Bem-vindo ao quarto artigo da série sobre a Plataforma de Gestão Check Point SandBlast Agent. Nos artigos anteriores (, , ) detalhamos a interface e as funcionalidades do console de gestão web, além de revisar a política de Prevenção de Ameaças e testá-la contra várias ameaças. Este artigo é dedicado ao segundo componente de segurança — a política de Proteção de Dados, que é responsável pela proteção dos dados armazenados na máquina do usuário. Também neste artigo, abordaremos as seções de Implantação e Configurações da Política Global.
Política de Proteção de Dados
A Política de Proteção de Dados permite configurar o acesso aos dados armazenados na máquina de trabalho apenas para usuários autorizados, utilizando recursos de criptografia total do disco (Full Disk Encryption) e proteção do processo de inicialização (Boot Protection). Até o momento, suportamos as seguintes opções de configuração de criptografia de disco: para Windows — Check Point Encryption ou BitLocker Encryption, para MacOS — File Vault. Vamos detalhar as funcionalidades e configurações de cada uma dessas opções.
Check Point Encryption
Check Point Encryption é o método padrão de criptografia de disco na política de Proteção de Dados e garante a criptografia de todos os arquivos do sistema (temporários, de sistema, excluídos) em segundo plano, sem afetar o funcionamento da máquina do usuário. Após a criptografia, o disco torna-se inacessível para usuários não autorizados.
A configuração principal para o Check Point Encryption é "Habilitar Pré-inicialização (Enable Pre-boot)", que exige a autenticação dos usuários antes da inicialização do sistema operacional. Esta opção é recomendada, pois evita a possibilidade de aplicação de métodos de contorno de autenticação no nível do sistema operacional. Também é possível configurar os parâmetros de contorno temporário para a função Pré-inicialização:
- Permitir login no SO após contorno temporário — desativação da função Pré-inicialização e transição para autenticação no sistema operacional;
- Permitir contorno pré-inicialização (Wake On LAN – WOL) — desativação da função pré-inicialização em computadores conectados ao servidor de gestão via Ethernet;
- Permitir script de contorno — permite configurar o contorno da função Pré-inicialização indicando o horário e a data de início do funcionamento do script e os parâmetros de término do contorno Pré-inicialização;
- Permitir contorno LAN — desativação da função pré-inicialização ao conectar-se à rede local.
As opções de bypass temporário da função Pre-boot mencionadas acima não são recomendadas sem razões explícitas (por exemplo, manutenção técnica ou solução de problemas), e a melhor solução em termos de segurança é ativar a função Pre-boot sem especificar regras de bypass temporárias. Se houver necessidade de contornar o Pre-boot, recomenda-se estabelecer os prazos mínimos necessários nas configurações de bypass temporário para não reduzir o nível de proteção por um longo período.
Além disso, ao usar a Criptografia Check Point, é possível configurar opções avançadas na política de Proteção de Dados, como configurar de forma mais flexível os parâmetros de criptografia, ajustar diversos aspectos da função Pre-boot e da autenticação do Windows.
Criptografia BitLocker
O BitLocker é parte do sistema operacional Windows e permite criptografar discos rígidos e mídias removíveis. A Gestão BitLocker da Check Point é um componente dos serviços do Windows, que inicia automaticamente junto com o cliente SandBlast Agent e utiliza a API para gerenciar a tecnologia BitLocker.
Ao escolher a Criptografia BitLocker como método de criptografia do disco na política de Proteção de Dados, é possível configurar os seguintes parâmetros:
- Criptografia Inicial — as configurações de criptografia inicial permitem criptografar todo o disco (Criptografar todo o disco), o que é recomendado para máquinas com dados de usuários já existentes (arquivos, documentos, etc.), ou criptografar apenas os dados (Criptografar apenas o espaço usado do disco), o que é recomendado para novas instalações do Windows;
- Discos a serem criptografados — a seleção de discos/seções para criptografia permite criptografar todos os discos (Todos os discos) ou apenas a partição com o sistema operacional (Apenas a partição do sistema operacional);
- Algoritmo de criptografia — a escolha do algoritmo de criptografia, sendo a opção recomendada o Padrão do Windows, também há a possibilidade de escolher XTS-AES-128 ou XTS-AES-256.
File Vault
O File Vault é a ferramenta de criptografia padrão da Apple, que garante acesso aos dados do computador do usuário apenas a usuários autorizados. Com o File Vault ativado, o usuário precisa inserir uma senha para iniciar o sistema e acessar os arquivos criptografados. O uso do File Vault é a única maneira de garantir a proteção dos dados armazenados na política de Proteção de Dados para usuários do sistema operacional MacOS.
Para o File Vault, a configuração "Habilitar aquisição automática de usuários" exige a autorização do usuário antes do início do processo de criptografia do disco. Se essa função estiver ativada, é possível indicar o número de usuários que devem se autorizar antes que o SandBlast Agent aplique a função Pre-boot, ou especificar o número de dias após os quais a função Pre-boot será implementada automaticamente para todos os usuários autorizados, caso neste período pelo menos um usuário tenha se autorizado no sistema.
Recuperação de dados
Se houver problemas com a inicialização do sistema, é possível utilizar vários métodos de recuperação de dados. O administrador pode iniciar o processo de recuperação de dados criptografados na seção Gerenciamento de Computador → Ações de Criptografia de Disco Completo. No caso de usar a Criptografia Check Point, é possível descriptografar o disco anteriormente criptografado e acessar todos os arquivos armazenados. Após este procedimento, é necessário reiniciar o processo de criptografia do disco para aplicar a política de Proteção de Dados.
Ao selecionar o BitLocker como o método de criptografia do disco para recuperação de dados, é necessário inserir o ID da Chave de Recuperação do computador problemático para gerar a Chave de Recuperação, que deve ser inserida pelo usuário para acessar o disco criptografado.
Para usuários do MacOS que utilizam o File Vault para proteger informações armazenadas, o processo de recuperação consiste na geração, pelo administrador, da Chave de Recuperação com base no Número de Série da máquina problemáticas, e na inserção dessa chave, seguido do reset da senha.
Política de Implantação
Desde o lançamento , que analisava a interface da console web de gerenciamento, a Check Point conseguiu fazer algumas mudanças na seção de Implantação — agora ela conta com a sub-seção Implantação de Software, na qual é configurada a configuração (ativação/desativação de blades) para os agentes já instalados, e a sub-seção Pacote de Exportação, onde é possível criar pacotes com blades pré-instalados para instalação posterior em máquinas de usuários, por exemplo, usando políticas de grupo do Active Directory. Vamos examinar a sub-seção Implantação de Software, onde todas as blades do SandBlast Agent são ativadas.
Lembro que na política padrão de Deployment estão incluídos apenas blades da categoria Threat Prevention. Considerando a política de Data Protection discutida anteriormente, agora é possível incluir essa categoria para instalação e operação na máquina do cliente com o SandBlast Agent. Faz sentido ativar a função Remote Access VPN, que permitirá ao usuário conectar-se, por exemplo, à rede corporativa da organização, além da categoria Access and Compliance, que inclui as funções Firewall & Application Control e a verificação da máquina do usuário quanto à conformidade com a política de Compliance.
Pacote de Exportação
A seção Export Packages é extremamente simples de usar: para criar um pacote de configuração, é necessário informar seu nome, escolher o sistema operacional (para Windows, também indicar a arquitetura) e a versão do agente, após o que se escolhem as políticas de segurança integradas ao pacote. Além disso, pode-se indicar um grupo virtual que incluirá os computadores com o pacote instalado, bem como selecionar um VPN Site com o endereço de conexão e as configurações de autenticação pré-instaladas (VPN Sites são configurados na seção Export Packages → Manage VPN Sites). Este último item é especialmente conveniente, pois elimina a chance de erro do usuário ao configurar os parâmetros de conexão via VPN.
Configurações da Política Global
Nas configurações das Configurações da Política Global, define-se um dos parâmetros mais importantes — a senha para remover o SandBlast Agent da máquina do usuário. Após a instalação do agente, o usuário não conseguirá removê-lo sem a entrada da senha, que por padrão é a palavra "secret" (sem aspas). No entanto, essa senha padrão pode ser facilmente encontrada em fontes abertas, e ao implementar a solução SandBlast Agent, recomenda-se mudar a senha padrão para remover o agente. Na Management Platform, com a senha padrão, a política só pode ser aplicada 5 vezes, portanto, a troca da senha para remoção é inevitável.
Além disso, nas Configurações da Política Global, são definidas as opções de dados que podem ser enviadas ao Check Point para análise e melhoria do serviço ThreatCloud.
Nas Configurações da Política Global, também são configurados alguns parâmetros da política de criptografia de disco, ou seja, requisitos para a senha: complexidade, duração de uso, possibilidade de usar uma senha anteriormente válida e outros. Nesta seção, é possível carregar suas próprias imagens em vez das padrão para Pre-boot ou OneCheck.
Instalação da política
Após familiarizar-se com as capacidades da política de Proteção de Dados e configurar os parâmetros apropriados na seção de Implantação, você pode prosseguir com a instalação de uma nova política, que inclui a criptografia do disco usando o Check Point Encryption e outros blades do SandBlast Agent. Após a instalação da política na Management Platform, o cliente receberá uma notificação sobre a necessidade de instalar a nova versão da política agora ou adiar a instalação para outro momento (máximo de 2 dias).
Após o download e a instalação da nova política, o SandBlast Agent sugerirá ao usuário reiniciar o computador para ativar a proteção de Criptografia de Disco Completo.
Após a reinicialização, o usuário precisará inserir suas credenciais na janela de autenticação do Check Point Endpoint Security — esta janela aparecerá sempre antes do início do sistema operacional (Pre-boot). Há a opção de escolher o recurso de Single Sign-On (SSO) para uso automático das credenciais durante a autenticação no Windows.
Em caso de autenticação bem-sucedida, o usuário tem acesso ao seu sistema, enquanto um processo de criptografia do disco começa em segundo plano. Esta operação não afeta a funcionalidade da máquina, embora possa durar um tempo considerável (dependendo do espaço em disco). Após a conclusão do processo de criptografia, podemos verificar se todos os blades estão ativados e funcionando, se o disco está criptografado e se a máquina do usuário está protegida.
Conclusão
Em resumo: neste artigo, analisamos as capacidades do SandBlast Agent para proteger as informações armazenadas na máquina do usuário por meio da criptografia do disco na política de Proteção de Dados, examinamos as configurações de distribuição de políticas e agentes na seção de Implantação e instalamos uma nova política com regras de criptografia de disco e blades adicionais na máquina do usuário. No próximo artigo da série, vamos explorar detalhadamente as capacidades de registro e relatórios na Management Platform e no cliente SandBlast Agent.
. Para não perder as próximas publicações sobre o tema SandBlast Agent Management Platform — acompanhe as atualizações em nossas redes sociais (, , , , ).
Fonte: habr.com
