4. Платформа за управување со агенти за проверка на точката SandBlast. Политика за заштита на податоци. Поставки за распоредување и глобална политика

Добре дојдовте во четвртата статија од серијата за решението на Check Point SandBlast Agent Management Platform. Во претходните статии (прво, Вториот, трети) детално ги опишавме интерфејсот и можностите на конзолата за управување со веб, а исто така ја разгледавме политиката за спречување закани и ја тестиравме за да се спротивставиме на разни закани. Оваа статија е посветена на втората безбедносна компонента - политиката за заштита на податоци, која е одговорна за заштита на податоците зачувани на корисничката машина. Исто така, во оваа статија ќе ги разгледаме секциите Распоредување и Поставки за глобална политика.

Политика за заштита на податоци

Политиката за заштита на податоци ви овозможува да го ограничите пристапот до податоците складирани на работна станица на овластени корисници кои користат целосно шифрирање на дискот и заштита од стартување. Моментално се поддржани следниве опции за конфигурација на шифрирање на дискот: Windows — Check Point Encryption или BitLocker Encryption, за macOS — File Vault. Ајде подетално да ги разгледаме карактеристиките и поставките на секоја опција.

Проверете го шифрирањето на точката

Check Point Encryption е стандарден метод за шифрирање на дискот во политиката за заштита на податоци и обезбедува шифрирање на сите системски датотеки (привремени, системски, далечински) во позадина без да влијае на перформансите на корисничката машина. По шифрирањето, дискот станува недостапен за неовластени корисници.

Главната поставка за шифрирање на точка за проверка е „Овозможи пред-подигање“, што им овозможува на корисниците да бидат автентицирани пред да се подигне оперативниот систем. Оваа опција се препорачува за употреба, бидејќи ја спречува можноста за користење на алатки за бајпас за автентикација на ниво на оперативен систем. Исто така, можно е да се конфигурираат параметрите за привремен бајпас за функцијата Pre-boot:

• Дозволете најава за ОС по привремено заобиколување — оневозможување на функцијата Pre-boot и префрлување на автентикација во оперативниот систем;

• Дозволи бајпас пред подигање (Wake On LAN – WOL) — оневозможување на функцијата пред подигање на компјутери поврзани со серверот за управување преку етернет;

• Дозволи скрипта за заобиколување — ви овозможува да го конфигурирате бајпасот на функцијата Pre-boot, означувајќи го времето и датумот кога скриптата започнала да работи и параметрите за крајот на бајпасот за пред-подигање;

• Дозволи бајпас на LAN — оневозможете ја функцијата пред подигање кога се поврзувате на локална мрежа.

Горенаведените опции за привремен бајпас за Pre-boot не се препорачуваат освен ако постои очигледна причина (на пример, одржување или отстранување проблеми) и најдобро решение од безбедносна гледна точка е да се овозможи Pre-boot без да се специфицираат привремени правила за бајпас. Доколку е неопходно да се заобиколи Pre-boot, се препорачува да се постави минималната потребна временска рамка во параметрите за привремен бајпас за да не се намали нивото на заштита долго време.

Исто така, кога се користи Check Point Encryption, можно е да се конфигурираат напредни поставки на политиката за заштита на податоци, на пример, пофлексибилна конфигурација на параметрите за шифрирање, конфигурација на различни аспекти на функцијата Pre-boot и автентикација. Windows.

Енкрипција на BitLocker

BitLocker е дел од оперативниот систем. Windows и ви овозможува да шифрирате тврди дискови и преносливи медиуми. Check Point BitLocker Management е компонента на услугите Windows, работи автоматски со клиентот SandBlast Agent и користи API за управување со BitLocker технологијата.

Кога ќе изберете BitLocker Encryption како метод за шифрирање на дискот во политиката за заштита на податоци, можете да ги конфигурирате следните поставки:

• Почетна шифрирање — почетните поставки за шифрирање ви овозможуваат да го шифрирате целиот диск (Шифрирај го целиот диск), што се препорачува за машини со постоечки кориснички податоци (датотеки, документи итн.) или да шифрирате само податоци (Шифрирај само користен простор на дискот), што се препорачува за нови инсталации Windows;

• Дискови за шифрирање — избор на дискови/партиции за шифрирање, ви овозможува да ги шифрирате сите дискови (Сите дискови) или само партицијата со оперативниот систем (само погон за ОС);

• Алгоритам за шифрирање — избор на алгоритам за енкрипција, препорачаната опција е Windows Стандардно, можете да наведете и XTS-AES-128 или XTS-AES-256.

Сеф на датотеки

File Vault е стандардна алатка за шифрирање на Apple и гарантира дека само овластени корисници можат да пристапат до податоците на корисничкиот компјутер. Со инсталирано File Vault, корисникот мора да внесе лозинка за да го стартува системот и да добие пристап до шифрирани датотеки. Користењето на File Vault е единствениот начин да се обезбеди заштита на зачуваните податоци во политиката за заштита на податоци за корисниците на оперативниот систем MacOS.

За File Vault, поставката „Овозможи автоматско стекнување корисник“ е достапна, која бара овластување од корисникот пред да започне процесот на шифрирање на дискот. Ако оваа функција е овозможена, можно е да се одреди бројот на корисници кои мора да се логираат пред SandBlast Agent да ја примени функцијата пред подигање или да го одредите бројот на денови по кои функцијата за пред-подигање ќе се имплементира автоматски за сите овластени корисници доколку во овој период барем еден корисник се најавил на системот.

Враќање на податоци

Ако имате проблеми со подигање на системот, можете да користите различни методи за обновување податоци. Администраторот може да го иницира процесот на обновување на шифрирани податоци од делот Управување со компјутери → Дејства за шифрирање на целосни Дик. Ако користите Check Point Encryption, можете да дешифрирате претходно шифриран диск и да добиете пристап до сите зачувани датотеки. По оваа постапка, мора да го рестартирате процесот на шифрирање на дискот за да функционира политиката за заштита на податоци.

При изборот на BitLocker како метод за шифрирање на дискот за враќање на податоците, мора да го внесете ID на клучот за враќање на проблематичниот компјутер за да генерирате клуч за враќање, кој мора да го внесе корисникот за да добие пристап до шифрираниот диск.

За корисниците на MacOS кои користат File Vault за заштита на зачуваните информации, процесот на враќање вклучува администраторот да генерира клуч за враќање врз основа на серискиот број на проблематичната машина и да го внесе овој клуч, проследено со ресетирање на лозинката.

Политика за распоредување

Од моментот на ослободување втората статија, кој разговараше за интерфејсот на конзолата за веб-менаџмент, Check Point успеа да направи некои промени во делот Deployment - сега содржи потсекција Распоредување на софтвер, во која конфигурацијата (овозможување/оневозможување сечила) е конфигурирана за веќе инсталирани агенти, а потсекцијата Пакет за извоз, во кои можете да креирате пакети со претходно инсталирани сечила за понатамошна инсталација на кориснички машини, на пример, користејќи ги политиките на групата Active Directory. Ајде да ја погледнеме потсекцијата Распоредување на софтвер, која ги вклучува сите сечила на SandBlast Agent.

Дозволете ми да ве потсетам дека стандардната политика за распоредување вклучува само сечила во категоријата Превенција за закани. Земајќи ја предвид претходно дискутираната политика за заштита на податоци, сега можете да ја овозможите оваа категорија за инсталација и работа на клиентска машина со SandBlast Agent. Има смисла да се вклучи функцијата VPN Remote Access, која ќе му овозможи на корисникот да се поврзе, на пример, со корпоративната мрежа на организацијата, како и категоријата Пристап и усогласеност, која ги вклучува функциите Firewall & Application Control и проверка на корисничката машина за усогласеност со политиката за усогласеност.

Пакет за извоз

Подделот „Извоз на пакети“ е исклучително лесен за користење: за да креирате конфигурациски пакет, треба да го наведете неговото име, да го изберете оперативниот систем (на пр. Windows (Исто така, наведете ја длабочината на битови) и верзијата на агентот, а потоа изберете ги безбедносните политики вградени во пакетот. Можете исто така да наведете виртуелна група што ќе ги вклучува компјутерите со инсталиран пакет и да изберете VPN локација со претходно дефинирана адреса за поврзување и параметри за автентикација (VPN локациите се конфигурирани во Извоз пакети → Управување со VPN локации). Втората опција е особено погодна, бидејќи ја елиминира можноста за грешка на корисникот при конфигурирање на параметрите за VPN поврзување.

Поставки за глобална политика

Во Поставките за глобална политика, конфигуриран е еден од најважните параметри - лозинката за отстранување на SandBlast Agent од корисничката машина. Откако ќе се инсталира агентот, корисникот нема да може да го отстрани без да ја внесе лозинката, која стандардно е "тајна" (без наводници). Сепак, оваа стандардна лозинка е лесно да се најде во отворени извори и кога се имплементира решението SandBlast Agent, се препорачува да се смени стандардната лозинка за да се деинсталира агентот. Во платформата за управување, со стандардна лозинка, политиката може да се постави само 5 пати, така што менувањето на лозинката за деинсталирање е неизбежно.
Дополнително, „Global Policy Settings“ ги конфигурира параметрите на податоци што може да се испратат до Check Point за да се анализира и подобри работата на услугата ThreatCloud.

Од Поставките за глобална политика, можете исто така да конфигурирате некои параметри на политиката за шифрирање на дискот, имено барања за лозинка: сложеност, времетраење на употреба, можност за користење на претходно валидна лозинка итн. Во овој дел, можете да поставите свои слики наместо стандардните за Pre-boot или OneCheck.

Поставување на политиката

Откако се запознавте со можностите на Политиката за заштита на податоци и ги конфигуриравте соодветните поставки во делот Распоредување, можете да започнете со инсталирање на нова политика која вклучува шифрирање на дискот користејќи Check Point Encryption и други лопати на SandBlast Agent. По инсталирањето на политика во Платформата за управување, клиентот ќе добие порака со барање да ја инсталира новата верзија на политиката сега или да ја презакаже инсталацијата во друго време (најмногу 2 дена).

По преземањето и инсталирањето на новата политика, SandBlast Agent ќе го поттикне корисникот да го рестартира компјутерот за да овозможи заштита од шифрирање на целосно диск.

По рестартирањето, од корисникот ќе се бара да ги внесе своите акредитиви во прозорецот за автентикација на Check Point Endpoint Security. Овој прозорец ќе се појавува секој пат пред да се стартува оперативниот систем (пред стартување). Можно е да се избере опцијата Еднократно најавување (SSO) за автоматско користење на акредитивите за автентикација. Windows.

Ако автентикацијата е успешна, корисникот добива пристап до неговиот систем, а зад сцената започнува процесот на шифрирање на дискот. Оваа операција не влијае на перформансите на машината на кој било начин, иако може да продолжи долго време (во зависност од количината на простор на дискот). Откако ќе заврши процесот на шифрирање, можеме да потврдиме дека сите сечила се напојувани и функционираат, погонот е шифриран и машината на корисникот е безбедна.

Заклучок

Ајде да резимираме: во оваа статија ги разгледавме можностите на SandBlast Agent за заштита на информациите зачувани на машината на корисникот користејќи шифрирање на дискот во политиката за заштита на податоци, ги проучувавме поставките за дистрибуција на политики и агенти преку делот Распоредување и инсталиравме нова политика со диск правила за шифрирање и дополнителни сечила на машината на корисникот. Во следната статија од серијата, детално ќе ги разгледаме можностите за евиденција и известување во платформата за управување и клиентот SandBlast Agent.

Голем избор на материјали на Check Point од TS Solution. За да не ги пропуштите следните публикации на тема Платформа за управување со агенти SandBlast, следете ги ажурирањата на нашите социјални мрежи (Телеграма, Facebook, VK, Блог за TS Solution, Yandex Зен).

Извор: www.habr.com