Üdvözöljük a Check Point SandBlast Agent Management Platform megoldásairól szóló ciklus negyedik cikkében. Az előző cikkekben (, , ) részletesen bemutattuk a webes kezelői felületet és lehetőségeit, valamint áttekintettük a Threat Prevention politikát és teszteltük annak hatékonyságát különböző fenyegetések ellen. Ez a cikk a második biztonsági komponensnek, a Data Protection politikának szentelt, amely a felhasználói gépen tárolt adatok védelméért felelős. Ezen cikk keretein belül a Deployment és Global Policy Settings szakaszokat is megvizsgáljuk.
Data Protection Politika
A Data Protection politika lehetővé teszi, hogy a munkagépen tárolt adatokhoz csak az arra jogosult felhasználók férjenek hozzá, a teljes lemez titkosítási (Full Disk Encryption) és a rendszerindítás védelme (Boot Protection) funkciók révén. Jelenleg a következő lemeztitkosítási lehetőségek támogatottak: Windows esetén — Check Point Encryption vagy BitLocker Encryption, MacOS esetén — File Vault. Nézzük meg részletesebben minden lehetőség funkcióit és beállításait.
Check Point Encryption
A Check Point Encryption a Data Protection politika standard lemez titkosítási módszere, amely a rendszer összes fájlának (ideiglenes, rendszerfájlok, törölt fájlok) titkosítását biztosít háttérben, anélkül, hogy a felhasználói gép működését befolyásolná. A titkosítást követően a lemez hozzáférhetetlenné válik a jogosulatlan felhasználók számára.
A Check Point Encryption alapbeállítása a 'Enable Pre-boot', amely megköveteli a felhasználók hitelesítését az operációs rendszer betöltése előtt. Ezt az opciót javasolt használni, mivel megakadályozza a hitelesítést megkerülő eszközök alkalmazását az operációs rendszer szintjén. Ezen kívül lehetőség van az átmeneti megkerülési beállítások konfigurálására a Pre-boot funkciónál:
- Allow OS login after temporary bypass — a Pre-boot funkció letiltása és átkapcsolás az operációs rendszerben történő hitelesítésre;
- Allow pre-boot bypass (Wake On LAN – WOL) — a Pre-boot funkció letiltása az Etherneten keresztül a kezelő szerverhez csatlakozó számítógépeken;
- Allow bypass script — lehetővé teszi a Pre-boot funkció megkerülésének beállítását a megkerülési szkript indításának időpontjával és végpontjaival kapcsolatban;
- Allow LAN bypass — a Pre-boot funkció letiltása helyi hálózatra való csatlakozás esetén.
A fenti Pre-boot funkció ideiglenes megkerülési lehetőségeit nem ajánlott használni kifejezett ok nélkül (például technikai karbantartás vagy hibakeresés során), és a biztonság szempontjából a legjobb megoldás a Pre-boot funkció engedélyezése ideiglenes megkerülési szabályok megadása nélkül. Ha elkerülhetetlen a Pre-boot megkerülése, ajánlott a legszükségesebb ideiglenes keretek beállítása, hogy ne csökkentsük a védelmet hosszabb időre.
A Check Point Encryption használatakor lehetőség van a Data Protection politika kiterjesztett beállításainak konfigurálására is, például a titkosítási paraméterek rugalmasabb beállítására, a Pre-boot funkció és a Windows hitelesítés különböző aspektusainak konfigurálására.
BitLocker Encryption
A BitLocker része a Windows operációs rendszernek, és lehetővé teszi a merevlemezek és eltávolítható adathordozók titkosítását. A Check Point BitLocker Management a Windows szolgáltatásainak része, automatikusan elindul a SandBlast Agent klienssel együtt, és API-t használ a BitLocker technológia kezelésére.
Ha a BitLocker Encryption-t választja lemeztitkosítási módszerként a Data Protection politikában, az alábbi paraméterek állíthatók be:
- Initial Encryption — az elsődleges titkosítás beállításai, amelyek lehetővé teszik az egész lemez titkosítását (Encrypt entire drive), ami ajánlott már meglévő felhasználói adatokkal rendelkező gépek esetén (fájlok, dokumentumok stb.), vagy csak az adatok titkosítását (Encrypt used disk space only), ami javasolt új Windows telepítésekhez;
- Drives to encrypt — a titkosítandó lemezek/elválasztások kiválasztása, lehetővé teszi az összes lemez (All drives) vagy csak az operációs rendszert tartalmazó partíció titkosítását (OS drive only);
- Encryption algorithm — a titkosítási algoritmus kiválasztása, javasolt az Windows Default lehetőség, a XTS-AES-128 vagy XTS-AES-256 megadására is van lehetőség.
File Vault
A File Vault az Apple által biztosított standard titkosítási eszköz, amely lehetővé teszi a felhasználói számítógép adataihoz való hozzáférést csak az arra jogosult felhasználók számára. A File Vault telepítésekor a felhasználónak be kell írnia a jelszót a rendszer elindításához és a titkosított fájlokhoz való hozzáféréshez. A File Vault használata az egyetlen módja a tárolt adatok védelmének a Data Protection politikában a MacOS operációs rendszert használó felhasználók számára.
A File Vault-hoz elérhető a "Felhasználói akvizíció automatikus engedélyezése" beállítás, amely megköveteli a felhasználó azonosítását a lemez titkosítási folyamatának megkezdése előtt. Ha ez a funkció be van kapcsolva, megadható a felhasználók száma, akiknek azonosítaniuk kell magukat, mielőtt a SandBlast Agent alkalmazza a Pre-boot funkciót, vagy megadható a napok száma, amelynek elteltével a Pre-boot funkció automatikusan végrehajtásra kerül minden azonosított felhasználóra, ha ez idő alatt legalább egy felhasználó azonosította magát a rendszerben.
Adatok helyreállítása
Rendszerindítási problémák esetén különböző adathelyreállítási módszerek állnak rendelkezésre. A rendszergazda elindíthatja a titkosított adatok helyreállítási folyamatát a Számítógép-kezelés → Teljes lemeztitkosítási műveletek menüben. A Check Point titkosítás használata esetén a korábban titkosított lemez visszafejthető, és hozzáférés nyerhető minden tárolt fájlhoz. Ezt követően újra el kell indítani a lemez titkosítási folyamatát az Adatvédelem politikájának működéséhez.
Amikor a BitLocker-t választják lemez titkosítási módszerként az adatok helyreállításához, meg kell adni a problémás számítógép Recovery Key ID-ját a Recovery Key generálásához, amelyet a felhasználónak be kell írnia a titkosított lemez eléréséhez.
MacOS felhasználók számára, akik a File Vault-ot használják a tárolt információ védelmére, a helyreállítási folyamat abból áll, hogy a rendszergazda Recovery Key-t generál a problémás gép Serial Number alapjain, majd ezt a kulcsot beírja a jelszó visszaállítása után.
Telepítési politika
A megjelenése óta amely a webes kezelői konzol felületét tárgyalta, a Check Point számos változást hajtott végre a Telepítés szakaszban — most már vannak benne almappák: Szoftver telepítése, amelyben a konfigurációt (a bleydek engedélyezése/tiltása) állítják be a már telepített ügynökök számára, és az Export csomag, amelyben előre telepített bleydekkel rendelkező csomagok készíthetők a felhasználói gépekre történő további telepítéshez, például Active Directory csoportpolitikák segítségével. Tekintsük meg a Szoftver telepítése almappát, ahol az összes SandBlast Agent bleydet engedélyezik.
Tisztában vagyok vele, hogy az alapértelmezett telepítési politikában csak a Fenyegetésmegelőzés kategóriába tartozó blade-ek találhatók. Figyelembe véve a korábban tárgyalt Adatvédelmi politikát, most lehetőség van ennek a kategóriának az aktiválására a SandBlast Agent telepítéséhez és működéséhez a kliensgépen. Érdemes aktiválni a Távoli Hozzáférés VPN funkciót, amely lehetővé teszi a felhasználó számára, hogy például a vállalat informatikai hálózatához csatlakozzon, valamint az Hozzáférés és Megfelelőség kategóriát, amely tartalmazza a Tűzfal és Alkalmazásvezérlés funkciókat, valamint a felhasználói gép megfelelőségi politikával történő ellenőrzését.
Export csomag
Az Export Csomagok alosztály rendkívül egyszerűen használható: konfigurációs csomag létrehozásához meg kell adni a nevét, választani kell az operációs rendszert (Windows esetén a bitértékét is meg kell adni), valamint az ügynök verzióját, majd ki kell választani a csomagba integrált biztonsági politikákat. Továbbá megadható egy virtuális csoport, amelybe az adott csomaggal rendelkező számítógépek tartoznak, és választani kell egy VPN Helyet az előre beállított csatlakozási címmel és hitelesítési paraméterekkel (VPN Helyek az Export Csomagok → VPN Helyek kezelése részben állíthatók be). Az utolsó pont különösen kényelmes, mivel megszünteti a felhasználói hibák lehetőségét a VPN csatlakozási paraméterek konfigurálásakor.
Globális Politikai Beállítások
A Globális Politikai Beállításokban állítható be az egyik legfontosabb paraméter — a jelszó a SandBlast Agent eltávolításához a felhasználói gépről. Az ügynök telepítése után a felhasználó nem távolíthatja el anélkül, hogy megadná a jelszót, ami alapértelmezés szerint a "secret" (idézőjelek nélkül). Azonban ezt az alapértelmezett jelszót könnyen megtalálhatják nyilvános forrásokban, és a SandBlast Agent megoldás bevezetésekor ajánlott megváltoztatni az ügynök eltávolításához szükséges alapértelmezett jelszót. A Kezelési Platform esetében az alapértelmezett jelszó mellett a politikát legfeljebb 5 alkalommal állítható be, ezért a jelszó megváltoztatása elkerülhetetlen.
Ezen kívül a Globális Politikai Beállításokban a Check Point számára kiküldhető adatok paramétereit is beállítják az ThreatCloud szolgáltatás elemzése és működésének javítása érdekében.
A Globális Politikai Beállításokból kerülnek beállításra a lemez titkosítási politikájának egyes paraméterei is, például a jelszóra vonatkozó követelmények: bonyolultság, használati időtartam, a korábban használt jelszó alkalmazásának lehetősége és egyebek. Ebben a részben saját képek tölthetők fel a Pre-boot vagy OneCheck alapértelmezett képei helyett.
A politikák telepítése
A lehetőségek megismerése után a Data Protection politikával és a megfelelő beállítások konfigurálásával a Deployment szakaszban elindítható az új politika telepítése, amely tartalmazza a lemez titkosítását a Check Point Encryption segítségével, valamint a többi SandBlast Agent blade-et. A politika telepítése után a Management Platform értesítést küld a felhasználónak, hogy szükséges egy új verzió telepítése most vagy a telepítést egy másik időpontra halassza el (legfeljebb 2 nap).
A SandBlast Agent új politikájának letöltésével és telepítésével a felhasználó számára javasolt a számítógép újraindítása a Full Disk Encryption védelem aktiválása érdekében.
Az újraindítást követően a felhasználónak be kell írnia a Check Point Endpoint Security azonosító adatait az autentikációs ablakban — ez az ablak minden alkalommal megjelenik az operációs rendszer indítása előtt (Pre-boot). A Single Sign-On (SSO) opció is választható az azonosító adatok automatikus felhasználására a Windows autentikáció során.
Sikeres autentikáció esetén a felhasználó hozzáférést nyer a rendszeréhez, miközben hátul a lemez titkosítási folyamata zajlik. Ez a művelet nem befolyásolja a gép működését, és noha egy ideig eltarthat (a lemezterület méretétől függően), a folyamat befejeztével megbizonyosodhatunk arról, hogy minden blade aktív és működik, a lemez titkosítva van, és a felhasználói gép védett.
Zárás
Összefoglalva: a cikkben megvizsgáltuk a SandBlast Agent lehetőségeit a felhasználói gépen tárolt információk védelmére a lemez titkosítása révén a Data Protection politikában, áttekintettük a politikák és agentek elosztásának beállításait a Deployment szekcióban, valamint új politikát állítottunk be a lemez titkosítási szabályokkal és további blade-ekkel a felhasználói gépre. A következő cikkben részletesen foglalkozunk a logolás és jelentéskészítés lehetőségeivel a Management Platformon és a SandBlast Agent kliensben.
. Hogy ne maradjon le a SandBlast Agent Management Platform témakörébe vágó későbbi publikációkról — kövesse nyomon frissítéseinket közösségi média csatornáinkon (, , , , ).
Forrás: habr.com
