Vítejte u čtvrtého článku série o platformě správy Check Point SandBlast Agent. V předchozích článcích (, , ) jsme podrobně popsali rozhraní a možnosti webové správy, stejně jako jsme prozkoumali politiku ochrany proti hrozbám a otestovali ji na různé hrozby. Tento článek se věnuje druhé bezpečnostní komponentě — politice ochrany dat, která zajišťuje ochranu dat uložených na uživatelském stroji. V rámci tohoto článku se také podíváme na sekce nasazení a globální nastavení politiky.
Politika ochrany dat
Politika ochrany dat umožňuje nastavit přístup k datům uloženým na pracovní stanici pouze autorizovaným uživatelům, přičemž využívá funkce plného šifrování disku (Full Disk Encryption) a ochrany procesu zavádění (Boot Protection). V současné době jsou podporovány následující možnosti nastavení šifrování disku: pro Windows — Check Point Encryption nebo BitLocker Encryption, pro MacOS — File Vault. Podívejme se blíže na možnosti a nastavení každé z variant.
Check Point Encryption
Check Point Encryption je standardní metoda šifrování disku v politice ochrany dat a zajišťuje šifrování všech systémových souborů (dočasné, systémové, smazané) na pozadí bez vlivu na funkčnost uživatelského počítače. Po šifrování se disk stává nedostupným pro neoprávněné uživatele.
Hlavním nastavením pro Check Point Encryption je "Povolit Pre-boot", což vyžaduje autentizaci uživatelů před spuštěním operačního systému. Tato možnost se doporučuje, protože zabraňuje použití obchvatných prostředků na úrovni operačního systému. Je také možné nastavit parametry dočasného obcházení pro funkci Pre-boot:
- Povolit přihlášení do OS po dočasném obcházení — zakázání funkce Pre-boot a přechod k autentizaci v operačním systému;
- Povolit obcházení Pre-boot (Wake On LAN – WOL) — zakázání funkce Pre-boot na počítačích připojených k řídícímu serveru přes Ethernet;
- Povolit obcházení skriptu — umožňuje nastavit obcházení funkce Pre-boot s určením času a data začátku činnosti skriptu a parametří konce obcházení Pre-boot;
- Povolit obcházení LAN — zakázání funkce Pre-boot při připojení k lokální síti.
Výše uvedené možnosti dočasného obcházení funkce Pre-boot se nedoporučuje používat bez zjevného důvodu (např. technické práce nebo hledání a řešení problémů), a nejlepší řešení z hlediska bezpečnosti je aktivovat funkci Pre-boot bez udání dočasných pravidel obcházení. V případě potřeby obcházet Pre-boot je doporučeno nastavit minimálně nezbytné časové rámce v parametrech dočasného obcházení, aby se dlouhodobě nesnižoval úroveň ochrany.
Při použití Check Point Encryption je také možné nastavit rozšířené možnosti politiky Ochrana dat, například flexibilněji konfigurovat parametry šifrování a nastavovat různé aspekty funkce Pre-boot a autentizace Windows.
BitLocker Encryption
BitLocker je součástí operačního systému Windows a umožňuje šifrovat pevné disky a přenosné médium. Správa BitLocker Check Point je komponenta služeb Windows, která se automaticky spouští spolu s klientem SandBlast Agent a používá API pro správu technologie BitLocker.
Při výběru BitLocker Encryption jako metody šifrování disku v politice Ochrany dat lze nastavit následující parametry:
- Initial Encryption — nastavení počátečního šifrování, umožňuje zašifrovat celý disk (Encrypt entire drive), což se doporučuje pro stroje s již existujícími uživatelskými daty (soubory, dokumenty atd.), nebo zašifrovat pouze data (Encrypt used disk space only), což se doporučuje pro nové instalace Windows;
- Drives to encrypt — výběr disků/particí pro šifrování, umožňuje zašifrovat všechny disky (All drives) nebo pouze oddíl s operačním systémem (OS drive only);
- Encryption algorithm — výběr šifrovacího algoritmu, doporučuje se volba Windows Default, také je možné uvést XTS-AES-128 nebo XTS-AES-256.
File Vault
File Vault je standardní šifrovací nástroj od společnosti Apple, který zajišťuje přístup k datům uživatelského počítače pouze autorizovaným uživatelům. Při aktivovaném File Vault musí uživatel zadat heslo pro spuštění systému a získání přístupu k zašifrovaným souborům. Použití File Vault je jediným způsobem, jak zajistit ochranu ukládaných dat v politice Ochrany dat pro uživatele operačního systému MacOS.
Pro službu File Vault je k dispozici nastavení „Povolit automatické získání uživatele“, které vyžaduje autorizaci uživatele před zahájením procesu šifrování disku. Pokud je tato funkce aktivována, můžete určit počet uživatelů, kteří se musí autentizovat, než agent SandBlast aplikuje funkci Pre-boot, nebo stanovit počet dní, po jejichž uplynutí bude funkce Pre-boot automaticky aplikována všem autorizovaným uživatelům, pokud se během této doby alespoň jeden uživatel přihlásil do systému.
Obnova dat
V případě problémů se spuštěním systému lze využít různých metod obnovení dat. Administrátor může zahájit proces obnovení zašifrovaných dat z části Správa počítače → Akce plného šifrování disku. Pokud se používá šifrování Check Point, lze dešifrovat dříve zašifrovaný disk a získat přístup ke všem uloženým souborům. Po této proceduře je nutné znovu spustit proces šifrování disku, aby fungovala politika Ochrany dat.
Při výběru BitLocker jako metody šifrování disku pro obnovení dat je nutné zadat Recovery Key ID problémového počítače pro vygenerování Recovery Key, který musí uživatel zadat pro získání přístupu na zašifrovaný disk.
Pro uživatele MacOS používající File Vault k ochraně uložených informací spočívá proces obnovení ve vygenerování Recovery Key správcem na základě sériového čísla problémového stroje a zadání tohoto klíče s následným resetováním hesla.
Politika nasazení
Od vydání , která se zabývala rozhraním webové konzoly pro správu, společnost Check Point provedla některé změny v sekci Nasazení — nyní obsahuje podřazenou sekci Nasazení softwaru, kde se nastavuje konfigurace (povolování/zakazování bladeů) pro již nainstalované agenty, a podřazenou sekci Exportní balíček, ve které lze vytvářet balíčky s předinstalovanými bladey pro další instalaci na uživatelská zařízení, například pomocí skupinových politik Active Directory. Podívejme se na podsekci Nasazení softwaru, ve které se aktivují všechny blade společnosti SandBlast Agent.
Připomínám, že ve standardní politice nasazení jsou zahrnuty pouze blade kategorie Threat Prevention. S ohledem na dříve posuzovanou politiku ochrany dat lze nyní tuto kategorii zahrnout pro instalaci a práci na klientském počítači se SandBlast Agent. Mělo by smysl zahrnout funkci Remote Access VPN, která umožní uživateli připojit se například k firemní síti organizace, a také kategorii Access and Compliance, která zahrnuje funkce Firewall & Application Control a kontrolu uživatelského počítače na shodu s politikou Compliance.
Exportní balíček
Pododdíl Export Packages je velmi snadno použitelný: pro vytvoření konfiguračního balíčku je třeba uvést jeho název, vybrat operační systém (pro Windows také uvést bitovou hloubku) a verzi agenta, poté vybrat bezpečnostní politiky, které budou do balíčku zahrnuty. Dále lze uvést virtuální skupinu, do které budou počítače s nainstalovaným balíčkem patřit, a také vybrat VPN Site s přednastavenou adresou pro připojení a autentizačními parametry (VPN Site se nastavují v části Export Packages → Manage VPN Sites). Poslední bod je zvlášť užitečný, protože eliminuje pravděpodobnost chyby uživatele při konfiguraci parametrů připojení přes VPN.
Globální nastavení politiky
V nastavení Global Policy Settings se nastavuje jeden z nejdůležitějších parametrů — heslo pro odstranění SandBlast Agenta z uživatelského počítače. Po instalaci agenta nebude moci uživatel agent odstranit bez zadání hesla, které je ve výchozím nastavení slovo "secret" (bez uvozovek). Toto standardní heslo je však snadno nalezitelné v otevřených zdrojích, a při zavedení řešení SandBlast Agent se doporučuje změnit standardní heslo pro odstranění agenta. V Management Platformě lze při standardním hesle politiku nastavit pouze 5krát, takže změna hesla pro odstranění je nevyhnutelná.
Kromě toho se v Global Policy Settings nastavují parametry údajů, které mohou být odesílány do Check Pointu k analýze a zlepšení funkčnosti služby ThreatCloud.
Z Global Policy Settings se také nastavují některé parametry politiky šifrování disku, konkrétně požadavky na heslo: složitost, délka platnosti, možnost používat dříve platné heslo a další. V této části lze nahrát vlastní obrázky místo standardních pro Pre-boot nebo OneCheck.
Nastavení politiky
Po seznámení se s možnostmi politiky ochrany dat a nastavení příslušných parametrů v sekci nasazení můžete přistoupit k instalaci nové politiky, která zahrnuje šifrování disku pomocí Check Point Encryption a další bledy SandBlast Agent. Po instalaci politiky v Management Platform obdrží klient zprávu o nutnosti nainstalovat novou verzi politiky nyní nebo odložit instalaci na jinou dobu (maximálně 2 dny).
Po dokončení stahování a instalace nové politiky nabídne SandBlast Agent uživateli restart počítače pro aktivaci ochrany Full Disk Encryption.
Po restartu bude uživatel muset zadat své přihlašovací údaje v okně ověřování Check Point Endpoint Security — toto okno se bude objevovat pokaždé před spuštěním operačního systému (Pre-boot). Existuje možnost zvolit volbu Single Sign-On (SSO) pro automatické použití přihlašovacích údajů při ověřování ve Windows.
V případě úspěšného ověření získá uživatel přístup ke svému systému, zatímco „v pozadí“ začíná proces šifrování disku. Tato operace nijak neovlivňuje funkčnost stroje, i když může trvat delší čas (v závislosti na objemu diskového prostoru). Po dokončení procesu šifrování se můžeme ujistit, že všechny bledy jsou aktivovány a fungují, disk je zašifrován a uživatelský stroj je chráněn.
Závěr
Shrneme to: V tomto článku jsme prozkoumali možnosti SandBlast Agent pro ochranu informací uložených na uživatelském stroji pomocí šifrování disku v politice ochrany dat, prozkoumali nastavení distribuce politik a agentů v sekci nasazení a nainstalovali novou politiku s pravidly šifrování disku a dalšími bledy na uživatelský stroj. V dalším článku cyklu se podrobně podíváme na možnosti logování a reportování v Management Platform a klientovi SandBlast Agent.
. Abyste nezmeškali další publikace na téma SandBlast Agent Management Platform — sledujte naše aktualizace na sociálních médiích (, , , , ).
Zdroj: habr.com
