Hantera BitLocker med Sophos Fusion

Sophos Device Encryption aktiverar och hanterar Microsoft BitLocker. Själva enhetskrypteringen och Pre-Boot-autentiseringen sköts fortfarande av Windows. Därför måste Windows-maskinvaran, firmware, BitLocker-gruppolicyerna och Sophos-policyn fungera tillsammans.

Snabböversikt: Skapa en Device Encryption-policy under My Products > Encryption > Policies, tilldela den till användare eller grupper, ange Windows-inställningarna och aktivera policyn. En användare som omfattas av policyn loggar sedan in lokalt på pilotenheten, slutför Sophos-dialogerna och omstarterna samt genomför Pre-Boot-testet. Utrullningen är klar först när den lokala BitLocker-statusen, statusen i Sophos Fusion och en Recovery Key som hör till volymen har verifierats.

Kontrollera krav och kompatibilitet

Kontrollera minst följande innan aktiveringen godkänns:

• Windows-utgåva, build, korrigeringsnivå och livscykelstatus enligt Planera systemkrav och livscykel för Sophos Endpoint. Den historiska matrisen över nyckelskydd nedan innebär inte att äldre Windows-versioner är godkända.
• Sophos Core Agent installerad och kommunicerar med Device Encryption-komponenten som omfattas av licensen.
• BitLocker-stöd för Windows-utgåvan och ett autentiseringsläge som matchar enheten.
• Aktiverad, klar TPM; med TPM 2.0 en GPT-formaterad systemdisk och UEFI-läge.
• Tillräckligt utrymme för system- och återställningspartition. Volymer som är 64 MB eller mindre ignoreras av Sophos.
• Inget annat system som samtidigt hanterar BitLocker-Protectors, krypteringsmetoden eller Recovery Keys.
• Etablerad återställningsprocess och behöriga personer innan det första skyddet byts ut.

Dynamiska diskar stöds inte för systemvolymen; datavolymer på dynamiska diskar ignoreras. Windows-partitioner skapade med Boot Camp på en Mac stöds inte heller. Windows kan kryptera flyttbara media med BitLocker To Go, men Sophos Fusion hanterar inte status eller Recovery Keys.

Sophos Device Encryption stöder förkonfigurerad BitLocker och redan krypterade enheter. Nya volymer krypteras programvarubaserat. Befintlig hårdvarukryptering ändras inte automatiskt. En redan hanterad BitLocker-installation får endast tas över under ett kontrollerat ändringsfönster och utan parallell Protector-hantering. Sophos ersätter då tidigare Recovery Keys. Därefter är de ogiltiga och uttryckligen ingen väg tillbaka. Den fullständiga, ordnade proceduren finns under Ta över befintlig BitLocker.

Ett TPM-fel löses inte genom att policyn upprepade gånger slås av och på. Kontrollera först TPM-beredskap, Windows-events och lokal BitLocker-status.

Konfigurera Device Encryption-policy

1. Öppna My Products > Encryption > Policies, välj Add Policy och skapa en Device Encryption-policy.
2. Tilldela användare eller användargrupper. I Windows startas konfigurationen när en tilldelad användare loggar in lokalt. Enheten förblir krypterad även om en användare utan denna policy senare loggar in.
3. Aktivera alternativet Device Encryption is on på fliken Settings.
4. Välj Encrypt boot volume only medvetet. Om alternativet är avstängt krypteras även fasta datavolymer som stöds, efter systemvolymen.
5. Ange under Advanced Windows settings om Require startup authentication behövs. Alternativet är aktiverat som standard. Om det är avstängt använder Sophos TPM only på kompatibla enheter.
6. Använd Encrypt used space only enbart för nya enheter. Den initiala krypteringen är snabbare, men tidigare raderade data i områden som förefaller lediga kan förbli okrypterade.
7. Använd vid behov Require new authentication password/PIN from users för att ange ändringsintervallet för PIN-kod eller lösenfras. Funktionen är tillgänglig i Windows från och med Device Encryption 2.0 och är avstängd som standard.
8. Spara policyn, aktivera den och tilldela den först till en representativ pilotgrupp.

Om en inställning är låst kan den komma från en global inställning som ställts in av Sophos-partnern eller företagsadministratören. Detta måste klargöras innan den lokala policyn behandlas som felaktig.

Välj autentiseringsläge

Vilken typ av skydd som installeras beror på enheten, BitLocker GPO och Require startup authentication. 1 betecknar Sophos första val i följande matris. 1* gäller endast när Require startup authentication är avstängd. Om alternativet är aktivt är TPM only inte tillgängligt och TPM + PIN är att föredra på en kompatibel enhet.

Windows 7 och 8.1 ingår endast för att den Protector-tilldelning som Sophos har dokumenterat ska vara fullständig. De är inte en aktuell utrullningsrekommendation och kontrolleras separat mot den länkade livscykeln. USB Key är därför bara ett historiskt Windows 7-matrisalternativ, inte en rekommendation för en ny utrullning. I Windows FIPS-läge dokumenterar Sophos denna BitLocker-hantering för Windows 8.1, 10 och 11; inte heller detta gör operativsystemsversionen aktuell. Windows 7 kan inte lagra ett FIPS-kompatibelt BitLocker-återställningslösenord i Active Directory Domain Services.

• TPM only kräver en förberedd TPM och en GPO som tillåter detta skydd; Require startup authentication måste också vara avstängd. Läget orsakar inga ytterligare steg före start. Detta är driftsvänligt, men mindre skyddande mot en angripare som kontrollerar enheten och en upplåsbar Windows-miljö.
• TPM + PIN kräver en förberedd TPM och en GPO som tillåter detta skydd. PIN-koden innehåller 4 till 20 tecken och består endast av siffror, såvida inte GPO Allow enhanced PINs for startup också tillåter bokstäver och specialtecken. Alla användare av samma dator delar denna PIN-kod. Därefter loggar de in med sina personliga Windows-inloggningsuppgifter. Windows Single Sign-on stöds inte. Läget ökar skyddet före start, men också utrullning, helpdesk och återställningsinsatser.
• Passphrase kräver Windows 8 eller senare och en GPO som tillåter lösenfrasläget. Lösenfrasen ska innehålla 8 till 100 tecken. Det är Sophos-alternativet för de listade icke-TPM-systemen. Endast den amerikanska tangentbordslayouten gäller för lösenfrasen och PIN-koden i Pre-Boot-miljön. Specialtecken testas därför på den riktiga hårdvaran.
• USB Key måste vara ansluten, skrivbar och formaterad med NTFS, FAT eller FAT32 vid varje start; exFAT stöds inte. Det här äldre alternativet används inte som reserv för en aktuell enhet som inte stöds.

Valet ska utgå från hotmodellen, maskinvaran och supportprocessen, inte från en generell princip om maximal härdning. Om den Protector som används avviker från den förväntade raden kontrolleras först Require startup authentication, TPM-beredskap och BitLocker-GPO:er.

Rensa upp BitLocker-grupppolicyer

Windows GPO kan ange autentisering, algoritmer, återställningslagring och hårdvarukryptering. Om de relevanta autentiseringsinställningarna är inställda på Not configured, kan Sophos ställa in GPO-värdena för att tillåta de avsedda lägena. En manuellt konfigurerad standard under Computer Configuration > Administrative Templates > Windows Components > BitLocker Drive Encryption > Operating System Drives skrivs dock inte över. Värden som ställts in av Sophos visas inte nödvändigtvis i den lokala grupprincipredigeraren; de är under HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE.

Före pilotprojektet dokumenteras gällande domän- och lokala policyer samt deras ursprung. Följande kontrolleras särskilt:

• tillåtna startskydd och TPM-krav,
• Recovery Password och ytterligare lagring av det, till exempel i Active Directory,
• Krypteringsmetod och mjukvaru- eller hårdvaruspecifikationer,
• Krav på smartkort och andra inställningar som Sophos inte stöder.

Sophos krypterar nya volymer som standard med programvarubaserad AES-256; AES-128 kan väljas via gruppolicy. En befintlig GPO som kräver hårdvarukryptering skrivs inte över. Sophos Device Encryption stöder inte krav på smartkort för BitLocker och rapporterar en felhändelse. Om GPO- och Sophos-policyn motsäger varandra, förblir krypteringen vanligtvis väntande eller slutar med ett fel. Då löses konflikten istället för att upprepade gånger omfördela policyn.

Network Unlock kan varken konfigureras eller hanteras med Sophos Fusion. En separat, korrekt konfigurerad BitLocker Network Unlock-infrastruktur kan användas parallellt.

Följ utrullning och användarmeddelanden

Den första tillämpningen och Pre-Boot-kontrollen sker vid den lokala konsolen. De nödvändiga dialogrutorna visas inte via Remote Desktop och Device Encryption-policyn tillämpas inte. Autentisering före start kan inte heller utföras via Remote Desktop.

Processen på enheten är:

1. Den tilldelade användaren loggar in lokalt; agenten ansluter och synkroniserar med Sophos Fusion.
2. Om TPM ännu inte är aktiverat begär processen en firmware-/BIOS-åtgärd och en omstart. Agenten försöker förbereda en aktiv men ännu inte initierad TPM och skapa eventuella Endorsement Keys som saknas.
3. Om BitLocker-systempartitionen saknas startar Sophos BdeHdCfg.exe, förbereder enheten och begär en riktig omstart. Krypteringen påbörjas inte förrän omstarten har lyckats.
4. Om startautentisering är aktiv ställer användaren in PIN-koden, lösenfrasen eller USB-nyckeln i dialogrutan Sophos Device Encryption. Dialogrutan kan skjutas upp med Do this later. Då innebär det också att krypteringen förblir väntande.
5. Restart and Encrypt startar hårdvarutestet före start. Om inmatningen misslyckas före den första krypteringen kan användaren starta normalt med Esc och får en ny uppmaning vid nästa inloggning.
6. Efter ett lyckat test krypterar Sophos först systemvolymen och därefter – om policyn anger det – fasta datavolymer i bakgrunden. Deras automatiska upplåsning är kopplad till systemvolymen.

Diagnostikprotokollen CDE.log och CDE_trace.xml ligger under %ProgramData%\Sophos\Sophos Data Protection\Logs. De används för rotorsaksanalys, men är inte en ersättning för den lokala BitLocker-statusen.

Verifiera status och rapportering

Under My Products > Encryption > Computers kan enhetslistan filtreras efter krypteringsstatus och metod. Datorns informationssida visar krypteringsmetoden och algoritmen per volym; under Windows dessutom Encrypted since. För antagna eller uppgraderade enheter kan detta datum indikera installations- eller uppgraderingstiden och är därför inte alltid det ursprungliga krypteringsdatumet.

En administrativ kommandotolk och PowerShell är lämpliga för lokal, skrivskyddad kontroll:

manage-bde -status

Get-BitLockerVolume

Kontrollera minst konverterings-/volymstatus, skyddsstatus, låsstatus, krypteringsmetod och befintliga nyckelskydd för alla berörda volymer. Godkännandet omfattar följande:

1. Systemvolymen och alla fasta datavolymer som omfattas av policyn är helt krypterade; skyddet är aktivt.
2. Det faktiska installerade skyddet motsvarar policy, GPO och riskgodkännande.
3. Sophos Fusion visar enheten under My Products > Encryption > Computers i förväntat tillstånd och med en rimlig krypteringsmetod.
4. Recovery Key som är kopplad till denna volym lagras i Sophos Fusion. Reglerna för Show Key och beredskapstester finns tillgängliga på Hämta Recovery Key säkert.
5. Omstarten och den avsedda Pre-Boot-autentiseringen fungerar på den faktiska maskinvaran.
6. En separat testenhet har gått igenom den överenskomna återställningsprocessen och en typisk ändring av firmware/TPM.

Enbart ett förloppsvärde på 100 procent är inte tillräckligt: utan aktivt skydd och verifierad återställningsberedskap kan enheten inte godkännas. Krypteringsevents kan också utvärderas under Reports > General Logs > Events. Filtrering, export och lagring beskrivs i Utvärdera Sophos Endpoint-events och rapporter.

Förnya PIN-kod eller lösenordsfras

Ett ändringsintervall anges i Device Encryption-policyn med Require new authentication password/PIN from users. Om användaren stänger dialogrutan visas den igen efter varje omstart. När dialogrutan har stängts fem gånger genererar Sophos en alert.

För en enskild enhet öppnar administratören datorns detaljsida och använder åtgärden Trigger change of password/PIN under Device Encryption på fliken Summary. Prompten visas på nytt på endpointen tills användaren anger en ny hemlighet. Även här genereras en alert när prompten har stängts fem gånger. En tvingande ändring ska först pilottestas, och både helpdesk och användare ska veta att den nya hemligheten gäller från nästa Pre-Boot.

Återställ Windows efter nyckelhämtning

Den behöriga hämtningen och tilldelningen hanteras av Hämta Recovery Key säkert. Det här avsnittet börjar på Windows BitLocker-skärmen med nyckeln som redan är tilldelad och beskriver endast dess användning.

För den faktiska Windows-återställningen:

1. Starta om datorn och tryck på Esc vid BitLocker-prompten.
2. Notera det fullständiga Recovery-Key-ID som visas under Recovery Key ID och jämför det med den hämtade nyckeln.
3. Ange Recovery Key direkt på enheten.
4. Följ instruktionerna på skärmen och ställ in en ny hemlighet för PIN- eller lösenfrasdrift.
5. Logga in normalt, synkronisera och kontrollera att Sophos har lagrat en ny Recovery Key.

Om en datavolym fortfarande är låst efteråt upprepas processen med volymens eget Recovery-Key-ID. Nyckeln till systemvolymen är inte automatiskt nyckeln till en datavolym.

Vid ett maskinvarufel kan BitLocker-enheten anslutas till ett annat BitLocker-aktiverat Windows-system. Välj där Unlock Drive > More options > Enter recovery key och använd nyckel-ID som visas. Innan TPM-torkning, ändring av Protector eller andra tillståndsförändrande lösningar måste du först se till att en lämplig Recovery Key faktiskt finns tillgänglig.

Efter varje återställning utreds orsaken. En glömd PIN-kod, en BIOS-uppdatering, en inaktiverad eller rensad TPM, ändringar i Secure Boot, byte av moderkort och misstänkt manipulation kräver olika uppföljningsåtgärder.

Använd befintlig BitLocker

Övertagandet sker i denna ordning:

1. Dokumentera krypteringsmetod, skyddsstatus, Protectorer, Recovery-Key-ID och tidigare hantering för varje volym. Kontrollera den återställningsväg som för närvarande fungerar och öppna ett kontrollerat ändringsfönster.
2. Inaktivera Protector-ändringar i det tidigare hanteringssystemet innan Sophos tar över. Två hanteringssystem får aldrig ändra Protectors samtidigt.
3. Installera Sophos-komponenten, tilldela en gällande Device Encryption-policy och slutför den lokala uppmaningen.
4. Dokumentera när Sophos har ersatt befintliga BitLocker-Protectors och Recovery Keys. Från och med detta ögonblick är de tidigare nycklarna ogiltiga och kanske inte behandlas som en väg tillbaka; att spara gamla uppgifter gör dem inte användbara igen.
5. Håll ändringsfönstret öppet och den gamla hanteringsinfrastrukturen inaktiv men tillgänglig. Verifiera i Sophos Fusion att enheten visas korrekt och att den nya Fusion-nyckeln hör till den testade volymen. Bekräfta lokalt att skyddet är aktivt och att en omstart med Pre-Boot-inmatning lyckas.
6. Först efter denna verifiering kan den gamla instansen tas ur drift.

Även ett senare byte till ett annat hanteringssystem genomförs utan parallell Protector-hantering och inom det ändringsfönster som beskrivs nedan.

Hantera SafeGuard-migrering enligt utgångsläge

Före varje SafeGuard-migrering inventeras versionen, de installerade modulerna och den faktiska enhetskrypteringen. En okänd eller blandad installation är ett stoppkriterium. Historisk SafeGuard-dokumentation ger inte bevis för aktuell produktsupport.

Livscykelbegränsning: Det finns för närvarande inget tillförlitligt aktuellt godkännande för att fortsätta använda eller installera om SafeGuard Enterprise eller SafeGuard File Encryption-moduler efter migreringen. Den här artikeln rekommenderar ingendera. Om filbaserade SafeGuard-moduler eller filer som har krypterats med dem fortfarande finns stoppas migreringen tills Sophos Support skriftligen har bekräftat den specifika versionen och modulen och en verifierad åtkomstväg för filerna har upprättats.

SafeGuard Enterprise BitLocker 6.x eller 7.x

Den här grenen tillåter inte ett direkt övertagande. Systemenheten måste först dekrypteras enligt den procedur som har godkänts för den befintliga SafeGuard-versionen. Kontrollera återställningsmöjlighet, strömförsörjning och ledigt lagringsutrymme i förväg. Installera Sophos Device Encryption, tilldela policyn och kryptera på nytt med BitLocker först när dekrypteringen har slutförts och verifierats och den gamla enhetshanteringen har tagits bort under kontrollerade former. Verifiera den nya Fusion-nyckeln och Pre-Boot-inloggningen innan den gamla återställningsinfrastrukturen tas bort.

SafeGuard Enterprise BitLocker 8.0 eller senare

Med den här grenen kan SafeGuard BitLocker-modulen tas bort utan att dekryptera BitLocker-volymerna:

1. Under Control Panel > Uninstall a program, välj Sophos SafeGuard Client med höger musknapp och öppna Change.
2. Ta endast bort BitLocker-komponenten i installationsguiden för SafeGuard. Bekräfta sedan lokalt att volymen fortfarande är krypterad och tillgänglig.
3. Installera Sophos Device Encryption och tilldela en aktiverad policy.
4. Synkronisera enheten och verifiera det nya nyckelskyddet, en matchande Fusion-Recovery Key, skyddsstatusen och en omstart.

Steget gäller endast den entydigt identifierade BitLocker-grenen från och med version 8.0. Det innebär inget godkännande för fortsatt drift av andra SafeGuard-moduler; för sådana moduler gäller livscykelbegränsningen ovan.

SafeGuard Enterprise Full Disk Encryption

Full Disk Encryption är tekniskt sett en annan gren och får inte behandlas som SafeGuard BitLocker 8+. När SafeGuard-klienten tas bort enligt den godkända processen dekrypteras de volymer som har krypterats med den, medan filbaserat krypterade filer kan förbli krypterade. Därför måste installerade moduler och åtkomsten till data klarläggas innan klienten tas bort. Om filbaserade moduler berörs gäller stoppkriteriet ovan tills skriftligt godkännande för både produktlivscykeln och migreringen har erhållits.

Alla förutsättningar för Sophos Device Encryption och BitLocker ska vara uppfyllda innan dekrypteringen börjar. Klartextfönstret – perioden då data ligger okrypterade – börjar när den fullständiga SafeGuard-dekrypteringen har bekräftats och slutar först när BitLocker-skyddet och den Fusion Recovery Key som hör till volymen har verifierats. Tidsbegränsa detta fönster i ändringsplanen och håll det så kort som möjligt.

Under klartextfönstret förblir enheten i kontrollerat underhållsläge: den används inte i produktion, endast personer som är behöriga att genomföra bytet får åtkomst och nätverksåtkomst samt dataöverföringar begränsas till vad som krävs för installation och godkännande. Efter den godkända avvecklingen installeras Sophos Device Encryption, policyn tilldelas och volymen krypteras omedelbart på nytt med BitLocker. Ändringsfönstret förblir öppet tills det lokala BitLocker-skyddet är aktivt, en lämplig Fusion Recovery Key har verifierats och omstarten samt den avsedda Pre-Boot-autentiseringen har lyckats. Hela bytet består av dekryptering och omkryptering; det är inte ett direkt övertagande av Protectors.

Dekryptera på ett kontrollerat sätt och avveckla

Först bestäms måltillståndet: ska enheten dekrypteras helt eller ska BitLocker förbli aktivt under efterföljande hantering? Agentavinstallation, radering av enhetsposter och dekryptering är tre olika åtgärder.

Vid en planerad dekryptering gäller följande ordning:

1. Beroende på typen av policy, ta bort alla användare eller datorn från den gällande Device Encryption-policyn och bekräfta synkroniseringen.
2. Använd det lokala Windows-administratörskontot och välj Manage BitLocker > Turn off BitLocker för volymen i Utforskaren i Windows.
3. Säkerställ ström- och underhållsfönster och övervaka dekryptering tills den är klar.
4. Använd manage-bde -status eller Get-BitLockerVolume för att bekräfta att varje avsedd volym är helt dekrypterad och skyddet är avstängt.
5. Först efter verifierad fullständig dekryptering skickas borttagningen av den lokala agenten till Avinstallera Sophos Endpoint på Windows. Varje efterföljande radering eller återställning av Fusion-enhetsposten utförs separat via Ersätt eller ta bort Sophos Fusion-enhet.

Om en lokal administratör försöker dekryptera medan Device Encryption-policyn fortfarande är aktiv, åsidosätter Sophos Fusion det lokala kommandot och enheten förblir krypterad. Omvänt, att bara ta bort en policy eller agent bevisar inte att BitLocker är inaktiverat eller att dekrypteringen har slutförts.

Om BitLocker ska förbli aktivt sker överlämningen i följande ordning:

1. Öppna ett ändringsfönster som inte överlappar något annat hanteringsfönster. Verifiera det aktuella lokala BitLocker-skyddet och en aktuell Sophos Recovery Key som hör till volymen; BitLocker ska förbli aktiverat.
2. Ta bort eller avaktivera den lokala Sophos-administrationen enbart enligt Avinstallera Sophos Endpoint på Windows.
3. Ta först därefter omedelbart in enheten i det efterföljande hanteringssystemet. Två hanteringssystem får aldrig byta Protectorer samtidigt.
4. Skapa en ny, lämplig Recovery Key i den efterföljande administrationen och förvara den på ett säkert sätt.
5. Kontrollera den lokala skyddsstatusen och genomför en omstart. Först när detta har verifierats får lagringen av Recovery Key i Sophos avvecklas och ändringsfönstret stängas.

Efterföljande radering eller återställning av posten i Sophos Fusion förblir en separat administrativ handling efter Ersätt eller avveckla Sophos Fusion-enhet, inte en lokal avinstallation.

Om godkännandet misslyckas

Experimentera inte med upprepad på- och avaktivering av policy, TPM-rensning eller skyddsändringar. Begränsa först symptom och nivå:

• Ingen prompt: Kontrollera användar-/policytilldelning, lokal istället för RDP-inloggning, agentsynkronisering och installerad Device Encryption-komponent.
• Prompten har skjutits upp: Användaren stänger dialogrutan och genomför en riktig omstart vid den lokala konsolen.
• Förstarttest misslyckades: Kontrollera TPM/firmware, tangentbordslayout, gällande GPO och Windows-event; krypteringen har ännu inte påbörjats.
• Lokalt krypterad, godkänns inte i Fusion: Kontrollera enhetssynkronisering, kvitto för Recovery Key och volymmappning; den centrala återställningsprocessen gäller för den säkra hämtningskontrollen.
• Oväntat skydd eller algoritm: Jämför gällande domän- och lokala grupppolicyer och befintlig hårdvarukryptering med Sophos-policyn.
• Återställning efter ändring av firmware: Säkra först en lämplig nyckel och bekräfta orsaken. Överväg först därefter en tillståndsförändrande åtgärd.

Specifika alerts, TPM-, WMI- och tjänstefel samt säker logginsamling behandlas i Felsök Sophos Device Encryption systematiskt.

Vanliga frågor