admin管理员组文章数量:1567013
写在前面
hello 大家好我是菜白
这是我的一百种方法系列,这个系列我希望可以一直更新,给大家一些新鲜的insight。
本期主题企业信息保护,主要包括三个内容:BitLocker AppLocker和软件限制策略。
本文主要来源是Microsoft的官方文档,本文的价值在于总结了一些常见的数据保护的方法,属于总结非原创性文章。不喜请多多留言。
目录
写在前面
BitLocker
BitLocker是什么?
BitLoker如何保护数据?
BitLocker的发展
BitLocker 工作原理
Bitlocker配置
BitLocker升级
BitLocker部署和管理
AppLocker
AppLocker的功能
AppLocker的场景
AppLocker的安装与使用
AppLocker的常规要求
AppLocker的操作系统要求
AppLocker的部署要点
AppLocker的策略设计决策
AppLocker的发展
软件限制策略(SRP)
参考链接
BitLocker
BitLocker是什么?
BitLocker 驱动器加密是一项数据保护功能,它与操作系统集成,用于解决来自丢失、被盗或销毁不当的计算机的数据被盗或泄露的威胁。BitLocker就是一个用于磁盘加密的工具。
BitLoker如何保护数据?
在与受信任的平台模块 (TPM,Trust Platform Module) 版本 1.2 或更高版本一起使用时,BitLocker 提供最多保护。 TPM是计算机制造商安装在许多较新的计算机上的硬件组件。将其与BitLocker一起使用,不仅可帮助保护用户数据,还可确保计算机不会在系统离线时遭到篡改。
在没有 TPM 版本 1.2 或更高版本的计算机上,你仍可以使用 BitLocker 加密 Windows 操作系统驱动器。 但是,此实现将要求用户插入 USB 启动密钥以启动计算机或从休眠状态中恢复。 从 Windows8 开始,你可以在没有 TPM 的计算机上使用操作系统卷密码保护操作系统卷。 这两种选项均不提供带有 TPM 的由 BitLocker 提供的预启动系统完整性验证。
除了 TPM 外,BitLocker 也可以让用户选择锁定正常的启动过程,但前提是该用户提供了个人标识号 (PIN) 或插入了包含启动密钥的可移动设备,例如 U 盘。 这些额外的安全措施提供了多重身份验证,并确保计算机在提供正确 PIN 或启动密钥之前将不会启动或从休眠状态中恢复。
BitLocker的发展
Windows7时代和windows 10时代的数据保护
Windows7 |
Windows 10 |
将 BitLocker 与 PIN 配合使用以保护启动时,无法远程重新启动电脑(如展台)。 |
当今的 Windows 设备会越来越多地受到 BitLocker 设备加密功能的保护,并支持 SSO 以无缝保护 BitLocker 加密密钥的冷启动攻击。 网络解锁允许电脑在连接到内部网络时自动启动。 |
启用 BitLocker 后,预配过程可能需要几个小时。 |
BitLocker 预配、加密硬驱和已用空间 "仅加密" 允许管理员在新计算机上快速启用 BitLocker。 |
不支持将 BitLocker 与自加密驱动器(SEDs)配合使用。 |
BitLocker 支持将加密硬驱卸载到加密的硬驱。 |
管理员必须使用单独的工具来管理加密的硬驱。 |
BitLocker 支持使用内置的板载加密硬件的加密硬驱,这允许管理员使用熟悉的 BitLocker 管理工具管理它们。 |
加密新的闪存驱动器可能需要超过20分钟。 |
BitLocker To Go 中的 "仅使用空间" 加密允许用户在数秒内加密可移动数据驱动器。 |
BitLocker 可能要求用户在发生系统配置更改时输入恢复密钥。 |
只有当发生磁盘损坏或用户丢失 PIN 或密码时,BitLocker 才需要用户输入恢复密钥。 |
用户需要输入 PIN 才能启动电脑,然后输入密码以登录到 Windows。 |
当今的 Windows 设备将受到 BitLocker 设备加密的干扰,并支持 SSO,以帮助保护 BitLocker 加密密钥免受冷启动攻击。 |
BitLocker 工作原理
BitLocker 如何与操作系统驱动器协同工作
通过加密操作系统驱动器上的所有用户文件和系统文件(包括交换文件和休眠文件),并检查早期启动组件和引导配置数据的完整性,BitLocker 可用于减少丢失或被盗的计算机上未经授权的数据访问。
BitLocker 如何与固定和可移动数据驱动器协同工作
你可以使用 BitLocker 加密数据驱动器的全部内容。 你可以使用组策略要求在计算机将数据写入驱动器之前,先在驱动器上启用 BitLocker。 可以使用各种解锁方法为数据驱动器配置 BitLocker,并且数据驱动器支持多种解锁方法。
Bitlocker配置
1. 准备驱动器和文件加密
TPM 预配
在 Windows7 中,准备 TPM 以供使用有几个挑战:
- 你可以在 BIOS 中打开 TPM,这要求某人进入 BIOS 设置以将其打开或安装驱动程序,以便从 Windows 内部将其打开。
- 启用 TPM 时,可能需要一个或多个重启。
基本上,这是一种很大的麻烦。 如果 IT 人员为新电脑提供了新的功能,他们可以处理所有这一切,但是如果你想要将 BitLocker 添加到已存在于用户手中的设备,这些用户将面临技术挑战,并将其与技术挑战联系起来,或者仅保留 BitLocker 禁用。Microsoft 在 Windows10 中提供了可使操作系统完全管理 TPM 的工具。 无需进入 BIOS,已消除所有需要重启的方案。
2. 部署硬驱加密
BitLocker 能够加密整个硬盘,包括系统和数据驱动器。 BitLocker 预配可显著减少预配启用 BitLocker 的新电脑所需的时间。 通过 Windows10,管理员可以在安装 Windows 之前在 Windows 预安装环境中打开 BitLocker 和 TPM,也可以在无需任何用户交互的情况下在自动部署任务序列中启用 TPM。 结合使用的磁盘空间(仅限于已使用的磁盘空间)和大部分空驱动器(因为尚未安装 Windows),只需几秒钟即可启用 BitLocker。
3. BitLocker 设备加密
从 Windows 8.1 开始,Windows 会在支持新式待机的设备上自动启用 BitLocker 设备加密。 通过 Windows10,Microsoft 在更广泛的一系列设备(包括新式待机的设备和运行 Windows 10 家庭版的设备)上提供 BitLocker 设备加密支持。
Microsoft 建议在支持它的任何系统上启用 BitLocker 设备加密,但可通过更改以下注册表设置来阻止自动 BitLocker 设备加密过程:
子键: HKEY _LOCAL \ _MACHINE \system\currentcontrolset\control\bitlocker
Value: PreventDeviceEncryption 等于 True (1)
类型: REG \ _DWORD
管理员可以管理通过 Microsoft BitLocker 管理和监视(MBAM)启用 BitLocker 设备加密的加入域的设备。 在这种情况下,BitLocker 设备加密会自动使其他 BitLocker 选项可用。 不需要转换或加密,并且如果需要任何配置更改,MBAM 可以管理完整的 BitLocker 策略集。
4. 仅限使用的磁盘空间加密
为了减少加密时间,Windows10 中的 BitLocker 允许用户选择仅加密其数据。 此选项可减少超过99% 的加密时间,具体取决于驱动器上的数据量。 但是,如果加密的现有卷上的已用空间已被存储为未加密状态,则请务必小心,因为这些扇区可以通过磁盘恢复工具恢复,直到它们被新的加密数据覆盖。 相反,仅加密全新卷上的已用空间可能会显著减少部署时间,而不会产生安全风险,因为所有新数据将在写入磁盘时加密。
5. 预启动信息保护
Windows10 可以在新式设备上的预启动环境中启用真正的 SSO 体验,在某些情况下,即使在使用较旧的设备保护配置时也是如此。 处于隔离状态的 TPM 可以安全地在其处于静止状态时保护 BitLocker 加密密钥,并且可以安全地解锁操作系统驱动器。 当密钥在使用中,因此在内存中,硬件和 Windows 功能的组合可以保护密钥,并防止通过冷启动攻击进行未经授权的访问。
6. 管理密码和 Pin 码
当在系统驱动器上启用 BitLocker 且电脑具有 TPM 时,你可以选择要求用户先键入 PIN,然后 BitLocker 将解锁驱动器。 此类PIN要求可防止对电脑具有物理访问权限的攻击者甚至能够访问 Windows 登录&
版权声明:本文标题:我有一百种方法帮你保护企业数据(持续更新中) 内容由热心网友自发贡献,该文观点仅代表作者本人, 转载请联系作者并注明出处:https://m.elefans.com/dianzi/1727573425a1121465.html, 本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容,一经查实,本站将立刻删除。
发表评论