จัดการ BitLocker ได้อย่างง่ายดาย

รับตัวแทนในทุกเครื่องก่อน

คอนโซลสามารถจัดการได้เฉพาะสิ่งที่มองเห็นเท่านั้น พีซีทุกเครื่องจำเป็นต้องติดตั้งเอเจนต์ Endpoint Central และรายงานก่อน หากไม่มีเอเจนต์ เครื่องจะไม่สามารถมองเห็นได้ในนโยบาย Key Vault และทุกรายงานในคู่มือนี้

เปรียบเทียบรายชื่อเครื่องของคอนโซลกับสิ่งที่สำนักงานเป็นเจ้าของจริงๆ เช่น บันทึกการซื้อ รายชื่อคอมพิวเตอร์ Active Directory การสแกนเครือข่าย พีซีเครื่องใดที่หายไปจะไม่ "อาจถูกเข้ารหัส"; ไม่ทราบ และไม่ทราบคือความเสี่ยง โปรเจ็กต์การเข้ารหัสฟลีทมักจะล้มเหลวในขั้นตอนการมองเห็นนี้ ไม่ใช่ในขั้นตอนการเข้ารหัส — ปิดช่องว่างก่อน

เขียนนโยบายหนึ่งข้อก่อนสัมผัสพีซีเครื่องใดก็ได้

สร้างนโยบาย BitLocker จากส่วนกลางแทนที่จะกำหนดค่าพีซีทีละเครื่อง นโยบายคือคำจำกัดความหนึ่งของ "เข้ารหัสอย่างถูกต้อง" และคำแนะนำของวิดีโอจะเป็นตัวกำหนดการตัดสินใจที่สำคัญ:

ตัวป้องกัน: TPM จะปลดล็อกไดรฟ์โดยอัตโนมัติเมื่อบู๊ตเครื่องเท่านั้น แล็ปท็อปที่ถูกขโมยจะยังคงอยู่ในหน้าจอเข้าสู่ระบบ Windows TPM + PIN จะขอ PIN ก่อนที่ Windows จะเริ่มทำงานด้วยซ้ำ ซึ่งเป็นการตั้งค่าที่จะหยุดยั้งขโมยได้อย่างแท้จริง สำหรับแล็ปท็อปที่ต้องเดินทาง ถือว่าคุ้มกับอุปสรรคเล็กๆ น้อยๆ ในแต่ละวัน เครื่องจักรที่ไม่มี TPM สามารถใช้ตัวป้องกันข้อความรหัสผ่านได้ — เป็นทางเลือกโดยเจตนา ไม่เคยเกิดอุบัติเหตุ

อัลกอริธึมและขอบเขต: XTS-AES 128 หรือ 256 (256 คือสิ่งที่ผู้ตรวจสอบส่วนใหญ่ต้องการเห็นเป็นลายลักษณ์อักษร ในทางปฏิบัติไม่มีการบังคับแบบเดรัจฉาน) และการเข้ารหัสแบบใช้พื้นที่เท่านั้นสำหรับเครื่องใหม่เอี่ยม เทียบกับ ดิสก์เต็มสำหรับเครื่องใดๆ ที่ให้บริการอยู่แล้ว เนื่องจากพื้นที่ "ว่าง" ยังคงมีไฟล์ที่ถูกลบ

ตั้งค่า Key Escrow — และตรวจสอบก่อนบังคับใช้สิ่งใดๆ

ไดรฟ์ BitLocker ทุกตัวมีคีย์การกู้คืน 48 หลัก และในวันที่พีซีแสดงหน้าจอการกู้คืนสีน้ำเงิน คีย์นั้นจะเป็นเพียงสิ่งเดียวที่อยู่ระหว่างผู้ใช้กับไดรฟ์ที่ถูกเช็ด Escrow หมายถึงคีย์จะถูกรวบรวมโดยอัตโนมัติและจัดเก็บในตำแหน่งที่องค์กรควบคุม: บนเซิร์ฟเวอร์ Endpoint Central พร้อมตัวเลือกในการสำรองคีย์ไปยัง Active Directory หรือ Azure AD

กฎของ Endpoint Central นั้นเข้มงวด และความเข้มงวดคือคุณลักษณะ: การเข้ารหัสจะไม่เริ่มต้นจนกว่าคีย์การกู้คืนจะได้รับการจัดเก็บอย่างปลอดภัยบนเซิร์ฟเวอร์ ไดรฟ์ไม่สามารถสิ้นสุดการเข้ารหัสได้เพียงคีย์เดียวที่ติดอยู่บนเครื่อง

ผลักดันนโยบายไปยังกลุ่มนำร่องก่อน

ปรับใช้นโยบายที่เสร็จสิ้นแล้วกับกลุ่มนำร่องเล็กๆ ก่อนทั่วทั้งสำนักงาน ซึ่งเป็นเครื่องจักรเพียงไม่กี่เครื่องที่คุณสามารถเดินไปได้ ดูพวกเขาเคลื่อนผ่านสถานะของคอนโซล ยืนยันว่าคีย์การกู้คืนของแต่ละคนอยู่ในห้องนิรภัย จากนั้นจึงขยายการเปิดตัวไปยังกลุ่มของเครื่องเท่านั้น (เอกสาร ManageEngine จะพุชอุปกรณ์ได้สูงสุด 250 เครื่องในแต่ละครั้ง) เครื่องจักรใหม่สามารถเลือกนโยบายได้โดยอัตโนมัติเมื่อเข้าร่วม ดังนั้นกลุ่มยานพาหนะจะยังคงอยู่หลังจากสิ้นสุดโครงการ

อ่านกระดานสถานะ — มีการเข้ารหัส รอดำเนินการ ไม่เป็นไปตามข้อกำหนด

จากนี้งานคืออ่านหนังสือไม่ใช่ท่องเที่ยว มุมมอง BitLocker Managed Computers ของคอนโซลจะมีเครื่องที่ได้รับการจัดการทุกเครื่องในหนึ่งในสามสถานะ: เข้ารหัสแล้ว, รอการเข้ารหัส หรือ ไม่เป็นไปตามข้อกำหนด บอร์ดนั้น ไม่ใช่การเดินเล่นในสำนักงาน เป็นวิธีที่คุณตอบว่า "พีซีเครื่องใดของเราที่ยังไม่เข้ารหัส"

ทำงานรายการช่องว่างตามลำดับความเสี่ยง

"รอดำเนินการ" และ "ไม่ปฏิบัติตาม" เป็นอาการ ไม่ใช่การวินิจฉัย สาเหตุปกติ: เครื่องไม่ได้เช็คอิน (ปิด ลางาน เจ้าหน้าที่หยุดการรายงาน) ข้อกำหนดเบื้องต้นล้มเหลว - การตรวจสอบก่อนการปรับใช้คอนโซลจะตรวจสอบการตั้งค่าสถานะคลาสสิก เช่น ความเข้ากันไม่ได้ของโหมด BIOS และข้อผิดพลาดในการเป็นเจ้าของ TPM เครื่องไม่มี TPM และไม่มีการวางแผนการใช้วลีรหัสผ่านสำรอง หรือรุ่น Windows ไม่สามารถทำ BitLocker ได้เลย - เครื่อง Windows Home จะอยู่ในช่องว่างตลอดไปจนกว่าจะมีการอัพเกรดหรือเปลี่ยนใหม่

ล้างรายการตามลำดับความเสี่ยง: แล็ปท็อปที่ออกจากอาคารก่อน จากนั้นเครื่องจะเก็บข้อมูลที่ละเอียดอ่อน (บัญชี ฝ่ายทรัพยากรบุคคล บันทึกลูกค้า) จากนั้นเดสก์ท็อปในพื้นที่ที่ใช้ร่วมกัน จากนั้นแก้ไขเดสก์ท็อปในห้องควบคุม และตรวจสอบการตกแต่งอย่างถูกต้องบนทุกเครื่อง: สถานะแสดง เข้ารหัสแล้ว และ คุณสามารถดึงรหัสกู้คืนได้จากห้องนิรภัย ทั้งสอง - ไม่ใช่หนึ่งเดียว

พิสูจน์มัน — รายงาน การฝึกซ้อมการกู้คืน และการตรวจสอบในพื้นที่

เมื่อบอร์ดสะอาดแล้ว ให้ดึงรายงานการเข้ารหัส: เครื่องใดที่ถูกเข้ารหัส ด้วยนโยบายใด และไม่ว่าคีย์ของทุกไดรฟ์จะถูกเก็บไว้หรือไม่ รายงานดังกล่าวเป็นหลักฐานการตรวจสอบ — ความแตกต่างระหว่าง "เราเชื่อว่าเราถูกเข้ารหัส" และเอกสารที่คุณสามารถส่งมอบได้

จากนั้นซ้อมวันที่แย่ที่สุดครั้งหนึ่ง: เลือกเครื่อง เปิดการค้นหาคีย์การกู้คืนของคอนโซล และดึงคีย์ออกมาด้วยวิธีที่คุณทำในระหว่างการล็อกเอาต์จริง Escrow ที่คุณไม่เคยทดสอบคือความหวัง ไม่ใช่ระบบ ทำเช่นเดียวกันเมื่อมีคนเปลี่ยน: เมื่อพนักงานลาออก ให้หมุนเวียนกุญแจและเข้าถึงอย่างถูกต้อง แทนที่จะปล่อยให้การเข้าถึงแบบเก่าและกุญแจเก่ายังคงอยู่

เมื่อนั่งอยู่ที่พีซีเครื่องเดียว คุณสามารถตรวจสอบสถานะของเครื่องนั้นได้จาก Command Prompt ของผู้ดูแลระบบ:

manage-bde -status C:

ซึ่งจะแจ้งให้คุณทราบถึงสถานะของไดรฟ์นี้ โดยไม่ได้ระบุว่าคีย์การกู้คืนอยู่ที่ใด ห้องนิรภัยคือคำตอบสำหรับคำถามที่สอง และเป็นจุดรวมของการจัดการ BitLocker จากคอนโซลเดียว