Urus BitLocker Dengan Mudah

Dapatkan Ejen pada Setiap Mesin Dahulu

Konsol hanya boleh mengurus perkara yang boleh dilihatnya. Setiap PC terlebih dahulu memerlukan ejen Endpoint Central dipasang dan melaporkan dalam — tanpa ejen, mesin tidak dapat dilihat oleh polisi, peti besi kunci dan setiap laporan dalam panduan ini.

Bandingkan senarai mesin konsol dengan apa yang sebenarnya dimiliki oleh pejabat — rekod pembelian, senarai komputer Active Directory, imbasan rangkaian. Mana-mana PC yang hilang tidak "mungkin disulitkan"; ia tidak diketahui, dan tidak diketahui ialah risikonya. Projek penyulitan armada biasanya gagal pada langkah keterlihatan ini, bukan pada langkah penyulitan — tutup jurang dahulu.

Tulis Satu Polisi Sebelum Menyentuh Mana-mana PC

Buat dasar BitLocker secara berpusat dan bukannya mengkonfigurasi PC satu demi satu. Dasar ialah satu takrifan "disulitkan dengan betul", dan panduan video menetapkan keputusan yang penting:

Pelindung: TPM hanya membuka kunci pemacu secara automatik semasa but — komputer riba yang dicuri masih mencapai skrin log masuk Windows. TPM + PIN meminta PIN sebelum Windows bermula, iaitu tetapan yang benar-benar menghentikan pencuri; untuk komputer riba yang melakukan perjalanan, ia berbaloi dengan geseran kecil setiap hari. Mesin tanpa TPM boleh menggunakan pelindung frasa laluan — pilihan yang disengajakan, bukan kemalangan.

Algoritma dan skop: XTS-AES 128 atau 256 (256 ialah perkara yang kebanyakan juruaudit suka lihat ditulis; kedua-duanya tidak dipaksa secara kasar dalam amalan), dan penyulitan ruang terpakai sahaja untuk mesin serba baharu berbanding cakera penuh untuk mana-mana mesin yang sudah dalam perkhidmatan, kerana "memadamkan fail" masih ada.

Sediakan Kunci Escrow — dan Sahkan Ia Sebelum Menguatkuasakan Apa-apa

Setiap pemacu BitLocker mempunyai kunci pemulihan 48 digit, dan pada hari PC menunjukkan skrin pemulihan biru, kunci itu adalah satu-satunya perkara antara pengguna dan pemacu yang dipadam. Escrow bermaksud kunci dikumpul secara automatik dan disimpan di tempat organisasi mengawalnya: pada pelayan Pusat Titik Akhir, dengan pilihan untuk turut menyandarkan kunci ke dalam Active Directory atau Azure AD.

Peraturan Endpoint Central adalah ketat, dan ketegasan ialah ciri: penyulitan tidak bermula sehingga kunci pemulihan telah disimpan dengan selamat pada pelayan. Pemacu tidak boleh disulitkan dengan satu-satunya kuncinya yang terkandas pada mesin itu sendiri.

Tolak Dasar kepada Kumpulan Perintis Dahulu

Sebarkan polisi yang telah siap kepada kumpulan perintis kecil sebelum seluruh pejabat — beberapa mesin yang boleh anda kunjungi. Tonton mereka bergerak melalui keadaan konsol, sahkan kunci pemulihan masing-masing mendarat di bilik kebal, dan kemudian meluaskan pelancaran kepada kumpulan mesin (dokumen ManageEngine menolak sehingga 250 peranti pada satu masa). Mesin baharu boleh mengambil polisi secara automatik apabila mereka menyertainya, jadi armada kekal dilindungi selepas projek tamat.

Baca Papan Status — Disulitkan, Belum Selesai, Tidak Patuh

Dari sini kerja membaca, bukan melancong. Paparan Komputer Terurus BitLocker konsol membawa setiap mesin terurus dalam satu daripada tiga keadaan: Disulitkan, Penyulitan belum selesai atau Tidak patuh. Papan itu — bukan berjalan-jalan di sekitar pejabat — ialah cara anda menjawab "PC kami yang manakah masih tidak disulitkan?"

Kerjakan Senarai Jurang dalam Susunan Risiko

"Belum selesai" dan "Tidak patuh" ialah simptom, bukan diagnosis. Punca biasa: mesin tidak mendaftar masuk (mati, cuti, ejen berhenti melaporkan); prasyarat gagal — pra-penyelenggaraan konsol menyemak bendera klasik seperti ketidakserasian mod BIOS dan ralat pemilikan TPM; mesin tidak mempunyai TPM dan tiada sandaran frasa laluan telah dirancang; atau edisi Windows tidak boleh melakukan BitLocker sama sekali — mesin Windows Home akan berada dalam jurang selama-lamanya sehingga ia dinaik taraf atau diganti.

Kosongkan senarai dalam susunan risiko: komputer riba yang meninggalkan bangunan dahulu, kemudian mesin yang memegang data sensitif (akaun, HR, rekod pelanggan), kemudian desktop di kawasan kongsi, kemudian komputer meja tetap dalam bilik terkawal. Dan sahkan penamat dengan betul pada setiap mesin: status menunjukkan Disulitkan dan anda boleh mendapatkan kunci pemulihannya daripada peti besi. Kedua-duanya - bukan satu.

Buktikan — Laporan, Latihan Pemulihan dan Pemeriksaan Tempatan

Apabila papan sudah bersih, tarik laporan penyulitan: mesin mana yang disulitkan, dengan dasar yang mana dan sama ada setiap kunci pemacu disimpan. Laporan itu adalah bukti audit — perbezaan antara "kami percaya kami disulitkan" dan dokumen yang boleh anda serahkan.

Kemudian latih semula hari yang paling teruk sekali: pilih mesin, buka carian kunci pemulihan konsol dan dapatkan semula kuncinya seperti yang anda lakukan semasa penguncian sebenar. Escrow yang anda tidak pernah uji adalah harapan, bukan sistem. Lakukan perkara yang sama apabila orang berubah: apabila pekerja keluar, putar kekunci dan akses dengan betul dan bukannya meninggalkan akses lama dan kunci lama mereka secara langsung.

Duduk di satu PC sendiri, anda boleh menyemak keadaan mesin itu sendiri daripada Prompt Perintah pentadbir:

manage-bde -status C:

Itu memberitahu anda keadaan pemacu ini — ia tidak menyatakan apa-apa tentang tempat kunci pemulihannya berada. Bilik kebal adalah jawapan kepada soalan kedua itu, dan ia adalah titik keseluruhan untuk menguruskan BitLocker dari satu konsol.