4. פלטפורמת ניהול סוכנים של צ'ק פוינט SandBlast. מדיניות הגנת מידע. הגדרות פריסה ומדיניות גלובלית

ברוכים הבאים למאמר הרביעי בסדרה על פתרון פלטפורמת ניהול הסוכן של צ'ק פוינט SandBlast. במאמרים קודמים (הראשון, שני, שלישי) תיארנו בפירוט את הממשק והיכולות של מסוף ניהול האינטרנט, וכן סקרנו את מדיניות מניעת האיומים ובדקנו אותה כדי להתמודד עם איומים שונים. מאמר זה מוקדש למרכיב האבטחה השני - מדיניות הגנת המידע, האחראית על הגנה על נתונים המאוחסנים במחשב המשתמש. גם במאמר זה נבחן את הסעיפים פריסה והגדרות מדיניות גלובלית.

מדיניות הגנת מידע

מדיניות הגנת הנתונים מאפשרת לך להגביל את הגישה לנתונים המאוחסנים בתחנת עבודה למשתמשים מורשים באמצעות הצפנת דיסק מלאה והגנת אתחול. אפשרויות תצורת הצפנת הדיסק הבאות נתמכות כעת: Windows — הצפנת Check Point או הצפנת BitLocker, עבור macOS — כספת קבצים. בואו נבחן מקרוב את התכונות וההגדרות של כל אפשרות.

הצפנת צ'ק פוינט

הצפנת צ'ק פוינט היא שיטת הצפנת דיסק סטנדרטית במדיניות הגנת מידע ומספקת הצפנה של כל קבצי המערכת (זמניים, מערכתיים, מרחוק) ברקע מבלי להשפיע על הביצועים של מחשב המשתמש. לאחר ההצפנה, הדיסק הופך לבלתי נגיש למשתמשים לא מורשים.

ההגדרה העיקרית של הצפנת צ'ק פוינט היא "אפשר אתחול מראש", המאפשרת את הדרישה ממשתמשים לעבור אימות לפני אתחול מערכת ההפעלה. אפשרות זו מומלצת לשימוש, מכיוון שהיא מונעת את האפשרות להשתמש בכלים לעקוף אימות ברמת מערכת ההפעלה. אפשר גם להגדיר פרמטרים מעקפים זמניים עבור פונקציית Pre-boot:

• אפשר כניסה למערכת ההפעלה לאחר מעקף זמני - השבתת פונקציית Pre-boot ומעבר לאימות במערכת ההפעלה;

• אפשר מעקף לפני אתחול (Wake On LAN - WOL) - השבתת פונקציית האתחול מראש במחשבים המחוברים לשרת הניהול באמצעות Ethernet;

• אפשר סקריפט עוקף — מאפשר לך להגדיר את המעקף של פונקציית Pre-boot, תוך ציון השעה והתאריך שבו הסקריפט התחיל לרוץ ואת הפרמטרים לסיום מעקף Pre-boot;

• אפשר עקיפת LAN - השבת את פונקציית האתחול לפני חיבור לרשת מקומית.

אפשרויות המעקף הזמניות לעיל עבור Pre-boot אינן מומלצות אלא אם כן יש סיבה ברורה (לדוגמה, תחזוקה או פתרון בעיות), והפתרון הטוב ביותר מנקודת מבט אבטחה הוא לאפשר Pre-boot מבלי לציין כללי עקיפה זמניים. אם יש צורך לעקוף את Pre-boot, מומלץ להגדיר את מסגרת הזמן המינימלית הנדרשת בפרמטרי העקיפה הזמניים כדי לא להפחית את רמת ההגנה לאורך זמן.

כמו כן, בעת שימוש בהצפנת Check Point, ניתן לקבוע הגדרות מתקדמות של מדיניות הגנת הנתונים, לדוגמה, תצורה גמישה יותר של פרמטרי הצפנה, תצורה של היבטים שונים של פונקציית Pre-boot ואימות. Windows.

הצפנת BitLocker

BitLocker הוא חלק ממערכת ההפעלה. Windows ומאפשר לך להצפין כוננים קשיחים ומדיה נשלפת. ניהול BitLocker של Check Point הוא רכיב של השירותים Windows, פועל באופן אוטומטי עם לקוח SandBlast Agent ומשתמש ב-API לניהול טכנולוגיית BitLocker.

כאשר אתה בוחר בהצפנת BitLocker כשיטת הצפנת הכונן במדיניות הגנת נתונים, תוכל להגדיר את ההגדרות הבאות:

• הצפנה ראשונית — הגדרות הצפנה ראשוניות מאפשרות לך להצפין את כל הכונן (הצפן את כל הכונן), דבר המומלץ למכונות עם נתוני משתמש קיימים (קבצים, מסמכים וכו'), או להצפין רק נתונים (הצפן רק שטח דיסק משומש), דבר המומלץ להתקנות חדשות. Windows;

• כוננים להצפנה — בחירת דיסקים/מחיצות להצפנה, מאפשרת לך להצפין את כל הכוננים (כל הכוננים) או רק את המחיצה עם מערכת ההפעלה (כונן OS בלבד);

• אלגוריתם הצפנה — בחירת אלגוריתם הצפנה, האפשרות המומלצת היא Windows כברירת מחדל, ניתן גם לציין XTS-AES-128 או XTS-AES-256.

כספת קבצים

File Vault הוא כלי ההצפנה הסטנדרטי של אפל ומבטיח שרק משתמשים מורשים יכולים לגשת לנתוני מחשב המשתמש. כאשר כספת הקבצים מותקנת, המשתמש חייב להזין סיסמה כדי להפעיל את המערכת ולקבל גישה לקבצים מוצפנים. השימוש ב-File Vault הוא הדרך היחידה להבטיח הגנה על נתונים מאוחסנים במדיניות הגנת נתונים עבור משתמשי מערכת ההפעלה MacOS.

עבור כספת קבצים, ההגדרה "אפשר רכישת משתמש אוטומטית" זמינה, הדורשת הרשאת משתמש לפני תחילת תהליך הצפנת הדיסק. אם תכונה זו מופעלת, ניתן לציין את מספר המשתמשים שחייבים להיכנס לפני ש-SandBlast Agent יחיל את תכונת Pre-boot, או לציין את מספר הימים שאחריהם תכונת Pre-boot תיושם אוטומטית עבור כל המשתמשים המורשים אם במהלך תקופה זו לפחות משתמש אחד נכנס למערכת.

שחזור נתונים

אם יש לך בעיות באתחול המערכת שלך, תוכל להשתמש בשיטות שונות לשחזור נתונים. המנהל יכול להתחיל בתהליך של שחזור נתונים מוצפנים מהקטע ניהול מחשב ← פעולות הצפנת דיק מלאות. אם אתה משתמש בהצפנת צ'ק פוינט, תוכל לפענח דיסק שהוצפן בעבר ולקבל גישה לכל הקבצים המאוחסנים. לאחר הליך זה, עליך להפעיל מחדש את תהליך הצפנת הדיסק כדי שמדיניות הגנת הנתונים תפעל.

בעת בחירת BitLocker כשיטת הצפנת דיסק לשחזור נתונים, עליך להזין את מזהה מפתח השחזור של המחשב הבעייתי כדי ליצור מפתח שחזור, אותו חייב להזין המשתמש כדי לקבל גישה לדיסק המוצפן.

עבור משתמשי MacOS המשתמשים ב-File Vault כדי להגן על מידע מאוחסן, תהליך השחזור כולל שהמנהלן יוצר מפתח שחזור המבוסס על המספר הסידורי של המחשב הבעייתי ומזין מפתח זה, ולאחר מכן איפוס הסיסמה.

מדיניות פריסה

מאז השחרור מאמר שני, שדן בממשק של מסוף ניהול האינטרנט, צ'ק פוינט הצליחה לבצע כמה שינויים בסעיף ה-Deployment - כעת הוא מכיל תת-סעיף פריסת תוכנה, שבו התצורה (הפעלה/השבתה של להבים) מוגדרת עבור סוכנים שכבר מותקנים, והסעיף המשנה חבילת יצוא, שבהן תוכל ליצור חבילות עם להבים מותקנים מראש להתקנה נוספת במחשבי משתמש, למשל, באמצעות מדיניות קבוצתית של Active Directory. הבה נסתכל על סעיף המשנה של פריסת תוכנה, הכולל את כל להבי SandBlast Agent.

הרשו לי להזכיר לכם שמדיניות הפריסה הסטנדרטית כוללת רק להבים בקטגוריית מניעת איומים. בהתחשב במדיניות הגנת נתונים שנדונה בעבר, כעת תוכל להפעיל קטגוריה זו להתקנה ותפעול במחשב לקוח עם SandBlast Agent. הגיוני לכלול את פונקציית ה-VPN של גישה מרחוק, שתאפשר למשתמש להתחבר, למשל, לרשת הארגונית של הארגון, וכן את קטגוריית Access and Compliance, הכוללת את פונקציות Firewall & Application Control ובדיקת מחשב המשתמש לעמידה במדיניות הציות.

חבילת יצוא

סעיף היצוא של חבילות קל ביותר לשימוש: כדי ליצור חבילת תצורה, עליך לציין את שמה, לבחור את מערכת ההפעלה (לדוגמה Windows (ציינו גם את עומק הסיביות) ואת גרסת הסוכן, לאחר מכן בחרו את מדיניות האבטחה המוטמעת בחבילה. ניתן גם לציין קבוצה וירטואלית שתכלול מחשבים שבהם החבילה מותקנת, ולבחור אתר VPN עם כתובת חיבור ופרמטרי אימות מוגדרים מראש (אתרי VPN מוגדרים תחת ייצוא חבילות → ניהול אתרי VPN). האפשרות האחרונה נוחה במיוחד, מכיוון שהיא מבטלת את האפשרות של שגיאות משתמש בעת הגדרת פרמטרי חיבור VPN.

הגדרות מדיניות גלובלית

בהגדרות המדיניות הגלובלית, מוגדר אחד הפרמטרים החשובים ביותר - הסיסמה להסרת SandBlast Agent ממחשב המשתמש. לאחר התקנת הסוכן, המשתמש לא יוכל להסיר אותו מבלי להזין את הסיסמה, אשר כברירת מחדל היא "סוד" (ללא מרכאות). עם זאת קל למצוא את הסיסמה הסטנדרטית הזו במקורות פתוחים, ובעת הטמעת פתרון SandBlast Agent מומלץ לשנות את הסיסמה הסטנדרטית להסרת הסוכן. ב-Management Platform, עם סיסמה סטנדרטית, ניתן להגדיר מדיניות רק 5 פעמים, כך ששינוי הסיסמה כדי להסירה הוא בלתי נמנע.
בנוסף, Global Policy Settings מגדירים פרמטרים של נתונים שניתן לשלוח לצ'ק פוינט כדי לנתח ולשפר את פעולת שירות ThreatCloud.

מהגדרות מדיניות גלובליות תוכל גם להגדיר כמה פרמטרים של מדיניות הצפנת דיסק, כלומר דרישות סיסמה: מורכבות, משך השימוש, היכולת להשתמש בסיסמה חוקית בעבר וכו'. בחלק זה, אתה יכול להעלות תמונות משלך במקום אלה הסטנדרטיות עבור Pre-boot או OneCheck.

קביעת המדיניות

לאחר היכרות עם היכולות של מדיניות הגנת הנתונים והגדרת ההגדרות המתאימות בסעיף הפריסה, תוכל להתחיל בהתקנת מדיניות חדשה הכוללת הצפנת דיסק באמצעות הצפנת צ'ק פוינט ושאר להבי SandBlast Agent. לאחר התקנת מדיניות בפלטפורמת הניהול, הלקוח יקבל הודעה המבקשת ממנו להתקין את הגרסה החדשה של המדיניות כעת או לתזמן מחדש את ההתקנה למועד אחר (מקסימום יומיים).

לאחר הורדה והתקנה של המדיניות החדשה, SandBlast Agent יבקש מהמשתמש להפעיל מחדש את המחשב כדי להפעיל הגנת הצפנת דיסק מלאה.

לאחר אתחול מחדש, המשתמש יידרש להזין את פרטי הגישה שלו בחלון האימות של Check Point Endpoint Security. חלון זה יופיע בכל פעם לפני הפעלת מערכת ההפעלה (Pre-boot). ניתן לבחור באפשרות Single Sign-On (SSO) כדי להשתמש באופן אוטומטי באישורים לצורך אימות. Windows.

אם האימות מצליח, המשתמש מקבל גישה למערכת שלו, ומאחורי הקלעים מתחיל תהליך הצפנת הדיסק. פעולה זו אינה משפיעה בשום צורה על ביצועי המכונה, אם כי היא יכולה להימשך זמן רב (תלוי בכמות שטח הדיסק). לאחר השלמת תהליך ההצפנה, נוכל לוודא שכל הלהבים מופעלים ומתפקדים, הכונן מוצפן והמכונה של המשתמש מאובטחת.

מסקנה

בואו נסכם: במאמר זה בדקנו את היכולות של SandBlast Agent להגן על מידע המאוחסן במחשב המשתמש באמצעות הצפנת דיסק במדיניות הגנת נתונים, למדנו את ההגדרות להפצת מדיניות וסוכנים דרך סעיף Deployment והתקנו מדיניות חדשה עם דיסק כללי הצפנה ולהבים נוספים במחשב של המשתמש. במאמר הבא בסדרה, נתייחס מפורט ליכולות הרישום והדיווח בפלטפורמת הניהול ובלקוח SandBlast Agent.

מבחר גדול של חומרים בצ'ק פוינט מבית TS Solution. כדי לא לפספס את הפרסומים הבאים בנושא SandBlast Agent Management Platform, עקבו אחר העדכונים ברשתות החברתיות שלנו (טלגרם, פייסבוק, VK, בלוג פתרונות TS, יאנדקס זן).

מקור: www.habr.com