Gestisci BitLocker facilmente

Ottieni prima un agente su ogni macchina

La console può gestire solo ciò che può vedere. Ogni PC necessita innanzitutto dell'installazione e del reporting dell'agente Endpoint Central: senza un agente, una macchina è invisibile alla policy, al key vault e a ogni report riportato in questa guida.

Confronta l'elenco dei computer della console con quelli effettivamente di proprietà dell'ufficio: record di acquisto, elenco dei computer di Active Directory, scansione della rete. Qualsiasi PC mancante non è "probabilmente crittografato"; è sconosciuto e sconosciuto è il rischio. I progetti di crittografia della flotta di solito falliscono in questa fase di visibilità, non in quella di crittografia: colma prima il divario.

Scrivi una policy prima di toccare qualsiasi PC

Crea la policy BitLocker centralmente invece di configurare i PC uno per uno. Una policy è una definizione di "crittografato correttamente" e la procedura dettagliata del video stabilisce le decisioni che contano:

Protezione: TPM sblocca automaticamente l'unità solo all'avvio: un laptop rubato raggiunge comunque la schermata di accesso di Windows. TPM + PIN richiede un PIN prima ancora dell'avvio di Windows, che è l'impostazione che ferma davvero un ladro; per i portatili che viaggiano, vale la pena fare i piccoli attriti quotidiani. Le macchine senza TPM possono utilizzare una protezione passphrase: una scelta deliberata, mai un incidente.

Algoritmo e ambito: XTS-AES 128 o 256 (256 è ciò che la maggior parte dei revisori preferisce vedere scritto; in pratica nessuno dei due viene sottoposto a forza bruta) e crittografia del solo spazio utilizzato per macchine nuove rispetto al disco pieno per qualsiasi macchina già in servizio, perché lo spazio "vuoto" contiene ancora i file eliminati.

Imposta il deposito a garanzia delle chiavi e verificalo prima di applicare qualsiasi cosa

Ogni unità BitLocker ha una chiave di ripristino di 48 cifre e il giorno in cui un PC mostra la schermata di ripristino blu, quella chiave è l'unica cosa che si frappone tra l'utente e un'unità cancellata. Deposito a garanzia significa che la chiave viene raccolta automaticamente e archiviata dove l'organizzazione la controlla: sul server Endpoint Central, con la possibilità di eseguire anche il backup delle chiavi in ​​Active Directory o Azure AD.

La regola di Endpoint Central è rigorosa e la rigidità è la caratteristica: la crittografia non viene avviata finché la chiave di ripristino non è stata archiviata in modo sicuro sul server. Un'unità non potrà mai finire crittografata con la sua unica chiave bloccata sulla macchina stessa.

Spingere prima la politica a un gruppo pilota

Distribuisci la policy completata a un piccolo gruppo pilota prima che all'intero ufficio: alcune macchine su cui puoi avvicinarti. Osservali mentre si spostano attraverso gli stati della console, confermano che la chiave di ripristino di ciascuno è arrivata nel vault e solo allora amplia l'implementazione a gruppi di macchine (ManageEngine documenta i push di un massimo di 250 dispositivi alla volta). Le nuove macchine possono ritirare automaticamente la polizza non appena si uniscono, in modo che la flotta rimanga coperta al termine del progetto.

Leggi la scheda di stato: crittografata, in sospeso, non conforme

Da qui il lavoro è leggere, non viaggiare. La visualizzazione Computer gestiti da BitLocker della console porta ogni macchina gestita in uno dei tre stati: Crittografato, Crittografia in sospeso o Non conforme. Quella lavagna, non una passeggiata in ufficio, è il modo in cui rispondi "quale dei nostri PC non è ancora crittografato?"

Lavora sull'elenco delle lacune in ordine di rischio

"In sospeso" e "Non conforme" sono sintomi, non diagnosi. Le solite cause: la macchina non ha effettuato il check-in (spenta, in ferie, l'agente ha smesso di segnalare); un prerequisito fallito: i controlli pre-distribuzione della console segnalano classici come l'incompatibilità della modalità BIOS e gli errori di proprietà del TPM; la macchina non ha TPM e non è stato pianificato il fallback della passphrase; oppure l'edizione Windows non può eseguire affatto BitLocker: una macchina Windows Home rimarrà nell'intervallo per sempre finché non verrà aggiornata o sostituita.

Cancella l'elenco in ordine di rischio: prima i laptop che lasciano l'edificio, poi le macchine che contengono dati sensibili (account, risorse umane, record dei clienti), poi i desktop nelle aree condivise, quindi i desktop fissi nelle stanze controllate. E verifica correttamente la finitura su ogni macchina: lo stato mostra Crittografato e puoi recuperare la chiave di ripristino dal vault. Entrambi, non uno.

Dimostralo: report, esercitazione di ripristino e controllo locale

Quando la scheda è pulita, estrai il rapporto di crittografia: quali macchine sono crittografate, con quale policy e se la chiave di ogni unità è archiviata. Quel rapporto è la prova dell'audit: la differenza tra "crediamo di essere crittografati" e un documento che puoi consegnare.

Quindi prova una volta il giorno peggiore: scegli una macchina, apri la ricerca della chiave di ripristino della console e recupera la chiave come faresti durante un vero blocco. L'impegno che non hai mai testato è una speranza, non un sistema. Fai lo stesso quando le persone cambiano: quando un dipendente se ne va, ruota le chiavi e accedi correttamente invece di lasciare in vita il vecchio accesso e le vecchie chiavi.

Seduto tu stesso davanti a un PC, puoi controllare lo stato di quella macchina da un prompt dei comandi dell'amministratore:

manage-bde -status C:

Questo ti dice lo stato di questa unità, non dice nulla su dove si trova la sua chiave di ripristino. Il vault è la risposta a questa seconda domanda ed è il punto centrale della gestione di BitLocker da un'unica console.