Willkommen zum vierten Artikel der Reihe über die Check Point SandBlast Agent Management Plattform. In den vorherigen Artikeln (, , ) haben wir die Benutzeroberfläche und die Funktionen der Web-Verwaltungskonsole im Detail beschrieben sowie die Richtlinie zur Bedrohungsverhütung betrachtet und getestet, um ihre Wirksamkeit gegen verschiedene Bedrohungen zu überprüfen. Dieser Artikel ist dem zweiten Sicherheitskomponentenbereich gewidmet – der Datenschutzrichtlinie, die für den Schutz der Daten auf den Benutzergeräten verantwortlich ist. Darüber hinaus werden wir in diesem Artikel die Abschnitte zur Bereitstellung und zu den globalen Richtlinieneinstellungen behandeln.
Datenschutzrichtlinie
Die Datenschutzrichtlinie ermöglicht es, den Zugriff auf die auf dem Arbeitsgerät gespeicherten Daten nur autorisierten Benutzern zu gewähren, wobei die Funktionen der vollständigen Festplattencodierung (Full Disk Encryption) und des Bootschutzes (Boot Protection) verwendet werden. Derzeit werden die folgenden Optionen für die Festplattencodierung unterstützt: für Windows – Check Point Encryption oder BitLocker Encryption, für MacOS – File Vault. Lassen Sie uns die Möglichkeiten und Einstellungen jeder Option näher betrachten.
Check Point Encryption
Check Point Encryption ist ein standardmäßiges Verschlüsselungsverfahren für Festplatten im Rahmen der Richtlinie zur Datenverfügbarkeit und sorgt für die Verschlüsselung aller Systemdateien (temporäre, System-, entfernte Dateien) im Hintergrund, ohne die Betriebsfähigkeit des Benutzergeräts zu beeinträchtigen. Nach der Verschlüsselung ist die Festplatte für nicht autorisierte Benutzer nicht mehr zugänglich.
Die wichtigste Einstellung für Check Point Encryption ist „Enable Pre-boot“, die die Authentifizierung der Benutzer vor dem Start des Betriebssystems erfordert. Diese Option wird empfohlen, da sie die Möglichkeit der Umgehung der Authentifizierung auf Betriebssystemebene verhindert. Zudem können temporäre Umgehungsparameter für die Pre-boot-Funktion eingestellt werden:
- OS-Anmeldung nach temporärer Umgehung erlauben — Deaktivierung der Pre-boot-Funktion und Übergang zur Authentifizierung im Betriebssystem;
- Pre-boot-Umgehung erlauben (Wake On LAN – WOL) — Deaktivierung der Pre-boot-Funktion auf Computern, die über Ethernet mit dem Management-Server verbunden sind;
- Umgehungsskript erlauben — ermöglicht die Einrichtug einer Umgehung der Pre-boot-Funktion mit Angabe von Beginn und Ende der Skriptlaufzeit;
- LAN-Umgehung erlauben — Deaktivierung der Pre-Boot-Funktion bei Verbindung mit dem lokalen Netzwerk.
Die oben genannten Optionen zum temporären Umgehen der Pre-Boot-Funktion sollten ohne triftigen Grund (z. B. technische Wartungsarbeiten oder Fehlersuche) nicht verwendet werden. Die sicherste Lösung besteht darin, die Pre-Boot-Funktion zu aktivieren, ohne temporäre Umgehungsregeln festzulegen. Wenn ein Umgehen der Pre-Boot-Funktion erforderlich ist, sollten die minimal erforderlichen Zeitrahmen in den temporären Umgehungsoptionen festgelegt werden, um das Schutzniveau nicht über längere Zeit zu verringern.
Bei der Verwendung von Check Point Encryption besteht zudem die Möglichkeit, erweiterte Einstellungen der Data Protection-Richtlinie zu konfigurieren, beispielsweise die Verschlüsselungsparameter flexibler zu gestalten sowie verschiedene Aspekte der Pre-Boot-Funktion und der Windows-Authentifizierung anzupassen.
BitLocker-Verschlüsselung
BitLocker ist Bestandteil des Betriebssystems Windows und ermöglicht die Verschlüsselung von Festplatten und Wechseldatenträgern. Check Point BitLocker Management ist eine Komponente der Windows-Dienste, die automatisch zusammen mit dem SandBlast Agent-Client gestartet wird und API verwendet, um die BitLocker-Technologie zu verwalten.
Bei der Auswahl von BitLocker-Verschlüsselung als Methode zur Datenträgerverschlüsselung in der Richtlinie zum Datenschutz können folgende Parameter festgelegt werden:
- Erstverschlüsselung — die Einstellungen für die Erstverschlüsselung ermöglichen es, die gesamte Festplatte (Gesamtes Laufwerk verschlüsseln) zu verschlüsseln, was für Maschinen mit bereits vorhandenen Benutzerdaten (Dateien, Dokumente usw.) empfohlen wird, oder nur die verwendeten Daten (Nur verwendeten Speicherplatz verschlüsseln), was für neue Windows-Installationen empfohlen wird;
- Zu verschlüsselnde Laufwerke — Auswahl der Laufwerke/Partitionen zur Verschlüsselung, ermöglicht es, alle Laufwerke (Alle Laufwerke) oder nur das Laufwerk mit dem Betriebssystem (Nur Systemlaufwerk) zu verschlüsseln;
- Verschlüsselungsalgorithmus — Auswahl des Verschlüsselungsalgorithmus, empfohlen wird die Option Windows Standard, es besteht auch die Möglichkeit, XTS-AES-128 oder XTS-AES-256 anzugeben.
Datei-Vault
File Vault ist ein standardmäßiges Verschlüsselungstool von Apple, das den Zugriff auf die Daten eines Benutzercomputers ausschließlich autorisierten Nutzern ermöglicht. Mit aktiviertem File Vault muss der Benutzer ein Passwort eingeben, um das System zu starten und auf die verschlüsselten Dateien zuzugreifen. Die Verwendung von File Vault ist die einzige Möglichkeit, um die in der Datenschutzrichtlinie für Nutzer des Betriebssystems MacOS gespeicherten Daten zu schützen.
Für File Vault ist die Einstellung „Automatische Nutzerakquise aktivieren“ verfügbar, die eine Autorisierung des Benutzers vor dem Beginn des Verschlüsselungsprozesses des Laufwerks erfordert. Wenn diese Funktion aktiviert ist, kann die Anzahl der Nutzer angegeben werden, die sich autorisieren müssen, bevor der SandBlast Agent die Pre-boot-Funktion anwendet, oder die Anzahl der Tage festgelegt werden, nach denen die Pre-boot-Funktion automatisch für alle autorisierten Nutzer aktiviert wird, wenn in diesem Zeitraum mindestens ein Benutzer im System autorisiert wurde.
Datenwiederherstellung
Wenn Probleme beim Systemstart auftreten, stehen verschiedene Methoden zur Datenwiederherstellung zur Verfügung. Der Administrator kann den Prozess zur Wiederherstellung verschlüsselter Daten im Bereich Computerverwaltung → Vollständige Festplattenverschlüsselung initiiert. Bei Verwendung von Check Point Encryption kann die zuvor verschlüsselte Festplatte entschlüsselt werden, um Zugriff auf alle gespeicherten Dateien zu erhalten. Nach diesem Vorgang muss der Verschlüsselungsprozess der Festplatte erneut gestartet werden, um die Datenschutzrichtlinien zu aktivieren.
Wenn Sie BitLocker als Verschlüsselungsmethode für die Datenwiederherstellung auswählen, müssen Sie die Recovery Key ID des betroffenen Computers eingeben, um den Recovery Key zu generieren. Dieser muss vom Benutzer eingegeben werden, um Zugriff auf die verschlüsselte Festplatte zu erhalten.
Für MacOS-Benutzer, die File Vault zum Schutz gespeicherter Informationen verwenden, besteht der Wiederherstellungsprozess darin, dass der Administrator den Recovery Key basierend auf der Seriennummer des betroffenen Geräts generiert und dieser Schlüssel eingegeben wird, gefolgt von einer Zurücksetzung des Passworts.
Bereitstellungspolitik
Seit der Veröffentlichung , in der die Benutzeroberfläche der Web-Management-Konsole behandelt wurde, konnte Check Point einige Änderungen im Abschnitt Deployment vornehmen – jetzt gibt es einen Unterabschnitt Software Deployment, in dem die Konfiguration (Aktivierung/Deaktivierung von Blades) für bereits installierte Agenten eingestellt wird, sowie einen Unterabschnitt Export Package, in dem Pakete mit vorinstallierten Blades zur späteren Installation auf Benutzermaschinen erstellt werden können, beispielsweise durch die Verwendung von Gruppenrichtlinien in Active Directory. Betrachten wir den Unterabschnitt Software Deployment, in dem alle Blades des SandBlast Agents aktiviert werden.
Ich erinnere daran, dass in der Standardrichtlinie Deployment nur Blades der Kategorie Bedrohungsverhinderung enthalten sind. Mit der zuvor behandelten Richtlinie zum Datenschutz kann jetzt diese Kategorie für die Installation und den Betrieb auf der Client-Maschine mit dem SandBlast Agent aktiviert werden. Es ist sinnvoll, die Funktion Remote Access VPN zu aktivieren, die es dem Benutzer ermöglicht, sich beispielsweise mit dem Unternehmensnetzwerk zu verbinden, sowie die Kategorie Zugang und Compliance, die Funktionen wie Firewall & Application Control sowie die Überprüfung der Client-Maschine auf Übereinstimmung mit den Compliance-Richtlinien umfasst.
Export Package
Das Modul Exportpakete ist äußerst benutzerfreundlich: Um ein Konfigurationspaket zu erstellen, müssen Sie dessen Namen angeben, das Betriebssystem auswählen (für Windows zusätzlich die Bitversion) und die Agenten-Version wählen, gefolgt von den Sicherheitsrichtlinien, die in das Paket integriert werden sollen. Zudem können Sie eine virtuelle Gruppe angeben, die die Computer umfasst, auf denen das Paket installiert ist, sowie eine VPN-Stelle mit vorinstallierter Verbindungsadresse und Authentifizierungsparametern auswählen (VPN-Stellen werden im Bereich Exportpakete → VPN-Stellen verwalten konfiguriert). Der letzte Punkt ist besonders praktisch, da er die Wahrscheinlichkeit von Benutzungsfehlern bei der Konfiguration der VPN-Verbindungsparameter eliminiert.
Globale Richtlinieneinstellungen
In den Einstellungen der globalen Richtlinieneinstellungen wird einer der wichtigsten Parameter konfiguriert – das Passwort für die Deinstallation des SandBlast Agent von der Benutzermaschine. Nach der Installation des Agents kann der Benutzer ihn nicht ohne Eingabe des Passworts entfernen, das standardmäßig das Wort "secret" (ohne Anführungszeichen). Dieser Standardpasswort ist jedoch leicht in öffentlichen Quellen zu finden, und bei der Implementierung der SandBlast Agent-Lösung wird empfohlen, das Standardpasswort zu ändern, um den Agenten zu entfernen. In der Management-Plattform kann die Richtlinie mit dem Standardpasswort nur 5 Mal eingerichtet werden, daher ist eine Änderung des Passworts zur Entfernung unvermeidlich.
Darüber hinaus werden in den Global Policy Settings die Datenparameter konfiguriert, die zur Analyse und Verbesserung des ThreatCloud-Dienstes an Check Point gesendet werden können.
In den Global Policy Settings werden auch einige Parameter der Disk Encryption Policy konfiguriert, wie z. B. Passwortanforderungen: Komplexität, Nutzungsdauer, Möglichkeit, ein zuvor verwendetes Passwort erneut zu verwenden und weiteres. In diesem Abschnitt können eigene Bilder anstelle der Standardbilder für Pre-boot oder OneCheck hochgeladen werden.
Richtlinieninstallation
Nachdem Sie die Datenschutzrichtlinien durchgesehen und die entsprechenden Einstellungen im Bereich Deployment konfiguriert haben, können Sie mit der Installation einer neuen Richtlinie beginnen, die die Festplattenverschlüsselung mit Check Point Encryption und andere SandBlast Agent-Blades umfasst. Nach der Installation der Richtlinie auf der Management-Plattform erhält der Kunde eine Nachricht, dass er die neue Richtlinie jetzt installieren oder die Installation auf einen späteren Zeitpunkt (maximal 2 Tage) verschieben kann.
Nachdem der Download und die Installation der neuen Richtlinie abgeschlossen sind, wird der SandBlast Agent den Benutzer auffordern, den Computer neu zu starten, um den Schutz der Vollfestplattenverschlüsselung zu aktivieren.
Nach dem Neustart muss der Benutzer seine Anmeldedaten im Authentifizierungsfenster von Check Point Endpoint Security eingeben – dieses Fenster wird jedes Mal vor dem Start des Betriebssystems (Pre-Boot) angezeigt. Es besteht die Möglichkeit, die Funktion Single Sign-On (SSO) auszuwählen, um die Anmeldedaten bei der Authentifizierung in Windows automatisch zu verwenden.
Bei erfolgreicher Authentifizierung erhält der Benutzer Zugang zu seinem System, während im Hintergrund der Prozess der Festplattenverschlüsselung beginnt. Diese Operation hat keine Auswirkungen auf die Funktionsfähigkeit der Maschine, kann jedoch längere Zeit in Anspruch nehmen (abhängig von der Größe des Speicherplatzes). Nach Abschluss des Verschlüsselungsprozesses können wir sicherstellen, dass alle Blades aktiviert und funktionsfähig sind, die Festplatte verschlüsselt ist und die Benutzermaschine geschützt ist.
Fazit
Zusammenfassend haben wir in diesem Artikel die Möglichkeiten des SandBlast Agent zur Sicherung der auf der Benutzermaschine gespeicherten Informationen durch Festplattenverschlüsselung im Rahmen der Richtlinie zur Datenschutzpolitik untersucht, die Einstellungen zur Verteilung von Richtlinien und Agenten im Bereich Bereitstellung behandelt und eine neue Richtlinie mit Regeln zur Festplattenverschlüsselung und zusätzlichen Blades auf der Benutzermaschine eingerichtet. Im nächsten Artikel der Reihe werden wir die Möglichkeiten zur Protokollierung und Berichterstattung in der Management-Plattform und im SandBlast Agent-Client ausführlich beleuchten.
. Um keine zukünftigen Publikationen zum Thema SandBlast Agent Management-Plattform zu verpassen, folgen Sie unseren Updates in den sozialen Medien (, , , , ).
Quelle: habr.com
