Vitajte pri štvrtej časti cyklu o riešení Check Point SandBlast Agent Management Platform. V predchádzajúcich článkoch (, , ) sme podrobne opísali rozhranie a možnosti webovej konzoly pre správu, ako aj preskúmali politiku prevencie hrozieb a testovali jej schopnosti proti rôznym hrozbám. Tento článok je venovaný druhému komponentu zabezpečenia — politike ochrany údajov, ktorá zodpovedá za ochranu dát uložených na používateľskom zariadení. V rámci tohto článku si tiež prejdeme sekcie nasadenia a globálnych nastavení politiky.
Politika ochrany údajov
Politika ochrany údajov umožňuje nastaviť prístup k datám uloženým na pracovnom zariadení iba autorizovaným používateľom, pričom využíva funkcie úplného šifrovania disku (Full Disk Encryption) a ochrany procesu spustenia (Boot Protection). V súčasnosti sú podporované nasledujúce možnosti nastavenia šifrovania disku: pre Windows — Check Point Encryption alebo BitLocker Encryption, pre MacOS — File Vault. Pozrime sa podrobnejšie na možnosti a nastavenia každého z týchto variantov.
Check Point Encryption
Check Point Encryption je štandardná metóda šifrovania disku v politike ochrany údajov a zabezpečuje šifrovanie všetkých systémových súborov (dočasných, systémových, odstránených) na pozadí bez ovplyvnenia funkčnosti používateľského zariadenia. Po zašifrovaní je disk nedostupný pre neautorizovaných používateľov.
Hlavným nastavením pre Check Point Encryption je "Enable Pre-boot", ktoré vyžaduje autentifikáciu používateľov pred zavedením operačného systému. Táto možnosť sa odporúča používať, pretože zabraňuje možnému obchádzaniu autentifikácie na úrovni operačného systému. Taktiež je tu možnosť nastaviť parametre dočasného obchádzania pre funkciu Pre-boot:
- Allow OS login after temporary bypass — vypnutie funkcie Pre-boot a prechod k autentifikácii v operačnom systéme;
- Allow pre-boot bypass (Wake On LAN – WOL) — vypnutie funkcie pre-boot na počítačoch, ktoré sú pripojené k správcovskému serveru cez Ethernet;
- Allow bypass script — umožňuje nastaviť obchádzanie funkcie Pre-boot s uvedením času a dátumu začatia činnosti skriptu a parametrov ukončenia obchádzania Pre-boot;
- Allow LAN bypass — vypnutie funkcie pre-boot pri pripojení k lokálnej sieti.
Vyššie uvedené možnosti dočasného obchádzania funkcie Pre-boot sa neodporúčajú používať bez jasných dôvodov (napríklad technické práce alebo diagnostika problémov) a najlepším riešením z hľadiska bezpečnosti je zapnutie funkcie Pre-boot bez udania dočasných pravidiel obchádzania. V prípade potreby obchádzať Pre-boot sa odporúča nastaviť minimálne potrebné časové rámce v parametroch dočasného obchádzania, aby nedošlo k zníženiu úrovne ochrany na dlhý čas.
Tiež pri používaní Check Point Encryption existuje možnosť nastavovať rozšírené nastavenia politiky Data Protection, napríklad flexibilnejšie konfigurovať parametre šifrovania, nastavovať rôzne aspekty funkcie Pre-boot a autentifikácie Windows.
BitLocker Encryption
BitLocker je súčasťou operačného systému Windows a umožňuje šifrovať pevné disky a prenosné médiá. Check Point BitLocker Management je komponent služieb Windows, ktorý sa automaticky spúšťa spolu s klientom SandBlast Agent a využíva API na správu technológie BitLocker.
Pri výbere BitLocker Encryption ako metódy šifrovania disku v politike Data Protection je možné nastaviť nasledujúce parametre:
- Initial Encryption — nastavenia počiatočného šifrovania umožňujú zašifrovať celý disk (Encrypt entire drive), čo sa odporúča pre stroje s už existujúcimi používateľskými údajmi (súbory, dokumenty a podobne), alebo zašifrovať iba dáta (Encrypt used disk space only), čo sa odporúča pre nové inštalácie Windows;
- Drives to encrypt — výber diskov/partícií na šifrovanie umožňuje zašifrovať všetky disky (All drives) alebo iba partíciu s operačným systémom (OS drive only);
- Encryption algorithm — výber algoritmu šifrovania, odporúčanou voľbou je varianta Windows Default, taktiež je možné uviesť XTS-AES-128 alebo XTS-AES-256.
File Vault
File Vault je štandardným nástrojom na šifrovanie od spoločnosti Apple a zabezpečuje prístup k dátam používateľského počítača iba autorizovaným používateľom. Pri nainštalovanom File Vault musí používateľ zadať heslo na spustenie systému a získanie prístupu k zašifrovaným súborom. Používanie File Vault je jediným spôsobom zabezpečenia ochrany uchovávaných dát v politike Data Protection pre používateľov operačného systému MacOS.
Pre File Vault je dostupná možnosť „Povoliť automatické získanie používateľa“, ktorá si vyžaduje autorizáciu používateľa pred začiatkom procesu šifrovania disku. Ak je táto funkcia povolená, je možné určiť počet používateľov, ktorí musia byť autorizovaní, než SandBlast Agent použije funkciu Pre-boot, alebo určiť počet dní, po uplynutí ktorých bude funkcia Pre-boot automaticky implementovaná pre všetkých autorizovaných používateľov, ak sa v tomto období aspoň jeden používateľ autorizoval do systému.
Obnova dát
V prípade problémov so spustením systému je možné využiť rôzne metódy na obnovenie údajov. Administrátor môže spustiť proces obnovy zašifrovaných údajov z časti Správa počítača → Akcie úplného šifrovania disku. Pri používaní Check Point Encryption je možné dešifrovať predtým zašifrovaný disk a získať prístup ku všetkým uloženým súborom. Po tomto postupe je potrebné znovu spustiť proces šifrovania disku na aktiváciu politiky Ochrany údajov.
Pri výbere BitLocker ako metódy šifrovania disku na obnovenie údajov je potrebné zadať ID Recovery Key problémového počítača na vygenerovanie Recovery Key, ktorý musí byť zadaný používateľom, aby získal prístup k zašifrovanému disku.
Pre používateľov MacOS, ktorí využívajú File Vault na ochranu uchovávaných informácií, spočíva proces obnovy v generovaní Recovery Key administrátorom na základe sériového čísla problémového zariadenia a zadaní tohto kľúča s následným resetovaním hesla.
Politika nasadenia
Od vydania , v ktorej bol skúmaný rozhranie webovej konzoly správy, Check Point stihli vykonať niektoré úpravy v časti Nasadenie — teraz obsahuje pododdelenie Nasadenie softvéru, v ktorom sa nastavuje konfigurácia (povolenie/vypnutie bBlade-ov) pre už nainštalovaných agentov, a pododdelenie Exportný balík, v ktorom je možné vytvárať balíky s predinštalovanými bBlade-ov na ďalšiu inštaláciu na používateľské zariadenia, napríklad pomocou skupinových politík Active Directory. Pozrime sa na pododdelenie Nasadenie softvéru, v ktorom sa aktivujú všetky bBlade-y SandBlast Agent.
Pripomínam, že v štandardnej politike nasadenia sú zahrnuté iba bledy kategórie Prevencia hrozieb. S ohľadom na predtým prejednanú politiku Ochrana údajov je teraz možné zahrnúť túto kategóriu na inštaláciu a prácu na klientskom počítači so SandBlast Agent. Má zmysel zahrnúť funkciu Remote Access VPN, ktorá umožní používateľovi pripojiť sa, napríklad, k firemnej sieti organizácie, ako aj kategóriu Prístup a súlad, do ktorej patrí funkcie Firewall & Aplikačná kontrola a kontrola používateľského počítača na dodržiavanie politiky Súlad.
Exportný balík
Pododdiel Export Packages je veľmi jednoduchý na použitie: na vytvorenie balíka konfigurácie je potrebné zadať jeho názov, vybrať operačný systém (pre Windows tiež uviesť architektúru) a verziu agenta, po čom vybrať vnorené politiky zabezpečenia. Dodatočne je možné uviesť virtuálnu skupinu, do ktorej budú patriť počítače s nainštalovaným balíkom, ako aj vybrať VPN Site s prednastavenou adresou pripojenia a autentifikačnými parametrami (VPN Site sa konfigurujú v sekcii Export Packages → Manage VPN Sites). Posledná časť je obzvlášť užitočná, pretože odstraňuje pravdepodobnosť chyby používateľa pri konfigurácii parametrov pripojenia cez VPN.
Nastavenia globálnej politiky
V nastaveniach Globálnej politiky sa nastavuje jeden z najdôležitejších parametrov — heslo na odstránenie SandBlast Agent z používateľského počítača. Po nainštalovaní agenta nebude používateľ schopný ho odstrániť bez zadania hesla, ktorým je predvolene slovo "secret" (bez úvodzoviek). Toto štandardné heslo je však ľahko dostupné v otvorených zdrojoch, a pri nasadení riešenia SandBlast Agent sa odporúča zmeniť štandardné heslo na odstránenie agenta. V Management Platform pri štandardnom hesle možno politiku nastaviť iba 5-krát, takže zmena hesla na odstránenie je nevyhnutná.
Okrem toho sa v nastaveniach globálnej politiky nastavujú parametre údajov, ktoré môžu byť odoslané do Check Point na analýzu a zlepšenie fungovania služby ThreatCloud.
Z nastavení globálnej politiky sa tiež nastavujú niektoré parametre politiky šifrovania disku, a to konkrétne požiadavky na heslo: náročnosť, dĺžka používania, možnosť použiť predtým platné heslo a podobne. V tejto sekcii je možné nahrať vlastné obrázky namiesto štandardných pre Pre-boot alebo OneCheck.
Nastavenie politiky
Po oboznámení sa s možnosťami politiky ochrany údajov a nastavení príslušných parametrov v sekcii Deployment sa môžete pustiť do inštalácie novej politiky, ktorá zahŕňa šifrovanie disku pomocou technológie Check Point Encryption a ďalších bledních modulov SandBlast Agent. Po inštalácii politiky v Management Platform zákazník obdrží upozornenie na potrebu nainštalovať novú verziu politiky teraz alebo presunúť inštaláciu na iný čas (maximálne 2 dni).
Po dokončení sťahovania a inštalácie novej politiky SandBlast Agent používateľovi navrhne reštartovať počítač, aby sa aktivovala ochrana Full Disk Encryption.
Po reštarte bude potrebné, aby používateľ zadal svoje prihlasovacie údaje v okne autentifikácie Check Point Endpoint Security — toto okno sa bude zobrazovať zakaždým pred spustením operačného systému (Pre-boot). Existuje možnosť vybrať možnosť Single Sign-On (SSO) na automatické použitie prihlasovacích údajov pri autentifikácii vo Windows.
V prípade úspešnej autentifikácie používateľ získa prístup k svojmu systému a „v pozadí“ sa začína proces šifrovania disku. Táto operácia nijako neovplyvňuje funkčnosť stroja, hoci môže trvať dlhší čas (v závislosti od objemu diskového priestoru). Po dokončení procesu šifrovania sa môžeme presvedčiť, že všetky bledne sú zapnuté a fungujú, disk je šifrovaný a používateľský počítač je chránený.
Záver
Zhrňme si: v tomto článku sme preskúmali možnosti SandBlast Agent na ochranu informácií uložených na používateľskom počítači pomocou šifrovania disku v politike ochrany údajov, preskúmali nastavenia distribúcie politík a agentov prostredníctvom sekcie Deployment a nainštalovali novú politiku s pravidlami šifrovania disku a ďalšími blednými modulmi na počítač používateľa. V nasledujúcom článku cyklu si podrobne preberieme možnosti logovania a reportovania v Management Platform a klientovi SandBlast Agent.
. Aby ste nepremeškali ďalšie publikácie na tému SandBlast Agent Management Platform — sledujte aktualizácie v našich sociálnych sieťach (, , , , ).
Zdroj: habr.com
