4. Платформа за управление Check Point SandBlast Agent. Политика за защита на данните. Настройки за внедряване и глобална политика

Добре дошли в четвъртата статия от цикъла за решението Check Point SandBlast Agent Management Platform. В предишните статии (първата, втора, трета) подробно разгледахме интерфейса и възможностите на уеб консолата за управление, както и обсъдихме политиката за предотвратяване на заплахи и я тествахме за справяне с различни заплахи. Тази статия е посветена на втория компонент на сигурността — политиката за защита на данните, която отговаря за защитата на данните, съхранявани на потребителската машина. Също така в рамките на тази статия ще разгледаме разделите за внедряване и настройки на глобалната политика.

Политиката за защита на данните

Политиката за защита на данните позволява да се настрои достъпът до данните, съхранявани на работната машина, само за упълномощени потребители, използвайки функциите на пълно шифроване на диска (Full Disk Encryption) и защита на процеса на стартиране (Boot Protection). В момента се поддържат следните варианти за настройка на шифроването на диска: за Windows — Check Point Encryption или BitLocker Encryption, за MacOS — File Vault. Нека разгледаме по-подробно възможностите и настройките на всеки от вариантите.

Check Point Encryption

Check Point Encryption е стандартният метод за шифроване на диска в политиката за защита на данните и осигурява шифроване на всички файлове в системата (временни, системни, изтрити) във фонов режим, без влияние върху работоспособността на потребителската машина. След шифроване, дискът става недостъпен за неупълномощени потребители.

Основната настройка за Check Point Encryption е „Enable Pre-boot“, която изисква удостоверяване на потребителите преди стартирането на операционната система. Тази опция се препоръчва за употреба, тъй като предотвратява възможността за използване на средства за заобикаляне на удостоверяването на ниво операционна система. Също така има възможност за конфигуриране на параметри за временно заобикаляне на функцията Pre-boot:

• Allow OS login after temporary bypass — деактивиране на функцията Pre-boot и преминаване към удостоверяване в операционната система;

• Allow pre-boot bypass (Wake On LAN – WOL) — деактивиране на функцията pre-boot на компютри, свързани с управляващия сървър чрез Ethernet;

• Allow bypass script — позволява настройка на заобикалянето на функцията Pre-boot с указване на времето и датата на стартиране на скрипта и параметрите за приключване на заобикалянето Pre-boot;

• Allow LAN bypass — деактивиране на функцията pre-boot при свързване с локалната мрежа.

Горепосочените опции за временно заобикаляне на функцията Pre-boot не се препоръчват да се използват без ясни причини (например, технически работи или търсене и отстраняване на проблеми), а най-доброто решение от точка на безопасност е да се активира функцията Pre-boot без задаване на временни правила за заобикаляне. В случай на необходимост да се заобиколи Pre-boot, е препоръчително да се зададат минимално необходими времеви рамки в параметрите за временно заобикаляне, за да не се намалява нивото на защита за продължителен период от време.

Също така при използване на Check Point Encryption има възможност за настройка на разширени параметри на политиката Data Protection, например, да се конфигурират по-гъвкаво параметрите за шифроване, да се настройват различни аспекти на функцията Pre-boot и аутентификацията на Windows.

BitLocker Encryption

BitLocker е част от операционната система Windows и позволява шифроване на твърди дискове и подвижни носители. Check Point BitLocker Management е компонент на услугите на Windows, който автоматично се стартира с клиента SandBlast Agent и използва API за управление на технологията BitLocker.

При избор на BitLocker Encryption като метод за шифроване на диска в политиката за защита на данни могат да се настроят следните параметри:

• Initial Encryption — настройки за първично шифроване, позволяват да се шифрова целия диск (Encrypt entire drive), което се препоръчва за машини с вече налични потребителски данни (файлове, документи и др.) или да се шифроват само данните (Encrypt used disk space only), което се препоръчва за нови инсталации на Windows;

• Drives to encrypt — избор на дискове/раздели за шифроване, позволява да се шифроват всички дискове (All drives) или само раздела с операционната система (OS drive only);

• Encryption algorithm — избор на алгоритъм за шифроване, препоръчителният вариант е Windows Default, също така има възможност да се посочи XTS-AES-128 или XTS-AES-256.

File Vault

File Vault е стандартно средство за шифроване от компанията Apple и осигурява достъп до данните на потребителския компютър само на упълномощени потребители. При инсталиран File Vault, потребителят трябва да въведе парола, за да стартира системата и получи достъп до шифрованите файлове. Използването на File Vault е единственият начин за осигуряване на защита на съхраняваните данни в политиката за защита на данни за потребителите на операционната система MacOS.

Функцията за File Vault включва настройка „Включване на автоматично придобиване на потребители“, която изисква удостоверяване на потребителя преди началото на процеса на криптиране на диска. Ако тази функция е активирана, можете да посочите броя на потребителите, които трябва да се удостоверят, преди SandBlast Agent да приложи функцията Pre-boot, или да зададете брой дни, след които функцията Pre-boot ще бъде внедрена автоматично за всички удостоверени потребители, ако поне един потребител е удостоверен в системата в този период.

Възстановяване на данни

В случай на проблеми с зареждането на системата могат да се използват различни методи за възстановяване на данни. Администраторът може да инициира процес на възстановяване на криптираните данни от секцията Computer Management → Full Disk Encryption Actions. При използване на Check Point Encryption е възможно да се декриптира преди това криптирания диск и да се получи достъп до всички съхранявани файлове. След тази процедура е необходимо отново да се стартира процес на криптиране на диска за работа на политиката Data Protection.

При избиране на BitLocker като метод за криптиране на диска за възстановяване на данни, е необходимо да се въведе Recovery Key ID на проблемния компютър за генериране на Recovery Key, който трябва да бъде въведен от потребителя, за да получи достъп до криптирания диск.

За потребителите на MacOS, използващи File Vault за защита на съхранената информация, процесът на възстановяване включва генериране на Recovery Key от администратора, основавайки се на Serial Number на проблемната машина, и въвеждане на този ключ с последващо нулиране на паролата.

Политика Deployment

От момента на излизането на втората статия, в която се обсъжда интерфейсът на уеб-конзолата за управление, Check Point направи някои изменения в раздела Deployment — сега в него има подраздел Software Deployment, в който се настройва конфигурацията (включване/изключване на блейдове) за вече инсталираните агенти, и подраздел Export Package, в който можете да създавате пакети с предварително инсталирани блейдове за по-нататъшна инсталация на потребителските машини, например, с помощта на групови политики Active Directory. Нека да разгледаме подраздела Software Deployment, в който се включват всички блейдове на SandBlast Agent.

Напомням, че в стандартната политика на Deployment са включени само блейдове от категорията Threat Prevention. С оглед на разгледаната по-рано политика Data Protection сега е възможно да се включи тази категория за инсталиране и работа на клиентската машина с SandBlast Agent. Има смисъл да се активира функцията Remote Access VPN, която ще позволи на потребителя да се свърже, например, с корпоративната мрежа на организацията, както и категорията Access and Compliance, която включва функциите Firewall & Application Control и проверка на потребителската машина за съответствие с политиката Compliance.

Export Package

Подразделът Export Packages е изключително лесен за използване: за създаване на пакет конфигурация е нужно да се посочи името му, да се избере операционната система (за Windows допълнително да се укаже разрядността) и версията на агента, след което да се изберат вгражданите в пакета политики за сигурност. Допълнително може да се укаже виртуална група, в която ще влизат компютрите с инсталирания пакет, както и да се избере VPN Site с предварително зададен адрес за свързване и параметри за удостоверяване (VPN Site се настройват в раздела Export Packages → Manage VPN Sites). Последният пункт е особено удобен, тъй като елиминира вероятността от грешка на потребителя при конфигуриране на параметрите за свързване по VPN.

Настройки на глобалната политика

В настройките на глобалната политика се конфигурира един от най-важните параметри — паролата за изтриване на SandBlast Agent от потребителската машина. След инсталиране на агента, потребителят не може да го изтрие без въвеждане на парола, която по подразбиране е думата "secret" (без кавички). Въпреки това, тази стандартна парола лесно може да бъде намерена в отворени източници, затова при внедряване на решението SandBlast Agent се препоръчва смяна на стандартната парола за изтриване на агента. В Management Platform при стандартната парола политиката може да бъде зададена само 5 пъти, така че смяната на паролата за изтриване е неизбежна.
Освен това, в настройките на глобалната политика се конфигурират параметрите на данните, които могат да се изпращат до Check Point за анализ и подобряване на работата на услугата ThreatCloud.

От глобалните настройки на политиката също така се конфигурират някои параметри на политиката за криптиране на диска, а именно изискванията за парола: сложност, продължителност на използването, възможност за използване на предходна парола и т.н. В този раздел може да се качват собствени изображения вместо стандартните за Pre-boot или OneCheck.

Настройка на политиката

След като се запознаете с възможностите на политиката за защита на данните и настроите съответните параметри в раздела за внедряване, можете да започнете инсталацията на новата политика, която включва криптиране на диска с Check Point Encryption и другите модули на SandBlast Agent. След инсталацията на политиката в Management Platform, клиентът ще получи съобщение за необходимостта да инсталира новата версия на политиката сега или да отложи инсталацията за по-късно (максимум 2 дни).

След завършването на изтеглянето и инсталацията на новата политика, SandBlast Agent ще предложи на потребителя да рестартира компютъра, за да активира защитата Full Disk Encryption.

След рестартиране, потребителят ще трябва да въведе своите идентификационни данни в прозореца за удостоверяване на Check Point Endpoint Security — това прозорче ще се появява всеки път преди стартиране на операционната система (Pre-boot). Има възможност да се избере опцията Single Sign-On (SSO) за автоматично използване на идентификационните данни при удостоверяване в Windows.

В случай на успешна автентикация, потребителят получава достъп до системата си, а „зад кадър“ започва процесът на криптиране на диска. Тази операция не влияе на работоспособността на машината, макар и да може да отнеме дълго време (в зависимост от обема на дисковото пространство). След завършване на процеса на криптиране можем да се уверим, че всички модули са активирани и функционират, дискът е криптиран, а потребителската машина е защитена.

Заключение

Накратко: в тази статия разгледахме възможностите на SandBlast Agent за защита на информацията, съхранявана на потребителската машина, чрез криптиране на диска в политиката за защита на данните, изучихме настройките за разпространение на политики и агенти през раздела за внедряване и инсталирахме новата политика с правила за криптиране на диска и допълнителни модули на машината на потребителя. В следващата статия от цикъла ще разгледаме подробно възможностите за логване и отчитане в Management Platform и клиента SandBlast Agent.

Голяма подборка материали по Check Point от TS Solution. За да не пропуснете следващите публикации по темата SandBlast Agent Management Platform — следете обновленията в нашите социални мрежи (Телеграм, Facebook, VK, TS Solution Blog, Яндекс.Дзен).

Източник: habr.com