BitLocker सहज व्यवस्थापित करा

प्रत्येक मशीनवर प्रथम एजंट मिळवा

कन्सोल फक्त ते पाहू शकते ते व्यवस्थापित करू शकते. प्रत्येक PC ला प्रथम एंडपॉईंट सेंट्रल एजंट स्थापित करणे आणि अहवाल देणे आवश्यक आहे — एजंटशिवाय, मशीन पॉलिसीमध्ये, की व्हॉल्टमध्ये आणि या मार्गदर्शकातील प्रत्येक अहवालासाठी अदृश्य आहे.

कन्सोलच्या मशीन सूचीची तुलना कार्यालयाकडे असलेल्या वस्तूंशी करा — खरेदी रेकॉर्ड, सक्रिय निर्देशिका संगणक सूची, नेटवर्क स्कॅन. गहाळ असलेला कोणताही पीसी "कदाचित एनक्रिप्टेड" नाही; ते अज्ञात आहे, आणि अज्ञात धोका आहे. फ्लीट एन्क्रिप्शन प्रकल्प सहसा या दृश्यमानतेच्या टप्प्यावर अयशस्वी होतात, एनक्रिप्शन चरणावर नाही — प्रथम अंतर बंद करा.

कोणत्याही पीसीला स्पर्श करण्यापूर्वी एक धोरण लिहा

पीसी एक एक करून कॉन्फिगर करण्याऐवजी बिटलॉकर पॉलिसी मध्यवर्ती तयार करा. धोरण ही "योग्य रीतीने कूटबद्ध केलेली" ची एक व्याख्या आहे आणि व्हिडिओचे वॉकथ्रू महत्त्वाचे निर्णय सेट करते:

संरक्षक: TPM फक्त बूट होताच आपोआप ड्राइव्ह अनलॉक करते — चोरीला गेलेला लॅपटॉप अजूनही Windows लॉगिन स्क्रीनवर पोहोचतो. TPM + PIN विंडोज सुरू होण्यापूर्वी पिन मागते, ही सेटिंग चोराला खरोखर थांबवते; प्रवास करणाऱ्या लॅपटॉपसाठी, दररोजच्या लहान घर्षणाची किंमत आहे. TPM नसलेली मशीन सांकेतिक वाक्यांश संरक्षक वापरू शकतात — एक मुद्दाम निवड, कधीही अपघात नाही.

अल्गोरिदम आणि व्याप्ती: XTS-AES 128 किंवा 256 (बहुतांश ऑडिटर्सना 256 हे लिहिलेले पहायला आवडते; सरावात कोणत्याही प्रकारची सक्ती केली जात नाही), आणि ब्रँड-नवीन मशीनसाठी वापरलेले-स्पेस-केवळ एन्क्रिप्शन विरुद्ध फुल डिस्क, कारण "एमपी सेवेमध्ये "कोणत्याही मशिनमध्ये आधीच जागा ठेवली आहे."

की एस्क्रो सेट करा - आणि काहीही लागू करण्यापूर्वी ते सत्यापित करा

प्रत्येक बिटलॉकर ड्राइव्हमध्ये 48-अंकी रिकव्हरी की असते आणि ज्या दिवशी पीसी निळा रिकव्हरी स्क्रीन दाखवतो, ती की वापरकर्ता आणि पुसलेल्या ड्राइव्हमधील एकमेव गोष्ट असते. एस्क्रो म्हणजे की आपोआप संकलित केली जाते आणि ती जिथे संस्था नियंत्रित करते तिथे संग्रहित केली जाते: एंडपॉईंट सेंट्रल सर्व्हरवर, सक्रिय निर्देशिका किंवा Azure AD मध्ये की बॅकअप घेण्याच्या पर्यायासह.

एंडपॉईंट सेंट्रलचा नियम कठोर आहे, आणि कडकपणा हे वैशिष्ट्य आहे: रिकव्हरी की सर्व्हरवर सुरक्षितपणे संग्रहित होईपर्यंत एनक्रिप्शन सुरू होत नाही. ड्राईव्ह कधीही मशीनवरच अडकलेल्या तिची एकमेव की एनक्रिप्टेड असू शकत नाही.

प्रथम पायलट गटाकडे धोरण पुश करा

तयार पॉलिसी एका लहान पायलट गटाला संपूर्ण कार्यालयासमोर तैनात करा — काही मशीन्स ज्यावर तुम्ही जाऊ शकता. त्यांना कन्सोल स्थितींमधून जाताना पहा, प्रत्येकाची रिकव्हरी की व्हॉल्टमध्ये उतरल्याची पुष्टी करा आणि त्यानंतरच मशीनच्या गटांमध्ये रोलआउट रुंद करा (ManageEngine दस्तऐवज एकावेळी 250 उपकरणांपर्यंत पुश करतात). नवीन मशीन्स सामील होताच पॉलिसी आपोआप उचलू शकतात, त्यामुळे प्रकल्प संपल्यानंतर फ्लीट कव्हर राहतो.

स्टेटस बोर्ड वाचा — एनक्रिप्टेड, प्रलंबित, गैर-अनुपालक

इथून नोकरी वाचन आहे, प्रवास नाही. कन्सोलचे बिटलॉकर व्यवस्थापित संगणक दृश्य प्रत्येक व्यवस्थापित मशीन तीनपैकी एका स्थितीत घेऊन जाते: एनक्रिप्टेड, एनक्रिप्शन प्रलंबित किंवा अनुपालक नसलेले. तो फलक — कार्यालयात फिरणे नाही — तुम्ही "आमचे कोणते पीसी अद्याप एनक्रिप्ट केलेले नाहीत?"

जोखीम क्रमाने गॅप लिस्टवर काम करा

"प्रलंबित" आणि "अनुपालक नसलेले" ही लक्षणे आहेत, निदान नाही. नेहमीची कारणे: मशीनने चेक इन केले नाही (बंद, रजेवर, एजंटने अहवाल देणे थांबवले); एक पूर्वतयारी अयशस्वी — कन्सोलचे पूर्व-उपयोजन फ्लॅग क्लासिक जसे की BIOS मोड विसंगतता आणि TPM मालकी त्रुटी तपासते; मशीनमध्ये TPM नाही आणि पासफ्रेज फॉलबॅक नियोजित नाही; किंवा विंडोज एडिशन बिटलॉकर अजिबात करू शकत नाही — विंडोज होम मशीन अपग्रेड किंवा रिप्लेस करेपर्यंत कायमचे गॅपमध्ये बसेल.

जोखीम क्रमाने यादी साफ करा: प्रथम इमारत सोडणारे लॅपटॉप, नंतर संवेदनशील डेटा (खाते, एचआर, ग्राहक रेकॉर्ड) धारण करणारी मशीन्स, नंतर शेअर केलेल्या भागात डेस्कटॉप, त्यानंतर नियंत्रित खोल्यांमध्ये निश्चित केलेले डेस्कटॉप. आणि प्रत्येक मशीनवर फिनिश योग्यरित्या सत्यापित करा: स्थिती दर्शवते एनक्रिप्टेड आणि तुम्ही तिची पुनर्प्राप्ती की व्हॉल्टमधून पुनर्प्राप्त करू शकता. दोन्ही - एक नाही.

हे सिद्ध करा — अहवाल, पुनर्प्राप्ती ड्रिल आणि स्थानिक तपासणी

बोर्ड स्वच्छ असताना, एन्क्रिप्शन रिपोर्ट खेचून घ्या: कोणती मशीन एनक्रिप्टेड आहेत, कोणत्या पॉलिसीसह, आणि प्रत्येक ड्राइव्हची की संग्रहित आहे की नाही. तो अहवाल ऑडिट पुरावा आहे — "आम्ही विश्वास करतो की आम्ही एन्क्रिप्टेड आहोत" आणि तुम्ही हस्तांतरित करू शकता असा दस्तऐवज यातील फरक.

मग एकदा सर्वात वाईट दिवसाची पूर्वाभ्यास करा: मशीन निवडा, कन्सोलची रिकव्हरी की लुकअप उघडा आणि वास्तविक लॉकआऊट दरम्यान तुम्ही जशी की तशी पुनर्प्राप्त करा. तुम्ही कधीही चाचणी केलेली एस्क्रो ही एक आशा आहे, प्रणाली नाही. जेव्हा लोक बदलतात तेव्हा तेच करा: जेव्हा एखादा कर्मचारी निघून जातो, तेव्हा त्यांचा जुना प्रवेश आणि जुन्या की थेट सोडण्याऐवजी की फिरवा आणि योग्यरित्या प्रवेश करा.

स्वत: एका PC वर बसून, आपण प्रशासक कमांड प्रॉम्प्टवरून त्या मशीनची स्वतःची स्थिती तपासू शकता:

manage-bde -status C:

ते तुम्हाला या ड्राइव्हची स्थिती सांगते - त्याची पुनर्प्राप्ती की कोठे राहते याबद्दल ते काहीही सांगत नाही. व्हॉल्ट हे त्या दुसऱ्या प्रश्नाचे उत्तर आहे आणि एका कन्सोलमधून बिटलॉकर व्यवस्थापित करण्याचा हा संपूर्ण मुद्दा आहे.