Sophos Device Encryption: resolver errores de BitLocker y FileVault

Sophos Fusion (anteriormente Sophos Central) controla el cifrado del dispositivo, pero no realiza el cifrado por sí mismo: BitLocker funciona en Windows, FileVault funciona en macOS. Por lo tanto, un error puede radicar en cuatro niveles diferentes: política y asignación de usuarios, agente de Sophos y sincronización, sistema operativo o gestión de Recovery Keys.

Atajo seguro: Registre el estado de Central y el texto de la alerta, verifique el estado local de BitLocker o FileVault en modo de solo lectura y confirme que exista una ruta de recuperación válida. Solo entonces se trabaja únicamente en la rama afectada. Activar y desactivar la política repetidamente no es un diagnóstico y puede cambiar el estado, la administración de claves o un proceso de cifrado o descifrado en curso.

Derivar un caso de recuperación normal

Este runbook diagnostica anomalías pero no recupera ni divulga una Recovery Key. Una solicitud de recuperación normal se dirige a Sophos Device Encryption: recuperar de forma segura la Recovery Key.

Después de la entrega autorizada de la clave asignada de forma exclusiva, el desbloqueo se realiza en la plataforma respectiva: en Windows en el artículo Administrar BitLocker con Sophos Fusion, en macOS en el flujo de administración de FileVault. Los pasos de recuperación, divulgación y desbloqueo no se duplican aquí.

No confundir el estado de Central con una alerta

El Estado de cifrado describe el último estado del dispositivo notificado a Central. Una Alerta, en cambio, informa de una desviación específica. Por lo tanto, si Central muestra un estado antiguo y el dispositivo un estado local actual, primero debe investigarse la comunicación o la sincronización, no presuponerse un fallo de cifrado.

Los siete valores de estado

Pending no significa “la política básicamente está esperando la aplicación” y Suspended no significa “el volumen está descifrado”. Encrypted por sí solo no basta para la validación: la Recovery Key debe estar disponible para el proceso de recuperación responsable.

Las tres alertas de cifrado del dispositivo

Device is not encrypted significa que un volumen no está cifrado aunque debería cifrarse según la política. Una posible razón es que el usuario pospuso el cifrado después de la asignación de la política. A continuación, se verifican el volumen afectado, cualquier aviso pendiente para el usuario y el progreso del cifrado local.

Recovery key is missing significa que Central no puede encontrar una Recovery Key para un volumen cifrado en su base de datos. Este es un riesgo de recuperación, no una prueba de una unidad no cifrada. Se comprueban la comunicación, la última sincronización y el repositorio de Recovery Keys correspondiente sin registrar la clave en las notas del caso.

Device Encryption is suspended indica que BitLocker está suspendido. Si esto no se hizo intencionadamente, Sophos da tres razones típicas:

• La Recovery Key aún no se ha guardado en Central. El endpoint requiere una conexión a Internet que funcione.
• BitLocker preaprovisionado aún no está activado. El usuario debe definir PIN, contraseña o USB Key dependiendo del modo deseado.
• Se están instalando actualizaciones de Windows. BitLocker eliminará automáticamente la suspensión después del próximo reinicio.

Solo cuando se hayan descartado estos tres casos se buscará una intervención administrativa no planificada o un error más profundo de Windows.

Un proceso para cada tipo de error

1. Conservar el estado y asegurar la recuperación

Antes del primer cambio, registre:

• Nombre del dispositivo e ID del dispositivo en Central;
• Sistema operativo, compilación y momento del problema;
• política asignada y usuario afectado;
• estado exacto, texto de alerta, código de error y marca de tiempo;
• volumen afectado y si se está cifrando o descifrando actualmente;
• si el responsable de la recuperación ha confirmado una clave actual y adecuada.

El registro de trabajo solo dice Clave presente, Falta clave o Aún no está claro. No se registran ni la clave en sí ni los ID de clave completos.

2. Comparar el estado de Central y local

Cuatro resultados conducen en diferentes direcciones:

1. Ambas partes informan el mismo estado: Investigue el problema local.
2. Correcto localmente, Central desactualizado: Verifique la comunicación del agente, la marca de tiempo de la política y la última sincronización.
3. Correcto en Central, localmente inconsistente: Verifique el volumen específico y la pantalla del sistema operativo nativo; no saque conclusiones sobre todos los volúmenes a partir del estado general.
4. Ambas partes son desconocidas o están en conflicto: No aplique ninguna reparación que cambie el estado. Cree y escale el paquete de diagnóstico.

3. Comprobar la aplicación de la política

Un componente instalado no prueba que una política esté vigente. Compruebe lo siguiente:

• La política está activada y asignada al usuario previsto o su grupo;
• el usuario que inició sesión en el dispositivo se asigna al dispositivo correcto en Central;
• ninguna prioridad superior o valor predeterminado global explica la configuración visible;
• La hora de la última aplicación de la política es posterior al último cambio;
• Ningún GPO, política MDM o gestión de cifrado previa impone un estado diferente.

Una asignación se corrige en su origen. Establecer de forma generalizada las políticas locales en Not configured o alternar varias veces una política de Central solo oculta qué sistema de administración ha prevalecido realmente.

Windows: BitLocker no se inicia o permanece pendiente

Comprobar primero el estado local y solo en modo lectura

En un símbolo del sistema administrativo, Windows muestra el estado de todos los volúmenes de BitLocker:

manage-bde -status

Para cada volumen son importantes Conversion Status, Percentage Encrypted, Protection Status, Lock Status y los Key Protectors existentes. La salida se puede depurar antes de entregarla a soporte eliminando las contraseñas de recuperación y otros secretos.

El protocolo de Sophos más importante está aquí:

C:\ProgramData\Sophos\Sophos Data Protection\Logs\CDE.log

Además, se revisan el período correspondiente en el Visor de eventos de Windows, el estado del TPM y las políticas de grupo de BitLocker que estén realmente vigentes. El siguiente paso no viene determinado por el número de advertencias, sino por el primer error reproducible tras aplicar la política o reiniciar.

El usuario no ve el cuadro de diálogo de activación

Si falta el cuadro de diálogo esperado, limítese a documentar el tipo de sesión, el usuario que inició sesión, el texto exacto del registro, la hora y los reinicios pendientes. No deduzca de una sola entrada de registro una causa concreta relacionada con la sesión ni un fallo del servicio. Solo se cambia el tipo de sesión o se reinicia de acuerdo con las instrucciones vigentes de Sophos para la versión instalada; después, se vuelven a comparar manage-bde -status, la nueva marca de tiempo de CDE.log y Central.

La política y la GPO se contradicen

Las áreas de conflicto típicas incluyen la autenticación de inicio, los protectores permitidos, los requisitos de TPM, FIPS, el método de cifrado y la copia de seguridad de la Recovery Key. Documente el GPO efectivo y compárelo con la política de Central. A continuación, corrija la configuración en el sistema de administración responsable; un caso de diagnóstico no es el lugar para eludir el modelo de seguridad mediante una solución alternativa local.

La configuración normal, selección de protector y coordinación con las GPO se explican en Administrar BitLocker con Sophos Fusion.

BitLocker es Suspended

Suspended no indica que haya descifrado, sino que la protección está suspendida en al menos un volumen. Primero se comprueban las actualizaciones de firmware o Windows en curso, los reinicios pendientes, el aprovisionamiento previo y la custodia de la Recovery Key en Central.

• Si aún no se ha completado un proceso de actualización documentado, se finaliza su secuencia de reinicio prevista y luego se verifica nuevamente.
• Si un administrador ha suspendido BitLocker a sabiendas, la persona responsable del cambio decide si debe reanudarse.
• A falta de explicación, la suspensión se considera una desviación de seguridad. No se fuerza la reanudación a ciegas, sino que se registran la fecha y hora, el evento y el estado del protector para la escalada.

Error de activación con TPM, firmware o contexto DMA

En caso de un error de activación relacionado con el hardware, se documentan el código de error exacto, el estado actual de TPM/UEFI, el modo de autenticación previsto y las versiones de firmware y controlador. No debe determinarse una causa ni aplicarse una reparación sin instrucciones actuales y específicas para el modelo y las versiones de Windows y Sophos. Por lo tanto, las firmas antiguas solo se clasifican en la sección histórica controlada por soporte.

Al informar sobre un dispositivo con capacidad DMA sin protección, el fabricante del dispositivo debe confirmar si el bus y el dispositivo son internos y seguros. Una entrada de registro bajo AllowedBuses, cambios en las ACL o autorización general de buses desconocidos no son una reparación general. El comportamiento también difiere entre las versiones de Windows. No se modificará el Registro sin instrucciones OEM o Sophos actuales, específicas del modelo y versión.

macOS: FileVault está esperando la acción del usuario o la Recovery Key

Delimitar la autorización del usuario

FileVault requiere un usuario autorizado localmente. En los Mac con chip Apple, esto incluye un Volume Owner; el estado del Secure Token adecuado también es relevante para la administración. Por tanto, se comprueba lo siguiente:

• ¿El usuario actualmente conectado localmente está cubierto por la política de cifrado del dispositivo?
• ¿Puede este usuario realmente desbloquear FileVault al iniciar?
• ¿El usuario esperado está visible en la aplicación Sophos Device Encryption?
• ¿Tiene Secure Token o autorización de propietario de volumen?
• ¿Hay un cuadro de diálogo de Sophos esperando la contraseña de inicio de sesión de macOS o Encrypt, Create key o Proceed?

No cree una cuenta nueva local o móvil como medida de precaución y no cambie la autorización del usuario hasta que el requisito faltante esté claramente establecido. La autorización admitida de usuarios adicionales se describe en el flujo de administración de FileVault.

FileVault está activo, pero Central no tiene clave

“FileVault activo” y “Recovery Key administrada en Central” son dos declaraciones diferentes. Para cada volumen requerido por la política, se compara el estado de cifrado local, la indicación de recuperación en la aplicación Sophos Device Encryption y la última marca de tiempo de Central.

Las siguientes consultas documentadas por Sophos son de solo lectura:

/usr/local/bin/seadmin status
/usr/local/bin/seadmin --device-encryption

status ayuda a comparar la última sincronización. --device-encryption muestra la política, así como el estado de cifrado y recuperación de los volúmenes internos. Un volumen cifrado sin una custodia confirmada en Central no se aceptará como un despliegue correcto.

Si Sophos muestra una Recovery Key personal después de un guardado fallido, la custodia provisional segura permanece en manos de la persona responsable de FileVault. La clave no se copia en el paquete de diagnóstico. El procedimiento admitido para custodiar esta única clave y confirmarla posteriormente en Central se encuentra en el artículo vinculado de FileVault; este runbook no reemplaza el proceso de recuperación.

El cifrado o descifrado se detiene

Un valor porcentual sin cambios aún no es motivo para reiniciar la gestión de cifrado. En primer lugar, se compara lo siguiente durante un período de tiempo suficientemente largo:

• progreso local del volumen concreto;
• alimentación eléctrica, espacio libre y reinicio pendiente;
• última política y marca de tiempo del agente;
• eventos del sistema operativo en el mismo período;
• gestión de cifrado concurrente;
• estado objetivo esperado: cifrar, adoptar o descifrar.

En el caso de un descifrado planificado, la persona responsable del cambio confirma el estado objetivo, la responsabilidad de la Recovery Key y el flujo de la plataforma. La ejecución en Windows pertenece al artículo de BitLocker, la ejecución en macOS al artículo de FileVault. En caso de un descifrado inesperado, no se intenta contrarrestar el proceso con cambios de política precipitados; el dispositivo, el cambio de política y los eventos se investigan como una desviación de seguridad.

Unmanaged, cifrado y migración existentes

Unmanaged significa simplemente que el componente de cifrado del dispositivo está instalado, pero no se aplica ninguna política de cifrado del dispositivo. La unidad puede estar cifrada o no cifrada. Esta no es una solicitud para asignar una política inmediatamente.

Antes de la adopción o migración, se inventaria el estado de origen:

1. Plataforma, volúmenes y estado de cifrado local.
2. Protectores activos o usuarios autorizados de FileVault.
3. Sistema de gestión previo y especificaciones GPO/MDM vigentes.
4. Ruta de recuperación verificada bajo gestión anterior.
5. Estado objetivo previsto y exactamente un sistema objetivo responsable.

Después se elige una única rama de plataforma. La ejecución se lleva a cabo en el flujo de BitLocker o de FileVault. Mientras la nueva Recovery Key no se confirme en el sistema de destino, la ruta de recuperación anterior no se descarta y la administración anterior no se retira.

Las listas de Central también tienen significados diferentes: Computers without Device Encryption installed muestra dispositivos administrados sin el componente de cifrado. En cambio, Unmanaged computers puede contener ordenadores sincronizados desde el directorio sin la protección de Sophos. Por lo tanto, antes de instalar componentes o modificar políticas, primero se aclara en qué lista aparece el dispositivo y por qué.

Firmas históricas: reconocerlas, no repararlas por cuenta propia

Las siguientes firmas provienen de la experiencia operativa heredada de Avanet. Ayudan a clasificar un caso de soporte, pero no son una autorización vigente para repararlo:

• ManagementStatus.InvalidNamespace, 0x8004100E o 0x80041002 relacionados con Win32_EncryptableVolume;
• 0x803100B6 en dispositivos detectados como Slate;
• System.BadImageFormatException y Sophos.Encryption.BitLockerService.exe;
• errores de BitLocker después de la conversión de MBR a GPT o de BIOS heredado a UEFI;
• error de activación con una ISO o un disco de arranque montados;
• No UI user session available;
• 0x80310048 o FVE_E_FIRMWARE_TYPE_NOT_SUPPORTED;
• patrones de error de DMA/AllowedBuses antiguos;
• necesidad de registro avanzado DEBUG o TRACE.

La clase de Microsoft Win32_EncryptableVolume explica el contexto de WMI, pero no autoriza ni a volver a registrar MOF ni a reparar WMI. Del mismo modo, no se copian archivos DLL de las cachés, no se modifican permisos del Registro, no se cambian particiones BCD/recuperación ni se establecen parámetros de logging no documentados. Sophos Support debe proporcionar instrucciones actualizadas para la versión instalada, la compilación exacta y la firma completa.

Paquete de diagnóstico y punto de escalada

Windows

• Exportación o captura de pantalla de la alerta de Central sin datos secretos;
• Mapeo de dispositivos, políticas y usuarios con marcas de tiempo;
• salida depurada de manage-bde -status;
• extracto relevante de CDE.log;
• correlación de los eventos de Windows con las GPO de BitLocker realmente vigentes;
• Estado de TPM, UEFI y firmware, así como el último reinicio real;
• Endpoint Self Help o Sophos Diagnostic Utility (SDU), si está disponible en el agente utilizado;
• lista breve de comprobaciones que no alteran el estado que ya se han llevado a cabo.

macOS

• Mapeo de dispositivos, políticas y usuarios con marcas de tiempo;
• Versión del componente macOS y Sophos;
• salidas depuradas de seadmin status y seadmin --device-encryption;
• Estado de los volúmenes afectados en la aplicación Sophos Device Encryption;
• Información sobre si el usuario tiene Secure Token/Volume Owner y autorización previa al inicio;
• Hora de la última comunicación correcta con Central;
• Paquete SDU y proceso reproducible sin Recovery Key.

Antes de compartirlos, los datos del usuario se reducen a lo necesario y se eliminan las Recovery Keys, contraseñas, los ID de clave completos y otros secretos.

El caso se escala a Sophos Support si la responsabilidad o la disponibilidad de la Recovery Key no están claras, Central y el sistema operativo informan estados contradictorios después de una sincronización exitosa, el servicio del agente falla repetidamente, hay una firma histórica o el siguiente paso cambiaría WMI, Registro, archivos de programa, BCD o particiones. El caso menciona la primera desviación observada, no solo el último error posterior.

Preguntas frecuentes