Guia de planejamento do BitLocker

Uma estratégia de implantação do BitLocker inclui a definição das políticas e requisitos de configuração apropriados com base nos requisitos de segurança da sua organização. Este artigo ajuda a coletar as informações para ajudar com uma implantação do BitLocker.

Auditar o ambiente

Para planejar uma implantação do BitLocker, entenda o ambiente atual. Execute uma auditoria informal para definir as políticas, os procedimentos e o ambiente de hardware atuais. Examine o software de criptografia de disco existente e as políticas de segurança da organização. Se a organização não estiver usando software de criptografia de disco, essas políticas poderão não existir. Se o software de criptografia de disco estiver em uso, as políticas talvez precisem ser alteradas para usar determinados recursos do BitLocker.

Para ajudar a documentar as políticas atuais de segurança de criptografia de disco da organização, responda às seguintes perguntas:

Chaves de criptografia e autenticação

Um TPM (módulo de plataforma confiável) é um componente de hardware instalado em muitos dispositivos Windows pelos fabricantes. Ele funciona com o BitLocker para ajudar a proteger os dados do usuário e garantir que um dispositivo não tenha sido adulterado enquanto o sistema estava offline.

O BitLocker pode bloquear o processo normal de inicialização até que o usuário forneça um PIN (número de identificação pessoal) ou insira um dispositivo USB removível que contenha uma chave de inicialização. Essas medidas de segurança extras fornecem autenticação multifator. Eles também garantem que o computador não inicie ou retome da hibernação até que o PIN ou a chave de inicialização corretos sejam apresentados.

Em dispositivos que não têm um TPM, o BitLocker ainda pode ser usado para criptografar o volume do sistema operacional Windows. No entanto, essa implementação não fornece a verificação de integridade do sistema pré-inicialização oferecida pelo BitLocker trabalhando com um TPM.

Uma implementação eficaz da proteção de informações, como a maioria dos controles de segurança, considera usabilidade e segurança. Normalmente, os usuários preferem uma experiência de segurança simples. Na verdade, quanto mais transparente uma solução de segurança se torna, mais provável que os usuários estejam de acordo com a ela.

É crucial que as organizações protejam informações em seus dispositivos, independentemente do estado do dispositivo ou da intenção dos usuários. Essa proteção não deve ser complicada para os usuários. Uma situação indesejável e anteriormente comum é quando o usuário é solicitado a entrar durante a pré-inicialização e, em seguida, novamente durante a entrada do Windows. Solicitar entrada dos usuários mais de uma vez deve ser evitado.

O TPM é capaz de proteger com segurança a chave de criptografia BitLocker enquanto ela estiver em repouso e pode desbloquear com segurança a unidade do sistema operacional. Quando a chave está em uso e, portanto, na memória, uma combinação de hardware e recursos do Windows pode proteger a chave e impedir o acesso não autorizado por meio de ataques de inicialização fria. Embora outras contramedidas como o desbloqueio baseado em PIN estejam disponíveis, elas não são tão amigáveis para o usuário; dependendo da configuração dos dispositivos, eles podem não oferecer mais segurança quando se trata de proteção de chave. Para obter mais informações, confira Contramedidas do BitLocker.

Protetores de chave BitLocker

Para proteger a chave de criptografia BitLocker, o BitLocker pode usar diferentes tipos de protetores. Ao habilitar o BitLocker, cada protetor recebe uma cópia da Chave Mestre de Volume, que é criptografada usando seu próprio mecanismo.

Suporte para dispositivos sem TPM

Determine se computadores que não têm uma versão TPM 1.2 ou superior no ambiente terão suporte. Se você decidir dar suporte a dispositivos sem TPM, um usuário deverá usar uma chave de inicialização USB ou uma senha para inicializar o sistema. A chave de inicialização requer processos de suporte extras semelhantes à autenticação multifator.

Quais áreas da organização precisam de um nível de linha de base de proteção de dados?

O método de autenticação somente TPM fornece a experiência de usuário mais transparente para organizações que precisam de um nível de linha de base de proteção de dados para atender às políticas de segurança. Tem o menor custo total de propriedade. Somente TPM também pode ser mais apropriado para dispositivos autônomos ou que devem ser reinicializados sem vigilância.

No entanto, o método de autenticação somente TPM não oferece um alto nível de proteção de dados. Esse método de autenticação protege contra ataques que modificam componentes de inicialização iniciais. Mas o nível de proteção pode ser afetado por possíveis fraquezas no hardware ou nos componentes de inicialização iniciais. Os métodos de autenticação multifator do BitLocker aumentam significativamente o nível geral de proteção de dados.

Quais áreas da organização precisam de um nível mais seguro de proteção de dados?

Se houver dispositivos com dados altamente confidenciais, implante o BitLocker com autenticação multifator nesses sistemas. Exigir que o usuário insira um PIN aumenta significativamente o nível de proteção para o sistema. O Desbloqueio de Rede do BitLocker também pode ser usado para permitir que esses dispositivos desbloqueiem automaticamente quando conectados a uma rede com fio confiável que pode fornecer a chave de Desbloqueio de Rede.

Qual método de autenticação multifator a organização prefere?

As diferenças de proteção fornecidas pelos métodos de autenticação multifator não podem ser facilmente quantificadas. Considere o impacto de cada método de autenticação no suporte do Helpdesk, na educação do usuário, na produtividade do usuário e em todos os processos de gerenciamento de sistemas automatizados.

Gerenciar senhas e PINs

Quando o BitLocker está habilitado em uma unidade do sistema e o dispositivo tem um TPM, os usuários podem ser obrigados a inserir um PIN antes que o BitLocker desbloqueie a unidade. Esse requisito PIN pode impedir que um invasor que tenha acesso físico a um dispositivo até mesmo acesse a entrada do Windows, o que torna quase impossível para o invasor acessar ou modificar dados do usuário e arquivos do sistema.

Exigir um PIN na inicialização é um recurso de segurança útil porque ele atua como um segundo fator de autenticação. No entanto, essa configuração vem com alguns custos, especialmente se você precisar alterar o PIN regularmente.

Além disso, os dispositivos de espera modernos não exigem um PIN para inicialização: eles são projetados para iniciar com pouca frequência e têm outras mitigações em vigor que reduzem ainda mais a superfície de ataque do sistema.

Para obter mais informações sobre como a segurança de inicialização funciona e as contramedidas que o Windows fornece, consulte Autenticação preboot.

Configurações de hardware do TPM

No plano de implantação, identifique quais plataformas de hardware baseadas em TPM têm suporte. Documente os modelos de hardware de um OEM(s) usado pela organização para que suas configurações possam ser testadas e compatíveis. O hardware TPM requer uma consideração especial durante todos os aspectos de planejamento e implantação.

TPM 1.2 estados e inicialização

Para o TPM 1.2, há vários estados possíveis. O Windows inicializa automaticamente o TPM, o que o leva a um estado habilitado, ativado e de propriedade. Esse estado é o estado que o BitLocker requer antes de poder usar o TPM.

Chaves de endosso

Para que um TPM seja utilizável pelo BitLocker, ele deve conter uma chave de endosso, que é um par de chaves RSA. A metade privada do par de chaves é mantida dentro do TPM e nunca é revelada ou acessível fora do TPM. Se o TPM não tiver uma chave de endosso, o BitLocker força o TPM a gerar um automaticamente como parte da configuração do BitLocker.

Uma chave de endosso pode ser criada em vários pontos do ciclo de vida do TPM, mas precisa ser criada apenas uma vez durante o tempo de vida do TPM. Se uma chave de endosso não existir para o TPM, ela deve ser criada antes que você possa tomar a propriedade do TPM.

Para obter mais informações sobre o TPM e o TCG, confira as Especificações do TPM (Trusted Computing Group: Trusted Platform Module).

Configurações de hardware não TPM

Dispositivos sem TPM ainda podem ser protegidos com criptografia de unidade usando uma chave de inicialização.

Use as seguintes perguntas para identificar problemas que podem afetar a implantação em uma configuração não TPM:

• Há um orçamento para unidades flash USB para cada um desses dispositivos?
• Dispositivos não TPM existentes dão suporte a unidades USB na hora da inicialização?

Teste as plataformas de hardware individuais com a opção marcar do sistema BitLocker ao habilitar o BitLocker. O sistema marcar garante que o BitLocker possa ler as informações de recuperação de um dispositivo USB e chaves de criptografia corretamente antes de criptografar o volume.

Considerações de configuração de disco

Para funcionar corretamente, o BitLocker requer uma configuração de disco específica. O BitLocker requer duas partições que atendem aos seguintes requisitos:

• A partição do sistema operacional contém o sistema operacional e seus arquivos de suporte; ele deve ser formatado com o sistema de arquivos NTFS
• A partição do sistema (ou partição de inicialização) inclui os arquivos necessários para carregar o Windows depois que o firmware BIOS ou UEFI preparou o hardware do sistema. O BitLocker não está habilitado nessa partição. Para que o BitLocker funcione, a partição do sistema não deve ser criptografada e deve estar em uma partição diferente do sistema operacional. Em plataformas UEFI, a partição do sistema deve ser formatada com o sistema de arquivos FAT 32. Em plataformas BIOS, a partição do sistema deve ser formatada com o sistema de arquivos NTFS. Deve ter pelo menos 350 MB de tamanho.

A configuração do Windows configura automaticamente as unidades de disco dos computadores para dar suporte à criptografia BitLocker.

O Ambiente de Recuperação do Windows (Windows RE) é uma plataforma de recuperação extensível baseada no Windows Pre-installation Environment (Windows PE). Quando o computador não é iniciado, o Windows faz a transição automática para esse ambiente e a ferramenta Reparo de Inicialização em Windows RE automatiza o diagnóstico e o reparo de uma instalação inexebível do Windows. Windows RE também contém os drivers e as ferramentas necessárias para desbloquear um volume protegido pelo BitLocker fornecendo uma chave de recuperação ou senha de recuperação. Para usar Windows RE com o BitLocker, a imagem de inicialização Windows RE deve estar em um volume que não esteja protegido pelo BitLocker.

Windows RE também pode ser usado na mídia de inicialização diferente do disco rígido local. Se Windows RE não estiver instalado no disco rígido local de computadores habilitados para BitLocker, diferentes métodos poderão ser usados para inicializar Windows RE. Por exemplo, o WDS (Serviços de Implantação do Windows) ou a unidade flash USB podem ser usados para recuperação.

Provisionamento do BitLocker

Os administradores podem habilitar o BitLocker antes para a implantação do sistema operacional no WinPE ( Ambiente de Pré-instalação do Windows ). Essa etapa é feita com um protetor de chave clara gerado aleatoriamente aplicado ao volume formatado. Ele criptografa o volume antes de executar o processo de instalação do Windows. Se a criptografia usar a opção Somente Espaço em Disco Usado , essa etapa levará apenas alguns segundos e poderá ser incorporada aos processos de implantação existentes. A pré-exibição requer um TPM.

Para marcar o status do BitLocker de um determinado volume, os administradores podem examinar o status de unidade no applet Painel de Controle BitLocker ou no Windows Explorer. O status de Espera por Ativação significa que a unidade foi pré-provisionada para BitLocker e há apenas um protetor claro usado para criptografar o volume. Nesse caso, o volume não está protegido e precisa ter uma chave segura adicionada ao volume antes que a unidade seja considerada totalmente protegida. Os administradores podem usar as opções Painel de Controle, cmdlets do PowerShell, a manage-bde.exe ferramenta ou APIs WMI para adicionar um protetor de chave apropriado. O volume status então é atualizado.

Ao usar as opções Painel de Controle, os administradores podem optar por Ativar o BitLocker e seguir as etapas no assistente para adicionar um protetor, como um PIN para um volume do sistema operacional (ou uma senha, se não houver TPM), ou uma senha ou protetor de cartão inteligente para um volume de dados. Em seguida, a janela de segurança da unidade é apresentada antes de alterar o volume status.

Criptografia somente espaço em disco usada

O assistente de Instalação do BitLocker fornece aos administradores a capacidade de escolher o método Somente espaço em disco usado ou criptografia completa ao habilitar o BitLocker para um volume. Os administradores podem usar as configurações de política do BitLocker para impor somente espaço em disco usado ou criptografia de disco completo.

Iniciando os prompts do assistente de instalação do BitLocker para que o método de autenticação seja usado (senha e cartão inteligentes estão disponíveis para volumes de dados). Depois que o método é escolhido e a chave de recuperação é salva, o assistente pede para escolher o tipo de criptografia de unidade. Selecione Somente espaço em disco usado ou criptografia de unidade completa .

Somente com espaço em disco usado, apenas a parte da unidade que contém dados é criptografada. O espaço não utilizado permanece não criptografado. Esse comportamento faz com que o processo de criptografia seja mais rápido, especialmente para novos dispositivos e unidades de dados. Quando o BitLocker está habilitado com esse método, à medida que os dados são adicionados à unidade, a parte da unidade usada é criptografada. Portanto, nunca há dados não criptografados armazenados na unidade.

Com a criptografia de unidade completa, toda a unidade é criptografada, se os dados são armazenados nele ou não. Essa opção é útil para unidades que foram reaproveitadas e podem conter remanescentes de dados de seu uso anterior.

Suporte de disco rígido criptografado

Os discos rígidos criptografados fornecem recursos criptográficos integrados para criptografar dados em unidades. Esse recurso melhora o desempenho da unidade e do sistema descarregando cálculos criptográficos do processador do dispositivo para a própria unidade. Os dados são criptografados rapidamente pela unidade usando hardware dedicado e criado com propósito. Se planeja usar a criptografia de unidade inteira com o Windows, a Microsoft recomenda pesquisar fabricantes e modelos de disco rígido para determinar se algum de seus discos rígidos criptografados atende aos requisitos de segurança e orçamento.

Para obter mais informações sobre discos rígidos criptografados, consulte Discos rígidos criptografados.

considerações Microsoft Entra ID e Active Directory Domain Services

O BitLocker integra-se ao AD DS (Microsoft Entra ID e Active Directory Domain Services) para fornecer gerenciamento centralizado de chaves. Por padrão, nenhuma informação de recuperação é apoiada em Microsoft Entra ID ou DS do AD. Os administradores podem configurar a configuração de política para cada tipo de unidade para habilitar o backup das informações de recuperação do BitLocker.

Os seguintes dados de recuperação são salvos para cada objeto de computador:

• Senha de recuperação: uma senha de recuperação de 48 dígitos usada para recuperar um volume protegido pelo BitLocker. Os usuários devem inserir essa senha para desbloquear um volume quando o BitLocker entrar no modo de recuperação
• Pacote de chaves: com o pacote de chaves e a senha de recuperação, partes de um volume protegido pelo BitLocker podem ser descriptografadas se o disco estiver severamente danificado. Cada pacote de chave funciona apenas com o volume em que foi criado, que é identificado pela ID de volume correspondente

Suporte fips para protetor de senha de recuperação

Dispositivos configurados para operar no modo FIPS podem criar protetores de senha de recuperação compatíveis com FIPS, que usam o algoritmo FIPS-140 NIST SP800-132 .

• Protetores de senha de recuperação compatíveis com FIPS podem ser exportados e armazenados no AD DS
• As configurações de política do BitLocker para senhas de recuperação funcionam da mesma forma para todas as versões do Windows que dão suporte ao BitLocker, no modo FIPS ou não

Desbloqueio de Rede

Algumas organizações têm requisitos de segurança de dados específicos do local, especialmente em ambientes com dados de alto valor. O ambiente de rede pode fornecer proteção de dados crucial e impor a autenticação obrigatória. Portanto, a política afirma que esses dispositivos não devem sair do prédio ou ser desconectados da rede corporativa. Salvaguardas como bloqueios de segurança física e geofencing podem ajudar a impor essa política como controles reativos. Além dessas proteções, um controle de segurança proativo que concede acesso a dados somente quando o dispositivo está conectado à rede corporativa é necessário.

O Desbloqueio de Rede permite que dispositivos protegidos pelo BitLocker comecem automaticamente quando conectados a uma rede corporativa com fio na qual os Serviços de Implantação do Windows são executados. Sempre que o dispositivo não estiver conectado à rede corporativa, um usuário deve inserir um PIN para desbloquear a unidade (se o desbloqueio baseado em PIN estiver habilitado). O Desbloqueio de Rede requer a infraestrutura a seguir:

• Dispositivos cliente que têm o firmware UEFI (Interface do Firmware Extensível Unificado) versão 2.3.1 ou posterior, que dá suporte ao DHCP (Protocolo de Configuração do Host Dinâmico)
• Uma função do Windows Server que executa os serviços de implantação do Windows (WDS)
• Um servidor DHCP

Para obter mais informações sobre como configurar o recurso de desbloqueio de rede, consulte Desbloqueio de Rede.

Recuperação do BitLocker

As organizações devem planejar cuidadosamente uma estratégia de recuperação do BitLocker como parte do plano geral de implementação do BitLocker. Há opções diferentes ao implementar um modelo de recuperação do BitLocker, que são descritos na visão geral de recuperação do BitLocker.

Monitorar o BitLocker

As organizações podem usar Microsoft Intune ou Configuration Manager para monitorar a criptografia do dispositivo em vários dispositivos. Para obter mais informações, consulte Monitorar a criptografia do dispositivo com Intune e exibir relatórios do BitLocker no Configuration Manager.

Próximas etapas