BitLocker na serwerze

BitLocker na serwerze

  • Comments 2
  • Likes

BitLocker kojarzy się głównie z laptopami. I słusznie. Ale warto pamiętać, że i na serwerach można go wdrożyć. Zainspirowany przez Tanu Mutreja podaję kilka powodów, dla których warto to zrobić:

  • Utrata informacji jest droga. IT jak sama nazwa wskazuje zajmuje się informacją. W wielu firmach, informacje przechowywane na serwerach są głównym majątkiem. Ich przedostanie się w niepowołane ręce może poważnie zakłócić działanie firmy. Warto więc się zabezpieczyć na wszystkich frontach.
  • Istnieją przepisy nakazujące ochronę danych. Obojętne czy to polska Ustawa o Ochronie Danych Osobowych, unijne wymogi EDPS czy amerykańskie SOX, HIPAA czy GLBA. Prawo nakłada wymogi związane z ochroną danych a BitLocker pomaga je spełnić.
  • Kradzieże dotyczą nie tylko laptopów. Oczywiście kradzieże sprzętu z biur zdarzają się rzadziej, z serwerowni jeszcze rzadziej... ale się zdarzają. Warto się zabezpieczyć tak, żeby nawet tracąc sprzęt, nie narazić się na wypłynięcie istotnych informacji.
  • Ochrona fizyczna to za mało. Ochrona jest ważna. I zazwyczaj nawet działa. Ale praktyka i tak pokazuje, że nośniki wypływają poza siedzibę firmy. Głośna kilka lat temu afera z dyskami MSZ jasno tego dowodzi. Zaszyfrowanie danych rozwiąże ten problem i nawet, gdy dysk dostanie się w niepowołane ręce – dane na nim zawarte pozostaną bezpieczne.
  • Dyski zmieniają właściciela. Obojętne czy przez Allegro, czy wyprzedaże, czy złomowanie czy zwrot do banku po leasingu. Kiedyś dysk zakończy swój żywot i dostaje się w inne ręce. W takim przypadku BitLocker sprawia, że nie musimy się martwić o nadpisanie na nim danych.
  • Dyski czasem się przewozi. A ochrona fizyczna w transporcie jest zwykle nieporównanie słabsza niż ta, gdy dyski są w serwerowni i dysk może zginąć. Przewożenie dysków i serwerów nie jest wcale takie rzadkie, zwłaszcza w wielodziałowej firmie. BitLocker sprawi, że w najgorszym przypadku potrzebny będzie zakup nowych dysków, bez obaw o to, co stało się z danymi.
  • TPM pomaga chronić integralność systemu. Włączenie BitLockera to nie tylko zaszyfrowanie danych na dyskach. To również obliczenie przez TPM sum kontrolnych dla startu systemu. Sumy te są przy każdym restarcie weryfikowane, przez co wykrycie malware i rootkitów staje się znacznie prostsze. Należy tylko pamiętać, aby na bezobsługowym serwerze nie włączyć wymagania numeru PIN ani konieczności użycia pendrive z kluczem.
  • BitLocker jest już w systemie. W przeciwieństwie do systemów Windows Vista / Windows 7, BitLocker na serwerze nie zależy od edycji i jest bezpłatnie dostępny w każdej wersji. Jedyne, co musi zrobić administrator, to go włączyć. Nie warto więc zwlekać.
  • Włączenie BitLockera to jednorazowa akcja. Po włączeniu po prostu jest, i jest, i jest... i działa, nie obciążając dodatkowo serwera w żaden zauważalny sposób. Ktoś, kto tego nie szuka, nawet nie zauważy, że dane są "w locie" szyfrowane.

Na koniec jedno słowo o sposobie zabezpieczania klucza szyfrującego. Serwery pracują inaczej niż stacje robocze i laptopy. O ile wolumeny z danymi nie pozostawiają wielu możliwości, o tyle w przypadku dysku systemowego, jedyną sensowną opcją jest użycie TPM. Dodanie numeru PIN uniemożliwi automatyczny start. Teoretycznie możliwe jest pozostawienie w porcie USB pamięci flash z kluczem szyfrującym, ale ta droga raczej nie może być uznana za bezpieczną.

Autor: Grzegorz Tworek [MVP]

Comments
  • Co do zabezpieczenia klucza i PIN to tak naprawdę musi sobie osoba implementujaca to odpowiedziec przed czym chce zabezpieczyc dany serwer.

    Jeżeli przed scenariuszem ze ktos uruchomi system bez jej wiedzy po wyłączeniu to tak - PIN jest wskazany. Ale w większosci wypadkow w przypadku serwerów tak naprawde chronić się będziemy przed sytuacją w której ktoś będzie chciał uzyskac informacje z dysków w trybie off-line. Właśnie w trakcie transportu lub po prostu wyszarpnie dysk z serwera \ ukradnie go.

    I wtedy użycie PIN tak naprawde nie jest już krytyczne. A jezeli chcemy używać PIN jednak to pozostaja karty zdalnego dostepu i odpowiednie procedury restartu po prostu.

  • Nie wydaje mi się realny scenariusz z PINem... Zwłaszcza, że przy pracy zmianowej, PINem musiałoby się podzielić kilka osób, bo opcja "każdy ma swój" raczej odpada.

    Nie wiem sam. Na razie nie widzę, gdzie mogłoby się to przydać :)

Your comment has been posted.   Close
Thank you, your comment requires moderation so it may take a while to appear.   Close
Leave a Comment