8. Шифрування дисків BitLocker

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 3

Windows 11 Intune v5.0.0

8.1 Переконайтеся, що для параметра «Вимагати шифрування пристрою» встановлено значення «Увімкнено»

Автоматизовано

            Оригінал:
        

Цей параметр дозволяє адміністратору вимагати ввімкнення шифрування за допомогою BitLocker\Шифрування пристрою. Вимкнення політики не вимкне шифрування на системний диск. Але перестане пропонувати користувачеві ввімкнути його. Рекомендований стан для цього параметра: увімкнено. Примітка. Якщо для цього правила встановлено значення Enabled, запускається шифрування всіх дисків (тихо або без тихо на основі політики AllowWarningForOtherDiskEncryption). Примітка №2: наразі під час використання цього CSP для тихого доступу підтримується лише повне шифрування диска шифрування. Для тихого шифрування тип шифрування залежатиме від SystemDrivesEncryptionType і FixedDrivesEncryptionType, налаштовані на пристрій.

💡 Обґрунтування безпеки:

Шифрування дисків на пристроях кінцевих користувачів допомагає запобігти збереженню конфіденційних даних читати у випадку втрати або викрадення пристрою. Увімкнення цього параметра також є обов’язковою умовою безшумне включення шифрування на машинах без запиту кінцевого користувача.

🔍 Аудит (перевірка налаштувань)

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\BitLocker:RequireDeviceEncryption_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 1.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\Bitlocker:RequireDeviceEncryption

⚙️ Виправлення (Remediation / Налаштування)

Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Bitlocker\Потрібне шифрування пристрою

Значення за замовчуванням: 0 (вимкнено)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp?WT.mc_id=Portal-fx#requiredeviceencryption 2. Minimum OS CSP: Windows 10, version 1703 [10.0.15063] and later 3. GRID: MS-00000622 `

CIS Controls: `




                    CIS Controls V8: 3.6

                    IG 1, 2, 3
                
Encrypt Data on End-User Devices Encrypt data on end-user devices containing sensitive data. Example implementations can include: Windows BitLocker®, Apple FileVault®, Linux® dm-crypt.



                    CIS Controls V7: 13.6

                    IG 1, 2, 3
                
Encrypt the Hard Drive of All Mobile Devices. Utilize approved whole disk encryption software to encrypt the hard drive of all mobile devices.




8.2 Переконайтеся, що для параметра «Дозволити попередження для іншого шифрування диска» встановлено значення «Вимкнено»
Автоматизовано



            Оригінал:
        

Цей параметр дозволяє адміністратору вимкнути весь інтерфейс користувача (сповіщення про шифрування та попередження запитати інше шифрування диска) і тихо ввімкнути шифрування на комп’ютерах користувачів. Якщо вимкнути запит попередження, ключ відновлення диска ОС буде скопійовано на обліковий запис користувача Microsoft Entra. Коли ви дозволите попередження, користувач, який отримує підказку, може вибрати місце для резервного копіювання ключа відновлення диска ОС. Кінцева точка для резервного копіювання фіксованого диска даних вибирається в такому порядку: 1. Обліковий запис Windows Server Active Directory Domain Services користувача. 2. Обліковий запис користувача Microsoft Entra. 3. Особистий OneDrive користувача (лише MDM/MAM). Шифрування чекатиме, доки одне з цих трьох місць не буде успішно створено резервну копію. Рекомендований стан для цього параметра: вимкнено. Примітка. Починаючи з Windows 10 версії 1803, значення 0 можна встановити лише для Microsoft Приєднані пристрої Entra. Windows спробує безшумно ввімкнути BitLocker для значення 0.




                💡 Обґрунтування безпеки:
            
Безшумне шифрування дозволяє BitLocker шифрувати дані без запиту користувача, гарантуючи процес шифрування безперервний.




                ⚠️ Вплив на робочий процес (Impact):
            
Увімкнення BitLocker на пристрої із стороннім шифруванням може відтворити пристрій непридатний для використання та потребує перевстановлення Windows.




                🔍 Аудит (перевірка налаштувань)
            

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\BitLocker:AllowWarningForOtherDiskEncryption_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 0.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\Bitlocker:AllowWarningForOtherDiskEncryption




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Disabled: Bitlocker\Дозволити попередження для іншого шифрування диска


Значення за замовчуванням: 1 (увімкнено)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp?WT.mc_id=Portal-fx#allowwarningforotherdiskencryption 2. Minimum OS CSP: Windows 10, version 1703 [10.0.15063] and later 3. GRID: MS-00000623 `

CIS Controls: ` 



                    CIS Controls V8: 3.6

                    IG 1, 2, 3
                
Encrypt Data on End-User Devices Encrypt data on end-user devices containing sensitive data. Example implementations can include: Windows BitLocker®, Apple FileVault®, Linux® dm-crypt.



                    CIS Controls V7: 13.6

                    IG 1, 2, 3
                
Encrypt the Hard Drive of All Mobile Devices. Utilize approved whole disk encryption software to encrypt the hard drive of all mobile devices.






8.3 Переконайтеся, що для параметра «Дозволити попередження для іншого шифрування диска: дозволити стандартне шифрування користувача» встановлено значення «Увімкнено»
Автоматизовано



            Оригінал:
        

Цей параметр дозволяє адміністраторам застосовувати політику «Вимагати шифрування пристрою» для сценаріїв де політика натискається, коли поточний увійшов користувач не є адміністратором/стандартним користувачем. Ця політика пов’язана з політикою «Дозволити попередження для іншого шифрування диска», яка має значення «0», тобто застосовується безшумне шифрування. Якщо «Дозволити попередження для іншого шифрування диска» не встановлено або встановлено значення «1», «Потрібен пристрій Політика Encryption» не намагатиметься зашифрувати диск(и), якщо поточний увійшов стандартний користувач користувача в системі. Рекомендований стан для цього параметра: увімкнено.




                💡 Обґрунтування безпеки:
            
Якщо ввімкнути це, усі фіксовані диски будуть зашифровані незалежно від привілеїв призначений користувачеві, який зараз увійшов у систему.




                ⚠️ Вплив на робочий процес (Impact):
            
Увімкнення BitLocker на пристрої із стороннім шифруванням може відтворити пристрій непридатний для використання та потребує перевстановлення Windows.




                🔍 Аудит (перевірка налаштувань)
            

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\BitLocker:AllowStandardUserEncryption_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 1.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\Bitlocker:AllowStandardUserEncryption




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Bitlocker\Дозволити стандартне шифрування користувача


Значення за замовчуванням: 0 (вимкнено)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/bitlocker- csp?WT.mc_id=Portal-fx#allowstandarduserencryption 2. Minimum OS CSP: Windows 10, version 1809 [10.0.17763] and later 3. GRID: MS-00000624 `

CIS Controls: ` 



                    CIS Controls V8: 3.6

                    IG 1, 2, 3
                
Encrypt Data on End-User Devices Encrypt data on end-user devices containing sensitive data. Example implementations can include: Windows BitLocker®, Apple FileVault®, Linux® dm-crypt.



                    CIS Controls V7: 13.6

                    IG 1, 2, 3
                
Encrypt the Hard Drive of All Mobile Devices. Utilize approved whole disk encryption software to encrypt the hard drive of all mobile devices.


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →