Sophos Device Encryption: resolver erros de BitLocker e FileVault

O Sophos Fusion (anteriormente Sophos Central) controla Device Encryption, mas não executa a encriptação: BitLocker fá-lo no Windows e FileVault no macOS. Uma falha pode estar em quatro níveis distintos: atribuição de política e utilizador, agente Sophos e sincronização, sistema operativo ou gestão do Recovery Key.

Percurso seguro: registe o estado no Central e o texto exato do Alert, verifique o estado local de BitLocker ou FileVault apenas em modo de leitura e confirme que existe um processo de recuperação válido. Só depois trate o ramo afetado. Alternar repetidamente a política não é diagnóstico e pode alterar estado, gestão de chaves ou uma encriptação ou desencriptação em curso.

Encaminhar um caso normal de recuperação

Este Runbook diagnostica desvios, mas não obtém nem revela chaves. Um pedido normal segue Sophos Device Encryption: obter Recovery Keys em segurança.

Depois da entrega autorizada da chave inequivocamente associada, o desbloqueio é feito no artigo Gerir BitLocker com o Sophos Fusion para Windows ou no processo de gestão FileVault para macOS. Obtenção, divulgação e desbloqueio não são duplicados aqui.

Não confundir estado no Central com Alert

O estado de encriptação é o último estado comunicado ao Central. Um Alert assinala um desvio concreto. Um estado antigo perante uma indicação local atual aponta primeiro para comunicação ou sincronização, não automaticamente para encriptação danificada.

Os sete estados

Pending não significa apenas que a política espera aplicação; Suspended não significa desencriptado. Encrypted também não basta para aprovação sem uma chave disponível no processo responsável.

Os três Alerts de Device Encryption

Device is not encrypted indica que um volume esperado pela política não está encriptado, por exemplo porque o utilizador adiou. Identifique volume, prompt aberto e progresso local.

Recovery key is missing indica que a base de dados Central não contém uma chave para um volume encriptado. É um risco de recuperação, não prova de unidade sem encriptação. Verifique comunicação, sincronização e inventário de chaves sem copiar a chave para o caso.

Device Encryption is suspended indica BitLocker suspenso. Se isso não foi intencional, a Sophos indica três causas típicas:

• O Recovery Key ainda não foi guardado no Central; o Endpoint precisa de Internet funcional.
• BitLocker pré-aprovisionado ainda não foi ativado; conforme o modo, o utilizador tem de definir PIN, Password ou USB Key.
• Estão a ser instalados Windows Updates; BitLocker retoma automaticamente a proteção após o próximo reinício.

Só depois de excluir estes casos procure uma intervenção administrativa não planeada ou falha Windows mais profunda.

Um procedimento para todos os sintomas

1. Congelar o estado e assegurar a recuperação

Antes de alterar algo, registe:

• nome do dispositivo e ID no Central;
• sistema operativo, Build e instante do problema;
• Policy atribuída e utilizador afetado;
• estado, texto exato do Alert, código e timestamp;
• volume afetado e se está a ser encriptado ou desencriptado;
• se o responsável confirmou uma chave atual correspondente.

No registo escreva apenas chave presente, chave ausente ou por esclarecer; nunca a chave nem IDs completos.

2. Comparar Central e estado local

1. Ambos iguais: trate o sintoma local.
2. Local correto, Central antigo: verifique comunicação, timestamp da política e sincronização.
3. Central correto, local contraditório: verifique o volume e a interface nativa; não generalize um estado agregado.
4. Ambos desconhecidos ou contraditórios: não altere o estado; recolha diagnóstico e escale.

3. Verificar aplicação da Policy

Um componente instalado não prova que a Policy está aplicada. Confirme:

• a Policy está ativa e atribuída ao utilizador ou grupo previsto;
• o utilizador ligado localmente está associado ao dispositivo correto no Central;
• nenhuma definição global ou de maior prioridade explica o resultado;
• a última aplicação da Policy é posterior à alteração;
• nenhuma GPO, Policy MDM ou gestão anterior impõe outro estado.

Corrija a atribuição na origem; repor indiscriminadamente políticas locais para Not configured ou alternar a Policy apenas oculta qual gestão prevaleceu.

Windows: BitLocker não inicia ou permanece Pending

Verificar primeiro localmente e só em leitura

manage-bde -status

Por volume, observe Conversion Status, Percentage Encrypted, Protection Status, Lock Status e Key Protectors. Remova Recovery Passwords e outros segredos antes de entregar a saída. O principal log Sophos é:

C:\ProgramData\Sophos\Sophos Data Protection\Logs\CDE.log

Compare ainda o período no Event Viewer, TPM e GPOs BitLocker efetivas. O primeiro erro reproduzível após política ou reinício orienta o passo seguinte, não o número de avisos.

O utilizador não vê o diálogo

Registe tipo de sessão, utilizador, texto exato do log, timestamp e reinícios pendentes. Um único log não prova uma causa de sessão nem serviço avariado. Só mude sessão ou reinicie segundo instruções Sophos atuais para a versão; depois compare novamente manage-bde -status, timestamp de CDE.log e Central.

Policy e GPO contradizem-se

Startup Authentication, Protectors permitidos, TPM, FIPS, método e backup são conflitos frequentes. Documente a GPO efetiva e compare-a com o Central; corrija a gestão competente, sem contornar o conceito de segurança localmente. Configuração e seleção de Protectors estão em Gerir BitLocker com o Sophos Fusion.

BitLocker está Suspended

Isto significa proteção suspensa em pelo menos um volume, não desencriptação. Verifique Updates Windows/Firmware, reinícios, Pre-Provisioning e depósito da chave. Termine apenas a sequência documentada de Updates; se um administrador suspendeu, o responsável pelo Change decide a retoma. Sem explicação, trate como desvio de segurança e recolha tempo, Event e Protectors sem forçar a retoma.

Erros de ativação com TPM, Firmware ou DMA

Registe código, TPM/UEFI, modo previsto, Firmware e Drivers. Não deduza reparação sem instrução atual e específica para modelo, Windows e Sophos. Para um dispositivo DMA desprotegido, o fabricante deve confirmar que bus e dispositivo são internos e seguros. AllowedBuses, alterações de ACL ou autorização genérica de buses desconhecidos não são correções gerais; não altere o Registry sem indicação atual do OEM ou da Sophos.

macOS: FileVault aguarda utilizador ou Recovery Key

Delimitar autorização do utilizador

Confirme:

• o utilizador ligado localmente está abrangido pela Device Encryption Policy;
• consegue realmente desbloquear FileVault no arranque;
• aparece como esperado na aplicação Sophos Device Encryption;
• possui Secure Token e, em Apple Silicon, Volume Owner;
• nenhum diálogo Sophos aguarda a palavra-passe macOS ou Encrypt, Create key ou Proceed.

Não crie preventivamente outra conta nem mude permissões antes de identificar o requisito ausente. A autorização suportada fica no processo de gestão FileVault.

FileVault ativo, mas sem chave no Central

“FileVault ativo” e “Recovery Key gerido no Central” são afirmações diferentes. Por volume exigido, compare encriptação local, indicação de recuperação na aplicação e último timestamp Central:

/usr/local/bin/seadmin status
/usr/local/bin/seadmin --device-encryption

status mostra a última sincronização; --device-encryption mostra política, encriptação e recuperação dos volumes internos. Um volume sem depósito Central confirmado não é uma implementação aprovada. Se a Sophos mostrar uma chave pessoal após falha de gravação, a custódia transitória segura fica com o responsável FileVault; não a inclua no diagnóstico. O artigo FileVault explica como preservar esta única chave até à confirmação Central.

Encriptação ou desencriptação sem progresso

Um valor percentual estável não justifica reiniciar a gestão. Compare durante tempo suficiente:

• progresso local do volume concreto;
• energia, espaço livre e reinício pendente;
• timestamps mais recentes da Policy e do Agent;
• Events do sistema operativo no mesmo período;
• gestão de encriptação concorrente;
• objetivo esperado: encriptar, adotar ou desencriptar.

Numa desencriptação planeada, o responsável pelo Change confirma objetivo, custódia e processo da plataforma. Uma desencriptação inesperada não é contrariada com mudanças apressadas de Policy; dispositivo, alteração e Events são investigados como desvio de segurança.

Unmanaged, encriptação existente e migração

Unmanaged só diz que o componente existe sem política aplicada; a unidade pode estar encriptada ou não. Antes de adotar ou migrar, inventarie:

1. plataforma, volumes e estado de encriptação local;
2. Protectors ativos ou utilizadores FileVault autorizados;
3. gestão atual e requisitos GPO/MDM efetivos;
4. percurso de recuperação verificado sob a gestão anterior;
5. estado final e exatamente um sistema de destino responsável.

Escolha depois um único ramo de plataforma. Preserve recuperação e gestão antiga até confirmar a nova chave no destino.

Computers without Device Encryption installed são dispositivos geridos sem componente; Unmanaged computers pode incluir computadores sincronizados do diretório sem proteção Sophos. Identifique lista e causa antes de instalar ou atribuir.

Assinaturas históricas: reconhecer, não reparar autonomamente

As assinaturas antigas incluem:

• ManagementStatus.InvalidNamespace, 0x8004100E ou 0x80041002 com Win32_EncryptableVolume;
• 0x803100B6 em dispositivos detetados como Slate;
• System.BadImageFormatException em Sophos.Encryption.BitLockerService.exe;
• falhas após MBR-GPT ou Legacy BIOS-UEFI;
• erros de ativação com ISO ou suporte de arranque montado;
• No UI user session available;
• 0x80310048 ou FVE_E_FIRMWARE_TYPE_NOT_SUPPORTED;
• problemas DMA/AllowedBuses antigos;
• necessidade de logging DEBUG ou TRACE alargado.

Servem apenas para classificar um caso. A classe Microsoft não autoriza registar novamente MOF nem reparar WMI. Não copie DLLs de caches, não assuma permissões do Registry, não altere BCD ou Recovery Partitions e não defina chaves de logging não documentadas. O Sophos Support deve fornecer instrução atual para versão, Build e assinatura exata.

Pacote de diagnóstico e ponto de escalamento

Windows

• Exportação ou captura do Alert Central sem Secrets.
• Dispositivo, Policy e utilizador com timestamps.
• Saída expurgada de manage-bde -status.
• Excerto relevante de CDE.log.
• Events Windows e GPOs BitLocker efetivas.
• TPM, UEFI, Firmware e último reinício real.
• Endpoint Self Help ou Sophos Diagnostic Utility (SDU), se disponível.
• Verificações conservadoras já efetuadas.

macOS

• Dispositivo, Policy e utilizador com timestamps.
• Versões macOS e dos componentes Sophos.
• Saídas expurgadas de seadmin status e seadmin --device-encryption.
• Estado dos volumes na aplicação Sophos Device Encryption.
• Secure Token, Volume Owner e autorização Pre-Boot.
• Última comunicação Central bem-sucedida.
• Pacote SDU e reprodução sem o Recovery Key.

Minimize dados pessoais e remova Recovery Keys, Passwords, IDs completos e outros Secrets. Escale se custódia ou disponibilidade da chave continuar incerta, Central e sistema divergirem após sincronização, o serviço falhar repetidamente, existir assinatura histórica ou o próximo passo alterar WMI, Registry, ficheiros, BCD ou partições. Registe a primeira divergência observada, não apenas o último erro consequente.

Perguntas frequentes