Gestionați BitLocker cu ușurință

Obțineți mai întâi un agent pe fiecare mașină

Consola poate gestiona doar ceea ce poate vedea. Fiecare PC are nevoie mai întâi de agentul Endpoint Central instalat și de raportat - fără un agent, o mașină este invizibilă pentru politică, pentru seiful de chei și pentru fiecare raport din acest ghid.

Comparați lista de mașini a consolei cu ceea ce deține de fapt biroul - înregistrări de achiziții, lista de computere Active Directory, o scanare a rețelei. Orice PC care lipsește nu este „probabil criptat”; este necunoscut, iar riscul este necunoscut. Proiectele de criptare a flotei eșuează, de obicei, la acest pas de vizibilitate, nu la pasul de criptare - mai întâi închideți decalajul.

Scrieți o singură politică înainte de a atinge orice computer

Creați politica BitLocker la nivel central, în loc să configurați computerele unul câte unul. O politică este o definiție a „criptat corect”, iar procedura de trecere a videoclipului stabilește deciziile care contează:

Protector: TPM deblochează unitatea automat doar la pornire — un laptop furat ajunge în continuare pe ecranul de conectare Windows. TPM + PIN solicită un PIN chiar înainte de a porni Windows, care este setarea care oprește cu adevărat un hoț; pentru laptopurile care călătoresc, merită mica frecare zilnică. Aparatele fără un TPM pot folosi un protector de frază de acces - o alegere deliberată, niciodată un accident.

Algoritm și domeniu de aplicare: XTS-AES 128 sau 256 (256 este ceea ce majoritatea auditorilor le place să vadă scris; nici unul nu este forțat în practică) și criptare doar pentru spațiul folosit pentru mașinile noi, comparativ cu discul complet pentru orice mașină deja în funcțiune, deoarece fișierele „goare” încă epuizate.

Configurați escrow cheie - și verificați-l înainte de a aplica nimic

Fiecare unitate BitLocker are o cheie de recuperare din 48 de cifre, iar în ziua în care un computer arată ecranul albastru de recuperare, acea cheie este singura cheie între utilizator și o unitate ștearsă. Escrow înseamnă că cheia este colectată automat și stocată acolo unde o controlează organizația: pe serverul Endpoint Central, cu opțiunea de a salva cheile și în Active Directory sau Azure AD.

Regula Endpoint Central este strictă, iar strictețea este caracteristica: criptarea nu începe până când cheia de recuperare nu a fost stocată în siguranță pe server. O unitate nu poate ajunge niciodată criptată cu singura sa cheie blocată pe mașină în sine.

Mai întâi trimiteți politica unui grup pilot

Implementați politica finală într-un grup pilot mic înaintea întregului birou - câteva mașini la care puteți merge. Urmăriți-i cum se deplasează prin stările consolei, confirmați cheia de recuperare a fiecăruia a ajuns în seif și abia apoi extindeți lansarea la grupuri de mașini (ManageEngine documentează push-uri de până la 250 de dispozitive simultan). Noile mașini pot prelua automat politica pe măsură ce se alătură, astfel încât flota rămâne acoperită după încheierea proiectului.

Citiți panoul de stare - Criptat, în așteptare, neconform

De aici treaba este să citești, nu să călătorești. Vizualizarea Computere gestionate BitLocker a consolei transportă fiecare mașină gestionată în una dintre cele trei stări: Ccriptat, Criptare în așteptare sau Neconform. Acea placă – nu o plimbare prin birou – este modul în care răspundeți „care dintre computerele noastre nu sunt încă criptate?”

Lucrați lista de goluri în ordinea riscurilor

„În așteptare” și „Neconform” sunt simptome, nu diagnostice. Cauzele obișnuite: mașina nu s-a înregistrat (oprit, în concediu, agentul nu mai raportează); o cerință prealabilă a eșuat — verificările de pre-implementare ale consolei verifică standardele clasice, cum ar fi incompatibilitatea modului BIOS și erorile de proprietate TPM; mașina nu are TPM și nu a fost planificată nicio rezervă pentru fraza de acces; sau ediția Windows nu poate face BitLocker deloc - o mașină Windows Home va rămâne în decalaj pentru totdeauna până când este actualizată sau înlocuită.

Ștergeți lista în ordinea riscului: laptopurile care părăsesc clădirea mai întâi, apoi mașinile care dețin date sensibile (conturi, HR, înregistrările clienților), apoi desktop-uri în zone partajate, apoi desktop-uri fixe în camere controlate. Și verificați corect finisajul pe fiecare mașină: starea arată Criptată și puteți recupera cheia de recuperare din seif. Ambele - nu unul.

Demonstrați-o — Rapoarte, exercițiul de recuperare și o verificare locală

Când placa este curată, trageți raportul de criptare: ce mașini sunt criptate, cu ce politică și dacă cheia fiecărei unități este stocată. Acest raport este dovada de audit - diferența dintre „credem că suntem criptați” și un document pe care îl puteți preda.

Apoi repetați cea mai proastă zi o dată: alegeți o mașină, deschideți căutarea cheii de recuperare a consolei și recuperați-i cheia așa cum ați face-o în timpul unui blocaj real. Escrow pe care nu l-ați testat niciodată este o speranță, nu un sistem. Faceți același lucru când oamenii se schimbă: când un angajat pleacă, rotiți cheile și accesați corect în loc să lăsați accesul vechi și cheile vechi active.

Stând singur la un computer, puteți verifica starea mașinii respective dintr-un prompt de comandă admin:

manage-bde -status C:

Aceasta vă spune starea acestei unități - nu spune nimic despre locul în care se află cheia de recuperare. Seiful este răspunsul la a doua întrebare și este scopul complet al gestionării BitLocker dintr-o singură consolă.