Willkommen zum vierten Artikel der Reihe zur Check Point SandBlast Agent Management Platform. In den vorherigen Artikeln (, , ) haben wir die Benutzeroberfläche und die Funktionen der Web-Konsole detailliert beschrieben und die Bedrohungsschutzrichtlinie behandelt sowie deren Wirksamkeit gegen verschiedene Bedrohungen getestet. Dieser Artikel widmet sich der zweiten Sicherheitskomponente – der Datenrichtlinie, die für den Schutz der auf dem Benutzergerät gespeicherten Daten verantwortlich ist. Außerdem werden wir die Abschnitte Bereitstellung und Globale Richtlinieneinstellungen behandeln.
Datenrichtlinie
Die Datenrichtlinie ermöglicht den Zugang zu den auf dem Arbeitsgerät gespeicherten Daten nur autorisierten Benutzern, indem Funktionen wie die Vollverschlüsselung (Full Disk Encryption) und der Boot-Schutz (Boot Protection) verwendet werden. Derzeit werden folgende Verschlüsselungsoptionen unterstützt: für Windows – Check Point Encryption oder BitLocker Encryption, für MacOS – File Vault. Lassen Sie uns die Möglichkeiten und Einstellungen jeder Option genauer betrachten.
Check Point Encryption
Check Point Encryption ist die Standardmethode zur Festplattenverschlüsselung in der Datenrichtlinie und sorgt dafür, dass alle Systemdateien (temporäre, systemrelevante, gelöschte) im Hintergrund ohne Beeinträchtigung der Leistungsfähigkeit des Benutzergeräts verschlüsselt werden. Nach der Verschlüsselung wird die Festplatte für nicht autorisierte Benutzer unzugänglich.
Die Hauptkonfiguration für Check Point Encryption ist „Pre-Boot aktivieren“, die die Authentifizierung der Benutzer vor dem Start des Betriebssystems erforderlich macht. Diese Option wird empfohlen, da sie die Möglichkeit einer Umgehung der Authentifizierung auf Betriebssystemebene verhindert. Außerdem gibt es die Möglichkeit, temporäre Umgehungsparameter für die Funktion Pre-Boot einzustellen:
- OS-Anmeldung nach temporärer Umgehung erlauben — Deaktivierung der Pre-Boot-Funktion und Umstellung auf die Authentifizierung im Betriebssystem;
- Pre-Boot-Umgehung zulassen (Wake On LAN – WOL) — Deaktivierung der Pre-Boot-Funktion auf Computern, die über Ethernet mit dem Verwaltungsserver verbunden sind;
- Umgehungsskript zulassen — ermöglicht die Konfiguration der Umgehung der Pre-Boot-Funktion mit Angabe von Zeitpunkt und Datum für den Beginn des Skripts und den Parametern zum Ende der Pre-Boot-Umgehung;
- LAN-Umgehung zulassen — Deaktivierung der Pre-Boot-Funktion beim Verbinden mit dem lokalen Netzwerk.
Die oben genannten temporären Umgehungsoptionen für die Pre-Boot-Funktion sollten ohne triftigen Grund (z.B. technische Wartungsarbeiten oder Fehlersuche) nicht verwendet werden. Die beste Sicherheitsmaßnahme besteht darin, die Pre-Boot-Funktion ohne temporäre Umgehungsregeln zu aktivieren. Falls ein Umgehen von Pre-Boot erforderlich ist, sollten die minimal notwendigen Zeitrahmen in den Optionen für temporäre Umgehungen festgelegt werden, um den Sicherheitsgrad nicht über längere Zeit zu verringern.
Bei der Verwendung von Check Point Encryption gibt es auch die Möglichkeit, erweiterte Einstellungen für die Daten schutzrichtlinie zu konfigurieren, z.B. flexiblere Konfiguration der Verschlüsselungsparameter, Anpassung verschiedener Aspekte der Pre-Boot-Funktion und der Windows-Authentifizierung.
BitLocker-Verschlüsselung
BitLocker ist Teil des Windows-Betriebssystems und ermöglicht die Verschlüsselung von Festplatten und tragbaren Speichermedien. Die Check Point BitLocker-Verwaltung ist ein Bestandteil der Windows-Dienste, wird automatisch zusammen mit dem SandBlast-Agenten gestartet und verwendet APIs zur Verwaltung der BitLocker-Technologie.
Wenn Sie BitLocker-Verschlüsselung als Methode zur Festplattenverschlüsselung in der Daten schutzrichtlinie auswählen, können Sie die folgenden Parameter konfigurieren:
- Erstverschlüsselung – Einstellungen zur Erstverschlüsselung, die es ermöglichen, die gesamte Festplatte (Gesamte Festplatte verschlüsseln) zu verschlüsseln, was für Maschinen mit bereits vorhandenen Benutzerdaten (Dateien, Dokumente usw.) empfohlen wird, oder nur die Daten (Nur verwendeten Speicherplatz verschlüsseln), was für neue Windows-Installationen empfohlen wird;
- Zu verschlüsselnde Laufwerke – Auswahl der Laufwerke/Partitionen zur Verschlüsselung, ermöglicht es, alle Laufwerke (Alle Laufwerke) oder nur das Laufwerk mit dem Betriebssystem (Nur OS-Laufwerk) zu verschlüsseln;
- Verschlüsselungsalgorithmus – Auswahl des Verschlüsselungsalgorithmus, empfohlen wird die Option Windows Standard, es besteht auch die Möglichkeit, XTS-AES-128 oder XTS-AES-256 anzugeben.
File Vault
File Vault ist das standardmäßige Verschlüsselungswerkzeug von Apple und gewährleistet den Zugriff auf die Daten des Benutzercomputers nur für autorisierte Benutzer. Mit aktiviertem File Vault muss der Benutzer ein Passwort eingeben, um das System zu starten und Zugriff auf die verschlüsselten Dateien zu erhalten. Die Verwendung von File Vault ist die einzige Möglichkeit, die gespeicherten Daten in der Daten schutzrichtlinie für MacOS-Benutzer zu schützen.
Für File Vault ist die Einstellung „Automatische Benutzererfassung aktivieren“ verfügbar, die eine Benutzerautorisierung vor Beginn des Verschlüsselungsprozesses des Laufwerks erfordert. Wenn diese Funktion aktiviert ist, besteht die Möglichkeit anzugeben, wie viele Benutzer sich autorisieren müssen, bevor der SandBlast Agent die Pre-Boot-Funktion anwendet, oder die Anzahl der Tage anzugeben, nach deren Ablauf die Pre-Boot-Funktion automatisch für alle autorisierten Benutzer implementiert wird, wenn sich in diesem Zeitraum mindestens ein Benutzer im System autorisiert hat.
Datenwiederherstellung
Im Falle von Problemen beim Systemstart können verschiedene Methoden zur Datenwiederherstellung genutzt werden. Der Administrator kann den Prozess zur Wiederherstellung der verschlüsselten Daten aus dem Bereich Computerverwaltung → Vollständige Laufwerksverschlüsselungsaktionen initiieren. Bei Verwendung der Check Point-Verschlüsselung kann die zuvor verschlüsselte Festplatte entschlüsselt werden, um auf alle gespeicherten Dateien zuzugreifen. Nach diesem Verfahren muss der Verschlüsselungsprozess des Laufwerks erneut gestartet werden, um die Datenschutzrichtlinie zu aktivieren.
Wenn BitLocker als Methode zur Laufwerksverschlüsselung ausgewählt wird, muss die Recovery Key ID des betroffenen Computers eingegeben werden, um den Recovery Key zu generieren, den der Benutzer eingeben muss, um auf das verschlüsselte Laufwerk zuzugreifen.
Für MacOS-Benutzer, die File Vault zum Schutz gespeicherter Informationen verwenden, besteht der Wiederherstellungsprozess darin, dass der Administrator den Recovery Key basierend auf der Seriennummer der betroffenen Maschine generiert und diesen Schlüssel eingibt, gefolgt von einem Zurücksetzen des Passworts.
Bereitstellungspolitik
Seit der Veröffentlichung , in dem die Schnittstelle der Web-Verwaltungskonsole behandelt wurde, hat Check Point einige Änderungen im Bereich Bereitstellung vorgenommen – jetzt gibt es darin die Unterkategorie Softwarebereitstellung, in der die Konfiguration (Aktivierung/Deaktivierung von Blades) für bereits installierte Agenten eingestellt wird, sowie die Unterkategorie Paket exportieren, in der Pakete mit vorinstallierten Blades für die weitere Installation auf Benutzermaschinen erstellt werden können, beispielsweise mithilfe von Gruppenrichtlinien in Active Directory. Lassen Sie uns die Unterkategorie Softwarebereitstellung betrachten, in der alle Blades des SandBlast Agent aktiviert werden.
Ich erinnere daran, dass in der Standard-Deployment-Politik nur Blades der Kategorie Bedrohungsvorbeugung enthalten sind. Unter Berücksichtigung der zuvor besprochenen Datenschutzpolitik kann diese Kategorie nun für die Installation und den Betrieb auf dem Client-Rechner mit dem SandBlast-Agenten aktiviert werden. Es macht Sinn, die Funktion Remote Access VPN zu aktivieren, die es dem Benutzer ermöglicht, sich beispielsweise mit dem Unternehmensnetzwerk der Organisation zu verbinden, sowie die Kategorie Access and Compliance, die Funktionen wie Firewall & Application Control und die Überprüfung des Benutzerrechners auf Compliance mit der Richtlinie umfasst.
Paket exportieren
Der Bereich Export Packages ist äußerst benutzerfreundlich: Um ein Konfigurationspaket zu erstellen, müssen Sie dessen Name angeben, das Betriebssystem auswählen (für Windows auch die Bit-Version angeben) und die Version des Agenten auswählen, gefolgt von der Auswahl der Sicherheitsrichtlinien, die in das Paket integriert werden sollen. Zusätzlich kann eine virtuelle Gruppe angegeben werden, die die Computer mit dem installierten Paket umfasst, sowie ein VPN-Standort mit der vorgegebenen Verbindungsadresse und Authentifizierungsparametern (VPN-Standorte werden im Bereich Export Packages → Manage VPN Sites konfiguriert). Dieser letzte Punkt ist besonders praktisch, da er die Wahrscheinlichkeit von Benutzerfehlern bei der Konfiguration der VPN-Verbindungsparameter verringert.
Globale Richtlinieneinstellungen
In den Einstellungen der Global Policy Settings wird eines der wichtigsten Parameter konfiguriert – das Passwort zum Entfernen des SandBlast-Agenten vom Benutzerrechner. Nach der Installation des Agenten kann der Benutzer diesen nicht ohne Eingabe des Passworts deinstallieren, das standardmäßig das Wort "secret" (ohne Anführungszeichen) ist. Allerdings ist dieses Standardpasswort leicht in öffentlichen Quellen zu finden, und bei der Implementierung der SandBlast-Agentenlösung wird empfohlen, das Standardpasswort zum Entfernen des Agenten zu ändern. In der Management Platform kann die Richtlinie mit dem Standardpasswort nur 5 Mal festgelegt werden, sodass die Änderung des Passworts für die Deinstallation unvermeidlich ist.
Darüber hinaus werden in den Global Policy Settings die Datenparameter konfiguriert, die an Check Point zur Analyse und Verbesserung der Dienstleistung ThreatCloud gesendet werden können.
In den Global Policy Settings werden auch einige Parameter der Festplattenverschlüsselungspolitik konfiguriert, nämlich die Anforderungen an das Passwort: Komplexität, Nutzungsdauer, Möglichkeit der Verwendung eines zuvor gültigen Passworts und weiteres. In diesem Abschnitt können eigene Bilder anstelle der Standardbilder für Pre-boot oder OneCheck hochgeladen werden.
Richtlinieneinrichtung
Nach dem Kennenlernen der Möglichkeiten der Datenschutzpolitik und der Konfiguration der entsprechenden Einstellungen im Bereich Deployment kann mit der Installation der neuen Richtlinie begonnen werden, die die Festplattenverschlüsselung mit Check Point Encryption sowie weitere SandBlast Agent-Blades umfasst. Nach der Installation der Richtlinie in der Management-Plattform erhält der Kunde eine Nachricht über die Notwendigkeit, die neue Version der Richtlinie jetzt zu installieren oder die Installation auf einen späteren Zeitpunkt (maximal 2 Tage) zu verschieben.
Nachdem der Download und die Installation der neuen Richtlinie abgeschlossen sind, wird der Benutzer aufgefordert, den Computer neu zu starten, um den Schutz der vollständigen Festplattenverschlüsselung zu aktivieren.
Nach dem Neustart muss der Benutzer seine Anmeldeinformationen im Authentifizierungsfenster von Check Point Endpoint Security eingeben – dieses Fenster wird jedes Mal vor dem Start des Betriebssystems (Pre-Boot) angezeigt. Es besteht die Möglichkeit, die Option Single Sign-On (SSO) auszuwählen, um die Anmeldeinformationen automatisch bei der Authentifizierung in Windows zu verwenden.
Bei erfolgreicher Authentifizierung erhält der Benutzer Zugriff auf sein System, während im Hintergrund der Prozess der Festplattenverschlüsselung beginnt. Dieser Vorgang hat keine Auswirkungen auf die Funktionsfähigkeit der Maschine, kann jedoch längere Zeit in Anspruch nehmen (je nach Größe des Speicherplatzes). Nach Abschluss des Verschlüsselungsprozesses können wir sicherstellen, dass alle Blades aktiviert und funktionsfähig sind, die Festplatte verschlüsselt ist und der Computer des Benutzers geschützt ist.
Fazit
Zusammenfassend haben wir in diesem Artikel die Möglichkeiten des SandBlast Agent zur Sicherung der auf dem Benutzercomputer gespeicherten Informationen durch Festplattenverschlüsselung in der Datenschutzrichtlinie untersucht, die Einstellungen für die Verteilung von Richtlinien und Agenten im Bereich Deployment durchgesehen und eine neue Richtlinie mit Regeln zur Festplattenverschlüsselung sowie zusätzlichen Blades auf dem Computer des Benutzers installiert. In dem nächsten Artikel dieser Reihe werden wir die Möglichkeiten der Protokollierung und Berichterstattung in der Management-Plattform und im SandBlast Agent-Client detailliert betrachten.
. Um keine weiteren Veröffentlichungen zum Thema SandBlast Agent Management Platform zu verpassen, folgen Sie uns auf unseren sozialen Medien (, , , , ).
Quelle: habr.com
