Beheer BitLocker eenvoudig

Zorg eerst voor een agent op elke machine

De console kan alleen beheren wat hij kan zien. Op elke pc moet eerst de Endpoint Central-agent zijn geïnstalleerd en waarin wordt gerapporteerd. Zonder agent is een machine onzichtbaar voor het beleid, voor de sleutelkluis en voor elk rapport in deze handleiding.

Vergelijk de machinelijst van de console met wat het kantoor feitelijk bezit: aankoopgegevens, de Active Directory-computerlijst, een netwerkscan. Elke ontbrekende pc is niet "waarschijnlijk gecodeerd"; het is onbekend en onbekend is het risico. Projecten voor vlootversleuteling mislukken doorgaans bij deze zichtbaarheidsstap, niet bij de versleutelingsstap; eerst moet het gat worden gedicht.

Schrijf één beleid voordat u een pc aanraakt

Creëer het BitLocker-beleid centraal in plaats van pc's één voor één te configureren. Een beleid is één definitie van "goed gecodeerd", en de walkthrough van de video bepaalt de beslissingen die er toe doen:

Protector: TPM ontgrendelt de schijf alleen automatisch tijdens het opstarten; een gestolen laptop bereikt nog steeds het Windows-inlogscherm. TPM + PIN vraagt ​​om een ​​pincode voordat Windows zelfs maar start, wat de instelling is die een dief echt tegenhoudt; voor laptops die reizen, is het de kleine dagelijkse wrijving waard. Machines zonder TPM kunnen een wachtwoordzinbeschermer gebruiken: een bewuste keuze, nooit een ongeluk.

Algoritme en reikwijdte: XTS-AES 128 of 256 (256 is wat de meeste auditors graag opgeschreven zien; geen van beide wordt in de praktijk bruut geforceerd), en encryptie voor alleen gebruikte ruimte voor gloednieuwe machines versus volledige schijf voor elke machine die al in gebruik is, omdat de "lege" ruimte nog steeds verwijderde bestanden bevat.

Stel Key Escrow in en verifieer dit voordat u iets afdwingt

Elke BitLocker-schijf heeft een herstelsleutel van 48 cijfers, en op de dag dat een pc het blauwe herstelscherm toont, is die sleutel het enige tussen de gebruiker en een gewiste schijf. Escrow betekent dat de sleutel automatisch wordt verzameld en opgeslagen waar de organisatie deze beheert: op de Endpoint Central-server, met de optie om sleutels ook te back-uppen naar Active Directory of Azure AD.

De regel van Endpoint Central is streng, en die striktheid is de eigenschap: de codering start pas als de herstelsleutel veilig is opgeslagen op de server. Een schijf kan nooit versleuteld eindigen als de enige sleutel op de machine zelf achterblijft.

Breng het beleid eerst naar een pilotgroep

Implementeer het voltooide beleid in een kleine pilotgroep voor het hele kantoor – een paar machines waar u naartoe kunt lopen. Kijk hoe ze door de consolestatussen gaan, controleer of de herstelsleutel van ieder van hen in de kluis is beland en breid vervolgens de uitrol uit naar groepen machines (ManageEngine documenteert pushs van maximaal 250 apparaten tegelijk). Nieuwe machines kunnen de polis automatisch overnemen wanneer ze zich aansluiten, zodat de vloot gedekt blijft nadat het project is afgelopen.

Lees het statusbord: gecodeerd, in behandeling, niet-conform

Vanaf hier is het werk lezen, niet reizen. In de weergave BitLocker Managed Computers van de console heeft elke beheerde machine een van de drie statussen: Versleuteld, Versleuteling in behandeling of Niet-compatibel. Dat bord (geen wandeling door het kantoor) is hoe je antwoordt: "Welke van onze pc's zijn nog steeds niet gecodeerd?"

Werk de hiatenlijst uit in risicovolgorde

'In behandeling' en 'Niet-conform' zijn symptomen, geen diagnoses. De gebruikelijke oorzaken: de automaat heeft niet ingecheckt (uit, met verlof, agent stopt met melden); een vereiste mislukte: de controles vóór de implementatie van de console signaleren klassiekers zoals incompatibiliteit in de BIOS-modus en TPM-eigendomsfouten; de machine heeft geen TPM en er was geen terugval op wachtwoordzin gepland; of de Windows-editie kan BitLocker helemaal niet gebruiken: een Windows Home-machine zal voor altijd in de gaten blijven totdat deze wordt geüpgraded of vervangen.

Maak de lijst leeg in risicovolgorde: laptops die het gebouw als eerste verlaten, dan machines met gevoelige gegevens (accounts, HR, klantgegevens), dan desktops in gedeelde ruimtes, en dan vaste desktops in gecontroleerde kamers. En verifieer de afwerking goed op elke machine: de status toont Gecodeerd en u kunt de herstelsleutel uit de kluis halen. Beide – niet één.

Bewijs het: rapporten, de hersteloefening en een lokale controle

Wanneer het bord schoon is, haalt u het versleutelingsrapport op: welke machines zijn versleuteld, met welk beleid en of de sleutel van elke schijf is opgeslagen. Dat rapport is het auditbewijs: het verschil tussen "wij denken dat we gecodeerd zijn" en een document dat u kunt overhandigen.

Oefen vervolgens één keer de slechtste dag: kies een machine, open de zoekfunctie voor de herstelsleutel van de console en haal de sleutel op zoals u dat zou doen tijdens een echte uitsluiting. Escrow die u nog nooit hebt getest, is een hoop, geen systeem. Doe hetzelfde als mensen veranderen: als een medewerker vertrekt, draai dan sleutels en toegang op de juiste manier in plaats van hun oude toegang en oude sleutels te laten staan.

Als u zelf achter één pc zit, kunt u de eigen status van die machine controleren via een beheerdersopdrachtprompt:

manage-bde -status C:

Dat vertelt u de staat van deze schijf; het zegt niets over waar de herstelsleutel zich bevindt. De kluis is het antwoord op die tweede vraag, en het is de hele bedoeling van het beheren van BitLocker vanaf één console.