BitLocker를 쉽게 관리하세요

먼저 모든 머신에 에이전트를 확보하세요

콘솔은 볼 수 있는 것만 관리할 수 있습니다. 모든 PC에는 먼저 Endpoint Central 에이전트를 설치하고 보고해야 합니다. 에이전트가 없으면 시스템은 정책, 키 볼트 및 이 가이드의 모든 보고서에 표시되지 않습니다.

사무실이 실제로 소유한 것(구매 기록, Active Directory 컴퓨터 목록, 네트워크 검색)과 콘솔의 컴퓨터 목록을 비교하십시오. 누락된 PC는 "암호화된" PC가 아닙니다. 알 수 없음이며 알 수 없다는 것은 위험입니다. 플릿 암호화 프로젝트는 일반적으로 암호화 단계가 아닌 이 가시성 단계에서 실패합니다. 먼저 격차를 해소하세요.

PC를 만지기 전에 하나의 정책 작성

PC를 하나씩 구성하는 대신 중앙에서 BitLocker 정책을 만듭니다. 정책은 "적절하게 암호화됨"에 대한 정의 중 하나이며, 동영상의 설명을 통해 중요한 결정을 내릴 수 있습니다.

보호기: TPM은 부팅 시에만 자동으로 드라이브 잠금을 해제합니다. 도난당한 노트북은 여전히 Windows 로그인 화면에 표시됩니다. TPM + PIN은 Windows가 시작되기 전에 PIN을 요청합니다. 이는 실제로 도둑을 막는 설정입니다. 여행하는 노트북의 경우 매일의 작은 마찰만큼 가치가 있습니다. TPM이 없는 컴퓨터에서는 암호 보호기를 사용할 수 있습니다. 이는 의도적인 선택이며 결코 사고가 아닙니다.

알고리즘 및 범위: XTS-AES 128 또는 256(256은 대부분의 감사자가 기록하기를 좋아하는 것이며 실제로는 무차별 공격도 적용되지 않음), 새로운 시스템에 대한 사용 공간 전용 암호화와 이미 사용 중인 시스템에 대한 전체 디스크의 경우 "빈" 공간에 삭제된 파일이 여전히 남아 있기 때문입니다.

키 에스크로를 설정하고 실행하기 전에 확인하세요.

모든 BitLocker 드라이브에는 48자리 복구 키가 있으며, PC에 파란색 복구 화면이 표시되는 날에는 해당 키가 사용자와 삭제된 드라이브 사이의 유일한 수단입니다. 에스크로는 키가 자동으로 수집되어 조직이 제어하는 ​​위치(Endpoint Central 서버)에 저장되며 키를 Active Directory 또는 Azure AD에 백업할 수도 있는 옵션을 의미합니다.

Endpoint Central의 규칙은 엄격하며 그 엄격함의 특징은 복구 키가 서버에 안전하게 저장될 때까지 암호화가 시작되지 않습니다입니다. 드라이브는 시스템 자체에 유일한 키가 묶여 있는 상태로 암호화될 수 없습니다.

먼저 파일럿 그룹에 정책 푸시

완성된 정책을 사무실 전체에 앞서 소규모 파일럿 그룹(걸어갈 수 있는 몇 대의 컴퓨터)에 배포합니다. 콘솔 상태를 통해 이동하는 것을 관찰하고, 저장소에 있는 각 복구 키를 확인한 다음 롤아웃을 시스템 그룹으로 확장합니다(ManageEngine 문서는 한 번에 최대 250개의 장치를 푸시합니다). 새 시스템은 가입 시 자동으로 정책을 선택할 수 있으므로 프로젝트가 종료된 후에도 해당 시스템이 계속 적용됩니다.

상태 보드 읽기 — 암호화됨, 보류 중, 비준수

이제부터 일은 여행이 아니라 독서입니다. 콘솔의 BitLocker 관리 컴퓨터 보기에서는 모든 관리 컴퓨터를 암호화됨, 암호화 보류 중 또는 비규격의 세 가지 상태 중 하나로 표시합니다. 사무실을 돌아다니는 것이 아닌 이 게시판은 "우리 PC 중 아직 암호화되지 않은 PC는 무엇입니까?"라고 대답하는 방법입니다.

위험 순서에 따른 격차 목록 작업

"보류 중" 및 "비준수"는 진단이 아니라 증상입니다. 일반적인 원인: 기기가 체크인되지 않았습니다(꺼짐, 휴가 중, 상담원이 보고를 중지함). 전제 조건이 실패했습니다. 콘솔의 배포 전 확인은 BIOS 모드 비호환성 및 TPM 소유권 오류와 같은 일반적인 플래그를 표시합니다. 머신에 TPM이 없고 암호 대체가 계획되어 있지 않습니다. 또는 Windows 버전은 BitLocker를 전혀 수행할 수 없습니다. Windows Home 컴퓨터는 업그레이드되거나 교체될 때까지 영원히 공백 상태에 있게 됩니다.

위험 순서에 따라 목록을 지웁니다. 먼저 건물을 떠나는 노트북, 민감한 데이터(계정, HR, 고객 기록)를 보유한 기계, 공유 구역의 데스크탑, 제어실의 고정 데스크탑입니다. 그리고 모든 컴퓨터에서 제대로 마무리되었는지 확인하세요. 상태가 암호화됨으로 표시되고 저장소에서 복구 키를 검색할 수 있습니다. 둘 다 - 하나가 아닙니다.

입증 - 보고서, 복구 훈련 및 현지 점검

보드가 깨끗해지면 어떤 시스템이 암호화되었는지, 어떤 정책을 사용하여 암호화되었는지, 모든 드라이브의 키가 저장되었는지 여부에 대한 암호화 보고서를 가져옵니다. 해당 보고서는 감사 증거입니다. "우리는 암호화되어 있다고 믿습니다"와 귀하가 넘겨줄 수 있는 문서의 차이입니다.

그런 다음 최악의 날을 한 번 연습해 보세요. 머신을 선택하고, 콘솔의 복구 키 조회를 열고, 실제 잠금 중에 하듯이 키를 검색하세요. 한번도 테스트해보지 않은 에스크로는 시스템이 아니라 희망입니다. 직원이 바뀔 때에도 동일한 작업을 수행합니다. 직원이 퇴사할 때 이전 액세스 권한과 이전 키를 그대로 유지하는 대신 키를 교체하고 적절하게 액세스합니다.

한 대의 PC에 앉아 관리자 명령 프롬프트에서 해당 컴퓨터의 상태를 확인할 수 있습니다.

manage-bde -status C:

이는 이 드라이브의 상태를 알려주며 복구 키가 어디에 있는지에 대해서는 아무 것도 알려주지 않습니다. 자격 증명 모음은 두 번째 질문에 대한 답이며, 하나의 콘솔에서 BitLocker를 관리하는 전체 지점입니다.