BitLockerを簡単に管理

まずすべてのマシンにエージェントをインストールします

コンソールは表示できるもののみを管理できます。すべての PC には、まず Endpoint Central エージェントがインストールされ、レポートが作成される必要があります。エージェントがないと、マシンはポリシー、キー コンテナー、およびこのガイドのすべてのレポートには表示されません。

コンソールのマシン リストを、オフィスが実際に所有しているもの (購入記録、Active Directory コンピュータ リスト、ネットワーク スキャン) と比較します。紛失した PC は「おそらく暗号化されていない」でしょう。それは未知であり、未知であることがリスクなのです。フリート暗号化プロジェクトは通常、暗号化ステップではなく、この可視化ステップで失敗します。まずギャップを埋めます。

PC に触れる前に 1 つのポリシーを作成する

PC を 1 台ずつ構成するのではなく、BitLocker ポリシーを一元的に作成します。ポリシーは「適切に暗号化される」ことの定義の 1 つであり、ビデオのウォークスルーでは重要な決定事項が設定されています。

プロテクター: TPM は起動時にのみ自動的にドライブのロックを解除します。盗難されたラップトップでも Windows ログイン画面が表示されます。 TPM + PIN は、Windows が起動する前に PIN を要求します。これは、盗難を真に阻止する設定です。持ち運ぶラップトップの場合、毎日の小さな摩擦には価値があります。 TPM を搭載していないマシンでもパスフレーズ プロテクターを使用できますが、これは意図的な選択であり、決して偶然ではありません。

アルゴリズムと範囲: XTS-AES 128 または 256 (256 は、ほとんどの監査人が書き留めておきたいものです。どちらも実際にはブルートフォースではありません)。また、「空の」スペースには削除されたファイルがまだ保持されているため、新品のマシンでは使用済みスペースのみの暗号化と、すでに稼働しているマシンではフルディスク の暗号化が行われます。

キーエスクローを設定し、強制する前にそれを確認する

すべての BitLocker ドライブには 48 桁の回復キーがあり、PC に青い回復画面が表示された日には、そのキーがユーザーと消去されたドライブの間にある唯一のものになります。エスクローとは、キーが自動的に収集され、組織が管理する場所 (Endpoint Central サーバー上) に保存されることを意味し、オプションでキーを Active Directory または Azure AD にバックアップすることもできます。

Endpoint Central のルールは厳格で、 その厳格さは回復キーがサーバーに安全に保存されるまで暗号化が開始されないという特徴があります。マシン自体に残っている唯一のキーによってドライブが暗号化されることはありません。

最初にポリシーをパイロット グループにプッシュします

完成したポリシーを、オフィス全体（歩いて行ける数台のマシン）の前に、小規模なパイロット グループに展開します。それらがコンソールの状態を移動するのを観察し、各回復キーがボールトに到達したことを確認してから、マシンのグループにロールアウトを拡大します (ManageEngine では、一度に最大 250 台のデバイスのプッシュを文書化します)。新しいマシンは参加時に自動的にポリシーを取得できるため、プロジェクト終了後もフリートは引き続きカバーされます。

ステータス ボードを読む — 暗号化、保留中、非準拠

ここからの仕事は旅行ではなく読書です。コンソールの BitLocker 管理対象コンピュータ ビューには、すべての管理対象コンピュータが、暗号化、暗号化保留中、または非準拠の 3 つの状態のいずれかで表示されます。このボードは、オフィス内を散策するものではなく、「どの PC がまだ暗号化されていないのか?」という質問に答えるためのものです。

リスク順にギャップリストを作成する

「保留中」と「非準拠」は症状であり、診断ではありません。一般的な原因: マシンがチェックインしていません (オフ、休暇中、エージェントが報告を停止した)。前提条件が失敗しました - コンソールの導入前チェックでは、BIOS モードの非互換性や TPM 所有権エラーなどの古典的な問題にフラグが立てられます。マシンには TPM がなく、パスフレーズのフォールバックは計画されていませんでした。あるいは、Windows エディションは BitLocker をまったく実行できません。Windows Home マシンは、アップグレードまたは交換されるまで永久に放置されたままになります。

リスク順にリストをクリアします。最初に建物から出たラップトップ、次に機密データ (アカウント、人事、顧客記録) を保持するマシン、次に共有エリアのデスクトップ、次に管理された部屋の固定デスクトップです。すべてのマシンで終了が適切に行われたことを確認します。ステータスには暗号化が表示され、ボールトから回復キーを取得できます。どちらかではなく、両方です。

証明する — レポート、復旧訓練、およびローカルチェック

ボードがクリーンになったら、どのマシンがどのポリシーで暗号化されているか、すべてのドライブのキーが保存されているかどうかなど、暗号化レポートを取得します。そのレポートは監査の証拠であり、「私たちは暗号化されていると信じています」ということと、あなたに渡せる文書との違いです。

次に、最悪の日を一度リハーサルします。マシンを選択し、コンソールの回復キー検索を開いて、実際のロックアウト時と同じ方法でキーを取得します。テストしたことのないエスクローはシステムではなく希望です。従業員が変わったときも同じようにしてください。従業員が退職したときは、古いアクセス権や古いキーをそのままにしておくのではなく、キーをローテーションして適切にアクセスします。

1 台の PC に座って、管理コマンド プロンプトからそのマシン自体の状態を確認できます。

manage-bde -status C:

これにより、このドライブの状態がわかります。回復キーがどこに存在するかについては何もわかりません。コンテナーは 2 番目の質問に対する答えであり、1 つのコンソールから BitLocker を管理することの要点です。