Легко керуйте BitLocker

Спершу знайдіть агента на кожній машині

Консоль може керувати лише тим, що може бачити. Для кожного комп’ютера спочатку потрібно встановити агент Endpoint Central і створювати звіти — без агента машина невидима для політики, сховища ключів і кожного звіту в цьому посібнику.

Порівняйте список машин на консолі з тим, що насправді належить офісу — записи про покупки, список комп’ютерів Active Directory, сканування мережі. Будь-який відсутній ПК не є «імовірно зашифрованим»; це невідомо, і невідомий ризик. Проекти шифрування флоту зазвичай зазнають невдачі на цьому етапі видимості, а не на етапі шифрування — спочатку закрийте прогалину.

Напишіть одну політику, перш ніж торкатися будь-якого ПК

Створіть політику BitLocker централізовано замість того, щоб налаштовувати ПК по одному. Політика – це одне з визначень «зашифровано належним чином», а покрокове керівництво до відео визначає важливі рішення:

Захисник: TPM автоматично розблоковує диск тільки під час завантаження — викрадений ноутбук все одно потрапляє на екран входу в Windows. TPM + PIN запитує PIN-код ще до запуску Windows, що справді зупиняє злодія; для ноутбуків, які подорожують, варто невелике щоденне тертя. Машини без TPM можуть використовувати захист фрази-паролю — свідомий вибір, а не випадковість.

Алгоритм і обсяг: XTS-AES 128 або 256 (256 – це те, що більшість аудиторів любить бачити записаним; на практиці жоден із них не піддається грубому форсуванню) і шифрування лише використаного простору для абсолютно нових машин проти повного диска для будь-якої машини, яка вже працює, оскільки «порожній» простір усе ще містить видалені файли.

Налаштуйте депонування ключів — і перевірте це, перш ніж щось примусово виконувати

Кожен диск BitLocker має 48-значний ключ відновлення, і в той день, коли ПК показує синій екран відновлення, цей ключ є єдиним, що перебуває між користувачем і стертим диском. Депонування означає, що ключ збирається автоматично та зберігається там, де ним керує організація: на центральному сервері кінцевої точки з можливістю резервного копіювання ключів у Active Directory або Azure AD.

Правило Endpoint Central є суворим, і ця суворість полягає в особливості: шифрування не починається, доки ключ відновлення не буде безпечно збережено на сервері. Диск ніколи не може закінчитися зашифрованим, а його єдиний ключ знаходиться на самій машині.

Спочатку передайте політику в пілотну групу

Розгорніть готову політику для невеликої пілотної групи перед усім офісом — кількома машинами, до яких ви можете підійти. Спостерігайте, як вони переміщаються по станах консолі, підтверджують, що ключ відновлення кожного з них потрапив у сховище, і лише потім розширюють розгортання на групи машин (ManageEngine документує надсилання до 250 пристроїв одночасно). Нові машини можуть підбирати політику автоматично, коли вони приєднуються, тому парк залишатиметься охопленим після завершення проекту.

Прочитайте панель стану — зашифровано, очікує на розгляд, не відповідає вимогам

Звідси робота – це читання, а не подорожі. Перегляд керованих комп’ютерів BitLocker на консолі передає кожну керовану машину в один із трьох станів: Зашифровано, Очікує на шифрування або Невідповідно. Ця дошка — а не прогулянка по офісу — це те, як ви відповідаєте, «які з наших ПК досі не зашифровані?»

Опрацюйте список недоліків у порядку ризику

«Очікує» та «Не відповідає» — це симптоми, а не діагнози. Звичайні причини: машина не зареєструвалася (вимкнено, у відпустці, агент перестав звітувати); передумова не виконана — під час попереднього розгортання консоль перевіряє класичні позначки, такі як несумісність режиму BIOS і помилки власності TPM; машина не має TPM і не було заплановано резервну фразу-пароль; або випуск Windows взагалі не підтримує BitLocker — комп’ютер Windows Home вічно залишатиметься в розриві, доки його не оновлять або замінять.

Очистіть список у порядку ризику: ноутбуки, які залишають будівлю першими, потім машини, що зберігають конфіденційні дані (облікові записи, кадри, записи клієнтів), потім настільні комп’ютери в спільних зонах, потім стаціонарні настільні комп’ютери в контрольованих кімнатах. Перевірте належне завершення на кожній машині: статус показує Зашифровано і ви можете отримати його ключ відновлення зі сховища. Обидва — не один.

Доведіть це — звіти, тренування відновлення та локальна перевірка

Коли плата чиста, витягніть звіт про шифрування: які машини зашифровано, з якою політикою та чи збережено ключ кожного диска. Цей звіт є доказом аудиту — різниця між «ми вважаємо, що ми зашифровані» та документом, який ви можете передати.

Потім відрепетируйте найгірший день один раз: виберіть машину, відкрийте пошук ключа відновлення консолі та витягніть його ключ так, як ви робили б під час справжнього блокування. Депонування, яке ви ніколи не тестували, — це надія, а не система. Зробіть те ж саме, коли люди змінюються: коли працівник звільняється, поміняйте ключі та доступ належним чином замість того, щоб залишати старі ключі та старі ключі.

Сидячи за одним ПК, ви можете перевірити власний стан цієї машини з командного рядка адміністратора:

manage-bde -status C:

Це говорить вам про стан цього диска — воно нічого не говорить про те, де знаходиться його ключ відновлення. Сховище є відповіддю на це друге питання, і це весь сенс керування BitLocker з однієї консолі.