Bezpieczne wdrażanie Sophos Fusion Device Encryption
Sophos Fusion Device Encryption centralnie zarządza szyfrowaniem dysków w Windows i macOS. Sam mechanizm szyfrowania nadal pochodzi z systemu operacyjnego: BitLocker w Windows i FileVault w macOS. Sophos rozsyła zasadę, zbiera informacje o stanie i zarządza Recovery Keys, ale nie zastępuje silnika szyfrowania ani wymagań właściwych dla platformy.
Niezawodne wdrożenie wymaga zgodności pięciu elementów: ważnego uprawnienia licencyjnego, zainstalowanego komponentu Device Encryption, skutecznej zasady, obsługiwanego stanu lokalnego i działającego procesu odzyskiwania. Sama udana instalacja agenta lub wskazanie „100 procent” nie wystarcza.
Czym zarządza Sophos, a czym nie
Device Encryption chroni woluminy rozruchowe i, zależnie od zasady, stałe wewnętrzne woluminy danych. Nie obejmuje nośników wymiennych. BitLocker To Go może je szyfrować, ale Sophos Fusion nie zarządza ich stanem ani Recovery Keys.
Zarządzanie rozpoczyna się w My Products > Encryption. Dwa dostępne tam obszary mają różne zadania:
- My Products > Encryption > Policies określa, dla kogo Device Encryption jest aktywne i które woluminy obejmuje.
- My Products > Encryption > Computers służy do oceny zgłaszanego stanu, brakujących komponentów i gotowości do odzyskiwania.
Zasadę przypisuje się użytkownikom lub grupom. W Windows zalogowanie użytkownika objętego zasadą wystarcza do rozpoczęcia szyfrowania; późniejsze zalogowanie użytkownika bez odpowiedniej zasady nie wyłącza ochrony. Na Macu zasada musi obejmować wszystkich przewidzianych użytkowników, aby autoryzacja użytkowników i zarządzanie odzyskiwaniem działały w pełni. Dlatego urządzenia współdzielone i konta lokalne trzeba wyraźnie uwzględnić w pilotażu.
Wymagania przed pierwszą zasadą
Najpierw należy ustalić, czy subskrypcja obejmuje Device Encryption. Zagadnienia umowne i zasady naliczania opisuje przegląd licencjonowania Sophos Fusion. Dla wdrożenia najważniejsze jest, aby funkcja była dostępna w tenancie i odpowiadała planowanemu zakresowi.
Następnie zatwierdza się system operacyjny, architekturę i stan cyklu życia. Informacje te zmieniają się szybciej niż koncepcja wdrożenia, dlatego nie należy kopiować statycznej listy wersji do dokumentacji szyfrowania. Procedurę opisuje artykuł Planowanie wymagań systemowych i cyklu życia Sophos Endpoint.
W przypadku już zaszyfrowanego urządzenia wdrożenie nie zaczyna się od zera. Przed przypisaniem zasady należy zinwentaryzować lokalny stan BitLockera lub FileVaulta, istniejące Recovery Keys, zasady grupy lub wymagania MDM oraz dotychczasowy produkt szyfrujący. Dwa systemy zarządzania nie mogą jednocześnie wymuszać sprzecznych ustawień. Przejęcie wykonuje się następnie według procedury BitLockera dla Windows albo procedury FileVaulta dla macOS, a nie za pomocą ogólnego przełącznika.
Komponent również musi być faktycznie zainstalowany. W My Environment > Installers pełny instalator Windows lub macOS zawiera produkty Endpoint objęte licencją. Opcja Choose Components… pozwala wybrać konkretnie Device Encryption. Na Macu Device Encryption Agent instaluje się oddzielnie. Zakończenie instalatora jest jednak tylko etapem pośrednim: potem liczą się zasada, zgłoszony stan i gotowość do odzyskiwania.
Wygaśnięcie licencji traktuj jako ryzyko dla odzyskiwania
Po wygaśnięciu licencji Encryption strona Device Encryption znika z Self Service Portal. Użytkownicy nie mogą już samodzielnie pobierać Recovery Keys. Sophos usuwa też z urządzenia większość komponentów Encryption, pozostawiając elementy potrzebne do późniejszego ponownego połączenia.
Nie wyłącza to BitLockera ani FileVaulta i nie odszyfrowuje dysków. Na tym polega ryzyko: dane pozostają chronione, lecz centralne zarządzanie i Self Service są ograniczone. Jeżeli BitLocker Recovery Key zmieni się w tym okresie bez zarządzania, po ponownej aktywacji Central może początkowo nadal znać stary klucz.
Odnowienie licencji i odzyskiwanie nie mogą więc zależeć od tej samej pojedynczej osoby lub komórki. Przed wdrożeniem należy ustalić osobę odpowiedzialną, datę wygaśnięcia, drogę eskalacji i zatwierdzony sposób odzyskiwania. Pobieranie, ujawnianie i dokumentowanie przypadku opisuje artykuł Bezpieczne pobieranie klucza odzyskiwania.
Zacznij od wdrożenia na tyle małego, aby opanować błędy
Base Policy nie wolno bez kontroli włączać w całym tenancie. Dobra grupa pilotażowa odzwierciedla różnice rzeczywiście wpływające na szyfrowanie: generacje sprzętu, modele notebooków, wersje systemów, typy kont lokalnych i już aktywne szyfrowanie. Równie ważne jest urządzenie bez wcześniejszego szyfrowania, aby sprawdzić także wdrożenie od podstaw.
W My Products > Encryption > Policies tworzy się zasadę Device Encryption i początkowo przypisuje ją grupie pilotażowej. Encrypt boot volume only określa, czy zasada Sophos obejmuje stałe woluminy danych poza woluminem rozruchowym. Wybór zależy od rzeczywistego położenia danych. Opcja Windows Encrypt used space only skraca pierwsze szyfrowanie, ale na wcześniej używanych dyskach może pozostawić niezaszyfrowane usunięte obszary, dlatego jest przeznaczona dla świeżo skonfigurowanych komputerów.
Pozostałe decyzje zależą od platformy. TPM, uwierzytelnianie Pre-Boot, zasady grupy BitLockera i partycjonowanie ustala się w przewodniku Windows. Użytkownicy FileVaulta, lokalna autoryzacja i osobisty Recovery Key należą do przewodnika Mac. Dzięki temu wspólna zasada pozostaje zrozumiała i nie miesza dwóch różnych modeli bezpieczeństwa.
Nie kończ wdrożenia na 100 procentach
Odbiór techniczny łączy widok Central ze stanem lokalnym. Dla każdego urządzenia pilotażowego należy potwierdzić:
- Planowana zasada działa dla właściwego użytkownika i urządzenia.
- Wolumin objęty zasadą jest lokalnie całkowicie zaszyfrowany.
- My Products > Encryption > Computers zgłasza oczekiwany stan Encrypted.
- Droga odzyskiwania właściwa dla tego urządzenia i woluminu jest dostępna i zatwierdzona organizacyjnie.
- Restart, logowanie i przewidziane uwierzytelnianie Pre-Boot działają.
- Alerty, odpowiedzialność i eskalację sprawdzono w nieszkodliwym scenariuszu testowym.
Zasady testowania gotowości i ujawniania klucza opisuje centralna procedura odzyskiwania. Odblokowanie i kontrola po nim pozostają w procedurze BitLockera lub FileVaulta. Oczekujący monit użytkownika, wymagany restart lub brak centralnego klucza uniemożliwiają odbiór nawet wtedy, gdy system pokazuje postęp szyfrowania.
Jak odczytywać siedem stanów Central
Stan w My Products > Encryption > Computers jest skróconym widokiem Central. Nie zastępuje kontroli lokalnej, ale pomaga skierować urządzenia do właściwej kolejki.
| Stan | Interpretacja |
|---|---|
Encrypted | Woluminy objęte przez Sophos są zaszyfrowane. Odbiór wymaga dodatkowo kontroli gotowości do odzyskiwania. |
Pending | Szyfrowanie nie zostało zakończone; procedura często czeka na synchronizację, działanie użytkownika, restart lub postęp lokalny. |
Suspended | BitLocker jest tymczasowo wstrzymany na co najmniej jednym woluminie. Nie oznacza to odszyfrowania woluminu. |
Plain | Co najmniej jeden wolumin uwzględniany przez Central jest niezaszyfrowany. Trzeba porównać cel zasady ze stanem lokalnym. |
Unmanaged | Device Encryption jest obecne na komputerze, ale nie działa żadna zasada Device Encryption. |
Not supported | Platforma lub lokalny tryb pracy nie jest obsługiwany przez Device Encryption. |
Not available | Central nie może podać stanu szyfrowania, na przykład z powodu braku komponentu Device Encryption. |
Pending nie jest kodem błędu, a Suspended nie oznacza odszyfrowania. Jeżeli stan nie zmienia się, przeczy stanowi lokalnemu albo brakuje Recovery Key, przypadek należy przekazać do systematycznej diagnostyki Device Encryption, zamiast wielokrotnie włączać i wyłączać zasadę.
Rozróżniaj trzy podobnie brzmiące zbiory
Określenie „unmanaged” może w Central ukrywać różne przyczyny. Dlatego rozróżnia się trzy przypadki:
- Stan
Unmanagedna liście komputerów oznacza obecność Device Encryption bez odpowiedniej zasady. - Filtr Computers without Device Encryption installed w My Products > Encryption > Computers pokazuje zarządzane komputery bez komponentu Encryption.
- Karta Unmanaged computers po AD Sync zawiera dodatkowo urządzenia znane z Active Directory, lecz bez ochrony Sophos.
Każda grupa wymaga innych działań. Przypisanie zasady nie instaluje automatycznie każdego brakującego komponentu, a komputer znany z AD nie jest jeszcze zarządzanym Endpointem. Dopiero przyczyna rozstrzyga, czy właściwe jest przypisanie, instalacja, uporządkowanie inwentaryzacji czy świadomy wyjątek.
Wyraźnie rozdziel odpowiedzialność operacyjną
Wspólne pobranie i bezpieczne przekazanie klucza opisuje Bezpieczne pobieranie klucza odzyskiwania. Następnie użycie klucza przebiega według przewodnika BitLockera albo przewodnika FileVaulta.
Przejęcie lub migrację zaczyna się od udokumentowania stanu początkowego. Artykuł Przejęcie lub migracja Sophos Device Encryption wybiera następnie właściwą procedurę Windows lub macOS. Stare zarządzanie i dotychczasowy sposób odzyskiwania pozostają dostępne do odbioru nowego stanu lokalnie i w Central. Nieznane wersje SafeGuard lub mieszane moduły są sygnałem do zatrzymania prac i wyjaśnienia sytuacji przed zmianami; historyczne informacje o wydaniach nie są aktualnym potwierdzeniem wsparcia.
Wycofanie urządzenia to również coś więcej niż usunięcie rekordu Central. Najpierw ustala się docelowy stan szyfrowania, odpowiedzialność za odzyskiwanie i lokalne odinstalowanie. Dopiero potem wykonuje się procedurę Wymiana lub wycofanie urządzenia Sophos Fusion. Odinstalowanie agenta nie przekazuje w szczególności klucza FileVaulta do nowego systemu zarządzania.
Pliki chronione hasłem w Windows są odrębną funkcją Device Encryption, ale nie szyfrowaniem dysku ani dowodem udanego wdrożenia BitLockera. Zasadę, kanał wysyłki, procedurę odbiorcy i osobne przekazanie hasła planuje się i testuje w tej osobnej procedurze, a nie uruchamia przy okazji zasady wdrożeniowej.