Легко управляйте BitLocker

Сначала установите агент на каждую машину

Консоль может управлять только тем, что видит. На каждом компьютере сначала должен быть установлен агент Endpoint Central и отправлять отчеты — без агента машина невидима для политики, хранилища ключей и всех отчетов в этом руководстве.

Сравните список компьютеров консоли с тем, что на самом деле принадлежит офису — записи о покупках, список компьютеров Active Directory, сканирование сети. Любой отсутствующий компьютер «вероятно, не зашифрован»; это неизвестно, и неизвестен риск. Проекты шифрования флота обычно терпят неудачу на этом этапе видимости, а не на этапе шифрования — сначала ликвидируйте пробел.

Напишите одну политику, прежде чем прикасаться к любому ПК

Создайте политику BitLocker централизованно, а не настраивайте компьютеры по одному. Политика — это одно из определений понятия «правильное шифрование», и пошаговое руководство к видео определяет важные решения:

Защитник: TPM автоматически разблокирует диск только при загрузке — украденный ноутбук все равно достигает экрана входа в Windows. TPM + PIN запрашивает PIN-код еще до запуска Windows, и этот параметр действительно останавливает вора; для портативных компьютеров, которые путешествуют, это стоит небольшого ежедневного трения. Машины без TPM могут использовать защиту парольной фразы — это осознанный выбор, а не случайность.

Алгоритм и объем: XTS-AES 128 или 256 (256 — это то, что большинство аудиторов предпочитают видеть записанными; на практике ни один из них не применяется методом грубой принудительной обработки), а также шифрование только используемого пространства для совершенно новых машин по сравнению с полным диском для любой машины, уже находящейся в эксплуатации, поскольку «пустое» пространство все еще содержит удаленные файлы.

Настройте условное депонирование ключей и проверьте его, прежде чем что-либо предпринимать

Каждый диск BitLocker имеет 48-значный ключ восстановления, и в тот день, когда на ПК отображается синий экран восстановления, этот ключ — единственное, что может отделить пользователя от очищенного диска. Депонирование означает, что ключ собирается автоматически и хранится там, где его контролирует организация: на сервере Endpoint Central с возможностью резервного копирования ключей в Active Directory или Azure AD.

Правило Endpoint Central является строгим, и эта строгость — это особенность: шифрование не начинается до тех пор, пока ключ восстановления не будет безопасно сохранен на сервере. Диск никогда не может быть зашифрован, если его единственный ключ окажется на самой машине.

Сначала распространите политику на пилотную группу

Разверните готовую политику в небольшой пилотной группе, а затем во всем офисе — на нескольких машинах, к которым вы можете подойти. Наблюдайте за тем, как они перемещаются по состояниям консоли, подтверждайте, что ключ восстановления каждого из них помещен в хранилище, и только затем расширяйте развертывание на группы компьютеров (ManageEngine документирует отправку до 250 устройств одновременно). Новые машины могут автоматически получать полис по мере их присоединения, поэтому парк остается под защитой после завершения проекта.

Прочтите табло состояния — зашифровано, ожидание, не соответствует требованиям

Отсюда работа — чтение, а не путешествие. В представлении консоли «Управляемые компьютеры BitLocker» каждая управляемая машина находится в одном из трех состояний: Зашифровано, Ожидает шифрования или Не соответствует требованиям. Эта доска, а не прогулка по офису, — это то, как вы отвечаете: «Какой из наших компьютеров до сих пор не зашифрован?»

Работайте со списком пробелов в порядке риска

«Ожидание» и «Несоответствие» — это симптомы, а не диагнозы. Обычные причины: машина не зарегистрировалась (выключена, в отпуске, агент перестал сообщать); не удалось выполнить предварительное условие — консоль перед развертыванием проверяет классические флаги, такие как несовместимость режима BIOS и ошибки владения TPM; на машине нет TPM, и резервный пароль не планировался; или версия Windows вообще не поддерживает BitLocker — компьютер с Windows Home будет оставаться в дефиците навсегда, пока его не обновят или не заменят.

Очистите список в порядке риска: сначала выходят из здания ноутбуки, затем машины, содержащие конфиденциальные данные (счета, отдел кадров, записи клиентов), затем настольные компьютеры в зонах общего пользования, затем стационарные настольные компьютеры в контролируемых помещениях. И проверьте правильность завершения на каждом компьютере: отображается статус Зашифровано и вы можете получить ключ восстановления из хранилища. Оба — не один.

Докажите это: отчеты, тренировки по восстановлению и локальная проверка

Когда плата будет очищена, извлеките отчет о шифровании: какие машины зашифрованы, с какой политикой и сохранен ли ключ каждого диска. Этот отчет является доказательством аудита — разница между «мы считаем, что мы зашифрованы» и документом, который вы можете передать.

Затем однажды повторите худший день: выберите машину, откройте поиск ключа восстановления консоли и получите ключ, как если бы вы это сделали во время реальной блокировки. Эскроу, который вы никогда не тестировали, — это надежда, а не система. Делайте то же самое, когда люди меняются: когда сотрудник уходит, меняйте ключи и получайте доступ должным образом, вместо того, чтобы оставлять старый доступ и старые ключи действующими.

Сидя за одним компьютером, вы можете проверить состояние этого компьютера из командной строки администратора:

manage-bde -status C:

Это говорит вам о состоянии этого диска — ничего не говорит о том, где находится его ключ восстановления. Хранилище — это ответ на второй вопрос, и в этом весь смысл управления BitLocker с одной консоли.