Policy дээр Encryption (дискийн бүрэн шифрлэлт)-ийг хэрхэн тохируулах вэ?

Бодлогын Encryption хэсэгт endpoint дээрх шифрлэлтийн тохиргоог удирдана.

Encryption модуль нь endpoint дээрх дискийн бүрэн шифрлэлтийг удирдах бөгөөд Windows дээр BitLocker, macOS дээр FileVault болон diskutil командын мөрийн хэрэгслийг ашиглана.

GravityZone нь дараах давуу талыг өгнө:

• Төхөөрөмж алдагдсан эсвэл хулгайд алдсан үед өгөгдөл хамгаалагдана.
• Microsoft, Apple-ийн бүрэн дэмжлэгтэй, зөвлөмж болгосон шифрлэлтийн стандартыг ашигласнаар дэлхийн хамгийн түгээмэл компьютерийн платформуудыг иж бүрэн хамгаална.
• Үйлдлийн системийн суурь шифрлэлтийн хэрэгслийг ашигладаг тул endpoint-ийн гүйцэтгэлд бага нөлөөлнө.

Encryption модуль дараах шийдлүүдийг ашиглана:

• Trusted Platform Module (TPM)-тэй Windows endpoint дээр BitLocker хувилбар 1.2 ба түүнээс дээш, boot болон boot бус volume-д.
• TPM-гүй Windows endpoint дээр BitLocker хувилбар 1.2 ба түүнээс дээш, boot болон boot бус volume-д.
• macOS endpoint дээр FileVault, boot volume-д.
• macOS endpoint дээр diskutil, boot бус volume-д.

Encryption модулийн дэмждэг үйлдлийн системийн жагсаалтыг GravityZone requirements-ээс үзнэ үү.

Идэвхжүүлэх

Full Disk Encryption-г ашиглахын тулд эхлээд GravityZone бүтээгдэхүүндээ энэ онцлог идэвхжсэн эсэхийг шалгаж, дараа нь бодлогын тохиргоонд тохируулна.

Full Disk Encryption нь лицензийн түлхүүрээр идэвхжүүлэх шаардлагатай онцлог юм. Үүний тулд Configuration > License руу орж лицензийн түлхүүрээ оруулна. Full Disk Encryption байгаа эсэхийг шалгахын тулд бодлогын тохиргоог нээх эсвэл шинэ суулгах багц үүсгээд модулийн жагсаалтад Encryption байгаа эсэхийг хараарай.

Full Disk Encryption-г жилийн болон сарын лицензтэй харилцагч компаниуд өөр өөрөөр идэвхжүүлдэг.

• Жилийн лицензтэй харилцагч компани дээр Full Disk Encryption нь лицензийн түлхүүрээр идэвхжүүлэх нэмэлт (add-on) байдлаар ирнэ.
• Сарын лицензтэй харилцагч компани дээр лицензийн түлхүүр оруулалгүйгээр компани бүрт Full Disk Encryption-ийн удирдлагыг зөвшөөрч болно.

Жилийн лицензтэй харилцагч компани

Жилийн лицензтэй харилцагч компанид Full Disk Encryption идэвхжүүлэх алхам:

1. 1Control Center-т нэвтэрнэ.
2. 2Зүүн талын цэснээс Companies хуудас руу орно.
3. 3Full Disk Encryption идэвхжүүлэх компанийнхаа нэр дээр дарна.
4. 4License хэсгийн Add-on key талбарт Full Disk Encryption-ийн лицензийн түлхүүрийг оруулна.
5. 5Add дээр дарна. Нэмэлтийн дэлгэрэнгүй (төрөл, лицензийн түлхүүр, түлхүүрийг устгах сонголт) хүснэгтэд гарна.
6. 6Өөрчлөлтийг хэрэгжүүлэхийн тулд Save дээр дарна.

Сарын лицензтэй харилцагч компани

Сарын лицензтэй харилцагч компанид Full Disk Encryption-ийн удирдлагыг зөвшөөрөх алхам:

1. 1Control Center-т нэвтэрнэ.
2. 2Зүүн талын цэснээс Companies хуудас руу орно.
3. 3Үйлдлийн хэрэгслийн мөрөнд Add товчийг дарна.
4. 4Шаардлагатай мэдээллийг бөглөж, компанийн төрөлд Customer, лицензийн төрөлд Monthly Subscription сонгоно.
5. 5Allow company to manage Encryption нүдийг тэмдэглэнэ.
6. 6Өөрчлөлтийг хэрэгжүүлэхийн тулд Save дээр дарна.

Түнш (partner) компаниуд Full Disk Encryption-ийн тохиргоотой өгөгдмөлөөр байх бөгөөд энэ онцлогийг идэвхжүүлэх, идэвхгүй болгох боломжгүй.

Тохиргоо

Control Center-ээс endpoint-ийн шифрлэлтийг удирдахын тулд Encryption > General хуудсан дээрх Encryption Management унтраалгыг дарж онцлогийг идэвхжүүлнэ. Энэ тохиргоо идэвхтэй байх хугацаанд endpoint-ийн хэрэглэгчид шифрлэлтийг өөрсдөө удирдаж чадахгүй бөгөөд тэдний бүх үйлдэл цуцлагдах эсвэл буцаагдана.

Шифрлэх болон тайлах процессыг удирдахад хоёр сонголт байна:

• Decrypt – бодлого endpoint дээр идэвхтэй байх хугацаанд volume-уудыг тайлж, шифрлэлтгүй байлгана.

• Encrypt – бодлого endpoint дээр идэвхтэй байх хугацаанд volume-уудыг шифрлэж, шифрлэгдсэн байлгана.

Encrypt сонголтын дор If Trusted Platform Module (TPM) is active, do not ask for password to encrypt нүдийг тэмдэглэж болно. Энэ тохиргоо нь TPM-тэй Windows endpoint дээр хэрэглэгчээс шифрлэлтийн нууц үг шаардалгүй шифрлэнэ.

GravityZone нь Windows, macOS дээр 128 болон 256 бит түлхүүртэй Advanced Encryption Standard (AES) аргыг дэмжинэ. Бодитоор ашиглагдах шифрлэлтийн алгоритм нь үйлдлийн систем бүрийн тохиргооноос хамаарна.

Volume шифрлэх

Volume шифрлэх алхам:

1. 1Онцлогийг идэвхжүүлэхийн тулд Encryption Management унтраалгыг дарна.
2. 2Encrypt сонголтыг сонгоно.

Шифрлэлтийн процесс бодлого endpoint дээр идэвхжсэний дараа эхэлнэ. Windows, Mac дээр зарим онцлог байдаг.

• Windows дээр

Өгөгдмөлөөр security agent шифрлэлтийг эхлүүлэхийн тулд хэрэглэгчээс нууц үг тохируулахыг хүснэ. Машин дээр ажиллаж буй TPM байвал security agent хэрэглэгчээс шифрлэлт эхлүүлэхийн тулд personal identification number (PIN) тохируулахыг хүснэ.

Хэрэглэгч энэ үед тохируулсан нууц үг эсвэл PIN-ээ endpoint асах бүрд pre-boot authentication дэлгэцэнд оруулна.

> Тэмдэглэл: Security agent нь BitLocker Group Policy (GPO) тохиргоогоор PIN-ийн нарийн төвөгтэй байдлын шаардлага болон хэрэглэгчийн PIN солих эрхийг тохируулах боломж олгоно.

Endpoint-ийн хэрэглэгчээс нууц үг шаардалгүй шифрлэлтийг эхлүүлэхийн тулд If Trusted Platform Module (TPM) is active, do not ask for pre-boot password нүдийг тэмдэглэнэ. Энэ тохиргоо нь TPM болон UEFI-тэй Windows endpoint-д тохирно.

If Trusted Platform Module (TPM) is active, do not ask for pre-boot password нүд тэмдэглэгдсэн үед:

- Шифрлэгдээгүй endpoint дээр:

- Шифрлэлт нууц үг шаардахгүйгээр явагдана.
- Машиныг асаахад pre-boot authentication дэлгэц гарахгүй.

- Нууц үгээр шифрлэгдсэн endpoint дээр:

- Нууц үг устгагдана.
- Volume-ууд шифрлэгдсэн хэвээр үлдэнэ.

- TPM-гүй, эсвэл TPM илрээгүй, ажиллахгүй байгаа шифрлэгдсэн болон шифрлэгдээгүй endpoint дээр:

- Хэрэглэгчээс шифрлэлтийн нууц үг оруулахыг хүснэ.
- Машиныг асаахад pre-boot authentication дэлгэц гарна.

If Trusted Platform Module (TPM) is active, do not ask for pre-boot password нүд тэмдэглэгдээгүй үед:

- Хэрэглэгч шифрлэлтийн нууц үг оруулах ёстой.
- Volume-ууд шифрлэгдсэн хэвээр үлдэнэ.

• Mac дээр

Boot volume-ийн шифрлэлтийг эхлүүлэхийн тулд security agent хэрэглэгчээс системийн нэвтрэх мэдээллийг хүснэ.

Boot бус volume-ийн шифрлэлтийг эхлүүлэхийн тулд security agent хэрэглэгчээс шифрлэлтийн нууц үг тохируулахыг хүснэ. Энэ нууц үг компьютер асах бүрд boot бус volume-ийг түгжээнээс гаргахад шаардлагатай. Компьютерт boot бус volume нэгээс олон байвал хэрэглэгч тус бүрт нь шифрлэлтийн нууц үг тохируулна.

> Тэмдэглэл: Encryption модуль macOS дээр чимээгүй горимыг (silent mode) тойрч гарна. Тиймээс endpoint дээр идэвхтэй бодлогод мэдэгдлийг идэвхгүй болгосон ч шаардлагатай үед хэрэглэгчээс үйлдэл хийхийг хүснэ.

Volume тайлах

Endpoint дээрх volume-ийг тайлах алхам:

1. 1Онцлогийг идэвхжүүлэхийн тулд Encryption Management унтраалгыг дарна.
2. 2Decrypt сонголтыг сонгоно.

Тайлах процесс бодлого endpoint дээр идэвхжсэний дараа эхэлнэ. Windows, Mac дээр зарим онцлог байдаг.

• Windows дээр

Volume-ууд хэрэглэгчийн оролцоогүйгээр тайлагдана.

• Mac дээр

Boot volume-ийн хувьд хэрэглэгч системийн нэвтрэх мэдээллээ оруулна. Boot бус volume-ийн хувьд шифрлэх үед тохируулсан нууц үгээ оруулна.

Endpoint-ийн хэрэглэгч шифрлэлтийн нууц үгээ мартвал машинаа түгжээнээс гаргахын тулд сэргээх түлхүүр (recovery key) хэрэгтэй. Сэргээх түлхүүрийг хэрхэн авах дэлгэрэнгүйг Using Recovery manager for encrypted volumes хэсгээс үзнэ үү.

Partition хасах

Windows endpoint дээр шифрлэлтээс хасах жагсаалтыг дискийн үсэг, partition-ий шошго, нэр, partition GUID-аар үүсгэж болно. Үйлдлийн систем суусан partition-ийг шифрлэлтээс хасч болохгүй.

Partition-ийг шифрлэлтээс хасах дүрэм үүсгэх алхам:

1. 1Exclusions нүдийг тэмдэглэнэ.

2. 2Type унадаг цэснээс partition-ийг тодорхойлох аргыг сонгоно.

3. 3Excluded items талбарт хасах partition бүрийн таниулбарыг оруулна. Дараах хэлбэрийг баримтална:

- Drive letter-ийн хувьд дискийн үсгийн ард давхар цэг тавьж бичнэ, жишээ нь D:.

- Label / Name-ийн хувьд дискийн шошгыг бичнэ, жишээ нь Work.

- GUID-ийн хувьд partition GUID-ийг дараах байдлаар бичнэ: \\?\Volume{6a2d53fe-c79a-11e1-b189-806e6f6e6963}\.

> Зөвлөмж: Windows дээр volume GUID-ийг олохын тулд mountvol командыг параметргүйгээр ажиллуулна.

4. 4Exclusion-г жагсаалтад нэмэхийн тулд Add дээр дарна.

Exclusion засах алхам:

1. 1Inline цэсийг нээнэ.

2. 2Edit exclusion дээр дарна.

3. 3Өөрчлөлтөө хийнэ.

4. 4Өөрчлөлтийг хадгалахын тулд баталгаажуулах дүрс дээр дарна.

Эсвэл өөрчлөлтгүйгээр засварын талбарыг хаахын тулд цуцлах дүрс дээр дарна.

Exclusion устгахын тулд inline цэсийг нээгээд Delete дээр дарна.