Gerencie o BitLocker facilmente

Obtenha primeiro um agente em cada máquina

O console só pode gerenciar o que pode ver. Cada PC precisa primeiro do agente Endpoint Central instalado e gerando relatórios. Sem um agente, uma máquina fica invisível para a política, para o cofre de chaves e para todos os relatórios deste guia.

Compare a lista de máquinas do console com o que o escritório realmente possui – registros de compras, a lista de computadores do Active Directory, uma varredura de rede. Qualquer PC ausente não está "provavelmente criptografado"; é desconhecido, e desconhecido é o risco. Os projetos de criptografia de frota geralmente falham nesta etapa de visibilidade, e não na etapa de criptografia – feche a lacuna primeiro.

Escreva uma política antes de tocar em qualquer PC

Crie a política do BitLocker centralmente em vez de configurar os PCs um por um. Uma política é uma definição de "criptografado corretamente", e o passo a passo do vídeo define as decisões que importam:

Protetor: O TPM só desbloqueia a unidade automaticamente na inicialização – um laptop roubado ainda chega à tela de login do Windows. TPM + PIN pede um PIN antes mesmo de o Windows iniciar, que é a configuração que realmente impede um ladrão; para laptops que viajam, vale a pena o pequeno atrito diário. Máquinas sem TPM podem usar um protetor de senha — uma escolha deliberada, nunca um acidente.

Algoritmo e escopo: XTS-AES 128 ou 256 (256 é o que a maioria dos auditores gosta de ver escrito; nenhum dos dois está sendo forçado na prática) e criptografia somente de espaço usado para máquinas novas versus disco cheio para qualquer máquina já em serviço, porque o espaço "vazio" ainda contém arquivos excluídos.

Configure o compromisso de chave – e verifique-o antes de aplicar qualquer coisa

Cada unidade BitLocker possui uma chave de recuperação de 48 dígitos e, no dia em que um PC mostra a tela azul de recuperação, essa chave é a única coisa entre o usuário e uma unidade apagada. Escrow significa que a chave é coletada automaticamente e armazenada onde a organização a controla: no servidor Endpoint Central, com a opção de também fazer backup das chaves no Active Directory ou Azure AD.

A regra do Endpoint Central é rígida, e o rigor é o recurso: a criptografia não é iniciada até que a chave de recuperação tenha sido armazenada com segurança no servidor. Uma unidade nunca pode acabar criptografada com sua única chave presa na própria máquina.

Envie a política primeiro para um grupo piloto

Distribua a política finalizada para um pequeno grupo piloto diante de todo o escritório – algumas máquinas que você pode visitar. Observe-os passar pelos estados do console, confirmar a chave de recuperação de cada um no cofre e só então ampliar a implementação para grupos de máquinas (o ManageEngine documenta envios de até 250 dispositivos por vez). Novas máquinas podem adquirir a apólice automaticamente ao aderirem, de forma que a frota permaneça coberta após o término do projeto.

Leia o quadro de status – criptografado, pendente, não compatível

A partir daqui o trabalho é ler, não viajar. A exibição Computadores gerenciados do BitLocker do console carrega cada máquina gerenciada em um dos três estados: Criptografado, Criptografia pendente ou Não compatível. Esse quadro - e não um passeio pelo escritório - é como você responde "quais dos nossos PCs ainda não estão criptografados?"

Trabalhe a lista de lacunas em ordem de risco

“Pendente” e “Não conforme” são sintomas, não diagnósticos. As causas habituais: a máquina não fez check-in (desligada, de licença, agente parou de reportar); um pré-requisito falhou – as verificações de pré-implantação do console sinalizam clássicos como incompatibilidade do modo BIOS e erros de propriedade de TPM; a máquina não tem TPM e nenhum substituto de senha foi planejado; ou a edição do Windows não pode executar o BitLocker – uma máquina Windows Home ficará para sempre na lacuna até ser atualizada ou substituída.

Limpe a lista em ordem de risco: primeiro os laptops que saem do prédio, depois as máquinas que contêm dados confidenciais (contas, RH, registros de clientes), depois os desktops em áreas compartilhadas e, por fim, os desktops fixos em salas controladas. E verifique o acabamento corretamente em cada máquina: o status mostra Criptografado e você pode recuperar sua chave de recuperação do cofre. Ambos – não um.

Prove – Relatórios, o exercício de recuperação e uma verificação local

Quando a placa estiver limpa, obtenha o relatório de criptografia: quais máquinas estão criptografadas, com quais políticas e se a chave de cada unidade está armazenada. Esse relatório é a prova de auditoria – a diferença entre “acreditamos que estamos criptografados” e um documento que você pode entregar.

Em seguida, ensaie o pior dia uma vez: escolha uma máquina, abra a pesquisa de chave de recuperação do console e recupere sua chave da mesma forma que faria durante um bloqueio real. O compromisso que você nunca testou é uma esperança, não um sistema. Faça o mesmo quando as pessoas mudarem: quando um funcionário sair, gire as chaves e acesse corretamente, em vez de deixar o acesso antigo e as chaves antigas ativas.

Sentado em um PC, você pode verificar o estado da máquina em um prompt de comando do administrador:

manage-bde -status C:

Isso informa o estado desta unidade - não diz nada sobre onde está sua chave de recuperação. O cofre é a resposta para essa segunda pergunta e é o objetivo de gerenciar o BitLocker a partir de um console.