बिटलॉकर को आसानी से प्रबंधित करें

सबसे पहले प्रत्येक मशीन पर एक एजेंट प्राप्त करें

कंसोल केवल वही प्रबंधित कर सकता है जो वह देख सकता है। प्रत्येक पीसी को सबसे पहले एंडपॉइंट सेंट्रल एजेंट को स्थापित करने और रिपोर्ट करने की आवश्यकता होती है - एजेंट के बिना, एक मशीन पॉलिसी, कुंजी वॉल्ट और इस गाइड की प्रत्येक रिपोर्ट के लिए अदृश्य है।

कंसोल की मशीन सूची की तुलना उस चीज़ से करें जो वास्तव में कार्यालय के पास है - खरीद रिकॉर्ड, सक्रिय निर्देशिका कंप्यूटर सूची, एक नेटवर्क स्कैन। कोई भी पीसी जो गायब है वह "संभवतः एन्क्रिप्टेड" नहीं है; यह अज्ञात है, और अज्ञात जोखिम है। फ़्लीट एन्क्रिप्शन प्रोजेक्ट आमतौर पर इस दृश्यता चरण पर विफल होते हैं, एन्क्रिप्शन चरण पर नहीं - पहले अंतर को बंद करें।

किसी भी पीसी को छूने से पहले एक पॉलिसी लिखें

पीसी को एक-एक करके कॉन्फ़िगर करने के बजाय केंद्रीय रूप से BitLocker नीति बनाएं। एक नीति "उचित रूप से एन्क्रिप्टेड" की एक परिभाषा है, और वीडियो का पूर्वाभ्यास उन निर्णयों को निर्धारित करता है जो मायने रखते हैं:

रक्षक: टीपीएम केवल बूट पर स्वचालित रूप से ड्राइव को अनलॉक करता है - एक चोरी हुआ लैपटॉप अभी भी विंडोज लॉगिन स्क्रीन तक पहुंचता है। टीपीएम + पिन विंडोज़ शुरू होने से पहले एक पिन मांगता है, जो वह सेटिंग है जो वास्तव में चोर को रोकती है; यात्रा करने वाले लैपटॉप के लिए, यह छोटे दैनिक घर्षण के लायक है। टीपीएम के बिना मशीनें पासफ़्रेज़ रक्षक का उपयोग कर सकती हैं - एक जानबूझकर किया गया विकल्प, कभी भी दुर्घटना नहीं।

एलगोरिदम और दायरा:

कुंजी एस्क्रो सेट करें - और कुछ भी लागू करने से पहले इसे सत्यापित करें

प्रत्येक BitLocker ड्राइव में 48-अंकीय पुनर्प्राप्ति कुंजी होती है, और जिस दिन पीसी नीली पुनर्प्राप्ति स्क्रीन दिखाता है, वह कुंजी उपयोगकर्ता और वाइप की गई ड्राइव के बीच एकमात्र चीज़ होती है। एस्क्रो का मतलब है कि कुंजी स्वचालित रूप से एकत्र की जाती है और संग्रहीत की जाती है जहां संगठन इसे नियंत्रित करता है: एंडपॉइंट सेंट्रल सर्वर पर, सक्रिय निर्देशिका या एज़्योर एडी में कुंजी का बैकअप लेने के विकल्प के साथ।

एंडपॉइंट सेंट्रल का नियम सख्त है, और सख्ती की विशेषता है: एन्क्रिप्शन तब तक शुरू नहीं होता जब तक कि पुनर्प्राप्ति कुंजी सर्वर पर सुरक्षित रूप से संग्रहीत न हो जाए। कोई ड्राइव कभी भी मशीन में फंसी उसकी एकमात्र कुंजी के साथ एन्क्रिप्टेड नहीं हो सकती।

नीति को पहले किसी पायलट समूह तक पहुँचाएँ

तैयार पॉलिसी को पूरे कार्यालय से पहले एक छोटे पायलट समूह में तैनात करें - कुछ मशीनें जिन पर आप चल सकते हैं। उन्हें कंसोल स्थितियों के माध्यम से आगे बढ़ते हुए देखें, प्रत्येक की पुनर्प्राप्ति कुंजी को वॉल्ट में उतरने की पुष्टि करें, और उसके बाद ही मशीनों के समूहों तक रोलआउट का विस्तार करें (एक समय में 250 डिवाइस तक के प्रबंधन दस्तावेज़ पुश)। नई मशीनें जुड़ते ही पॉलिसी को स्वचालित रूप से उठा सकती हैं, ताकि परियोजना समाप्त होने के बाद भी बेड़ा कवर रहे।

स्थिति बोर्ड पढ़ें - एन्क्रिप्टेड, लंबित, गैर-अनुपालक

यहां से काम पढ़ना है, यात्रा करना नहीं। कंसोल का BitLocker प्रबंधित कंप्यूटर दृश्य प्रत्येक प्रबंधित मशीन को तीन स्थितियों में से एक में ले जाता है: एन्क्रिप्टेड, लंबित एन्क्रिप्शन या गैर-अनुपालक। वह बोर्ड - कार्यालय के चारों ओर घूमना नहीं - आप कैसे उत्तर देते हैं "हमारे कौन से पीसी अभी भी एन्क्रिप्टेड नहीं हैं?"

जोखिम क्रम में अंतराल सूची पर काम करें

"लंबित" और "गैर-अनुपालन" लक्षण हैं, निदान नहीं। सामान्य कारण: मशीन ने चेक इन नहीं किया है (बंद है, छुट्टी पर है, एजेंट ने रिपोर्ट करना बंद कर दिया है); एक शर्त विफल रही - कंसोल की पूर्व-तैनाती जाँच फ़्लैग क्लासिक्स जैसे BIOS मोड असंगति और टीपीएम स्वामित्व त्रुटियों की जाँच करती है; मशीन में कोई टीपीएम नहीं है और कोई पासफ़्रेज़ फ़ॉलबैक की योजना नहीं बनाई गई थी; या विंडोज़ संस्करण BitLocker बिल्कुल नहीं कर सकता - एक विंडोज़ होम मशीन तब तक हमेशा के लिए खाली पड़ी रहेगी जब तक कि इसे अपग्रेड या प्रतिस्थापित नहीं किया जाता है।

सूची को जोखिम क्रम में साफ़ करें: लैपटॉप जो पहले इमारत छोड़ते हैं, फिर संवेदनशील डेटा (खाते, मानव संसाधन, ग्राहक रिकॉर्ड) रखने वाली मशीनें, फिर साझा क्षेत्रों में डेस्कटॉप, फिर नियंत्रित कमरों में स्थिर डेस्कटॉप। और प्रत्येक मशीन पर फिनिश को ठीक से सत्यापित करें: स्थिति एन्क्रिप्टेड दिखाती है और आप वॉल्ट से इसकी पुनर्प्राप्ति कुंजी पुनर्प्राप्त कर सकते हैं। दोनों - एक नहीं.

इसे साबित करें - रिपोर्ट, रिकवरी ड्रिल और एक स्थानीय जाँच

जब बोर्ड साफ हो, तो एन्क्रिप्शन रिपोर्ट खींचें: कौन सी मशीनें एन्क्रिप्ट की गई हैं, किस नीति के साथ, और क्या प्रत्येक ड्राइव की कुंजी संग्रहीत है। वह रिपोर्ट ऑडिट प्रमाण है - "हम मानते हैं कि हम एन्क्रिप्टेड हैं" और एक दस्तावेज़ जिसे आप सौंप सकते हैं, के बीच का अंतर।

फिर एक बार सबसे बुरे दिन का पूर्वाभ्यास करें: एक मशीन चुनें, कंसोल की पुनर्प्राप्ति कुंजी लुकअप खोलें, और उसकी कुंजी को उसी तरह पुनः प्राप्त करें जैसे आप वास्तविक लॉकआउट के दौरान करते थे। जिस एस्क्रो का आपने कभी परीक्षण नहीं किया वह एक आशा है, कोई प्रणाली नहीं। जब लोग बदलते हैं तो भी ऐसा ही करें: जब कोई कर्मचारी चला जाए, तो अपनी पुरानी पहुंच और पुरानी कुंजियों को चालू रखने के बजाय चाबियों और पहुंच को ठीक से घुमाएं।

स्वयं एक पीसी पर बैठकर, आप एडमिन कमांड प्रॉम्प्ट से उस मशीन की स्थिति की जांच कर सकते हैं:

manage-bde -status C:

यह आपको इस ड्राइव की स्थिति बताता है - यह इस बारे में कुछ नहीं कहता है कि इसकी पुनर्प्राप्ति कुंजी कहाँ रहती है। वॉल्ट उस दूसरे प्रश्न का उत्तर है, और यह एक कंसोल से BitLocker को प्रबंधित करने का संपूर्ण बिंदु है।