Sophos Device Encryption: BitLocker- en FileVault-fouten oplossen

Sophos Fusion (voorheen Sophos Central) stuurt Device Encryption aan, maar versleutelt niet zelf: Windows gebruikt BitLocker en macOS FileVault. Een fout kan daarom op vier niveaus liggen: policy en gebruikerstoewijzing, Sophos-agent en synchronisatie, besturingssysteem of Recovery-Key-beheer.

Veilige snelle route: leg de Central-status en de exacte alerttekst vast, controleer de lokale BitLocker- of FileVault-toestand alleen-lezen en bevestig dat een geldige recoveryroute bestaat. Behandel pas daarna uitsluitend de betrokken tak. De policy herhaald uit- en inschakelen is geen diagnose en kan status, keybeheer of een lopende ver- of ontsleuteling veranderen.

Normale recoverycase doorgeven

Dit runbook diagnosticeert afwijkingen, maar haalt geen Recovery Key op en toont er geen. Een normale recoveryaanvraag gaat naar Sophos Device Encryption: Recovery Keys veilig ophalen.

Na geautoriseerde overdracht van de eenduidig gekoppelde key volgt ontgrendeling op het betreffende platform: in Windows via BitLocker beheren met Sophos Fusion, in macOS via het FileVault-beheerproces. De stappen voor ophalen, tonen en ontgrendelen worden hier niet gedupliceerd.

Central-status en alert niet verwarren

De versleutelingsstatus beschrijft de laatst aan Central gemelde apparaattoestand. Een alert meldt daarentegen een concrete afwijking. Een oude status naast een actuele lokale weergave wijst daarom eerst op communicatie of synchronisatie, niet automatisch op defecte versleuteling.

De zeven statuswaarden

Pending betekent dus niet dat de policy in het algemeen op toepassing wacht en Suspended betekent niet dat de schijf is ontsleuteld. Ook Encrypted alleen volstaat niet voor acceptatie: de Recovery Key moet beschikbaar zijn via het verantwoordelijke recoveryproces.

De drie Device Encryption-alerts

Device is not encrypted betekent dat een volume niet versleuteld is, hoewel dit volgens de policy wel zou moeten. Een mogelijke oorzaak is dat de gebruiker de versleuteling na policytoewijzing heeft uitgesteld. Controleer vervolgens het betrokken volume, een open gebruikersprompt en de lokale versleutelingsvoortgang.

Recovery key is missing betekent dat Central in zijn database geen Recovery Key voor een versleuteld volume vindt. Dit is een recoveryrisico, geen bewijs van een onversleutelde schijf. Controleer communicatie, laatste synchronisatie en de verantwoordelijke Recovery-Key-opslag zonder de key in de casenotities op te nemen.

Device Encryption is suspended meldt opgeschorte BitLocker-versleuteling. Als dit niet opzettelijk is gebeurd, noemt Sophos drie typische oorzaken:

• De Recovery Key is nog niet in Central opgeslagen. Het endpoint heeft een werkende internetverbinding nodig.
• Vooraf ingericht BitLocker is nog niet geactiveerd. De gebruiker moet afhankelijk van de bedoelde modus PIN, wachtwoord of USB Key instellen.
• Windows-updates worden geïnstalleerd. BitLocker beëindigt de suspension automatisch na de volgende herstart.

Zoek pas naar een ongeplande beheerwijziging of diepere Windows-fout wanneer deze drie gevallen zijn uitgesloten.

Eén proces voor elk foutbeeld

1. Toestand bevriezen en recovery veiligstellen

Noteer vóór de eerste wijziging:

• apparaatnaam en Central-apparaat-ID;
• besturingssysteem, build en tijdstip van het probleem;
• toegewezen policy en betrokken gebruiker;
• exacte status, alerttekst, foutcode en tijdstempel;
• betrokken volume en of dit momenteel wordt ver- of ontsleuteld;
• of de recoveryverantwoordelijke een passende, actuele key heeft bevestigd.

Noteer in het werklog alleen key aanwezig, key ontbreekt of nog onbekend. Neem de key zelf en volledige Key-ID’s niet over.

2. Central en lokale toestand vergelijken

Vier uitkomsten leiden in verschillende richtingen:

1. Beide zijden melden dezelfde toestand: behandel het lokale foutbeeld.
2. Lokaal correct, Central verouderd: controleer agentcommunicatie, policytijdstempel en laatste synchronisatie.
3. Central correct, lokaal tegenstrijdig: controleer het concrete volume en de systeemeigen OS-weergave; leid niet uit een totaalstatus de toestand van alle volumes af.
4. Beide zijden onbekend of tegenstrijdig: voer geen toestandswijzigende reparatie uit. Maak een diagnosepakket en escaleer.

3. Policytoepassing controleren

Een geïnstalleerde component bewijst niet dat een policy effectief is. Controleer:

• de policy is ingeschakeld en aan de bedoelde gebruiker of diens groep toegewezen;
• de op het apparaat aangemelde gebruiker is in Central aan het juiste apparaat gekoppeld;
• geen instelling met hogere prioriteit of globale instelling verklaart de zichtbare waarde;
• het tijdstip van de laatste policytoepassing is nieuwer dan de laatste wijziging;
• geen GPO, MDM-policy of eerder versleutelingsbeheer dwingt een andere toestand af.

Corrigeer een toewijzing bij de bron. Lokaal beleid algemeen op Not configured zetten of een Central-policy meermaals omschakelen verbergt alleen welk beheer daadwerkelijk heeft gewonnen.

Windows: BitLocker start niet of blijft Pending

Eerst lokaal en alleen-lezen controleren

Windows toont in een administratieve opdrachtprompt de toestand van alle BitLocker-volumes:

manage-bde -status

Belangrijk zijn per volume Conversion Status, Percentage Encrypted, Protection Status, Lock Status en de aanwezige Key Protectors. De uitvoer mag voor support worden opgeschoond; verwijder Recovery Passwords en andere geheimen.

Het belangrijkste Sophos-log staat hier:

C:\ProgramData\Sophos\Sophos Data Protection\Logs\CDE.log

Bekijk daarnaast de passende periode in Windows Event Viewer, de TPM-toestand en het daadwerkelijk effectieve BitLocker-groepsbeleid. Niet het aantal waarschuwingen, maar de eerste reproduceerbare fout na policytoepassing of herstart bepaalt de volgende stap.

De gebruiker ziet geen activeringsvenster

Documenteer sessietype, aangemelde gebruiker, exacte logtekst, tijdstip en openstaande herstarts. Leid uit één logregel geen specifieke sessieoorzaak of servicedefect af. Wissel van sessietype of herstart alleen volgens een actuele Sophos-instructie die voor de geïnstalleerde versie geldt; vergelijk daarna manage-bde -status, het nieuwe tijdstempel van CDE.log en Central opnieuw.

Policy en GPO spreken elkaar tegen

Veelvoorkomende conflictgebieden zijn Startup Authentication, toegestane protectors, TPM-vereisten, FIPS, versleutelingsmethode en Recovery-Key-back-up. Documenteer de effectieve GPO en vergelijk die met de Central-policy. Corrigeer daarna het inhoudelijk verantwoordelijke beheer; de troubleshootingcase is niet de plaats om het beveiligingsconcept met een lokale workaround te omzeilen.

De normale configuratie, protectorkeuze en GPO-afstemming staan in BitLocker beheren met Sophos Fusion.

BitLocker is Suspended

Suspended duidt niet op ontsleuteling, maar op opgeschorte beveiliging van minimaal één volume. Controleer eerst een lopende Windows- of firmware-update, openstaande herstarts, Pre-Provisioning en Central-opslag van de Recovery Key.

• Als een gedocumenteerde update nog niet is voltooid, rond dan de voorgeschreven herstartvolgorde af en controleer opnieuw.
• Als een beheerder BitLocker bewust heeft opgeschort, beslist de changeverantwoordelijke over hervatting.
• Als een verklaring ontbreekt, geldt de suspension als beveiligingsafwijking. Forceer de hervatting niet blind, maar stel tijdstip, event en protectortoestand veilig voor escalatie.

Activeringsfout met TPM-, firmware- of DMA-context

Documenteer bij een hardwaregerelateerde activeringsfout de exacte foutcode, actuele TPM-/UEFI-toestand, beoogde authenticatiemodus en firmware- en driverversies. Leid daaruit geen oorzaak of reparatie af zonder actuele, model-, Windows- en Sophos-versiespecifieke instructie. Oudere signatures staan daarom alleen in het supportgestuurde historische gedeelte.

Bij een melding over een onbeveiligd DMA-geschikt apparaat moet de fabrikant bevestigen of bus en apparaat intern en veilig zijn. Een registervermelding onder AllowedBuses, wijzigingen aan ACL’s of algemene vrijgave van onbekende bussen zijn geen generieke reparatie. Het gedrag verschilt bovendien per Windows-versie. Wijzig de registry niet zonder actuele, model- en versiespecifieke OEM- of Sophos-instructie.

macOS: FileVault wacht op gebruiker of Recovery Key

Gebruikersautorisatie afbakenen

FileVault vereist een lokaal bevoegde gebruiker. Op Apple Silicon hoort daar Volume Owner bij; voor beheer is bovendien de passende Secure Token-toestand relevant. Controleer daarom:

• valt de momenteel lokaal aangemelde gebruiker onder de Device Encryption-policy?
• kan deze gebruiker FileVault bij het opstarten daadwerkelijk ontgrendelen?
• is de verwachte gebruiker zichtbaar in de Sophos Device Encryption-app?
• zijn Secure Token respectievelijk Volume Owner-bevoegdheid aanwezig?
• wacht een Sophos-dialoogvenster op het macOS-aanmeldwachtwoord of op Encrypt, Create key of Proceed?

Maak niet uit voorzorg een nieuw lokaal of mobiel account en wijzig geen gebruikersbevoegdheid voordat de ontbrekende voorwaarde eenduidig vaststaat. De ondersteunde autorisatie van meer gebruikers blijft onderdeel van het FileVault-beheerproces.

FileVault is actief, maar Central heeft geen key

‘FileVault actief’ en ‘Recovery Key beheerd in Central’ zijn twee verschillende uitspraken. Vergelijk voor ieder door de policy vereist volume de lokale versleutelingsstatus, recoveryweergave in de Sophos Device Encryption-app en het laatste Central-tijdstempel.

De gedocumenteerde Sophos-opdrachten zijn alleen-lezen:

/usr/local/bin/seadmin status
/usr/local/bin/seadmin --device-encryption

status helpt bij het vergelijken van de laatste synchronisatie. --device-encryption toont policy en versleutelings- en recoverystatus van de interne volumes. Accepteer een versleuteld volume zonder bevestigde Central-opslag niet als geslaagde uitrol.

Als Sophos na een mislukte opslag een persoonlijke Recovery Key toont, blijft de veilige tijdelijke bewaring de verantwoordelijkheid van de FileVault-verantwoordelijke. Kopieer de key niet naar het diagnosepakket. Het ondersteunde gebruik van deze enige key en de latere Central-bevestiging staan in het gekoppelde FileVault-artikel; dit runbook vervangt het recoveryproces niet.

Versleuteling of ontsleuteling blijft staan

Een ongewijzigd percentage is nog geen reden om versleutelingsbeheer opnieuw te starten. Vergelijk eerst gedurende een voldoende lange periode:

• lokale voortgang van het concrete volume;
• voeding, vrije ruimte en openstaande herstart;
• laatste policy- en agenttijdstempel;
• besturingssysteemevents op hetzelfde tijdstip;
• concurrerend versleutelingsbeheer;
• verwachte doelstatus: versleutelen, overnemen of ontsleutelen.

Bij geplande ontsleuteling bevestigt de changeverantwoordelijke doelstatus, verantwoordelijkheid voor de Recovery Key en platformprocedure. Windows-uitvoering hoort in het BitLocker-artikel, macOS-uitvoering in het FileVault-artikel. Probeer bij onverwachte ontsleuteling het proces niet met haastige policywissels te overstemmen; onderzoek apparaat, policywijziging en events als beveiligingsafwijking.

Unmanaged, bestaande versleuteling en migratie

Unmanaged betekent alleen dat de Device Encryption-component is geïnstalleerd, maar geen Device Encryption-policy wordt toegepast. De schijf kan versleuteld of onversleuteld zijn. Dit is geen opdracht om meteen een policy toe te wijzen.

Inventariseer vóór adoptie of migratie de brontoestand:

1. Platform, volumes en lokale versleutelingstoestand.
2. Actieve protectors respectievelijk bevoegde FileVault-gebruikers.
3. Bestaand beheersysteem en effectieve GPO-/MDM-instellingen.
4. Geverifieerde recoveryroute onder het bestaande beheer.
5. Beoogde doelstatus en precies één verantwoordelijk doelsysteem.

Kies daarna precies één platformtak. De uitvoering blijft bij BitLocker of FileVault. Geef de bestaande recoveryroute niet op en stel het oude beheer niet buiten gebruik zolang de nieuwe Recovery Key niet in het doelsysteem is bevestigd.

Ook de lijsten in Central hebben verschillende betekenissen: Computers without Device Encryption installed toont beheerde apparaten zonder Encryption-component. Unmanaged computers kan daarentegen uit de directory gesynchroniseerde computers zonder Sophos-beveiliging bevatten. Bepaal daarom vóór een installatie- of policyactie eerst in welke lijst en waarom het apparaat verschijnt.

Historische signatures: herkennen, niet zelf repareren

De volgende signatures uit oudere Avanet-praktijk helpen een supportcase te classificeren, maar zijn geen actuele reparatiegoedkeuring:

• ManagementStatus.InvalidNamespace, 0x8004100E of 0x80041002 in verband met Win32_EncryptableVolume;
• 0x803100B6 op als Slate herkende apparaten;
• System.BadImageFormatException bij Sophos.Encryption.BitLockerService.exe;
• BitLocker-fouten na omzetting van MBR naar GPT of Legacy BIOS naar UEFI;
• activeringsfouten bij een gekoppelde opstartbare ISO of schijf;
• No UI user session available;
• 0x80310048 respectievelijk FVE_E_FIRMWARE_TYPE_NOT_SUPPORTED;
• oudere DMA-/AllowedBuses-foutbeelden;
• behoefte aan uitgebreid DEBUG- of TRACE-loggen.

De Microsoft-klasse Win32_EncryptableVolume verklaart de WMI-context, maar autoriseert geen MOF-herregistratie of WMI-reparatie. Kopieer evenmin DLL’s uit caches, neem geen registryrechten over, wijzig geen BCD-/recoverypartities en stel geen ongedocumenteerde logkeys in. Sophos Support moet voor de geïnstalleerde versie, exacte build en volledige signature actuele instructies geven.

Diagnosepakket en escalatiepunt

Windows

• export of screenshot van de Central-alert zonder geheim;
• apparaat-, policy- en gebruikerstoewijzing met tijdstempels;
• opgeschoonde uitvoer van manage-bde -status;
• relevante uitsnede van CDE.log;
• passende Windows-events en daadwerkelijk effectieve BitLocker-GPO’s;
• TPM-, UEFI- en firmwareversie en laatste echte herstart;
• Endpoint Self Help of Sophos Diagnostic Utility (SDU), indien beschikbaar in de gebruikte agent;
• korte lijst van reeds uitgevoerde toestandbehoudende controles.

macOS

• apparaat-, policy- en gebruikerstoewijzing met tijdstempels;
• macOS- en Sophos-componentversie;
• opgeschoonde uitvoer van seadmin status en seadmin --device-encryption;
• toestand van de betrokken volumes in de Sophos Device Encryption-app;
• informatie of de gebruiker Secure Token-, Volume Owner- en Pre-Boot-bevoegdheid heeft;
• tijdstip van de laatste geslaagde Central-communicatie;
• SDU-pakket en reproduceerbaar proces zonder Recovery Key.

Beperk persoonsgegevens vóór overdracht tot het noodzakelijke en verwijder Recovery Keys, wachtwoorden, volledige Key-ID’s en andere geheimen.

Escaleer naar Sophos Support als verantwoordelijkheid voor of beschikbaarheid van de Recovery Key onzeker blijft, Central en het besturingssysteem na geslaagde synchronisatie tegenstrijdige toestanden melden, de agentservice herhaald uitvalt, een historische signature aanwezig is of de volgende stap WMI, registry, programmabestanden, BCD of partities zou wijzigen. Vermeld in de case de eerste waargenomen afwijking, niet alleen de laatste vervolgmelding.

Veelgestelde vragen