Administrar BitLocker con Sophos Fusion

Sophos Device Encryption habilita y gestiona Microsoft BitLocker. El cifrado de la unidad propiamente dicho y la autenticación previa al arranque siguen dependiendo de Windows. Por lo tanto, el hardware de Windows, el firmware, las políticas de grupo de BitLocker y la política de Sophos deben encajar.

Procedimiento abreviado: Cree una política Device Encryption en My Products > Encryption > Policies, asigne usuarios o grupos, establezca la configuración de Windows y active la política. Luego, un usuario asignado inicia sesión localmente en el dispositivo piloto, completa los cuadros de diálogo y reinicios de Sophos y ejecuta la prueba previa al arranque. El despliegue solo finaliza cuando se confirman el estado de BitLocker local, el estado de Sophos Fusion y una Recovery Key adecuada.

Comprobar requisitos y compatibilidad

Antes de la activación deben validarse, como mínimo, estos puntos:

• Edición de Windows, compilación, nivel de parche y estado del ciclo de vida según Requisitos del sistema y ciclos de vida para Sophos Endpoint. La matriz de protectores histórica que aparece a continuación no autoriza el uso de versiones antiguas de Windows.
• Sophos Core Agent instalado y comunicándose con el componente Device Encryption cubierto por la licencia.
• Soporte de BitLocker para la edición de Windows y un modo de autenticación que coincida con el dispositivo.
• TPM activado y listo; con TPM 2.0 un disco de sistema formateado GPT y modo UEFI.
• Espacio suficiente para el sistema y la partición de recuperación. Sophos ignora los volúmenes de 64 MB o menos.
• No hay una segunda instancia que administre los protectores de BitLocker, el método de cifrado o las Recovery Keys al mismo tiempo.
• Proceso de recuperación establecido y personas autorizadas antes de la sustitución del primer protector.

Los discos dinámicos no son compatibles con el volumen del sistema; se ignoran los volúmenes de datos en discos dinámicos. Las particiones de Windows creadas con Boot Camp en un Mac tampoco son compatibles. Windows puede cifrar medios extraíbles con BitLocker To Go, pero Sophos Fusion no gestiona ni el estado ni los Recovery Keys.

Sophos Device Encryption admite BitLocker previamente aprovisionado y unidades previamente cifradas. Cifra nuevos volúmenes mediante software. No cambia automáticamente el cifrado de hardware existente. Una instalación de BitLocker ya administrada solo podrá adoptarse en una ventana de cambio controlada y sin administración paralela de protectores. Sophos reemplaza las Recovery Keys anteriores; a partir de entonces, esas claves dejan de ser válidas y expresamente no sirven como vía de reversión. El procedimiento completo y ordenado se puede encontrar en Adoptar BitLocker existente.

Un error de TPM no se resolverá activando y desactivando repetidamente la política. Primero se verifica la preparación del TPM, los eventos de Windows y el estado de BitLocker local.

Configurar la política de cifrado del dispositivo

1. Abra My Products > Encryption > Policies, seleccione Add Policy y cree una política Device Encryption.
2. Asigne usuarios o grupos de usuarios. En Windows, el inicio de sesión local de un usuario asignado activa la configuración. La unidad permanece cifrada incluso si un usuario inicia sesión sin esta política.
3. Active la opción Device Encryption is on en la pestaña Settings.
4. Seleccione Encrypt boot volume only de forma deliberada. Si la opción está desactivada, los volúmenes de datos fijos admitidos también se cifrarán después del volumen del sistema.
5. En Advanced Windows settings, determine si Require startup authentication es necesario. La opción está activa por defecto. Si está desactivada, Sophos utiliza TPM only en dispositivos compatibles.
6. Utilice Encrypt used space only exclusivamente para dispositivos recién implantados. El cifrado inicial es más rápido, pero los datos previamente eliminados en áreas supuestamente libres pueden permanecer sin cifrar.
7. Si es necesario, utilice Require new authentication password/PIN from users para definir el intervalo de cambio de PIN o Passphrase. Esta función está disponible en Windows desde Device Encryption 2.0 y está desactivada de forma predeterminada.
8. Guarde la política, actívela y asígnela primero a un grupo piloto representativo.

Si una configuración está bloqueada, puede provenir de una configuración global establecida por el socio de Sophos o el administrador de Enterprise. Esto se aclarará antes de que la política local se considere incorrecta.

Seleccionar modo de autenticación

El tipo de protector instalado depende del dispositivo, BitLocker GPO y Require startup authentication. 1 indica la primera opción de Sophos en la siguiente matriz. 1* solo se aplica cuando Require startup authentication está desactivado. Si la opción está activa, TPM only no está disponible y se prefiere TPM + PIN en un dispositivo compatible.

Windows 7 y 8.1 solo se incluyen aquí para que la asignación de protectores documentada por Sophos quede completa. No son una recomendación de despliegue actual y se verifican por separado con el ciclo de vida vinculado. Por lo tanto, USB Key es únicamente una opción histórica de la matriz de Windows 7, no una recomendación para un nuevo despliegue. En modo FIPS de Windows, Sophos documenta esta gestión de BitLocker para Windows 8.1, 10 y 11; esto tampoco constituye una autorización vigente del sistema operativo. Windows 7 no puede almacenar una contraseña de recuperación de BitLocker compatible con FIPS en los Servicios de dominio de Active Directory.

• TPM only requiere un TPM preparado y un GPO que permita esta protección; además, Require startup authentication debe estar apagado. El modo no provoca ningún paso previo al arranque adicional. Esto es sencillo de operar, pero protege menos contra un atacante que controla el dispositivo y un entorno de Windows desbloqueable.
• TPM + PIN requiere un TPM preparado y un GPO que permita esta protección. El PIN contiene de 4 a 20 caracteres y consta únicamente de números, a menos que el GPO Allow enhanced PINs for startup también permita letras y caracteres especiales. Todos los usuarios de un mismo equipo comparten este PIN; después inician sesión con sus credenciales personales de Windows. El inicio de sesión único de Windows no es compatible. El modo aumenta la protección previa al arranque, pero también el esfuerzo de despliegue, Helpdesk y recuperación.
• Passphrase requiere Windows 8 o posterior, un GPO que permita el modo Passphrase y una Passphrase de entre 8 y 100 caracteres. Es la opción de Sophos para los sistemas enumerados que no tienen TPM. Para Passphrase y PIN, solo se aplica la distribución del teclado en inglés de EE. UU. en el entorno de prearranque. Por lo tanto, los caracteres especiales se prueban en el hardware real.
• USB Key debe estar conectado, ser grabable y formateado con NTFS, FAT o FAT32 en cada inicio; exFAT no es compatible. Esta opción heredada no se utiliza como alternativa para un dispositivo actual no compatible.

La selección sigue el modelo de amenaza, el hardware y el proceso de soporte, no un endurecimiento máximo general. Si el protector aplicado difiere de la línea esperada, primero se verifican Require startup authentication, la preparación de TPM y los GPO de BitLocker.

Resolver conflictos de las directivas de grupo de BitLocker

Los GPO de Windows pueden especificar autenticación, algoritmos, almacenamiento de recuperación y cifrado de hardware. Si la configuración de autenticación relevante se establece en Not configured, Sophos puede configurar los valores de GPO para que se permitan los modos previstos. Sin embargo, un valor predeterminado configurado manualmente en Computer Configuration > Administrative Templates > Windows Components > BitLocker Drive Encryption > Operating System Drives no se sobrescribe. Los valores establecidos por Sophos tampoco aparecen necesariamente en el Editor de políticas de grupo local; se encuentran en HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE.

Antes del piloto, las políticas locales y de dominio efectivas se documentan con su procedencia. Se comprueban especialmente los siguientes aspectos:

• protectores de inicio permitidos y requisitos de TPM,
• contraseña de recuperación y su almacenamiento adicional, por ejemplo en Active Directory,
• método de cifrado y especificaciones de software o hardware,
• requisitos de tarjetas inteligentes y otras configuraciones que Sophos no admite.

Sophos cifra nuevos volúmenes de forma predeterminada utilizando AES-256 basado en software; AES-128 es posible a través de la política de grupo. Un GPO existente que requiere cifrado de hardware no se sobrescribe. Sophos Device Encryption no admite el requisito de tarjeta inteligente para BitLocker e informa de un evento de error. Si la política de GPO y Sophos se contradicen, el cifrado normalmente permanece pendiente o termina en un error. Entonces el conflicto se resuelve en lugar de reasignar repetidamente la política.

Network Unlock no se puede configurar ni gestionar con Sophos Fusion. Se puede utilizar en paralelo una infraestructura de desbloqueo de red BitLocker correctamente configurada por separado.

Acompañar el despliegue y los avisos al usuario

La aplicación inicial y la verificación previa al arranque se realizan en la consola local. Los cuadros de diálogo requeridos no se muestran a través del Escritorio remoto y no se aplica la política de cifrado del dispositivo. La autenticación previa al inicio tampoco se puede realizar a través de Escritorio remoto.

El proceso en el dispositivo es:

1. El usuario asignado inicia sesión localmente; el agente se conecta y sincroniza con Sophos Fusion.
2. Si el TPM aún no está habilitado, el flujo solicita una acción de firmware/BIOS y un reinicio. El agente intenta preparar un TPM activo pero aún no inicializado y obtener las Endorsement Keys que falten.
3. Si falta la partición del sistema BitLocker, se inicia Sophos BdeHdCfg.exe, prepara la unidad y solicita un reinicio real. No se iniciará ningún cifrado sin un reinicio exitoso.
4. Si la autenticación de inicio está activa, el usuario establece el PIN, Passphrase o USB Key en el cuadro de diálogo Sophos Device Encryption. Con Do this later puede aplazarse el diálogo, pero el cifrado también queda pendiente.
5. Restart and Encrypt inicia la prueba de hardware previa al arranque. Si la entrada falla antes del primer cifrado, el usuario puede comenzar normalmente con Esc y se le preguntará nuevamente la próxima vez que inicie sesión.
6. Después de una prueba exitosa, Sophos primero cifra el volumen del sistema y después, si la política lo establece, cifra los volúmenes de datos fijos en segundo plano. Su desbloqueo automático está ligado al volumen del sistema.

Los registros de diagnóstico CDE.log y CDE_trace.xml se encuentran en %ProgramData%\Sophos\Sophos Data Protection\Logs. Se utilizan para el análisis de la causa raíz, pero no reemplazan el estado de BitLocker local.

Validar el estado y el reporting

En My Products > Encryption > Computers, la lista de dispositivos se puede filtrar por estado y método de cifrado. La página de detalles del equipo muestra el método de cifrado y el algoritmo por volumen y, en Windows, también Encrypted since. Para dispositivos adoptados o actualizados, esta fecha puede indicar la fecha de instalación o actualización y, por lo tanto, no siempre es la fecha de cifrado original.

Para la comprobación local de solo lectura pueden utilizarse un símbolo del sistema con privilegios administrativos y PowerShell:

manage-bde -status

Get-BitLockerVolume

Al menos se verifican el estado de conversión/volumen, el estado de protección, el estado de bloqueo, el método de cifrado y los protectores de claves existentes para todos los volúmenes previstos. La validación incluye:

1. El volumen del sistema y todos los volúmenes de datos fijos cubiertos por la política están completamente cifrados; la protección está activa.
2. El protector real instalado corresponde a política, GPO y aprobación de riesgo.
3. Sophos Fusion muestra el dispositivo en My Products > Encryption > Computers con el estado esperado y un método plausible.
4. La Recovery Key asociada a este volumen se almacena en Sophos Fusion. Las reglas para Show Key y las pruebas de preparación están disponibles en Obtener Recovery Key de forma segura.
5. El reinicio y la autenticación previa al inicio prevista funcionan en el hardware real.
6. Un dispositivo de prueba independiente pasó por el proceso de recuperación acordado y un cambio típico de firmware/TPM.

Un valor de progreso del 100 por ciento por sí solo no es suficiente: sin una protección activa y una capacidad de recuperación demostrada, el dispositivo no puede darse por validado. Los eventos de cifrado también se pueden evaluar en Reports > General Logs > Events; los mecanismos de filtrado, exportación y retención se describen en Evaluar eventos e informes de endpoints de Sophos.

Renovar PIN o Passphrase

Se establece un intervalo de cambio en la política de cifrado del dispositivo con Require new authentication password/PIN from users. Si el usuario cierra el cuadro de diálogo, reaparece después de cada reinicio; después de cinco solicitudes cerradas, Sophos genera una alerta.

Para un solo dispositivo, el administrador abre la página de detalles del equipo y utiliza la acción Trigger change of password/PIN en Device Encryption en la pestaña Summary. El aviso vuelve a aparecer en el endpoint hasta que el usuario establece un nuevo secreto; también en este caso, cerrarlo cinco veces genera una alerta. Se pone a prueba un cambio forzado y el Helpdesk y los usuarios saben que el nuevo secreto se aplicará a partir del siguiente prearranque.

Recuperar Windows después de la recuperación de la clave

La recuperación autorizada de la clave y su asignación se gestionan mediante Recuperar Recovery Key de forma segura. Esta sección comienza en la pantalla de Windows BitLocker con la clave ya asignada y describe únicamente su uso.

Para realizar la recuperación propiamente dicha en Windows:

1. Reinicie el equipo y presione Esc en el indicador de BitLocker.
2. Capture completamente el Recovery Key ID que se muestra en la pantalla y compárelo con la clave recuperada.
3. Ingrese la Recovery Key directamente en el dispositivo.
4. Siga las instrucciones que aparecen en pantalla y establezca un nuevo secreto si se utiliza PIN o Passphrase.
5. Inicie sesión normalmente, sincronice y compruebe que Sophos haya almacenado una nueva Recovery Key.

Si un volumen de datos permanece bloqueado posteriormente, el proceso se repite con su propio Recovery Key ID. Una clave de volumen del sistema no es automáticamente la clave de un volumen de datos.

En caso de un defecto de hardware, la unidad BitLocker se puede conectar a otro sistema Windows habilitado para BitLocker. Allí seleccione Unlock Drive > More options > Enter recovery key y use la ID de clave que se muestra. Antes de borrar el TPM, manipular el protector u otras soluciones alternativas para cambiar el estado, primero asegúrese de que haya una Recovery Key adecuada disponible.

Después de cada recuperación, se aclara la causa. Un PIN olvidado, una actualización del BIOS, un TPM desactivado o eliminado, cambios de arranque seguro, un reemplazo de la placa base y la sospecha de una manipulación requieren diferentes acciones de seguimiento.

Adoptar BitLocker existente

La adopción se realiza en este orden:

1. Documente por volumen el método de cifrado, estado de protección, protectores, Recovery-Key-ID y gestión previa. Verifique la ruta de recuperación actualmente utilizable y abra una ventana de cambio controlada.
2. Desactive los cambios de protectores de la gestión anterior antes de que Sophos asuma la gestión. Dos sistemas de administración nunca deben cambiar protectores al mismo tiempo.
3. Instale el componente de Sophos, asigne una política de cifrado de dispositivo efectiva y complete el mensaje local.
4. Deje constancia de que Sophos ha reemplazado los protectores de BitLocker y las Recovery Keys existentes. A partir de ese momento, las claves anteriores dejan de ser válidas y no pueden tratarse como vía de reversión; conservar registros antiguos tampoco hace que vuelvan a ser utilizables.
5. Mantenga abierta la ventana de cambios y la antigua infraestructura de gestión inactiva pero disponible. Verifique en Sophos Fusion que el dispositivo aparezca correctamente y que la nueva clave de Fusion coincida con el volumen probado. Demuestre protección activa local y un reinicio exitoso con introducción de credenciales en el prearranque.
6. Solo después de esta prueba se podrá poner fuera de servicio la antigua instancia.

Un cambio posterior a una administración de terceros también se realiza sin una administración paralela de Protector en la ventana de cambios que se describe a continuación.

Separar la migración de SafeGuard según el estado de origen

Antes de cada migración de SafeGuard, se realiza un inventario de la versión, los módulos instalados y el cifrado real de la unidad. Una instalación desconocida o mixta es un criterio para detener el proceso. La documentación histórica de SafeGuard no proporciona evidencia de soporte actual del producto.

Límite del ciclo de vida: Actualmente no existe una autorización vigente y fiable para continuar operando o reinstalar los módulos SafeGuard Enterprise o SafeGuard File Encryption después de la migración. Este artículo no recomienda ninguno de los dos. Si los módulos SafeGuard basados ​​en archivos o los archivos cifrados con ellos todavía existen, la migración se detendrá hasta que el soporte de Sophos confirme por escrito la versión y el módulo específicos y se haya establecido una ruta de acceso verificada para estos archivos.

SafeGuard Enterprise BitLocker 6.x o 7.x

Esta rama no permite la adopción directa. Primero se debe descifrar la unidad del sistema mediante el procedimiento aprobado para la versión instalada de SafeGuard. Antes se comprueban la capacidad de recuperación, la alimentación eléctrica y el espacio libre. Solo después de confirmar que el descifrado ha finalizado y retirar de forma controlada la administración anterior de las unidades se instala Sophos Device Encryption, se asigna la política y se vuelve a cifrar con BitLocker. La nueva clave de Fusion y el inicio de sesión en el prearranque se validan antes de retirar la infraestructura de recuperación anterior.

SafeGuard Enterprise BitLocker 8.0 o posterior

Con esta rama, el módulo SafeGuard BitLocker se puede eliminar sin descifrar los volúmenes BitLocker:

1. En Control Panel > Uninstall a program, seleccione Sophos SafeGuard Client con el botón derecho del ratón y abra Change.
2. Elimine únicamente el componente BitLocker en el asistente de instalación de SafeGuard. Luego confirme localmente que el volumen todavía está cifrado y es accesible.
3. Instale Sophos Device Encryption y asigne una política activada.
4. Valide la sincronización, el nuevo protector, la Recovery Key de Fusion correcta, el estado de protección y el reinicio.

El paso solo se aplica a la rama BitLocker identificada de forma única a partir de 8.0. No permite realizar declaraciones sobre el funcionamiento continuo de otros módulos de SafeGuard; para dichos módulos, el límite del ciclo de vida se ha descrito anteriormente.

Cifrado completo de disco de SafeGuard Enterprise

Full Disk Encryption es técnicamente una rama diferente y no debe tratarse como SafeGuard-BitLocker 8+. Durante la eliminación asistida de SafeGuard Client, los volúmenes cifrados con él se descifran; los archivos con cifrado basado en archivos pueden permanecer cifrados. Precisamente por eso los módulos instalados y el acceso a los datos se aclaran antes de eliminarlos. Si hay módulos basados en archivos, se aplica el criterio para detener el proceso mencionado anteriormente hasta obtener por escrito la confirmación sobre el ciclo de vida y la migración.

Todos los requisitos previos de Sophos Device Encryption y BitLocker se preparan antes de que comience el descifrado. La ventana con los datos sin cifrar comienza con el descifrado completo de SafeGuard confirmado y solo finaliza cuando se validan la protección de BitLocker y la Recovery Key de Fusion que coincide con el volumen. Esta ventana está limitada en el tiempo en el plan de cambio y se mantiene lo más breve posible.

Durante la ventana con los datos sin cifrar, el dispositivo permanece en modo de mantenimiento controlado: no se utiliza en producción, solo se concede acceso a las personas autorizadas para realizar el cambio, y el acceso a la red y las transferencias de datos se limitan a lo necesario para la instalación y la validación. Tras retirar SafeGuard de forma controlada, se instala Sophos Device Encryption, se asigna la política y el volumen se vuelve a cifrar inmediatamente con BitLocker. La ventana de cambio permanece abierta hasta que la protección local de BitLocker esté activa, se haya probado la Recovery Key de Fusion adecuada y se hayan completado correctamente el reinicio y la autenticación previa al inicio prevista. Todo el cambio consiste en descifrar y volver a cifrar; no es una adopción directa de los protectores.

Descifrar y retirar de forma controlada

Primero, se determina el estado objetivo: ¿debería descifrarse completamente el dispositivo o BitLocker debería permanecer activo bajo la administración sucesora? La desinstalación del agente, la eliminación de registros del dispositivo y el descifrado son tres operaciones diferentes.

Este orden se aplica a un descifrado planificado:

1. Dependiendo del tipo de política, elimine a todos los usuarios o el equipo de la política de cifrado de dispositivo efectiva y confirme la sincronización.
2. Usando la cuenta de administrador local de Windows, seleccione el volumen Manage BitLocker > Turn off BitLocker en el Explorador de Windows.
3. Asegure las ventanas de energía y mantenimiento y supervise el descifrado hasta su finalización.
4. Utilice manage-bde -status o Get-BitLockerVolume para confirmar que cada volumen deseado esté completamente descifrado y que la protección esté desactivada.
5. Solo después de comprobar que el descifrado ha finalizado por completo se procede a retirar el agente local según Desinstalar Sophos Endpoint en Windows. La eliminación o restauración posterior del registro del dispositivo en Fusion se realiza por separado mediante Reemplazar o retirar dispositivo Sophos Central.

Si un administrador local intenta descifrar mientras la política de cifrado del dispositivo aún está activa, Sophos Fusion anula el comando local y la unidad permanece cifrada. Por el contrario, simplemente eliminar una política o un agente no prueba que BitLocker esté desactivado o que se haya completado el descifrado.

Si BitLocker va a permanecer vigente, la transferencia se realizará en este orden:

1. Abra una ventana de cambio que no se solape con otras. Compruebe la protección local actual de BitLocker y una Recovery Key de Sophos vigente que coincida con el volumen; BitLocker permanece activado.
2. Elimine o desactive la administración local de Sophos exclusivamente según Desinstalar Sophos Endpoint en Windows.
3. Solo entonces incorpore inmediatamente el dispositivo a la administración sucesora. Dos sistemas de administración no deben cambiar protectores al mismo tiempo.
4. Genere una Recovery Key nueva y adecuada en la administración sucesora y manténgala segura.
5. Verifique el estado de protección local y reinicie. Solo después de completar estas comprobaciones se podrá abandonar la custodia de la Recovery Key en Sophos y cerrar la ventana de cambio.

La eliminación o restauración posterior del registro en Sophos Fusion sigue siendo una acción administrativa independiente que se realiza según Reemplazar o retirar el dispositivo Sophos Central; no es una desinstalación local.

Si la validación falla

No experimente con activaciones y desactivaciones repetidas de políticas, eliminación de TPM o cambios de protector. Primero, limite el síntoma y el nivel:

• Sin mensaje: Verifique la asignación de usuario/política, el inicio de sesión local en lugar de RDP, la sincronización del agente y el componente de cifrado del dispositivo instalado.
• Aviso aplazado: El usuario completa el cuadro de diálogo y realiza un reinicio real en la consola local.
• Error en la prueba previa al arranque: Verifique TPM/firmware, distribución del teclado, GPO efectivo y los eventos de Windows; aún no está cifrado.
• Cifrado localmente, no validado en Fusion: Verifique la sincronización del dispositivo, la recepción de la Recovery Key y la asignación de volumen; el proceso de recuperación central se aplica a la verificación de recuperación segura.
• Protector o algoritmo inesperado: Compare las políticas efectivas de dominio y grupo local y el cifrado de hardware existente con la política de Sophos.
• Recuperación después del cambio de firmware: primero guarde la clave adecuada y confirme la causa; solo entonces debería considerar una reparación que cambie el estado.

Las alertas concretas, los errores de TPM, WMI y servicio, así como la recopilación segura de registros, se tratan en Reparar sistemáticamente errores de Sophos Device Encryption.

Preguntas frecuentes