Zarządzaj funkcją BitLocker z łatwością

Najpierw zdobądź agenta na każdej maszynie

Konsola może zarządzać tylko tym, co widzi. Każdy komputer PC wymaga najpierw zainstalowania agenta Endpoint Central i raportowania — bez agenta maszyna jest niewidoczna dla zasad, magazynu kluczy i każdego raportu opisanego w tym przewodniku.

Porównaj listę komputerów konsoli z tym, co faktycznie posiada biuro — zapisy zakupów, lista komputerów w usłudze Active Directory, skanowanie sieci. Żaden komputer, którego brakuje, nie jest „prawdopodobnie zaszyfrowany”; jest nieznane i nieznane jest ryzyko. Projekty szyfrowania floty zwykle kończą się niepowodzeniem na tym etapie widoczności, a nie na etapie szyfrowania — najpierw usuń lukę.

Zapisz jedną zasadę przed dotknięciem dowolnego komputera

Utwórz politykę funkcji BitLocker centralnie, zamiast konfigurować komputery jeden po drugim. Zasady to jedna z definicji „prawidłowego szyfrowania”, a instrukcja wideo pozwala podjąć istotne decyzje:

Protector: moduł TPM odblokowuje dysk automatycznie tylko podczas rozruchu — skradziony laptop nadal wyświetla ekran logowania systemu Windows. TPM + PIN prosi o podanie kodu PIN jeszcze przed uruchomieniem systemu Windows, co jest ustawieniem, które naprawdę powstrzymuje złodzieja; w przypadku laptopów podróżujących warto ponosić niewielkie codzienne tarcia. Maszyny bez modułu TPM mogą korzystać z funkcji ochrony haseł — jest to celowy wybór, a nie wypadek.

Algorytm i zakres: XTS-AES 128 lub 256 (256 to to, co większość audytorów lubi widzieć zapisane; w praktyce żadne z nich nie jest wymuszane brutalnie) i szyfrowanie tylko używanej przestrzeni w przypadku zupełnie nowych maszyn w porównaniu z pełnym dyskiem w przypadku dowolnej maszyny już działającej, ponieważ „pusta” przestrzeń nadal przechowuje usunięte pliki.

Skonfiguruj depozyt kluczy — i zweryfikuj go przed wyegzekwowaniem czegokolwiek

Każdy dysk funkcji BitLocker ma 48-cyfrowy klucz odzyskiwania, a w dniu, w którym komputer wyświetli niebieski ekran odzyskiwania, ten klucz będzie jedyną rzeczą oddzielającą użytkownika od wyczyszczonego dysku. Escrow oznacza, że ​​klucz jest zbierany automatycznie i przechowywany tam, gdzie organizacja go kontroluje: na serwerze Endpoint Central, z opcją także tworzenia kopii zapasowych kluczy w Active Directory lub Azure AD.

Reguła Endpoint Central jest rygorystyczna, a ścisłość jest cechą: szyfrowanie nie rozpoczyna się, dopóki klucz odzyskiwania nie zostanie bezpiecznie zapisany na serwerze. Dysk nigdy nie zostanie zaszyfrowany, a jego jedyny klucz zostanie pozostawiony na samym komputerze.

Najpierw przekaż zasady grupie pilotażowej

Wdróż gotową politykę w małej grupie pilotażowej przed całym biurem — na kilku komputerach, do których możesz podejść. Obserwuj, jak przeglądają stany konsoli, potwierdzają, że klucz odzyskiwania każdego z nich wylądował w skarbcu, a dopiero potem rozszerzają wdrożenie na grupy maszyn (ManageEngine dokumentuje przesyłanie do 250 urządzeń jednocześnie). Nowe maszyny mogą automatycznie wykupić polisę po dołączeniu, dzięki czemu flota pozostaje objęta ubezpieczeniem po zakończeniu projektu.

Przeczytaj tablicę stanu — zaszyfrowane, oczekujące, niezgodne

Tutaj zadaniem jest czytanie, a nie podróżowanie. Widok Komputery zarządzane funkcją BitLocker w konsoli wyświetla każdy zarządzany komputer w jednym z trzech stanów: Zaszyfrowany, Oczekujący na szyfrowanie lub Niezgodny. Ta tablica — a nie spacer po biurze — to odpowiedź na pytanie: „które z naszych komputerów nadal nie są zaszyfrowane?”

Opracuj listę luk w kolejności ryzyka

„Oczekujące” i „Niezgodne” to objawy, a nie diagnozy. Typowe przyczyny: maszyna nie została zarejestrowana (wyłączona, na urlopie, agent przestał się meldować); warunek wstępny nie został spełniony — kontrole konsoli przed wdrożeniem oznaczają takie klasyki, jak niezgodność trybu BIOS i błędy własności modułu TPM; maszyna nie ma modułu TPM i nie zaplanowano żadnego zastępczego hasła; lub wersja systemu Windows w ogóle nie obsługuje funkcji BitLocker — komputer z systemem Windows Home pozostanie w luce na zawsze, dopóki nie zostanie zaktualizowany lub wymieniony.

Wyczyść listę w kolejności ryzyka: laptopy opuszczające budynek jako pierwsze, następnie maszyny przechowujące wrażliwe dane (konta, kadry, dane klientów), następnie komputery stacjonarne we wspólnych obszarach, następnie stacjonarne komputery stacjonarne w kontrolowanych pokojach. I sprawdź prawidłowo zakończenie na każdym komputerze: status pokazuje Zaszyfrowane i, możesz odzyskać klucz odzyskiwania ze skarbca. Obydwa — nie jeden.

Udowodnij to — raporty, ćwiczenia odzyskiwania i kontrola lokalna

Gdy płyta będzie czysta, wyciągnij raport szyfrowania: które maszyny są szyfrowane, według jakich zasad i czy przechowywany jest klucz każdego dysku. Ten raport stanowi dowód kontroli — różnicę między stwierdzeniem „uważamy, że jesteśmy zaszyfrowani” a dokumentem, który można przekazać.

Następnie przećwicz raz najgorszy dzień: wybierz maszynę, otwórz wyszukiwanie klucza odzyskiwania konsoli i odzyskaj jej klucz w taki sam sposób, jak podczas prawdziwej blokady. Escrow, którego nigdy nie testowałeś, jest nadzieją, a nie systemem. Zrób to samo, gdy ludzie się zmieniają: gdy pracownik odchodzi, obracaj klucze i uzyskaj odpowiedni dostęp, zamiast pozostawiać stary dostęp i stare klucze bez zmian.

Siedząc samodzielnie na jednym komputerze, możesz sprawdzić stan tego komputera z wiersza poleceń administratora:

manage-bde -status C:

To informuje o stanie tego dysku — nie mówi nic o tym, gdzie znajduje się jego klucz odzyskiwania. Skarbiec jest odpowiedzią na to drugie pytanie i o to właśnie chodzi w zarządzaniu funkcją BitLocker z jednej konsoli.