ยินดีต้อนรับสู่บทความที่สี่ในชุดเกี่ยวกับโซลูชัน Check Point SandBlast Agent Management Platform ในบทความก่อนหน้านี้ (, , ) เราได้อธิบายรายละเอียดอินเทอร์เฟซและความสามารถของคอนโซลการจัดการเว็บ และยังได้ทบทวนนโยบายการป้องกันภัยคุกคามและทดสอบเพื่อตอบโต้ภัยคุกคามต่างๆ บทความนี้เกี่ยวข้องกับองค์ประกอบความปลอดภัยที่สอง - นโยบายการปกป้องข้อมูลซึ่งรับผิดชอบในการปกป้องข้อมูลที่จัดเก็บไว้ในเครื่องของผู้ใช้ นอกจากนี้ในบทความนี้ เราจะดูที่ส่วนการปรับใช้และการตั้งค่านโยบายสากล
นโยบายการคุ้มครองข้อมูล
นโยบายการปกป้องข้อมูลช่วยให้คุณจำกัดการเข้าถึงข้อมูลที่จัดเก็บไว้ในเวิร์กสเตชันให้เฉพาะผู้ใช้ที่ได้รับอนุญาต โดยใช้การเข้ารหัสแบบเต็มดิสก์และการป้องกันการบูต ปัจจุบันรองรับตัวเลือกการกำหนดค่าการเข้ารหัสดิสก์ดังต่อไปนี้: Windows — การเข้ารหัส Check Point หรือ BitLocker สำหรับ macOS — File Vault มาดูคุณสมบัติและการตั้งค่าของแต่ละตัวเลือกกันอย่างละเอียด
ตรวจสอบการเข้ารหัสจุด
การเข้ารหัสจุดตรวจสอบเป็นวิธีการเข้ารหัสดิสก์มาตรฐานในนโยบายการปกป้องข้อมูลและให้การเข้ารหัสไฟล์ระบบทั้งหมด (ชั่วคราว ระบบ ระยะไกล) ในเบื้องหลัง โดยไม่ส่งผลกระทบต่อประสิทธิภาพการทำงานของเครื่องของผู้ใช้ หลังจากการเข้ารหัส ผู้ใช้ที่ไม่ได้รับอนุญาตจะไม่สามารถเข้าถึงดิสก์ได้
การตั้งค่าหลักสำหรับการเข้ารหัสจุดตรวจสอบคือ "เปิดใช้งานพรีบูต" ซึ่งช่วยให้ข้อกำหนดสำหรับผู้ใช้ได้รับการตรวจสอบสิทธิ์ก่อนที่ระบบปฏิบัติการจะบู๊ต ขอแนะนำให้ใช้ตัวเลือกนี้ เนื่องจากจะป้องกันความเป็นไปได้ในการใช้เครื่องมือบายพาสการรับรองความถูกต้องในระดับระบบปฏิบัติการ นอกจากนี้ยังสามารถกำหนดค่าพารามิเตอร์บายพาสชั่วคราวสำหรับฟังก์ชันพรีบูตได้อีกด้วย:
- อนุญาตให้เข้าสู่ระบบระบบปฏิบัติการหลังจากบายพาสชั่วคราว — ปิดการใช้งานฟังก์ชั่นพรีบูตและสลับเป็นการรับรองความถูกต้องในระบบปฏิบัติการ
- อนุญาตบายพาสก่อนบูต (Wake On LAN – WOL) — ปิดการใช้งานฟังก์ชั่นพรีบูตบนคอมพิวเตอร์ที่เชื่อมต่อกับเซิร์ฟเวอร์การจัดการผ่านอีเธอร์เน็ต
- อนุญาตสคริปต์บายพาส — ช่วยให้คุณกำหนดค่าการบายพาสของฟังก์ชั่นพรีบูตโดยระบุเวลาและวันที่ที่สคริปต์เริ่มทำงานและพารามิเตอร์สำหรับการสิ้นสุดของการบายพาสพรีบูต
- อนุญาตบายพาส LAN — ปิดการใช้งานฟังก์ชั่นพรีบูตเมื่อเชื่อมต่อกับเครือข่ายท้องถิ่น
ไม่แนะนำให้ใช้ตัวเลือกบายพาสชั่วคราวข้างต้นสำหรับพรีบูต เว้นแต่จะมีเหตุผลที่ชัดเจน (เช่น การบำรุงรักษาหรือการแก้ไขปัญหา) และทางออกที่ดีที่สุดจากมุมมองด้านความปลอดภัยคือการเปิดใช้งานพรีบูตโดยไม่ต้องระบุกฎการบายพาสชั่วคราว หากจำเป็นต้องข้ามพรีบูต ขอแนะนำให้ตั้งค่ากรอบเวลาขั้นต่ำที่ต้องการในพารามิเตอร์บายพาสชั่วคราว เพื่อไม่ให้ระดับการป้องกันลดลงเป็นเวลานาน
นอกจากนี้ เมื่อใช้ Check Point Encryption ยังสามารถกำหนดค่าการตั้งค่าขั้นสูงของนโยบายการปกป้องข้อมูลได้ เช่น การกำหนดค่าพารามิเตอร์การเข้ารหัสที่ยืดหยุ่นมากขึ้น การกำหนดค่าด้านต่างๆ ของฟังก์ชันก่อนบูต และการตรวจสอบสิทธิ์ Windows.
การเข้ารหัสด้วย BitLocker
BitLocker เป็นส่วนหนึ่งของระบบปฏิบัติการ Windows และช่วยให้คุณเข้ารหัสฮาร์ดไดรฟ์และสื่อบันทึกข้อมูลแบบถอดได้ Check Point BitLocker Management เป็นส่วนประกอบหนึ่งของบริการนี้ Windowsทำงานโดยอัตโนมัติร่วมกับไคลเอ็นต์ SandBlast Agent และใช้ API ในการจัดการเทคโนโลยี BitLocker
เมื่อคุณเลือกการเข้ารหัสด้วย BitLocker เป็นวิธีการเข้ารหัสไดรฟ์ในนโยบายการปกป้องข้อมูล คุณสามารถกำหนดการตั้งค่าต่อไปนี้ได้:
- การเข้ารหัสเริ่มต้น — การตั้งค่าการเข้ารหัสเริ่มต้นช่วยให้คุณสามารถเข้ารหัสไดรฟ์ทั้งหมด (เข้ารหัสไดรฟ์ทั้งหมด) ซึ่งแนะนำสำหรับเครื่องที่มีข้อมูลผู้ใช้ (ไฟล์ เอกสาร ฯลฯ) อยู่แล้ว หรือเข้ารหัสเฉพาะข้อมูล (เข้ารหัสเฉพาะพื้นที่ดิสก์ที่ใช้งาน) ซึ่งแนะนำสำหรับการติดตั้งใหม่ Windows;
- ไดรฟ์เพื่อเข้ารหัส — การเลือกดิสก์/พาร์ติชันสำหรับการเข้ารหัส ช่วยให้คุณสามารถเข้ารหัสไดรฟ์ทั้งหมด (ไดรฟ์ทั้งหมด) หรือเฉพาะพาร์ติชันที่มีระบบปฏิบัติการ (ไดรฟ์ OS เท่านั้น)
- อัลกอริทึมการเข้ารหัส — การเลือกอัลกอริธึมการเข้ารหัส ตัวเลือกที่แนะนำคือ Windows โดยค่าเริ่มต้น คุณสามารถระบุ XTS-AES-128 หรือ XTS-AES-256 ได้เช่นกัน
ห้องนิรภัยไฟล์
File Vault เป็นเครื่องมือเข้ารหัสมาตรฐานของ Apple และรับรองว่าเฉพาะผู้ใช้ที่ได้รับอนุญาตเท่านั้นที่สามารถเข้าถึงข้อมูลคอมพิวเตอร์ของผู้ใช้ได้ เมื่อติดตั้ง File Vault แล้ว ผู้ใช้จะต้องป้อนรหัสผ่านเพื่อเริ่มระบบและเข้าถึงไฟล์ที่เข้ารหัส การใช้ File Vault เป็นวิธีเดียวที่จะรับประกันการปกป้องข้อมูลที่จัดเก็บไว้ในนโยบายการปกป้องข้อมูลสำหรับผู้ใช้ระบบปฏิบัติการ MacOS
สำหรับ File Vault การตั้งค่า “เปิดใช้งานการรับข้อมูลผู้ใช้อัตโนมัติ” จะใช้งานได้ ซึ่งต้องได้รับอนุมัติจากผู้ใช้ก่อนที่กระบวนการเข้ารหัสดิสก์จะเริ่มต้นขึ้น หากเปิดใช้งานคุณสมบัตินี้ เป็นไปได้ที่จะระบุจำนวนผู้ใช้ที่ต้องเข้าสู่ระบบก่อนที่ SandBlast Agent จะใช้คุณสมบัติพรีบูต หรือระบุจำนวนวันหลังจากที่คุณสมบัติพรีบูตจะถูกนำไปใช้โดยอัตโนมัติสำหรับผู้ใช้ที่ได้รับอนุญาตทั้งหมด หากในช่วงเวลานี้ มีผู้ใช้อย่างน้อยหนึ่งรายเข้าสู่ระบบ
การกู้คืนข้อมูล
หากคุณมีปัญหาในการบูตระบบ คุณสามารถใช้วิธีการกู้คืนข้อมูลต่างๆ ได้ ผู้ดูแลระบบสามารถเริ่มกระบวนการกู้คืนข้อมูลที่เข้ารหัสได้จากส่วนการจัดการคอมพิวเตอร์ → การดำเนินการเข้ารหัส Dick แบบเต็ม หากคุณใช้ Check Point Encryption คุณสามารถถอดรหัสดิสก์ที่เข้ารหัสก่อนหน้านี้และเข้าถึงไฟล์ที่จัดเก็บไว้ทั้งหมดได้ หลังจากขั้นตอนนี้ คุณต้องเริ่มกระบวนการเข้ารหัสลับดิสก์ใหม่เพื่อให้นโยบายการป้องกันข้อมูลทำงาน
เมื่อเลือก BitLocker เป็นวิธีการเข้ารหัสดิสก์สำหรับการกู้คืนข้อมูล คุณต้องป้อนรหัสคีย์การกู้คืนของคอมพิวเตอร์ที่มีปัญหาเพื่อสร้างคีย์การกู้คืน ซึ่งผู้ใช้จะต้องป้อนเพื่อเข้าถึงดิสก์ที่เข้ารหัส
สำหรับผู้ใช้ MacOS ที่ใช้ File Vault เพื่อปกป้องข้อมูลที่จัดเก็บ กระบวนการกู้คืนเกี่ยวข้องกับผู้ดูแลระบบที่สร้างคีย์การกู้คืนตามหมายเลขประจำเครื่องของเครื่องที่มีปัญหา และป้อนคีย์นี้ ตามด้วยการรีเซ็ตรหัสผ่าน
นโยบายการปรับใช้
ตั้งแต่การเปิดตัว ซึ่งกล่าวถึงอินเทอร์เฟซของคอนโซลการจัดการเว็บ Check Point ได้ทำการเปลี่ยนแปลงบางอย่างในส่วนการปรับใช้ - ตอนนี้มีส่วนย่อย การปรับใช้ซอฟต์แวร์ซึ่งมีการกำหนดค่า (เปิดใช้งาน/ปิดใช้งานเบลด) สำหรับตัวแทนที่ติดตั้งไว้แล้ว และส่วนย่อย แพคเกจการส่งออกซึ่งคุณสามารถสร้างแพ็คเกจด้วยเบลดที่ติดตั้งไว้ล่วงหน้าสำหรับการติดตั้งเพิ่มเติมบนเครื่องของผู้ใช้ เช่น การใช้นโยบายกลุ่ม Active Directory มาดูส่วนย่อย Software Deployment ซึ่งรวมถึงเบลด SandBlast Agent ทั้งหมด
ฉันขอเตือนคุณว่านโยบายการปรับใช้มาตรฐานรวมเฉพาะเบลดในหมวดหมู่การป้องกันภัยคุกคามเท่านั้น โดยคำนึงถึงนโยบายการปกป้องข้อมูลที่กล่าวถึงก่อนหน้านี้ ตอนนี้คุณสามารถเปิดใช้งานหมวดหมู่นี้สำหรับการติดตั้งและการดำเนินการบนเครื่องไคลเอนต์ด้วย SandBlast Agent มันสมเหตุสมผลที่จะรวมฟังก์ชัน Remote Access VPN ซึ่งจะทำให้ผู้ใช้สามารถเชื่อมต่อกับเครือข่ายองค์กรขององค์กรได้ เช่นเดียวกับหมวดหมู่การเข้าถึงและการปฏิบัติตามกฎระเบียบซึ่งรวมถึงฟังก์ชันไฟร์วอลล์และการควบคุมแอปพลิเคชันและการตรวจสอบเครื่องของผู้ใช้ เพื่อให้สอดคล้องกับนโยบายการปฏิบัติตาม
แพคเกจการส่งออก
ส่วนย่อย "ส่งออกแพ็กเกจ" ใช้งานง่ายมาก: ในการสร้างแพ็กเกจการกำหนดค่า คุณต้องระบุชื่อแพ็กเกจ เลือกระบบปฏิบัติการ (สำหรับ) Windows (ระบุความลึกของบิตด้วย) และเวอร์ชันของเอเจนต์ จากนั้นเลือกนโยบายความปลอดภัยที่ฝังอยู่ในแพ็กเกจ คุณยังสามารถระบุกลุ่มเสมือนที่จะรวมคอมพิวเตอร์ที่มีการติดตั้งแพ็กเกจ และเลือกไซต์ VPN ที่มีที่อยู่การเชื่อมต่อและพารามิเตอร์การตรวจสอบสิทธิ์ที่กำหนดไว้ล่วงหน้า (ไซต์ VPN จะถูกกำหนดค่าใน ส่งออกแพ็กเกจ → จัดการไซต์ VPN) ตัวเลือกหลังนี้สะดวกเป็นพิเศษ เนื่องจากช่วยลดโอกาสที่ผู้ใช้จะทำผิดพลาดเมื่อกำหนดค่าพารามิเตอร์การเชื่อมต่อ VPN
การตั้งค่านโยบายสากล
ในการตั้งค่านโยบายสากล พารามิเตอร์ที่สำคัญที่สุดตัวหนึ่งได้รับการกำหนดค่า - รหัสผ่านสำหรับการลบ SandBlast Agent ออกจากเครื่องผู้ใช้ เมื่อติดตั้งเอเจนต์แล้ว ผู้ใช้จะไม่สามารถลบออกได้โดยไม่ต้องป้อนรหัสผ่าน ซึ่งโดยค่าเริ่มต้นคือ "ลับ" (ไม่มีเครื่องหมายคำพูด) อย่างไรก็ตาม รหัสผ่านมาตรฐานนี้หาได้ง่ายในโอเพ่นซอร์ส และเมื่อใช้โซลูชัน SandBlast Agent ขอแนะนำให้เปลี่ยนรหัสผ่านมาตรฐานเพื่อลบเอเจนต์ ในแพลตฟอร์มการจัดการ ด้วยรหัสผ่านมาตรฐาน นโยบายกำหนดได้เพียง 5 ครั้ง ดังนั้นการเปลี่ยนรหัสผ่านเพื่อลบออกจึงเป็นสิ่งที่หลีกเลี่ยงไม่ได้
นอกจากนี้ การตั้งค่านโยบายส่วนกลางยังกำหนดค่าพารามิเตอร์ข้อมูลที่สามารถส่งไปยังจุดตรวจสอบเพื่อวิเคราะห์และปรับปรุงการทำงานของบริการ ThreatCloud
จากการตั้งค่านโยบายสากล คุณยังสามารถกำหนดค่าพารามิเตอร์นโยบายการเข้ารหัสดิสก์ได้ เช่น ข้อกำหนดรหัสผ่าน: ความซับซ้อน ระยะเวลาการใช้งาน ความสามารถในการใช้รหัสผ่านที่ถูกต้องก่อนหน้านี้ ฯลฯ ในส่วนนี้ คุณสามารถอัปโหลดรูปภาพของคุณเองแทนรูปภาพมาตรฐานสำหรับ Pre-boot หรือ OneCheck
การกำหนดนโยบาย
เมื่อทำความคุ้นเคยกับความสามารถของนโยบายการปกป้องข้อมูลและกำหนดการตั้งค่าที่เหมาะสมในส่วนการปรับใช้แล้ว คุณสามารถเริ่มการติดตั้งนโยบายใหม่ที่มีการเข้ารหัสดิสก์โดยใช้ Check Point Encryption และเบลด SandBlast Agent ที่เหลือ หลังจากติดตั้งนโยบายในแพลตฟอร์มการจัดการ ลูกค้าจะได้รับข้อความขอให้ติดตั้งนโยบายเวอร์ชันใหม่ทันที หรือกำหนดเวลาการติดตั้งใหม่เป็นเวลาอื่น (สูงสุด 2 วัน)
หลังจากดาวน์โหลดและติดตั้งนโยบายใหม่ SandBlast Agent จะแจ้งให้ผู้ใช้รีสตาร์ทคอมพิวเตอร์เพื่อเปิดใช้งานการป้องกันการเข้ารหัสดิสก์แบบเต็ม
หลังจากรีบูตเครื่อง ผู้ใช้จะต้องป้อนข้อมูลประจำตัวในหน้าต่างการตรวจสอบสิทธิ์ของ Check Point Endpoint Security หน้าต่างนี้จะปรากฏขึ้นทุกครั้งก่อนที่ระบบปฏิบัติการจะเริ่มต้น (Pre-boot) สามารถเลือกตัวเลือก Single Sign-On (SSO) เพื่อใช้ข้อมูลประจำตัวในการตรวจสอบสิทธิ์โดยอัตโนมัติได้ Windows.
หากการรับรองความถูกต้องสำเร็จ ผู้ใช้จะสามารถเข้าถึงระบบของเขาได้ และกระบวนการเข้ารหัสดิสก์จะเริ่มต้นขึ้นในเบื้องหลัง การดำเนินการนี้ไม่ส่งผลกระทบต่อประสิทธิภาพของเครื่อง แต่อย่างใดแม้ว่าจะสามารถคงอยู่ได้เป็นเวลานาน (ขึ้นอยู่กับจำนวนพื้นที่ดิสก์) เมื่อกระบวนการเข้ารหัสเสร็จสมบูรณ์ เราจะสามารถตรวจสอบได้ว่าเบลดทั้งหมดได้รับการขับเคลื่อนและทำงานอยู่ ไดรฟ์ได้รับการเข้ารหัส และเครื่องของผู้ใช้มีความปลอดภัย
ข้อสรุป
สรุป: ในบทความนี้เราดูความสามารถของ SandBlast Agent ในการปกป้องข้อมูลที่จัดเก็บไว้ในเครื่องของผู้ใช้โดยใช้การเข้ารหัสดิสก์ในนโยบายการป้องกันข้อมูล ศึกษาการตั้งค่าสำหรับการกระจายนโยบายและเอเจนต์ผ่านส่วนการปรับใช้และติดตั้งนโยบายใหม่พร้อมดิสก์ กฎการเข้ารหัสและเบลดเพิ่มเติมบนเครื่องของผู้ใช้ ในบทความถัดไปในชุดนี้ เราจะดูรายละเอียดเกี่ยวกับความสามารถในการบันทึกและการรายงานในแพลตฟอร์มการจัดการและไคลเอนต์ SandBlast Agent
. เพื่อไม่ให้พลาดสิ่งพิมพ์ถัดไปในหัวข้อ SandBlast Agent Management Platform ติดตามการอัพเดตบนโซเชียลเน็ตเวิร์กของเรา (, , , , ).
ที่มา: will.com
