4. Check Point SandBlast Agent Management Platform. Policy för dataskydd. Distribution och globala policyinställningar

Välkommen till den fjärde artikeln i serien om Check Point SandBlast Agent Management Platform. I de tidigare artiklarna (första, två, tre) beskrev vi detaljerat gränssnittet och funktionerna i webbgränssnittet samt gick igenom Threat Prevention-policyn och testade den mot olika hot. Denna artikel är ägnad åt den andra säkerhetskomponenten — Data Protection-policyn, som ansvarar för skyddet av data som lagras på användarens maskin. Vi kommer även att gå igenom avsnitten Deployment och Global Policy Settings.

Data Protection-policyn

Data Protection-policyn gör det möjligt att ställa in åtkomst till data som lagras på arbetsmaskinen för endast auktoriserade användare, genom att använda funktioner för fullständig disk-kryptering (Full Disk Encryption) och skydd av startprocessen (Boot Protection). För närvarande stöds följande alternativ för disk-kryptering: för Windows — Check Point Encryption eller BitLocker Encryption, för MacOS — File Vault. Låt oss titta närmare på funktionerna och inställningarna för varje alternativ.

Check Point Encryption

Check Point Encryption är den standardmetod som används för disk-kryptering inom Data Protection-policyn och säkerställer kryptering av alla systemfiler (tillfälliga, system- och borttagna) i bakgrunden utan att påverka användarens maskins prestanda. Efter kryptering blir disken otillgänglig för icke-auktoriserade användare.

Huvudinställningen för Check Point Encryption är "Aktivera Pre-boot", som innefattar krav på användarautentisering innan operativsystemet laddas. Denna funktion rekommenderas eftersom den förhindrar möjligheten att använda metoder för att kringgå autentisering på operativsystemsnivå. Det finns också möjlighet att ställa in parametrar för temporärt kringgående av Pre-boot-funktionen:

• Tillåt OS-inloggning efter temporärt kringgående — inaktivera Pre-boot-funktionen och gå över till autentisering i operativsystemet;

• Tillåt Pre-boot-kringgående (Wake On LAN – WOL) — inaktivera Pre-boot-funktionen på datorer som är anslutna till administrationsservern via Ethernet;

• Tillåt kringgå skript — gör det möjligt att ställa in kringgående av Pre-boot-funktionen med specifik tid och datum för skriptets start samt inställningar för slut på kringgående av Pre-boot;

• Tillåt LAN-kyrgånde — inaktivera Pre-boot-funktionen vid anslutning till lokalt nätverk.

De ovan nämnda temporära kringgåningsalternativen för Pre-boot-funktionen rekommenderas inte att använda utan tydliga skäl (till exempel tekniskt underhåll eller felsökning) och den bästa lösningen ur säkerhetssynpunkt är att aktivera Pre-boot-funktionen utan att ange temporära kringgåningsregler. Om det är nödvändigt att kringgå Pre-boot rekommenderas att ange minimala nödvändiga tidsramar i inställningarna för temporärt kringgående, så att skyddsnivån inte sänks under en längre tid.

Vid användning av Check Point Encryption finns det också möjlighet att konfigurera avancerade inställningar för policyn för Data Protection, till exempel mer flexibelt konfigurera krypteringsalternativ, ställa in olika aspekter av Pre-boot-funktionen och Windows-autentisering.

BitLocker Encryption

BitLocker är en del av operativsystemet Windows och möjliggör kryptering av hårddiskar och flyttbara lagringsenheter. Check Point BitLocker Management är en komponent av Windows-tjänster, startar automatiskt tillsammans med SandBlast Agent-klienten och använder API:er för att hantera BitLocker-teknologin.

När BitLocker Encryption väljs som metod för diskryptering i policyn för Data Protection kan följande alternativ ställas in:

• Initial Encryption — inställningar för initial kryptering som möjliggör kryptering av hela disken (Encrypt entire drive), vilket rekommenderas för maskiner med befintliga användardata (filer, dokument etc.), eller kryptera endast använda data (Encrypt used disk space only), vilket rekommenderas för nya installationer av Windows;

• Drives to encrypt — val av diskar/partitioner för kryptering, möjliggör kryptering av alla diskar (All drives) eller endast partitionen med operativsystemet (OS drive only);

• Encryption algorithm — val av krypteringsalgoritm, rekommenderat alternativ är Windows Default, det finns också möjlighet att ange XTS-AES-128 eller XTS-AES-256.

File Vault

File Vault är Apples standardverktyg för kryptering och säkerställer åtkomst till data på användarens dator endast för auktoriserade användare. Med File Vault aktiverat måste användaren ange sitt lösenord för att starta systemet och få tillgång till krypterade filer. Användning av File Vault är det enda sättet att säkerställa skydd av lagrade data i policyn för Data Protection för användare av operativsystemet MacOS.

För File Vault finns inställningen "Aktivera automatiskt användarförvärv" som kräver att användaren autentiserar sig innan processen för diskens kryptering påbörjas. Om den här funktionen är aktiverad kan man ange antalet användare som måste autentisera sig innan SandBlast Agent tillämpar Pre-boot-funktionen, eller ange antalet dagar efter vilket Pre-boot-funktionen automatiskt kommer att tillämpas för alla autentiserade användare om minst en användare har autentiserats i systemet under den perioden.

Återställning av data

Om det uppstår problem med att starta systemet kan olika metoder för återställning av data användas. Administratören kan initiera processen för att återställa krypterad data från Computer Management → Full Disk Encryption Actions. Vid användning av Check Point Encryption kan man dekryptera en tidigare krypterad disk för att få tillgång till alla lagrade filer. Efter denna procedur måste processen för diskens kryptering startas om för att uppfylla policyn för Data Protection.

Vid val av BitLocker som metod för diskens kryptering för att återställa data måste Recovery Key ID för den problematiska datorn anges för att generera en Recovery Key som användaren måste ange för att få tillgång till den krypterade disken.

För MacOS-användare som använder File Vault för att skydda lagrad information består återställningsprocessen av att administratören genererar en Recovery Key baserat på det problematiska maskinens Serial Number och matar in denna nyckel för att sedan återställa lösenordet.

Policy för Deployment

Sedan publiceringen av den andra artikeln, där gränssnittet för webbhanteringskonsolen diskuterades, har Check Point gjort några ändringar i avsnittet Deployment — nu finns det en underavdelning Software Deployment, där konfigurationen (aktivera/deaktivera blades) för redan installerade agenter ställs in, och en underavdelning Export Package, där man kan skapa paket med förinstallerade blades för vidare installation på användarmaskiner, exempelvis med hjälp av gruppolicys från Active Directory. Vi kommer att se över underavdelningen Software Deployment, där alla blades för SandBlast Agent aktiveras.

Jag vill påminna om att standardpolitiken för distribution endast inkluderar blades i kategorin Threat Prevention. Med hänsyn till den tidigare diskuterade policyn för dataskydd kan denna kategori nu inkluderas för installation och drift på kundens maskin med SandBlast Agent. Det är meningsfullt att aktivera funktionen för Remote Access VPN, som gör det möjligt för användaren att ansluta, till exempel, till företagets nätverk, samt kategorin Access and Compliance, som omfattar funktioner för Firewall & Application Control och kontroll av användarmaskinens överensstämmelse med policyn för Compliance.

Export Package

Underavsnittet Export Packages är mycket enkelt att använda: för att skapa ett konfigurationspaket måste du ange dess namn, välja operativsystem (för Windows ange även bitar) och agentversion, varefter du väljer säkerhetspolicies som ska inkluderas i paketet. Dessutom kan du ange en virtuell grupp som kommer att innehålla datorer med det installerade paketet samt välja en VPN Site med förinställd anslutningsadress och autentiseringsparametrar (VPN Sites konfigureras i avsnittet Export Packages → Manage VPN Sites). Den sista punkten är särskilt bekväm, eftersom den eliminerar risken för användarfel vid konfiguration av VPN-anslutningsparametrar.

Global Policy Settings

I inställningarna för Global Policy Settings konfigureras en av de viktigaste parametrarna - lösenordet för att ta bort SandBlast Agent från användarmaskinen. Efter installationen av agenten kan användaren inte ta bort den utan att ange lösenordet, som som standard är ordet "secret" (utan citattecken). Men detta standardlösenord är lätt att hitta i öppna källor, och vid implementeringen av SandBlast Agent rekommenderas det att byta det standardlösenordet för att ta bort agenten. På Management Platform kan policyn med standardlösenordet endast ställas in 5 gånger, så att byta lösenordet för att ta bort är oundvikligt.
Utöver detta konfigureras i Global Policy Settings parametrarna för de data som kan skickas till Check Point för analys och förbättring av tjänsten ThreatCloud.

Från Global Policy Settings konfigureras även vissa parametrar för diskens krypteringspolicy, nämligen krav på lösenord: komplexitet, användningens längd, möjlighet att använda tidigare giltigt lösenord och annat. I detta avsnitt kan du ladda upp egna bilder istället för standarderna för Pre-boot eller OneCheck.

Installationspolicy

När du har bekantat dig med möjligheterna i policyn för dataskydd och konfigurerat lämpliga parametrar i avsnittet Distribution kan du påbörja installationen av den nya policyn, som inkluderar diskryptering med hjälp av Check Point Encryption och andra SandBlast Agent-blades. Efter installationen av policyn i Management Platform kommer kunden att få ett meddelande om att det är nödvändigt att installera den nya versionen av policyn nu eller skjuta upp installationen till en senare tidpunkt (högst 2 dagar).

När nedladdningen och installationen av den nya policyn är avslutad, kommer SandBlast Agent att föreslå användaren att starta om datorn för att aktivera skyddet med Full Disk Encryption.

Efter omstarten måste användaren ange sina inloggningsuppgifter i fönstret för autentisering av Check Point Endpoint Security – detta fönster kommer att visas varje gång före operativsystemets start (Pre-boot). Det finns möjlighet att välja alternativet Single Sign-On (SSO) för automatisk användning av inloggningsuppgifterna vid autentisering i Windows.

Vid en lyckad autentisering får användaren tillgång till sitt system, medan processen för diskryptering inleds "bakom kulisserna". Denna operation påverkar inte maskinens funktionalitet, även om den kan ta lång tid (beroende på mängden lagringsutrymme). När krypteringsprocessen är avslutad kan vi säkerställa att alla blades är aktiverade och fungerar, disken är krypterad och användarens maskin är skyddad.

Slutsats

Sammanfattningsvis: i denna artikel har vi utforskat SandBlast Agents möjligheter att skydda information som lagras på användarens maskin genom diskryptering i policyn för dataskydd, studerat inställningarna för distribution av policyer och agenter via avsnittet Distribution och installerat en ny policy med regler för diskryptering och ytterligare blades på användarens maskin. I nästa artikel i serien kommer vi att gå igenom funktionerna för loggning och rapportering i Management Platform och SandBlast Agent-klienten i detalj.

Ett omfattande urval av material om Check Point från TS Solution. För att inte missa kommande publiceringar om SandBlast Agent Management Platform — följ våra uppdateringar på våra sociala medier (Telegram, Facebook, VK, TS Solution Blog, Yandex.Dzen).

Källa: habr.com