Знакомимся с BitLocker
BitLocker — одно из самых известных
усовершенствований защиты в Windows 7. Эта технология шифрования
жесткого диска и защиты целостности загрузочной среды впервые появилась в
Windows Vista. BitLocker входит в редакции Enterprise и Ultimate
операционной системы Windows 7. Технология не позволяет злоумышленнику
извлечь данные с жесткого диска украденного ноутбука при условии, что на
момент кражи компьютер был выключен.
С BitLocker связана одна
сложность — восстановление данных после аппаратного сбоя, при котором
были заблокированы защищенные тома. Поэтому, хотя BitLocker обеспечивает
превосходную защиту, много ИТ-специалистов считают его проблематичным,
потому что как правило сталкиваются с этой технологией, когда приходится
восстанавливать данные.
Для восстановления данных требуется
доступ к ключам или паролям BitLocker, относящимся к заблокированными
томами. Когда компьютеров немного, следить за ключами и паролями просто,
но если счет идет на сотни, задача сильно усложняется.
Групповые
политики позволяют ИТ-специалистам сконфигурировать BitLocker так, чтобы
шифрование активировалось только после успешного создания резервных
копий ключей и паролей восстановления в Active Directory. Восстановление
зашифрованных данных значительно упростилось за счет изменений,
внесенных в оснастку «Active Directory — пользователи и компьютеры»
(Active Directory Users and Computers) в Windows Server 2008 R2Ю, и
появления Средства удаленного администрирования сервера (Remote Server
Administration Tools) для Windows 7. Поиск паролей и ключей
восстановления стал намного проще, чем в аналогичных средствах Windows
Vista.
Вместо того, чтобы загружать, устанавливать и
конфигурировать специальные средства, достаточно обратиться ключам и
паролям восстановления BitLocker, используя вкладку «Восстановление
BitLocker» (BitLocker Recovery) — она отображается на странице свойств
учетной записи компьютера в оснастке «Active Directory — пользователи и
компьютеры». Процесс резервного копирования ключей и паролей BitLocker
состоит из трех этапов.
1. В редакторе групповой политики учетных
записей компьютеров, которые будет защищать BitLocker перейдите в папку
Конфигурация компьютера/Административные шаблоны/Компоненты
Windows/Защита диска BitLocker (Computer Configuration/Windows
Settings/Administrative Templates/Windows Components/BitLocker Drive
Encryption).
2. Если у компьютера лишь один диск, перейдите к узлу
«Диски операционной системы» (Operating System Drives) и отредактируйте
политику «Выбор методов восстановления дисков операционной системы,
защищенных с помощью BitLocker» (Choose how BitLocker-protected
operating system drives can be recovered). Если на машине более одного
диска, перейдите к узлу «Фиксированные диски с данными» (Fixed Data
Drives) и отредактируйте политику «Выбор методов восстановления жестких
дисков, защищенных с помощью BitLocker» (Choose how BitLocker protected
fixed data drives can be recovered). Обратите внимание, что хотя
политики можно настроить одинаково, действовать они будут на разные
диски.
3. Чтобы настроить резервное копирование паролей и ключей
BitLocker в Active Directory при включенной защите BitLocker, включите
следующие параметры:
· Сохранить данные восстановления
BitLocker в AD DS для дисков операционной системы (Save BitLocker
recovery information to AD DS for operating system drives) (а также для
жестких дисков, если это требуется);
· Не включать BitLocker
до сохранения данных восстановления в AD DS для дисков операционной
системы (Do not enable BitLocker until recovery information is stored in
AD DS for OS drives) (а также для жестких дисков, если это требуется).
Ключи
и пароли защищенных томов будут скопированы только после применения
политики. Ключи и пароли томов, на которых защита BitLocker была
сконфигурирована раньше, автоматически копироваться в Active Directory
не будут. На таких компьютерах придется отключить и вновь включить
BitLocker — только после этого информация восстановления попадет в
Active Directory.
Настройка агента восстановления данных
Есть
другой вариант восстановления защищенных BitLocker томов, не требующий
указания своих уникальных паролей или ПИН-кодов для каждого компьютера —
Агент восстановления данных (Data Recovery Agent, DRA). Это специальный
связанный с учетной записью пользователя сертификат, который может
использоваться для восстановления зашифрованных данных.
Агенты
восстановления данных BitLocker настраиваются путем редактирования
групповой политики и определения сертификата с помощью мастера
добавления агентов восстановления данных, о котором поговорим чуть
позже. До запуска мастера нужно установить сертификат агента
восстановления в доступной файловой системе или опубликовать его в
Active Directory. Выпустить сертификат можно на компьютере, на котором
установлена служба сертификации Active Directory.
При попытке
восстановления данных учетная запись пользователя с локальным
сертификатом агента восстановления не сможет открыть защищенный
механизмом BitLocker том. Чтобы открыть Мастер добавления агентов
восстановления, перейдите к узлу Конфигурация компьютера/Конфигурация
Windows/Параметры безопасности/Политики открытого ключа (Computer
Configuration/Windows Settings/Security Settings/Public Key Policies),
щелкните правой кнопкой «Шифрование диска BitLocker » (BitLocker Drive
Encryption) и выберите «Добавить агент восстановления данных» (Add data
recovery agent).
Чтобы активизировать BitLocker с агентом
восстановления, нужно также установить флажок «Разрешить агент
восстановления данных» (Enable data recovery agent) в политике «Выбор
методов восстановления дисков операционной системы, защищенных с помощью
BitLocker» (Choose how BitLocker-protected operating system drives can
be recovered) (если требуется, это же нужно сделать для жестких дисков).
Одни и те же защищенные BitLocker тома можно восстанавливать как с
помощью ключей и паролей, сохраненных в Active Directory, так и
средствами агента восстановления.
Восстановление с помощью агента
возможно только на защищенных BitLocker томах, на которых BitLocker был
включен после применения политики. Преимущество этого метода по
сравнению с восстановлением с применением пароля и ключа состоит в том,
что агент действует как универсальный ключ BitLocker. Это позволяет
восстанавливать защищенный том, зашифрованный в рамках политики,
избавляя от необходимости искать уникальный пароль или ключ каждого
восстанавливаемого тома.
Средство BitLocker To Go
Средний
размер многих современных съемных дисков сравним с объемом хранилища
общих файлов в отделах малого и среднего размера десять лет тому назад.
Это создает ряд сложностей.
Во-первых, при утере или воровстве
съемного диска компрометируется существенный объем корпоративных данных.
Но большую проблему составляет то, что пользователи намного быстрее
уведомят отдел ИТ об утере ноутбука, чем USB-диска, который
может содержать гигабайты корпоративных данных.
Новое средство
Windows 7, BitLocker To Go, позволяет защищать запоминающие
USB-устройства примерно так же, как BitLocker защищает операционную
систему и установленные диски. Настроив надлежащим образом групповую
политику, можно запретить запись данных на съемные запоминающие
устройства, не защищенные BitLocker To Go. Это повышает безопасность
— ведь даже если пользователь потеряет съемное устройство, данные будут
зашифрованы и посторонним будет совсем нелегко добраться до
содержимого.
Соответствующая BitLocker To Go политика находится в
узле Конфигурация компьютера/Административные шаблоны/Компоненты
Windows/Защита диска BitLocker/Съемные диски с данными (Computer
Configuration/Administrative Templates/Windows Components/BitLocker
Drive Encryption/Removable Data Drives) объекта групповой политики. В
этом узле есть следующие политики.
· Управление
использованием BitLocker для съемных дисков (Control use of BitLocker on
removable drives). Эта политика позволяет определить порядок
использования BitLocker To Go на съемных дисках, в том числе могут ли
обычные пользователи включать или отключать BitLocker To Go на съемных
устройствах. Например, можно разрешить определенным пользователям
хранить данные на уже защищенных съемных дисках, но запретить им
самостоятельно включать BitLocker на съемных устройствах.
·
Запретить запись на съемные диски, не защищенные BitLocker (Deny write
access to removable drives not protected by BitLocker). Эта политика
позволяет разрешить пользователям записывать данные только на
устройства, защищенные шифрованием BitLocker To Go. Когда действует эта
политика, посторонний человек не сможет беспрепятственно прочитать
данные, хранящиеся на съемном устройстве, так как они защищены
шифрованием.
· Выбор методов восстановления съемных дисков,
защищенных с помощью BitLocker (Choose how BitLocker-protected removable
drives can be recovered). Эта политика позволяет сконфигурировать агент
восстановления данных или хранить информацию для восстановления
BitLocker To Go в Active Directory. Эта очень важная политика, потому
как развертывая BitLocker To Go для защиты данных съемных устройств,
обязательно нужно предусмотреть план восстановления данных в тех
неизбежно возникающих ситуациях, когда пользователи забывает свой пароль
BitLocker To Go.
При наличии политик BitLocker To Go для съемных
устройств, пользователь должен будет вводить пароль, чтобы
разблокировать устройство на другом компьютере. После ввода пароля
пользователь сможет выполнять чтение и запись на устройство на
компьютере с редакцией Enterprise или Ultimate операционной системы
Windows 7. Можно также сконфигурировать BitLocker To Go так, чтобы у
пользователей был доступ только для чтения защищенных средствами
BitLocker To Go данных на компьютерах под управлением других
операционных систем Microsoft.
Если в организации планируется
использовать BitLocker To Go, нужно обязательно предусмотреть стратегию
восстановления данных на случай, если пользователи потеряют или забудут
пароль. Настройка восстановления BitLocker To Go похоже на ту же
операцию в BitLocker. В этом случае нужно настроить политику «Выбор
методов восстановления съемных дисков, защищенных с помощью BitLocker»
(Choose how BitLocker-protected removable drives can be recovered) в
узле Конфигурация компьютера/Административные шаблоны/Компоненты
Windows/Защита диска BitLocker/Съемные диски с данными (Computer
Configuration/Administrative Templates/Windows Components/BitLocker
Drive Encryption/Removable Data Drives).
Можете организовать
копирование паролей BitLocker To Go в Active Directory, где они будут
доступны администраторам, пользующимся оснасткой «Active Directory —
пользователи и компьютеры» (Active Directory Users and Computers), и
учетной записи компьютера, на котором устройство изначально было
защищено средствами BitLocker To Go. Можно также сконфигурировать
политику защиты данных средствами агента восстановления данных, что
позволит пользователю с сертификатом такого агента восстанавливать
данные на дисках, не прибегая к паролям.
Настройка AppLocker
Никакая
антивирусная программа не в состоянии перехватить абсолютно все вирусы
или вредные программы, но можно создать дополнительный рубеж защиты с
помощью AppLocker. Эта технология позволяет создать список приложений,
считающихся безопасными, и позволить выполнение только таких приложений.
Такой подход к защите компьютера очень неудобен тем, кто регулярно
запускает новые и необычные программы, но в большинстве организаций
системная среда стандартизована, а любые изменения приложений происходят
постепенно, поэтому разрешение выполнять только «одобренные» приложения
представляется вполне разумным.
В разрешающие правила AppLocker
можно включить не только исполняемые файлы, но сценарии, DLL-библиотеки и
MSI-файлы. Не разрешенные программы, сценарии, DLL или установщики
выполняться не могут.
Имеющийся в AppLocker мастер облегчает
задачу создания списка разрешенных приложений. Это одно из значительный
усовершенствований AppLocker по сравнению с политиками ограничения,
которые использовались в более ранних версиях Windows и обеспечивали
аналогичную функциональность.
В AppLocker также
поддерживаются правила идентификации файлов на основе цифровой подписи
файла издателем — это позволяет разрешить выполнение не только
существующих, но и будущих версий файла. Это избавляет администраторов
от рутины обновления имеющихся правил после установки обновлений ПО.
Обновленный исполняемый файл, сценарий, установщик или DLL будут
автоматически удовлетворять условиям исходного правила. Подобное было
невозможно в политиках ограничения, которые вынуждали администраторов
обновлять правила при каждом изменении конфигурации ПО.
Чтобы
создать стандартный набор политик AppLocker, который затем можно будет
применять к другим компьютерам, выполните следующие операции.
1.
Создайте эталонный компьютер под управлением Windows 7 со всеми
приложениями, которые будут использоваться в вашей среде.
2.
Войдите в систему компьютера под учетной записью пользователя с правами
локального администратора.
3. Откройте окно Редактора
локальной групповой политики, выполнив команду Gpedit.msc в поле «Найти
программы и файлы» (Search programs and files textbox).
4.
Перейдите в узел Конфигурация компьютера/Конфигурация Windows/Параметры
безопасности/Политики управления приложениями/AppLocker/Исполняемые
правила (Computer Configuration/Windows Settings/Security
Settings/Application Control Policies/AppLocker/Executable Rules).
Щелкните правой кнопкой узел «Исполняемые правила» (Executable Rules) и
выберите «Создать правила автоматически» (Automatically generate new
rules). Откроется окно «Создавать автоматически исполняемые правила»
(Automatically Generate Executable Rules).
5. В текстовом поле
«Папка, содержащая файлы для анализа» (Folder that contains the files
to be analyzed) введите c:\\. В текстовом поле «Имя, определяющее набор
правил» (Name to identify this set of rules) введите Все исполняемые
файлы (All Executables) и щелкните Далее (Next).
6. На
странице «Параметры правил» (Rule Preferences) выберите «Создать правила
издателя для файлов с цифровой подписью» (Create publisher rules for
files that are digitally signed) и, на тот случай, если файл не
подписан, также выберите «Хэш файла: правила создаются с помощью хэша
файла» (File hash: rules are created using a file’s hash). Убедитесь,
что параметр «Группировать схожие правила (чтобы уменьшить количество
правил)» (Reduce the number of rules by grouping similar files ) не
выбран и щелкните Далее.
7. Создание правила займет некоторое
время. Когда завершится генерация правил, щелкните Создать (Create). На
вопрос, нужно ли создавать правила по умолчанию, ответьте Нет (No).Эти
правила не нужны, так как область действия создаваемых правил для всех
исполняемых файлов более широка, чем у правил по умолчанию.
8.
Если на компьютере приложения хранятся на нескольких томах, повторите
операции с 5 по 7, вводя соответствующее имя диска в мастере создания
автоматически исполняемых правил.
9. Создав правила, выполните
экспорт списка разрешенных приложений в формате XML, для чего щелкните
правой кнопкой узел AppLocker и выберите «Экспортировать список» (Export
Policy). Можно также импортировать эти правила в другие объекты
групповой политики, например расположенные на корпоративных ноутбуках.
После применения этих правил средствами политики будет разрешено
выполнение только тех приложений, которые были установлены на исходном
компьютере.
10. При конфигурировании AppLocker нужно не забыть
убедиться, что работает Служба удостоверений приложений (Application
Identity) и исполняемые правила применяются средствами политики. Если
эта служба отключена, политики AppLocker применяться не будут. В
групповой политике можно настроить автоматический запуск службы, но
число пользователей с правами локального администратора нужно
ограничивать, чтобы они не могли обойти ограничения, наложенные
AppLocker. Чтобы включить применение исполняемых правил, откройте узел
Конфигурация компьютера/Конфигурация Windows/Параметры
безопасности/Политики управления приложениями/AppLocker (Computer
Configuration/Windows Settings/Security Settings/Application Control
Policies/AppLocker) и выберите «Свойства» (Properties). Установите
флажок «Настроено» (Enable) в разделе «Правила исполняемых файлов» и
убедитесь, что выбран вариант «Принудительное применение правил»
(Enforce Rules).
Надеюсь, вы поняли, как реализовывать и
восстанавливать BitLocker, использовать BitLocker To Go и
конфигурировать политики AppLocker. Использование этих технологий наряду
с выполнением обычных задач по обслуживанию (таких как своевременная
установка обновлений и антивирусных программ) позволит повысить
безопасность компьютеров под управлением Windows 7 в вашей организации.
