Benvenuti al quarto articolo del ciclo sulla soluzione Check Point SandBlast Agent Management Platform. Negli articoli precedenti (, , ) abbiamo descritto in dettaglio l'interfaccia e le funzionalità della console di gestione web, nonché esaminato la politica di Threat Prevention e testato la sua efficacia contro varie minacce. Questo articolo è dedicato al secondo componente di sicurezza: la politica di Data Protection, responsabile della protezione dei dati memorizzati sulla macchina dell'utente. Inoltre, in questo articolo esamineremo le sezioni Deployment e Global Policy Settings.
Politica di Data Protection
La Politica di Data Protection consente di impostare l'accesso ai dati memorizzati sulla macchina di lavoro solo agli utenti autorizzati, utilizzando le funzionalità di crittografia completa del disco (Full Disk Encryption) e di protezione del processo di avvio (Boot Protection). Al momento sono supportate le seguenti opzioni di crittografia del disco: per Windows — Check Point Encryption o BitLocker Encryption, per MacOS — File Vault. Esaminiamo più nel dettaglio le opzioni e le impostazioni di ciascuna di esse.
Check Point Encryption
Check Point Encryption è il metodo standard di crittografia del disco nella politica di Data Protection e garantisce la crittografia di tutti i file di sistema (temporanei, di sistema, rimossi) in background senza influire sul funzionamento della macchina dell'utente. Dopo la crittografia, il disco diventa inaccessibile agli utenti non autorizzati.
La configurazione principale per Check Point Encryption è "Abilita Pre-boot", che richiede l'autenticazione degli utenti prima del caricamento del sistema operativo. Questa opzione è consigliata in quanto previene la possibilità di utilizzare mezzi per eludere l'autenticazione a livello di sistema operativo. È anche possibile configurare i parametri per l'aggiramento temporaneo per la funzione Pre-boot:
- Consenti accesso al sistema operativo dopo bypass temporaneo — disabilitazione della funzione Pre-boot e passaggio all'autenticazione nel sistema operativo;
- Consenti bypass pre-boot (Wake On LAN – WOL) — disabilitazione della funzione pre-boot sui computer connessi al server di gestione tramite Ethernet;
- Consenti script di bypass — consente di configurare l'aggiramento della funzione Pre-boot specificando l'orario e la data di inizio del funzionamento dello script e i parametri di fine bypass Pre-boot;
- Consenti bypass LAN — disattivazione della funzione pre-avvio quando connessi alla rete locale.
Le opzioni elencate sopra per il bypass temporaneo della funzione Pre-avvio non sono consigliate senza motivazioni chiare (ad esempio, lavori tecnici o risoluzione dei problemi) e la soluzione migliore in termini di sicurezza è mantenere attiva la funzione Pre-avvio senza specificare regole di bypass temporanee. In caso di necessità di bypassare Pre-avvio, si raccomanda di impostare le finestre temporali minime necessarie nelle impostazioni di bypass temporaneo, per non ridurre il livello di protezione per un periodo prolungato.
Inoltre, utilizzando Check Point Encryption, è possibile configurare impostazioni avanzate della politica di Data Protection, ad esempio configurare in modo più flessibile i parametri di crittografia e personalizzare vari aspetti della funzione Pre-avvio e dell'autenticazione di Windows.
BitLocker Encryption
BitLocker è parte del sistema operativo Windows e consente di crittografare dischi rigidi e supporti rimovibili. La gestione di BitLocker di Check Point è un componente dei servizi Windows, avviato automaticamente insieme al client SandBlast Agent e utilizza l'API per gestire la tecnologia BitLocker.
Se scegli BitLocker Encryption come metodo di crittografia del disco nella politica di Data Protection, puoi configurare le seguenti opzioni:
- Crittografia iniziale — le impostazioni per la crittografia iniziale consentono di crittografare l'intero disco (Encrypt entire drive), consigliato per i dispositivi con dati utente già esistenti (file, documenti e altro), oppure di crittografare solo i dati (Encrypt used disk space only), consigliato per nuove installazioni di Windows;
- Unità da crittografare — selezione delle unità / partizioni da crittografare, consente di crittografare tutte le unità (All drives) o solo la partizione con il sistema operativo (OS drive only);
- Algoritmo di crittografia — selezione dell'algoritmo di crittografia, il raccomandato è l'opzione Windows Default, è anche possibile specificare XTS-AES-128 o XTS-AES-256.
File Vault
File Vault è lo strumento standard di crittografia di Apple e garantisce l'accesso ai dati del computer solo agli utenti autorizzati. Con File Vault attivato, l'utente deve inserire una password per avviare il sistema e accedere ai file crittografati. L'utilizzo di File Vault è l'unico modo per garantire la protezione dei dati memorizzati nelle politiche di protezione dei dati per gli utenti del sistema operativo MacOS.
Per File Vault è disponibile l'impostazione «Enable automatic user acquisition», che richiede l'autorizzazione dell'utente prima dell'inizio del processo di crittografia del disco. Se questa funzione è abilitata, è possibile specificare il numero di utenti che devono autorizzarsi prima che SandBlast Agent applichi la funzione Pre-boot, oppure specificare il numero di giorni dopo i quali la funzione Pre-boot verrà automaticamente implementata per tutti gli utenti autorizzati, se almeno un utente si è autorizzato nel sistema durante questo periodo.
Recupero dei dati
In caso di problemi con il caricamento del sistema, esistono vari metodi per il ripristino dei dati. L'amministratore può avviare il processo di recupero dei dati crittografati dalla sezione Gestione computer → Azioni di crittografia del disco completo. Se si utilizza Check Point Encryption, è possibile decrittografare il disco precedentemente crittografato e accedere a tutti i file memorizzati. Dopo questa procedura, è necessario riavviare il processo di crittografia del disco per applicare la politica di protezione dei dati.
Quando si sceglie BitLocker come metodo di crittografia del disco per il recupero dei dati, è necessario inserire l'ID del Recovery Key del computer problematico per generare la Recovery Key, che deve essere inserita dall'utente per accedere al disco crittografato.
Per gli utenti MacOS che utilizzano File Vault per proteggere le informazioni memorizzate, il processo di recupero consiste nella generazione da parte dell'amministratore della Recovery Key basata sul numero di serie della macchina problematica e nell'immissione di questa chiave con successivo reset della password.
Politica di distribuzione
Dalla pubblicazione , in cui è stata esaminata l'interfaccia della console web di gestione, Check Point ha già apportato alcune modifiche alla sezione Deployment: ora presenta una sottosezione Software Deployment, in cui viene configurata la configurazione (attivazione/disattivazione dei blade) per gli agenti già installati, e la sottosezione Export Package, in cui è possibile creare pacchetti con blade preinstallati per una successiva installazione su macchine utente, ad esempio utilizzando le politiche di gruppo di Active Directory. Esaminiamo la sottosezione Software Deployment, in cui vengono attivati tutti i blade del SandBlast Agent.
Ricordo che nella politica standard di Deployment sono inclusi solo i blade della categoria Threat Prevention. Considerando la politica di Data Protection esaminata in precedenza, ora è possibile includere questa categoria per l'installazione e il funzionamento sulla macchina client con il SandBlast Agent. Ha senso attivare la funzione Remote Access VPN, che consentirà all'utente di connettersi, ad esempio, alla rete aziendale dell'organizzazione, oltre alla categoria Access and Compliance, che include le funzioni Firewall & Application Control e il controllo della conformità della macchina utente alle politiche di Compliance.
Export Package
La sezione Export Packages è estremamente semplice da utilizzare: per creare un pacchetto di configurazione è necessario specificarne il nome, selezionare il sistema operativo (per Windows è necessario anche indicare l'architettura) e la versione dell'agente, dopo di che è possibile selezionare le politiche di sicurezza integrate nel pacchetto. Inoltre, è possibile specificare un gruppo virtuale che includerà i computer su cui sarà installato il pacchetto, oltre a scegliere un VPN Site con indirizzi di connessione preimpostati e parametri di autenticazione (i VPN Site possono essere configurati nella sezione Export Packages → Manage VPN Sites). Quest'ultima opzione è particolarmente utile poiché elimina la possibilità di errore da parte dell'utente nella configurazione dei parametri di connessione via VPN.
Impostazioni della Politica Globale
Nelle impostazioni delle Impostazioni della Politica Globale si configura uno dei parametri più importanti: la password per rimuovere il SandBlast Agent dalla macchina dell'utente. Dopo l'installazione dell'agente, l'utente non potrà rimuoverlo senza inserire la password, che per impostazione predefinita è la parola "segreto" (senza virgolette). Tuttavia, questa password standard è facilmente reperibile in fonti pubbliche, pertanto si raccomanda di cambiare la password standard per la rimozione dell'agente quando si implementa la soluzione SandBlast Agent. Nella Management Platform, con la password standard, è possibile impostare la politica solo 5 volte, quindi il cambio della password per la rimozione è inevitabile.
Inoltre, nelle Impostazioni della Politica Globale si configurano le impostazioni dei dati che possono essere inviati a Check Point per l'analisi e il miglioramento del servizio ThreatCloud.
Dalle Impostazioni della Politica Globale si configurano anche alcune impostazioni relative alla politica di crittografia del disco, in particolare i requisiti per la password: complessità, durata d'uso, possibilità di utilizzare una password precedentemente valida, e altro ancora. In questa sezione è possibile caricare immagini personalizzate al posto di quelle standard per Pre-boot o OneCheck.
Impostazione della politica
Dopo aver esaminato le funzionalità della policy di Data Protection e aver impostato i parametri necessari nella sezione Deployment, è possibile procedere con l'installazione della nuova policy, che include la crittografia del disco tramite Check Point Encryption e gli altri blade di SandBlast Agent. Una volta installata la policy nella Management Platform, il cliente riceverà un messaggio che richiede di installare la nuova versione della policy ora o di posticipare l'installazione a un altro momento (massimo 2 giorni).
Completato il download e l'installazione della nuova policy, SandBlast Agent suggerirà all'utente di riavviare il computer per attivare la protezione Full Disk Encryption.
Dopo il riavvio, l'utente dovrà inserire le proprie credenziali nella finestra di autenticazione di Check Point Endpoint Security — questa finestra apparirà ogni volta prima dell'avvio del sistema operativo (Pre-boot). È possibile scegliere l'opzione Single Sign-On (SSO) per utilizzare automaticamente le credenziali durante l'autenticazione in Windows.
In caso di autenticazione riuscita, l'utente ottiene accesso al proprio sistema e in background inizia il processo di crittografia del disco. Questa operazione non influisce sul funzionamento della macchina, sebbene possa durare a lungo (a seconda delle dimensioni dello spazio su disco). Al termine del processo di crittografia, possiamo assicurarci che tutti i blade siano accesi e funzionanti, il disco sia crittografato e la macchina dell'utente sia protetta.
Conclusione
Ricapitolando: in questo articolo abbiamo esaminato le funzionalità di SandBlast Agent per la protezione delle informazioni memorizzate sulla macchina dell'utente attraverso la crittografia del disco nella politica di Data Protection, abbiamo studiato le impostazioni di distribuzione delle politiche e degli agenti nella sezione Deployment e abbiamo installato una nuova politica con regole per la crittografia del disco e blade aggiuntivi sulla macchina dell'utente. Nel prossimo articolo della serie, esamineremo in dettaglio le possibilità di registrazione e reportistica nella Management Platform e nel client SandBlast Agent.
. Per non perdere i prossimi aggiornamenti sulla SandBlast Agent Management Platform, segui gli aggiornamenti sui nostri social media (, , , , ).
Fonte: habr.com
