPM ולא תוכנן ניסוח סיסמה חוזר; או מהדורת Windows לא יכולה לעשות BitLocker בכלל - מכונת Windows Home תשב ברווח לנצח עד שישודרג או יוחלף.

נקה את הרשימה לפי סדר סיכונים: מחשבים ניידים שיוצאים תחילה מהבניין, אחר כך מכונות שמחזיקות נתונים רגישים (חשבונות, משאבי אנוש, רישומי לקוחות), אחר כך שולחנות עבודה באזורים משותפים, ואז מחשבים נייחים קבועים בחדרים מבוקרים. ודא את הגימור כראוי בכל מחשב: המצב מציג מוצפן ו אתה יכול לאחזר את מפתח השחזור שלו מהכספת. שניהם - לא אחד.

הוכח זאת - דוחות, תרגיל השחזור ובדיקה מקומית

כאשר הלוח נקי, משוך את דוח ההצפנה: אילו מכונות מוצפנות, עם איזו מדיניות, והאם מפתח כל כונן מאוחסן. הדוח הזה הוא הוכחת הביקורת - ההבדל בין "אנחנו מאמינים שאנחנו מוצפנים" לבין מסמך שאתה יכול למסור.

לאחר מכן חזרו פעם אחת על היום הגרוע ביותר: בחרו מכונה, פתחו את חיפוש מפתח השחזור של הקונסולה, ואחזרו את המפתח שלה כפי שהייתם עושים במהלך נעילה אמיתית. נאמנות שמעולם לא בדקת היא תקווה, לא מערכת. עשה את אותו הדבר כאשר אנשים משתנים: כאשר עובד עוזב, סובב את המפתחות וניגש כראוי במקום להשאיר את הגישה הישנה והמפתחות הישנים שלו.

כשאתה יושב ליד מחשב אחד בעצמך, אתה יכול לבדוק את המצב של המחשב עצמו משורת פקודה של מנהל מערכת:

manage-bde -status C:

זה אומר לך את מצב הכונן הזה - זה לא אומר כלום על איפה מפתח השחזור שלו חי. הכספת היא התשובה לשאלה השנייה, וזה כל העניין בניהול BitLocker ממסוף אחד.