BitLockerని సులభంగా నిర్వహించండి

ముందుగా ప్రతి మెషీన్‌లో ఏజెంట్‌ను పొందండి

కన్సోల్ చూడగలిగే వాటిని మాత్రమే నిర్వహించగలదు. ప్రతి PCకి ముందుగా ఎండ్‌పాయింట్ సెంట్రల్ ఏజెంట్‌ను ఇన్‌స్టాల్ చేసి రిపోర్టింగ్ చేయాలి — ఏజెంట్ లేకుండా, మెషీన్ పాలసీకి, కీ వాల్ట్‌కి మరియు ఈ గైడ్‌లోని ప్రతి నివేదికకు కనిపించదు.

కన్సోల్ యొక్క మెషీన్ జాబితాను ఆఫీస్ వాస్తవానికి కలిగి ఉన్న వాటితో సరిపోల్చండి — కొనుగోలు రికార్డులు, యాక్టివ్ డైరెక్టరీ కంప్యూటర్ జాబితా, నెట్‌వర్క్ స్కాన్. తప్పిపోయిన ఏదైనా PC "బహుశా గుప్తీకరించబడదు"; అది తెలియదు, మరియు తెలియనిది ప్రమాదం. ఫ్లీట్ ఎన్‌క్రిప్షన్ ప్రాజెక్ట్‌లు సాధారణంగా ఈ విజిబిలిటీ స్టెప్‌లో విఫలమవుతాయి, ఎన్‌క్రిప్షన్ దశలో కాదు - ముందుగా గ్యాప్‌ను మూసివేయండి.

ఏదైనా PCని తాకడానికి ముందు ఒక పాలసీని వ్రాయండి

PCలను ఒక్కొక్కటిగా కాన్ఫిగర్ చేయడానికి బదులుగా BitLocker విధానాన్ని కేంద్రంగా సృష్టించండి. విధానం అనేది "సరిగ్గా గుప్తీకరించబడింది" అనేదానికి ఒక నిర్వచనం, మరియు వీడియో యొక్క నడక ముఖ్యమైన నిర్ణయాలను సెట్ చేస్తుంది:

ప్రొటెక్టర్: TPM బూట్ వద్ద మాత్రమే డ్రైవ్‌ను స్వయంచాలకంగా అన్‌లాక్ చేస్తుంది — దొంగిలించబడిన ల్యాప్‌టాప్ ఇప్పటికీ Windows లాగిన్ స్క్రీన్‌కు చేరుకుంటుంది. TPM + PIN Windows ప్రారంభం కావడానికి ముందే PIN కోసం అడుగుతుంది, ఇది దొంగను నిజంగా ఆపే సెట్టింగ్; ప్రయాణించే ల్యాప్‌టాప్‌ల కోసం, ఇది చిన్న రోజువారీ ఘర్షణ విలువైనది. TPM లేని యంత్రాలు పాస్‌ఫ్రేజ్ ప్రొటెక్టర్‌ను ఉపయోగించవచ్చు - ఉద్దేశపూర్వక ఎంపిక, ఎప్పుడూ ప్రమాదం కాదు.

అల్గారిథమ్ మరియు స్కోప్: XTS-AES 128 లేదా 256 (256 అనేది చాలా మంది ఆడిటర్‌లు వ్రాసి చూడాలని ఇష్టపడతారు; ఆచరణలో బ్రూట్-ఫోర్స్డ్ చేయడం లేదు), మరియు బ్రాండ్-న్యూ మెషీన్‌ల కోసం ఉపయోగించబడిన-స్పేస్-ఓన్లీ ఎన్‌క్రిప్షన్ వర్సెస్ పూర్తి డిస్క్ ఇప్పటికీ సేవలో ఉంది.

కీ ఎస్క్రోను సెటప్ చేయండి - మరియు ఏదైనా అమలు చేయడానికి ముందు దాన్ని ధృవీకరించండి

ప్రతి బిట్‌లాకర్ డ్రైవ్‌లో 48-అంకెల రికవరీ కీ ఉంటుంది మరియు PC బ్లూ రికవరీ స్క్రీన్‌ను చూపే రోజున, వినియోగదారు మరియు తుడిచిపెట్టిన డ్రైవ్ మధ్య ఆ కీ మాత్రమే ఉంటుంది. Escrow అంటే కీ స్వయంచాలకంగా సేకరించబడుతుంది మరియు సంస్థ దానిని నియంత్రించే చోట నిల్వ చేయబడుతుంది: Endpoint సెంట్రల్ సర్వర్‌లో, యాక్టివ్ డైరెక్టరీ లేదా Azure ADలోకి కీలను బ్యాకప్ చేసే ఎంపికతో.

ఎండ్‌పాయింట్ సెంట్రల్ యొక్క నియమం కఠినమైనది, మరియు కఠినత లక్షణం: రికవరీ కీ సర్వర్‌లో సురక్షితంగా నిల్వ చేయబడే వరకు గుప్తీకరణ ప్రారంభం కాదు. మెషీన్‌లోనే స్ట్రాండ్ చేయబడిన ఏకైక కీతో డ్రైవ్ ఎప్పటికీ గుప్తీకరించబడదు.

ముందుగా పాలసీని పైలట్ గ్రూప్‌కి పుష్ చేయండి

పూర్తి చేసిన విధానాన్ని పూర్తి ఆఫీస్ ముందు ఒక చిన్న పైలట్ సమూహానికి అమలు చేయండి - మీరు నడిచే కొన్ని యంత్రాలు. వాటిని కన్సోల్ స్టేట్‌ల ద్వారా తరలించడాన్ని చూడండి, ఖజానాలో ప్రతి ఒక్కరి రికవరీ కీని నిర్ధారించండి మరియు ఆ తర్వాత మాత్రమే యంత్రాల సమూహాలకు రోల్‌అవుట్‌ను విస్తరించండి (ManageEngine డాక్యుమెంట్‌లు ఒకేసారి 250 పరికరాలను పుష్ చేస్తాయి). కొత్త మెషీన్‌లు పాలసీని చేరినప్పుడు స్వయంచాలకంగా తీసుకోవచ్చు, కాబట్టి ప్రాజెక్ట్ ముగిసిన తర్వాత ఫ్లీట్ కవర్ చేయబడుతుంది.

స్టేటస్ బోర్డ్‌ను చదవండి — ఎన్‌క్రిప్టెడ్, పెండింగ్, నాన్-కంప్లైంట్

ఇక్కడ నుండి ఉద్యోగం చదవడం, ప్రయాణం కాదు. కన్సోల్ యొక్క BitLocker నిర్వహించబడే కంప్యూటర్ల వీక్షణ ప్రతి నిర్వహించబడే యంత్రాన్ని మూడు రాష్ట్రాల్లో ఒకదానిలో కలిగి ఉంటుంది: ఎన్‌క్రిప్టెడ్, పెండింగ్ ఎన్‌క్రిప్షన్ లేదా అనుకూలమైనది. ఆ బోర్డ్ — ఆఫీసు చుట్టూ నడవడం కాదు — “మా PCలలో ఏవి ఇప్పటికీ ఎన్‌క్రిప్ట్ చేయబడలేదు?” అని మీరు ఎలా సమాధానం ఇస్తారు?

గ్యాప్ లిస్ట్‌ను రిస్క్ ఆర్డర్‌లో పని చేయండి

"పెండింగ్‌లో ఉంది" మరియు "నాన్-కంప్లైంట్" అనేది రోగనిర్ధారణ కాదు, లక్షణాలు. సాధారణ కారణాలు: యంత్రం చెక్ ఇన్ చేయలేదు (ఆఫ్, లీవ్‌లో, ఏజెంట్ రిపోర్టింగ్‌ను ఆపివేసింది); ముందస్తు అవసరం విఫలమైంది — కన్సోల్ యొక్క ముందస్తు విస్తరణ BIOS మోడ్ అననుకూలత మరియు TPM యాజమాన్య లోపాలు వంటి ఫ్లాగ్ క్లాసిక్‌లను తనిఖీ చేస్తుంది; యంత్రానికి TPM లేదు మరియు పాస్‌ఫ్రేజ్ ఫాల్‌బ్యాక్ ప్లాన్ చేయబడలేదు; లేదా విండోస్ ఎడిషన్ బిట్‌లాకర్‌ని అస్సలు చేయలేము - విండోస్ హోమ్ మెషీన్ అప్‌గ్రేడ్ చేయబడే వరకు లేదా భర్తీ చేయబడే వరకు ఎప్పటికీ గ్యాప్‌లో ఉంటుంది.

రిస్క్ ఆర్డర్‌లో జాబితాను క్లియర్ చేయండి: ముందుగా భవనం నుండి నిష్క్రమించే ల్యాప్‌టాప్‌లు, ఆపై సున్నితమైన డేటాను కలిగి ఉండే యంత్రాలు (ఖాతాలు, హెచ్‌ఆర్, కస్టమర్ రికార్డ్‌లు), ఆపై షేర్డ్ ఏరియాల్లో డెస్క్‌టాప్‌లు, ఆపై నియంత్రిత గదులలో స్థిర డెస్క్‌టాప్‌లు. మరియు ప్రతి మెషీన్‌లో ముగింపును సరిగ్గా ధృవీకరించండి: స్థితి ఎన్‌క్రిప్ట్ చేయబడింది మరియు మీరు దాని రికవరీ కీని వాల్ట్ నుండి తిరిగి పొందవచ్చు. రెండూ - ఒకటి కాదు.

ఇది నిరూపించండి - నివేదికలు, రికవరీ డ్రిల్ మరియు స్థానిక తనిఖీ

బోర్డ్ శుభ్రంగా ఉన్నప్పుడు, గుప్తీకరణ నివేదికను లాగండి: ఏ యంత్రాలు గుప్తీకరించబడ్డాయి, ఏ విధానంతో మరియు ప్రతి డ్రైవ్ కీ నిల్వ చేయబడిందా. ఆ నివేదిక ఆడిట్ రుజువు — "మేము గుప్తీకరించబడ్డామని మేము విశ్వసిస్తున్నాము" మరియు మీరు అందజేయగల పత్రం మధ్య వ్యత్యాసం.

తర్వాత చెత్త రోజుని ఒకసారి రిహార్సల్ చేయండి: మెషీన్‌ను ఎంచుకుని, కన్సోల్ రికవరీ కీ లుక్అప్‌ని తెరవండి మరియు మీరు నిజమైన లాకౌట్ సమయంలో దాని కీని తిరిగి పొందండి. మీరు ఎన్నడూ పరీక్షించని ఎస్క్రో ఒక ఆశ, వ్యవస్థ కాదు. వ్యక్తులు మారినప్పుడు ఇలాగే చేయండి: ఒక ఉద్యోగి వెళ్లిపోయినప్పుడు, వారి పాత యాక్సెస్ మరియు పాత కీలను ప్రత్యక్షంగా ఉంచే బదులు కీలను తిప్పండి మరియు సరిగ్గా యాక్సెస్ చేయండి.

మీరే ఒక PC వద్ద కూర్చొని, మీరు అడ్మిన్ కమాండ్ ప్రాంప్ట్ నుండి ఆ యంత్రం యొక్క స్వంత స్థితిని తనిఖీ చేయవచ్చు:

manage-bde -status C:

అది మీకు ఈ డ్రైవ్ స్థితిని తెలియజేస్తుంది — దాని రికవరీ కీ ఎక్కడ నివసిస్తుందనే దాని గురించి ఇది ఏమీ చెప్పదు. ఖజానా అనేది రెండవ ప్రశ్నకు సమాధానం, మరియు ఇది ఒక కన్సోల్ నుండి బిట్‌లాకర్‌ను నిర్వహించడం యొక్క మొత్తం పాయింట్.