Gerir BitLocker com o Sophos Fusion

O Sophos Device Encryption ativa e gere Microsoft BitLocker. A encriptação técnica e a autenticação Pre-Boot continuam a ser fornecidas pelo Windows. Por isso, os requisitos de hardware e Group Policies da Microsoft aplicam-se juntamente com a Sophos Policy.

Percurso rápido: aceda a My Products > Encryption > Policies, crie uma política Device Encryption, selecione os utilizadores de destino, escolha cuidadosamente as definições e ative a política. Depois, um utilizador atribuído inicia sessão localmente no dispositivo piloto, conclui os diálogos e reinícios da Sophos e executa o teste Pre-Boot. A implementação só termina quando o estado local do BitLocker, o estado no Sophos Fusion e um Recovery Key correspondente estiverem confirmados.

Verificar requisitos e compatibilidade

Antes da ativação, verificam-se:

• edição, compilação, nível de patches e estado do ciclo de vida do Windows com base nos requisitos de sistema e ciclo de vida do Sophos Endpoint; a matriz histórica de Protectors abaixo não aprova versões antigas do Windows,
• Sophos Core Agent instalado e a comunicar, com o componente Device Encryption abrangido pela licença,
• suporte BitLocker na edição do Windows, estado do TPM e modo de autenticação compatível,
• com TPM 2.0, disco de sistema em formato GPT e modo UEFI,
• espaço suficiente nas partições System e Recovery; a Sophos ignora volumes com 64 MB ou menos,
• ausência de gestão de encriptação concorrente,
• processo de recuperação e pessoas autorizadas definidos antes da substituição do primeiro Protector.

Dynamic Disks não são suportados para o volume do sistema e os respetivos volumes de dados são ignorados. Também não são suportadas partições Windows criadas através de Boot Camp num Mac. O Windows pode encriptar suportes amovíveis com BitLocker To Go, mas o Sophos Fusion não gere o respetivo estado nem os Recovery Keys.

O Sophos Device Encryption suporta BitLocker pré-aprovisionado e unidades já encriptadas. Encripta novos volumes por software, mas não converte automaticamente encriptação por hardware existente. A adoção de BitLocker já gerido só ocorre numa janela controlada, sem gestão paralela de Protectors. A Sophos substitui os Recovery Keys anteriores, que deixam então de funcionar e não constituem rollback. Siga a sequência completa em Migrar BitLocker existente.

Um erro de TPM não é resolvido ativando repetidamente a Sophos Policy. Windows Events, TPM Management e BitLocker Status indicam a causa.

Configurar a política de Device Encryption

1. Aceda a My Products > Encryption > Policies, clique em Add Policy e crie uma política de Device Encryption.
2. Atribua utilizadores ou grupos. No Windows, o início de sessão de um utilizador atribuído desencadeia a encriptação; a unidade mantém-se encriptada quando um utilizador não atribuído inicia sessão posteriormente.
3. No separador Settings, ative Device Encryption is on.
4. Decida se seleciona Encrypt boot volume only. Se a opção estiver desativada, também pode encriptar volumes de dados fixos. O Sophos Device Encryption não gere suportes amovíveis.
5. Em Advanced Windows settings, decida se necessita de Require startup authentication. A opção está ativa por predefinição; quando desativada, a Sophos usa TPM-only nos dispositivos compatíveis.
6. Use Encrypt used space only apenas em computadores acabados de preparar. A encriptação inicial é mais rápida, mas dados eliminados em áreas usadas anteriormente podem ficar sem encriptação.
7. Se necessário, use Require new authentication password/PIN from users para definir o intervalo de alteração do PIN ou da Passphrase. Esta função está disponível no Windows a partir do Device Encryption 2.0 e está desativada por predefinição.
8. Guarde e ative a política e atribua-a primeiro a um grupo piloto representativo.

Uma definição bloqueada pode provir de uma configuração global aplicada pelo parceiro Sophos ou pelo Enterprise Administrator. Verifique este ponto antes de analisar a política local.

Escolher o modo de autenticação

Consoante a Policy e a plataforma, podem ser utilizados TPM only, TPM + PIN, Passphrase ou USB Key. Para selecionar o protetor, utilize esta matriz de compatibilidade e prioridade: 1 é a primeira escolha e 1* só se aplica quando Require startup authentication está desativado. Se estiver ativado, não é possível instalar TPM only e TPM + PIN passa a ser a primeira escolha.

O Windows 7 e o Windows 8.1 aparecem aqui apenas para manter completa a associação de Protectors documentada pela Sophos; não são recomendações atuais e devem ser aprovados separadamente através dos requisitos de ciclo de vida acima. USB Key é, do mesmo modo, uma opção histórica da matriz Windows 7, não uma recomendação para uma nova implementação. No modo FIPS do Windows, a Sophos documenta esta gestão para Windows 8.1, 10 e 11, o que também não constitui aprovação atual do sistema. O Windows 7 não consegue guardar uma palavra-passe de recuperação BitLocker conforme com FIPS no Active Directory Domain Services.

O Sophos Device Encryption suporta tanto BitLocker pré-aprovisionado como discos rígidos encriptados. Antes da implementação, valide o estado de proteção, os protetores e a custódia da chave de recuperação de qualquer dispositivo adotado. Os novos volumes são, ainda assim, encriptados por software, um volume já encriptado por hardware não é convertido automaticamente e uma Group Policy que exija encriptação por hardware não é substituída.

• TPM only exige TPM preparado, uma GPO que permita esta proteção e Require startup authentication desativado. Não acrescenta um passo Pre-Boot, mas protege menos contra um atacante que controle o dispositivo e um Windows desbloqueável.
• TPM + PIN exige TPM preparado e uma GPO que permita esta proteção. O PIN tem 4 a 20 carateres e só aceita algarismos, salvo se Allow enhanced PINs for startup permitir letras e símbolos. Todos os utilizadores do computador partilham o PIN e depois usam as próprias credenciais Windows; Windows Single Sign-on não é suportado. Este modo reforça a proteção Pre-Boot, mas também aumenta o esforço de implementação, Help Desk e recuperação.
• Passphrase exige Windows 8 ou posterior e uma GPO que permita este modo e tem 8 a 100 carateres. É a opção Sophos indicada na matriz para sistemas sem TPM. PIN e Passphrase usam exclusivamente o teclado US English no Pre-Boot; teste símbolos no hardware real.
• USB Key tem de permanecer ligada em cada arranque, ser gravável e estar formatada em NTFS, FAT ou FAT32; exFAT não é suportado. Não use esta opção Legacy para contornar um dispositivo atual não suportado.

A escolha baseia-se no modelo de ameaça, hardware e processo de suporte, não numa regra geral de endurecimento máximo. Se o Protector aplicado diferir da matriz, verifique primeiro Require startup authentication, a prontidão do TPM e as GPOs BitLocker.

Controlar Group Policies

As GPOs do Windows podem impor autenticação, algoritmos, armazenamento de recuperação e encriptação por hardware. Quando as definições de autenticação relevantes estão em Not configured, a Sophos pode definir os valores de GPO de forma a permitir os modos previstos. Em contrapartida, não substitui uma definição configurada manualmente em Computer Configuration > Administrative Templates > Windows Components > BitLocker Drive Encryption > Operating System Drives. Os valores definidos pela Sophos podem não aparecer no Local Group Policy Editor, mas estão em HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE.

Antes do piloto, documente as Policies efetivas, locais e de domínio, bem como a respetiva origem. Verifique em particular:

• os Protectors permitidos no arranque e os requisitos do TPM,
• o Recovery Password e o respetivo backup adicional, por exemplo no Active Directory,
• o método de encriptação e os requisitos de software ou hardware,
• os requisitos de Smart Card e outras definições não suportadas pela Sophos.

O Sophos Device Encryption encripta os novos volumes por software e, por predefinição, com AES-256; uma Group Policy pode selecionar AES-128. Uma GPO existente que exija encriptação por hardware não é substituída. Uma exigência de Smart Card para BitLocker não é suportada pelo Sophos Device Encryption e gera um evento de erro. Se a GPO e a Sophos Policy forem contraditórias, a encriptação fica normalmente pendente ou termina com um erro. Resolva o conflito em vez de voltar a atribuir repetidamente a Policy.

Network Unlock não pode ser configurado nem gerido através do Sophos Fusion. Uma infraestrutura BitLocker Network Unlock já configurada corretamente pode continuar a funcionar em paralelo.

Acompanhar a implementação e os diálogos do utilizador

A primeira aplicação e o teste Pre-Boot ocorrem na consola local. Numa sessão Remote Desktop, os diálogos necessários não aparecem, a política não é aplicada e não é possível executar a autenticação Pre-Boot.

1. O utilizador atribuído inicia sessão localmente; o Agent liga-se e sincroniza-se com o Sophos Fusion.
2. Se o TPM ainda não estiver ativo, o processo pede uma ação de Firmware/BIOS e um reinício. O Agent tenta preparar um TPM ativo mas não inicializado e Endorsement Keys em falta.
3. Se faltar a partição de sistema BitLocker, a Sophos executa BdeHdCfg.exe, prepara a unidade e exige um reinício real.
4. Com autenticação no arranque ativa, o utilizador define PIN, Passphrase ou USB Key no diálogo Sophos Device Encryption. Do this later adia o diálogo e mantém a encriptação pendente.
5. Restart and Encrypt inicia o teste de hardware Pre-Boot. Se a introdução falhar antes da primeira encriptação, Esc permite arrancar normalmente e o pedido volta no próximo início de sessão.
6. Após um teste bem-sucedido, a Sophos encripta primeiro o volume do sistema e depois os volumes de dados fixos abrangidos; o desbloqueio automático destes depende do volume do sistema.

Os logs CDE.log e CDE_trace.xml em %ProgramData%\Sophos\Sophos Data Protection\Logs ajudam no diagnóstico, mas não substituem o estado BitLocker local.

Validar a ativação

Em My Products > Encryption > Computers, filtre por estado e método de encriptação. A página do computador mostra método e algoritmo por volume e, no Windows, Encrypted since. Em dispositivos adotados ou atualizados, esta data pode ser a instalação ou atualização e não a data original da encriptação.

Para uma verificação local só de leitura, use uma linha de comandos administrativa e PowerShell:

manage-bde -status

Get-BitLockerVolume

Para todos os volumes previstos, verifique Conversion/Volume Status, Protection Status, Lock Status, método e Key Protectors. A validação inclui:

1. O volume do sistema e os volumes de dados fixos abrangidos estão totalmente encriptados e com proteção ativa.
2. O Protector instalado corresponde à Policy, GPO e aprovação de risco.
3. O Sophos Fusion apresenta o estado e método esperados em My Products > Encryption > Computers.
4. O Recovery Key deste volume está guardado no Fusion. As regras de Show Key e dos testes de prontidão estão em Obter Recovery Keys em segurança.
5. Reinício e autenticação Pre-Boot prevista funcionam no hardware real.
6. Um dispositivo de teste percorreu a recuperação acordada e uma alteração típica de Firmware/TPM.

A validação não termina num valor de progresso de 100 por cento: proteção ativa e recuperação comprovada são obrigatórias. Os eventos de encriptação podem ainda ser analisados em Reports > General Logs > Events; filtros, exportação e retenção estão descritos em Analisar Events e Reports do Sophos Endpoint.

Renovar PIN ou Passphrase

Na Device Encryption Policy, Require new authentication password/PIN from users define um intervalo. Se o utilizador fechar o diálogo, este reaparece após cada reinício; após cinco fechos, a Sophos gera um Alert.

Para um único dispositivo, abra a respetiva página, aceda ao separador Summary e, em Device Encryption, selecione Trigger change of password/PIN. O prompt repete-se até o utilizador definir um novo segredo; cinco fechos também geram um Alert. Teste primeiro num piloto e informe Help Desk e utilizadores de que o novo segredo se aplica no próximo Pre-Boot.

Recuperar o Windows depois de obter a chave

A obtenção autorizada e a associação correta são feitas em Obter Recovery Keys em segurança. Este processo começa no ecrã BitLocker, com a chave já associada, e descreve apenas a sua utilização:

1. Reinicie o computador e prima Esc no pedido BitLocker.
2. Registe por completo a Recovery Key ID apresentada e compare-a com a chave obtida. A regra dos cinco carateres serve apenas para pesquisar no Central; nunca substitui esta comparação integral antes de introduzir a chave.
3. Introduza o Recovery Key diretamente no dispositivo.
4. Siga as instruções e, em modo PIN ou Passphrase, defina um novo segredo.
5. Inicie sessão normalmente, sincronize e confirme que a Sophos guardou um novo Recovery Key.

Se um volume de dados continuar bloqueado, repita o processo com a respetiva Recovery Key ID. A chave do volume do sistema não é automaticamente a chave de um volume de dados. Em caso de avaria, ligue a unidade a outro Windows com BitLocker e use Unlock Drive > More options > Enter recovery key. Antes de limpar o TPM ou alterar Protectors, confirme que existe uma chave adequada. Depois de qualquer recuperação, investigue a causa: PIN esquecido, BIOS Update, TPM desativado ou limpo, alteração de Secure Boot, troca de motherboard e suspeita de manipulação exigem respostas diferentes.

Migrar BitLocker existente

A adoção segue obrigatoriamente esta ordem:

1. Documente, por volume, método, proteção, Protectors, Recovery-Key-ID e gestão atual; valide a recuperação existente e abra uma janela de mudança.
2. Desative alterações de Protectors na gestão anterior antes de a Sophos assumir. Nunca permita duas gestões em simultâneo.
3. Instale o componente Sophos, atribua uma política efetiva e conclua o pedido local.
4. Registe quando a Sophos substituir Protectors e Recovery Keys. A partir daí, as chaves anteriores são inválidas e não constituem rollback, mesmo que os seus dados sejam conservados.
5. Mantenha a janela aberta e a infraestrutura antiga inativa, mas disponível, até confirmar no Fusion a nova chave do volume, a proteção local, o reinício e a introdução Pre-Boot.
6. Só então retire a gestão anterior.

Uma futura passagem a terceiros também decorre numa janela sem gestão sobreposta.

Separar a migração SafeGuard pelo estado inicial

Antes de qualquer migração, inventarie versão, módulos e tecnologia que efetivamente encripta a unidade. Uma versão desconhecida ou módulos mistos obrigam a parar. Documentação histórica não comprova suporte atual.

Limite de Lifecycle: não existe aprovação atual fiável para manter ou reinstalar módulos SafeGuard Enterprise ou SafeGuard File Encryption depois da migração; este artigo não recomenda nenhuma das opções. Se houver módulos de ficheiros ou ficheiros por eles encriptados, pare até o Sophos Support confirmar por escrito a combinação concreta e existir um percurso de acesso testado.

SafeGuard Enterprise BitLocker 6.x ou 7.x

Este ramo não permite adoção direta. Depois de verificar recuperação, energia e espaço, desencripte totalmente o volume do sistema pelo método aprovado para a versão instalada. Só após confirmar a desencriptação e remover a gestão antiga de forma controlada deve instalar Device Encryption, atribuir a política e voltar a encriptar com BitLocker. Valide a nova chave Fusion e o Pre-Boot antes de eliminar a recuperação antiga.

SafeGuard Enterprise BitLocker 8.0 ou posterior

Aqui, o módulo SafeGuard BitLocker pode ser removido sem desencriptar os volumes:

1. Em Control Panel > Uninstall a program, clique com o botão direito em Sophos SafeGuard Client e abra Change.
2. No assistente, remova exclusivamente o componente BitLocker e confirme localmente que o volume continua encriptado e acessível.
3. Instale Sophos Device Encryption e atribua uma política ativa.
4. Valide sincronização, novo Protector, Recovery Key Fusion correspondente, proteção e reinício.

Isto só se aplica ao ramo BitLocker 8.0 ou posterior inequivocamente identificado e não autoriza manter outros módulos SafeGuard; para estes vale o limite acima.

SafeGuard Enterprise Full Disk Encryption

Full Disk Encryption é tecnicamente distinto de SafeGuard BitLocker 8+. A remoção suportada do cliente desencripta os volumes, mas ficheiros encriptados por módulos de ficheiros podem permanecer encriptados. Esclareça módulos e acesso antes da remoção; quando houver módulos de ficheiros, pare até existir aprovação escrita de Lifecycle e migração.

Prepare todos os requisitos BitLocker antes da desencriptação. A janela em texto simples começa após a desencriptação SafeGuard completa e só termina com proteção BitLocker e a chave Fusion correspondente validadas. Durante essa janela, mantenha o dispositivo em manutenção controlada, sem uso produtivo, com acesso, rede e transferências limitados ao estritamente necessário. Instale Device Encryption, atribua a política e volte a encriptar imediatamente. O processo completo é desencriptar e voltar a encriptar, não adotar diretamente Protectors.

Desencriptar e desativar de forma controlada

Primeiro decida se o dispositivo ficará totalmente desencriptado ou se BitLocker permanecerá ativo sob gestão sucessora. Desinstalar o agente, apagar o objeto e desencriptar são três operações distintas.

Para desencriptar:

1. Remova todos os utilizadores ou o computador da política efetiva, conforme o tipo, e confirme a sincronização.
2. Com uma conta de administrador local, selecione Manage BitLocker > Turn off BitLocker.
3. Garanta energia e janela de manutenção e acompanhe até ao fim.
4. Confirme com manage-bde -status ou Get-BitLockerVolume que todos os volumes previstos estão desencriptados e sem proteção.
5. Só então entregue a remoção local a Desinstalar o Sophos Endpoint no Windows. A eliminação ou recuperação do objeto Fusion é separada e segue Substituir ou desativar um dispositivo Sophos Fusion.

Se a política continuar ativa, o Fusion anula uma desencriptação local. Inversamente, remover política ou agente não prova que BitLocker esteja desativado ou que a desencriptação terminou.

Se BitLocker ficar ativo, abra uma janela sem sobreposição, confirme proteção e chave Sophos atual, remova a gestão local apenas segundo Desinstalar o Sophos Endpoint no Windows, integre imediatamente o dispositivo na gestão sucessora e crie aí uma nova chave. Só após verificar proteção e reinício abandone a custódia Sophos. Apagar posteriormente o objeto continua a ser um ato separado segundo Substituir ou desativar um dispositivo Sophos Fusion.

Se a validação falhar

Não experimente ligar e desligar a política, limpar o TPM ou alterar Protectors. Delimite primeiro o sintoma:

• Sem prompt: verifique atribuição, início de sessão local em vez de RDP, sincronização e componente.
• Prompt adiado: conclua o diálogo e um reinício real na consola local.
• Teste Pre-Boot falhou: verifique TPM/Firmware, teclado, GPO efetiva e Events; a unidade ainda não está a ser encriptada.
• Encriptado localmente, não validado no Fusion: verifique sincronização, receção da chave e volume; a confirmação segura segue o processo central de recuperação.
• Protector ou algoritmo inesperado: compare GPOs locais e de domínio e eventual encriptação de hardware com a política.
• Recovery após alteração de Firmware: garanta primeiro a chave e confirme a causa antes de qualquer reparação que altere o estado.

Alerts concretos, erros TPM, WMI e serviços e recolha segura de logs são tratados em Resolver sistematicamente erros do Sophos Device Encryption.

Perguntas frequentes