4. Check Point SandBlast Agent Management Platform. Andmekaitse poliitika. Juhtimise ja globaalsete poliitika seadistused

Tere tulemast neljandasse artiklisse Check Point SandBlast Agent Management Platformi lahenduste tsüklis. Eelmistes artiklites (esmalt, teine, kolmas) oleme detailselt kirjeldanud halduskeskkonna veebikonsooli liidest ja võimalusi, samuti vaadanud üle Threat Prevention poliitika ning testinud selle tõhusust erinevate ohtude tõrjumisel. Käesolev artikkel on pühendatud teisele turvakomponendile — Data Protection poliitikale, mis vastutab kasutaja masina andmete kaitsmise eest. Samuti käsitleme selles artiklis jaotisi Deployment ja Global Policy Settings.

Data Protection poliitika

Data Protection poliitika võimaldab sätete seadistamist salvestatud andmetele kasutajate juurdepääsu kontrollimiseks, kasutades täieliku kettakrüpteerimise (Full Disk Encryption) ja käivitamisprotsessi kaitse (Boot Protection) funktsioone. Praeguseks toetatakse järgmisi kettakrüpteerimise seadistuste variante: Windowsi jaoks — Check Point Encryption või BitLocker Encryption, MacOSi jaoks — File Vault. Vaatame iga variandi võimalusi ja seadistusi lähemalt.

Check Point Encryption

Check Point Encryption on Data Protection poliitika standardne kettakrüpteerimise meetod, mis tagab kõigi süsteemi failide (ajutised, süsteemi, kustutatud) krüpteerimise taustal, mõjutamata kasutaja masina toimimist. Pärast krüpteerimist muutub ketas mitteautorisatsioonitud kasutajatele kättesaamatuks.

Check Point Encryption'i peamine seadistus on „Enable Pre-boot“, mis nõuab kasutajate autentimist enne operatsioonisüsteemi laadimist. Soovitame seda valikut kasutada, kuna see takistab autentimise möödamineku meetodite rakendamist operatsioonisüsteemi tasemel. Lisaks on võimalik seadistada ajutise möödemise parameetreid Pre-boot funktsiooni jaoks:

• Allow OS login after temporary bypass — Pre-boot funktsiooni deaktiveerimine ja autentimine operatsioonisüsteemis;

• Allow pre-boot bypass (Wake On LAN – WOL) — Pre-boot funktsiooni deaktiveerimine arvutites, mis on ühendatud haldusserveriga Etherneti kaudu;

• Allow bypass script — võimaldab seadistada Pre-boot funktsiooni möödamineku skripti koos aja ja kuupäeva määramisega skripti käivitamiseks ja Pre-boot möödmise lõppemise parameetrite määramiseks;

• Allow LAN bypass — Pre-boot funktsiooni deaktiveerimine kohaliku võrgu ühenduse loomisel.

Ülaltoodud Pre-boot funktsiooni ajutiste ümbersõitude valikuid ei soovitata kasutada ilma selgete põhjusteta (näiteks tehnilised tööd või probleemide tuvastamine ja lahendamine) ning parim lahendus turvalisuse seisukohalt on Pre-boot funktsiooni lubamine ilma ajutiste ümbersõitmisel reeglite määratlemiseta. Kui Pre-boot tuleb ajutiselt ümbersõita, soovitatakse seada minimaalne vajalik ajavahemik ajutiste ümbersõitude seadetes, et mitte vähendada kaitset pikka aega.

Samuti Check Point Encryption'i kasutamisel on võimalik seadistada täiendavaid andmekaitse poliitika seadistusi, näiteks paindlikumalt konfigureerida krüpteerimise parameetreid, seadistada erinevaid Pre-boot funktsiooni ja Windowsi autentimise aspekte.

BitLockeri krüpteerimine

BitLocker on osa Windowsi operatsioonisüsteemist ja võimaldab krüpteerida kõvakettad ja eemaldatavad salvestusseadmed. Check Point BitLocker Management on Windowsi teenuste komponent, mis käivitub automaatselt koos SandBlast Agenti kliendiga ja kasutab API-d BitLockeri tehnoloogia haldamiseks.

BitLockeri krüpteerimise valimisel andmekaitse poliitikas saate seadistada järgmised parameetrid:

• Esialgne krüpteerimine — esialgse krüpteerimise seadistused, mis lubavad krüpteerida kogu ketta (Krüpteeri kogu draiv), mis on soovitatav masinatele, kus on juba olemas kasutajaandmed (failid, dokumendid jne), või krüpteerida ainult andmed (Krüpteeri ainult kasutatud ketta ruum), mis on soovitatav uute Windowsi installatsioonide puhul;

• Krüpteeritavad ketad — ketaste/partitsioonide valimine krüpteerimiseks, võimaldab krüpteerida kõik kettad (Kõik kettad) või ainult operatsioonisüsteemi partitsiooni (Ainult OS draiv);

• Krüpteerimisalgoritm — krüpteerimisalgoritmi valik, soovitatav on Windows Default variant, samuti on võimalus valida XTS-AES-128 või XTS-AES-256.

Failivault

Failivault on Apple'i standardne krüpteerimisvahend, mis tagab kasutaja arvuti andmetele ainult volitatud kasutajate ligipääsu. Failivault'iga seadistades peab kasutaja süsteemi käivitamiseks ja krüpteeritud failidele juurdepääsu saamiseks sisestama parooli. Failivault'i kasutamine on ainus viis andmete kaitsmiseks andmekaitse poliitikas MacOS operatsioonisüsteemi kasutajatel.

File Vaulti puhul on saadaval seade „Luba automaatne kasutaja omandamine“, mis nõuab kasutaja autentimist enne ketta krüpteerimise protsessi algust. Kui see funktsioon on aktiivne, on võimalik määrata, kui palju kasutajaid peab autentima, enne kui SandBlast Agent rakendab Pre-boot funktsiooni, või määrata päevade arv, pärast mille möödumist Pre-boot funktsioon rakendatakse automaatselt kõigile autentitud kasutajatele, kui vähemalt üks kasutaja on selle ajavahemiku jooksul süsteemi sisse loginud.

Andmete taastamine

Süsteemi käivitamise probleemide korral saab kasutada erinevaid andmete taastamise meetodeid. Administraator saab algatada krüpteeritud andmete taastamisprotsessi jaotisest Computer Management → Full Disk Encryption Actions. Kui kasutatakse Check Point Encryptionit, saab varem krüpteeritud ketta dekrüpteerida ja pääseda juurde kõikidele salvestatud failidele. Pärast seda protseduuri tuleb kettakaitse poliitika rakendamiseks uuesti käivitada ketta krüpteerimise protsess.

BitLockeri valimine kettakaitse meetodiks andmete taastamiseks nõuab, et probleemsest arvutist saadakse Recovery Key ID, et genereerida Recovery Key, mille kasutaja peab sisestama, et pääseda juurde krüpteeritud kettale.

MacOSi kasutajatele, kes kasutavad File Vaulti salvestatud teabe kaitseks, seisneb taastamisprotsess administraatori genereeritud Recovery Key loomises probleemsest seadme seerianumbrist ja selle võtme sisestamises koos järgneva parooli lähtestamisega.

Käivitamise poliitika

Alates teise artikli, kus käsitleti juhtpaneeli veebikonsoli kasutajaliidest, on Check Point teinud mõned muudatused käivitamise jaotises - nüüd on seal alamjaotus Tarkvara käivitamine, kus seadistatakse konfigureerimine (blade’ide aktiveerimine/deaktiveerimine) juba installitud agentide jaoks ja alamjaotus Ekspordipakett, kus saab luua pakette eelnevalt installitud blade'idega, et neid saaks hiljem kasutaja masinatesse installida, näiteks Active Directory grupipoliitikate kaudu. Vaatame tarkvara käivitamise alamjaotust, kus aktiveeritakse kõik SandBlast Agenti blade'id.

Tulet meelde, et tavapoliitikas Deployment on kaasatud ainult Threat Prevention kategooria blaidid. Arvestades varem käsitletud Data Protection poliitikat, on nüüd võimalik see kategooria aktiveerida kliendi masinas SandBlast Agendi kasutamiseks. On mõistlik aktiveerida Remote Access VPN funktsioon, mis võimaldab kasutajal näiteks ettevõtte võrguga ühendust luua, samuti Access and Compliance kategooria, kuhu kuuluvad Firewall & Application Control funktsioonid ning kasutaja masina vastavuse kontrollimise funktsionaalus Compliance poliitikale.

Ekspordipakett

Export Packages jaotis on ülimalt lihtne kasutada: konfiguratsioonipaki loomiseks tuleb märkida selle nimi, valida operatsioonisüsteem (Windowsi puhul tuleb märkida ka bitivalik) ja agendi versioon, seejärel valida integreeritud turvapoliitikad. Samuti on võimalik märkida virtuaalne grupp, kuhu kuuluvad arvutid, millele on installitud pakett, ning valida VPN Site, millel on eelmääratud ühendusaadress ja autentimisparameetrid (VPN Site seaded tehakse jaotises Export Packages → Manage VPN Sites). Viimane punkt on eriti mugav, kuna see välistab kasutaja võimaliku vea VPN ühenduse seadistamisel.

Globaalsete poliitika seadistused

Globaalsete poliitika seadistustes seadistatakse üks tähtsamaid parameetreid — parool SandBlast Agendi kasutaja masinast eemaldamiseks. Pärast agendi installimist ei saa kasutaja seda eemaldada ilma parooli sisestamata, mille vaikimisi väärtus on sõna "secret" (ilma jutumärkideta). Kuid seda vaikimisi parooli on lihtne leida avalikest allikatest ning SandBlast Agendi lahenduse rakendamisel on soovitatav see vaikimisi parool muuta. Management Platform'is saab vaikimisi parooli puhul poliitikat seadistada ainult 5 korda, seega on parooli muutmine eemaldamiseks vältimatu.
Lisaks seadistatakse globaalsete poliitika seadistustes andmete parameetrid, mida saab saata Check Pointile analüüsimiseks ja ThreatCloud teenuse töö parandamiseks.

Globaalsete poliitika seadistustes seadistatakse ka mõned kettakrimpsimise poliitika parameetrid, nimelt parooli nõuded: keerukus, kasutusperioodi pikkus, võimalus kasutada varem kehtinud parooli jne. Selles jaotises on võimalik laadida oma pilte standardsete Pre-boot või OneCheck piltide asemel.

Poliitika seadistamine

Tutvustades Data Protection poliitika võimalusi ja seadistades vastavad sätted Deployment osas, on võimalik alustada uue poliitika installimist, mis sisaldab kettakodeerimist Check Point Encryption abil ja muid SandBlast Agendi blade'e. Pärast poliitika installimist Management Platform'is saab klient teate, et peab installima uue poliitika nüüd või edasilükkama installimise teiseks ajaks (kuni 2 päeva).

Uue SandBlast Agendi poliitika allalaadimise ja installimise lõpetamisel pakub see kasutajale arvuti taaskäivitamist, et aktiveerida Full Disk Encryption kaitse.

Pärast taaskäivitamist peab kasutaja sisestama oma sisselogimisandmed Check Point Endpoint Security autentimise aknas - see aken ilmub iga kord enne operatsioonisüsteemi käivitamist (Pre-boot). On võimalik valida Single Sign-On (SSO) valik, et automaatselt kasutada andmeid Windowsi autentimise ajal.

Eduka autentimise korral saab kasutaja juurdepääsu oma süsteemile ning taustal algab kettakodeerimise protsess. See protseduur ei mõjuta masina toimimist, kuigi see võib kesta pikka aega (sõltuvalt kettaruumi mahust). Pärast kodeerimise protsessi lõppemist saame veenduda, et kõik blade'id on aktiivsed ja töötavad, ketas on kodeeritud ning kasutaja masin on kaitstud.

Kokkuvõte

Kokkuvõtteks: selles artiklis oleme vaadanud SandBlast Agendi võimalusi kasutaja masina teabe kaitsmiseks kettakodeerimisega Data Protection poliitika raames, õppinud poliitikate ja agentide levitamise seadistusi Deployment osas ning installinud kasutaja masinale uue poliitika koos kettakodeerimise reeglite ja täiendavate blade'idega. järgmises artiklis käsitleme üksikasjalikult logimise ja aruandluse võimalusi Management Platform'is ja SandBlast Agendi kliendis.

Suur kogumik materjale Check Pointi kohta TS Solutionilt. Et mitte jääda ilma SandBlast Agent Management Platform'i teemaga seotud järgmiste avalduste jälgimisest - jälgige meie sotsiaalmeedia uuendusi (Telegram, Facebook, VK, TS Solution Blog, Yandex.Zen).

Allikas: habr.com