Quản lý BitLocker dễ dàng

Nhận một đại lý trên mọi máy trước tiên

Bảng điều khiển chỉ có thể quản lý những gì nó có thể nhìn thấy. Trước tiên, mọi PC đều cần cài đặt tác nhân Endpoint Central và báo cáo — nếu không có tác nhân, máy sẽ không thể nhìn thấy chính sách, kho khóa và mọi báo cáo trong hướng dẫn này.

So sánh danh sách máy của bảng điều khiển với những gì văn phòng thực sự sở hữu - hồ sơ mua hàng, danh sách máy tính Active Directory, quét mạng. Bất kỳ PC nào bị thiếu đều không "có thể được mã hóa"; đó là không xác định và không xác định được rủi ro. Các dự án mã hóa nhóm thường thất bại ở bước hiển thị này, không phải ở bước mã hóa - trước tiên hãy thu hẹp khoảng cách.

Viết một chính sách trước khi chạm vào bất kỳ PC nào

Tạo chính sách BitLocker tập trung thay vì định cấu hình từng PC một. Chính sách là một định nghĩa về "được mã hóa đúng cách" và hướng dẫn của video sẽ đưa ra các quyết định quan trọng:

Bộ bảo vệ: TPM chỉ tự động mở khóa ổ đĩa khi khởi động — máy tính xách tay bị đánh cắp vẫn hiển thị màn hình đăng nhập Windows. TPM + PIN yêu cầu mã PIN trước khi Windows khởi động, đây là cài đặt thực sự ngăn chặn kẻ trộm; đối với máy tính xách tay di chuyển, nó đáng để chịu ma sát nhỏ hàng ngày. Máy không có TPM có thể sử dụng trình bảo vệ cụm mật khẩu — một sự lựa chọn có chủ ý, không bao giờ là tai nạn.

Thuật toán và phạm vi: XTS-AES 128 hoặc 256 (256 là điều mà hầu hết các kiểm tra viên muốn thấy được viết ra; thực tế không phải là bị ép buộc một cách thô bạo) và mã hóa chỉ sử dụng dung lượng cho các máy hoàn toàn mới so với toàn bộ đĩa cho bất kỳ máy nào đã được đưa vào sử dụng, vì không gian "trống" vẫn giữ các tệp đã bị xóa.

Thiết lập ký quỹ chính - và xác minh nó trước khi thực thi bất cứ điều gì

Mỗi ổ BitLocker đều có khóa khôi phục gồm 48 chữ số và vào ngày PC hiển thị màn hình khôi phục màu xanh lam, khóa đó là thứ duy nhất giữa người dùng và ổ đĩa bị xóa. Ký quỹ có nghĩa là khóa được thu thập tự động và lưu trữ ở nơi tổ chức kiểm soát nó: trên máy chủ Endpoint Central, với tùy chọn sao lưu khóa vào Active Directory hoặc Azure AD.

Quy tắc của Endpoint Central rất nghiêm ngặt và tính nghiêm ngặt chính là tính năng: mã hóa không bắt đầu cho đến khi khóa khôi phục được lưu trữ an toàn trên máy chủ. Ổ đĩa không bao giờ có thể được mã hóa bằng khóa duy nhất của nó bị mắc kẹt trên chính máy đó.

Đẩy chính sách tới nhóm thí điểm trước

Triển khai chính sách đã hoàn thiện cho một nhóm thí điểm nhỏ trước toàn bộ văn phòng - một số máy mà bạn có thể đi tới. Xem chúng di chuyển qua các trạng thái của bảng điều khiển, xác nhận khóa khôi phục của từng máy đã được đưa vào kho tiền và chỉ sau đó mở rộng triển khai cho các nhóm máy (tài liệu của ManagedEngine đẩy tới 250 thiết bị cùng một lúc). Các máy mới có thể tự động áp dụng chính sách khi tham gia, do đó nhóm vẫn được bảo vệ sau khi dự án kết thúc.

Đọc Bảng trạng thái - Đã mã hóa, Đang chờ xử lý, Không tuân thủ

Từ đây công việc là đọc sách chứ không phải đi du lịch. Chế độ xem Máy tính được quản lý BitLocker của bảng điều khiển hiển thị mọi máy được quản lý ở một trong ba trạng thái: Đã mã hóa, Đang chờ mã hóa hoặc Không tuân thủ. Bảng đó - không phải là đi dạo quanh văn phòng - là cách bạn trả lời "PC nào của chúng tôi vẫn chưa được mã hóa?"

Xử lý danh sách khoảng trống theo thứ tự rủi ro

"Đang chờ xử lý" và "Không tuân thủ" là các triệu chứng, không phải chẩn đoán. Nguyên nhân thường gặp: máy chưa đăng ký (tắt, đang nghỉ, đại lý ngừng báo cáo); một điều kiện tiên quyết không thành công — các cuộc kiểm tra trước khi triển khai của bảng điều khiển đánh dấu các lỗi cổ điển như tính không tương thích của chế độ BIOS và lỗi sở hữu TPM; máy không có TPM và không có kế hoạch dự phòng cụm mật khẩu; hoặc phiên bản Windows hoàn toàn không thể thực hiện BitLocker - máy Windows Home sẽ nằm trong khoảng trống mãi mãi cho đến khi được nâng cấp hoặc thay thế.

Xóa danh sách theo thứ tự rủi ro: máy tính xách tay rời khỏi tòa nhà trước, sau đó là máy chứa dữ liệu nhạy cảm (tài khoản, nhân sự, hồ sơ khách hàng), sau đó là máy tính để bàn ở khu vực chung, sau đó là máy tính để bàn cố định trong phòng được kiểm soát. Và xác minh kết thúc chính xác trên mọi máy: trạng thái hiển thị Đã mã hóa và bạn có thể truy xuất khóa khôi phục của nó từ vault. Cả hai - không phải một.

Chứng minh điều đó - Báo cáo, Bài tập phục hồi và Kiểm tra cục bộ

Khi bo mạch sạch sẽ, hãy lấy báo cáo mã hóa: máy nào được mã hóa, chính sách nào và liệu khóa của mọi ổ đĩa có được lưu trữ hay không. Báo cáo đó là bằng chứng kiểm toán — sự khác biệt giữa "chúng tôi tin rằng chúng tôi đã được mã hóa" và tài liệu bạn có thể bàn giao.

Sau đó hãy diễn tập lại ngày tồi tệ nhất một lần: chọn một máy, mở tra cứu khóa khôi phục của bảng điều khiển và lấy khóa của nó theo cách bạn làm trong một lần khóa thực sự. Ký quỹ mà bạn chưa bao giờ thử nghiệm là một niềm hy vọng, không phải là một hệ thống. Làm tương tự khi mọi người thay đổi: khi một nhân viên rời đi, hãy xoay chìa khóa và quyền truy cập đúng cách thay vì để quyền truy cập cũ và chìa khóa cũ của họ tồn tại.

Ngồi trên một PC, bạn có thể kiểm tra trạng thái của chính máy đó từ quản trị viên Dấu nhắc lệnh:

manage-bde -status C:

Điều đó cho bạn biết trạng thái của ổ đĩa này — nó không nói gì về vị trí khóa khôi phục của nó. Vault là câu trả lời cho câu hỏi thứ hai và đó là toàn bộ mục đích của việc quản lý BitLocker từ một bảng điều khiển.