BitLocker'ı Kolayca Yönetin

Önce Her Makineye Bir Temsilci Alın

Konsol yalnızca görebildiklerini yönetebilir. Her bilgisayarda öncelikle Endpoint Central aracısının kurulu olması ve raporlama yapması gerekir; aracı olmadan makine politikaya, anahtar kasasına ve bu kılavuzdaki her rapora görünmez.

Konsolun makine listesini ofisin gerçekte sahip olduğu makinelerle (satın alma kayıtları, Active Directory bilgisayar listesi, ağ taraması) karşılaştırın. Eksik olan herhangi bir bilgisayar "muhtemelen şifrelenmemiştir"; bilinmiyor ve risk bilinmiyor. Filo şifreleme projeleri genellikle şifreleme adımında değil, bu görünürlük adımında başarısız olur; önce boşluğu kapatın.

Herhangi Bir Bilgisayara Dokunmadan Önce Bir Politika Yazın

Bilgisayarları tek tek yapılandırmak yerine BitLocker politikasını merkezi olarak oluşturun. Politika, "düzgün şekilde şifrelenmiş" ifadesinin bir tanımıdır ve videonun izlenecek yolu önemli kararları belirler:

Koruyucu: TPM, sürücünün kilidini yalnızca önyükleme sırasında otomatik olarak açar; çalınan bir dizüstü bilgisayar yine de Windows oturum açma ekranına ulaşır. TPM + PIN, Windows başlamadan önce bir PIN sorar; bu, hırsızı gerçekten durduran ayardır; seyahat eden dizüstü bilgisayarlar için günlük küçük sürtünmeye değer. TPM'si olmayan makineler parola koruyucusu kullanabilir; bilinçli bir seçimdir, asla kaza değildir.

Algoritma ve kapsam: XTS-AES 128 veya 256 (çoğu denetçinin yazılı olarak görmek istediği şey 256'dır; pratikte ikisi de kaba kuvvetle uygulanmaz) ve "boş" alan hâlâ silinmiş dosyaları barındırdığından, halihazırda hizmette olan herhangi bir makine için tam disk yerine yepyeni makineler için yalnızca kullanılan alanda şifreleme yapılır.

Anahtar Emanetini Ayarlayın ve Herhangi Bir Şeyi Zorunlu Hale Getirmeden Önce Doğrulayın

Her BitLocker sürücüsünde 48 basamaklı bir kurtarma anahtarı bulunur ve bilgisayar mavi kurtarma ekranını gösterdiğinde, bu anahtar kullanıcı ile silinen sürücü arasındaki tek şeydir. Emanet, anahtarın otomatik olarak toplandığı ve kuruluşun onu kontrol ettiği yerde depolandığı anlamına gelir: Anahtarları Active Directory veya Azure AD'ye yedekleme seçeneğiyle birlikte Uç Nokta Merkezi sunucusunda.

Endpoint Central'ın kuralı katıdır ve katılık özelliği şu şekildedir: kurtarma anahtarı sunucuda güvenli bir şekilde depolanana kadar şifreleme başlamaz. Bir sürücü, tek anahtarı makinenin kendisinde olacak şekilde asla şifrelenemez.

Politikayı Önce Bir Pilot Gruba Aktarın

Tamamlanan politikayı tüm ofisten önce küçük bir pilot gruba (yürüyebileceğiniz birkaç makineye) dağıtın. Konsol durumları arasında geçiş yapmalarını izleyin, her birinin kurtarma anahtarının kasaya indiğini onaylayın ve ancak bundan sonra dağıtımı makine gruplarını kapsayacak şekilde genişletin (ManageEngine, aynı anda 250 cihaza kadar gönderimleri belgeler). Yeni makineler katıldıkça poliçeyi otomatik olarak alabilir, böylece filo proje sona erdikten sonra da sigorta kapsamında kalır.

Durum Panosunu Okuyun — Şifrelenmiş, Beklemede, Uyumlu Değil

Burada iş okumaktır, seyahat etmek değil. Konsolun BitLocker Yönetilen Bilgisayarlar görünümü, yönetilen her makineyi üç durumdan birinde taşır: Şifreli, Şifreleme bekleniyor veya Uyumlu değil. Ofiste dolaşmak yerine bu panoda "Hangi bilgisayarlarımız hala şifrelenmedi?" sorusunu yanıtlıyorsunuz.

Boşluk Listesini Risk Sırasına Göre Çalıştırın

"Beklemede" ve "Uyumlu değil" teşhis değil, semptomdur. Genel nedenler: makinenin check-in yapmaması (kapalı, izinli, temsilci raporlamayı durdurdu); bir önkoşul başarısız oldu — konsolun dağıtım öncesi kontrolü, BIOS modu uyumsuzluğu ve TPM sahiplik hataları gibi klasik bayrak işaretlerini kontrol eder; makinede TPM yok ve parola geri dönüşü planlanmadı; veya Windows sürümü BitLocker'ı hiçbir şekilde yapamaz; Windows Home makinesi yükseltilene veya değiştirilene kadar sonsuza kadar boşlukta kalacaktır.

Listeyi risk sırasına göre temizleyin: önce binayı terk eden dizüstü bilgisayarlar, ardından hassas verileri (hesaplar, İK, müşteri kayıtları) tutan makineler, ardından ortak alanlardaki masaüstü bilgisayarlar, ardından kontrollü odalardaki sabit masaüstü bilgisayarlar. Ve her makinede işlemin düzgün şekilde tamamlandığını doğrulayın: durum Şifreli ve olarak görünür ve kasadan kurtarma anahtarını alabilirsiniz. Her ikisi de - biri değil.

Kanıtlayın — Raporlar, Kurtarma Tatbikatı ve Yerel Kontrol

Kart temizlendiğinde, şifreleme raporunu alın: hangi makinelerin, hangi politikayla şifrelendiği ve her sürücünün anahtarının saklanıp saklanmadığı. Bu rapor denetim kanıtıdır; "şifrelendiğimize inanıyoruz" ile teslim edebileceğiniz bir belge arasındaki farktır.

Daha sonra en kötü günün provasını bir kez yapın: bir makine seçin, konsolun kurtarma anahtarı aramasını açın ve gerçek bir kilitlenme sırasında yaptığınız gibi anahtarını alın. Hiç test etmediğiniz emanet bir sistem değil, bir umuttur. İnsanlar değiştiğinde de aynısını yapın: Bir çalışan ayrıldığında, eski erişimlerini ve eski anahtarlarını canlı bırakmak yerine, anahtarları döndürün ve uygun şekilde erişin.

Bir bilgisayarın başında oturarak, o makinenin kendi durumunu yönetici Komut İsteminden kontrol edebilirsiniz:

manage-bde -status C:

Bu size bu sürücünün durumunu anlatır; kurtarma anahtarının nerede bulunduğu hakkında hiçbir şey söylemez. Kasa, bu ikinci sorunun cevabıdır ve BitLocker'ı tek bir konsoldan yönetmenin asıl amacı budur.