BitLocker ile USB Disk Şifreleme ve Yönetimi

Şifrelemeyi zorunlu kılma

BitLocker To Go ayarları, Bilgisayar Yapılandırması > İlkeleri > Yönetim Şablonları > Windows Bileşenleri > BitLocker Sürücü Şifrelemesi > Çıkarılabilir Veri Sürücüleri altında bulunabilir. Dış sürücülerin şifrelenmesini zorlamak için, BitLocker tarafından korunmayan çıkarılabilir sürücülere yazma erişimini reddet’i etkinleştirin.

BitLocker ile USB Disk Şifreleme ve Yönetimi

Bu seçenek, kullanıcıların şifrelenmemiş çıkarılabilir veri sürücülerinde veri depolamasını engeller

Ancak bu ayar, kullanıcı USB aygıtını bilgisayara taktığında BitLocker’ın arka plandaki verileri otomatik olarak etkinleştirmesine ve şifrelemesine neden olmaz. Bunun yerine, kullanıcıya verilerin yalnızca BitLocker etkinleştirildikten sonra kaydedilebileceğini söyler.

Kullanıcılar BitLocker To Go’yu sihirbazların bildirim iletişim kutusundan başlatabilir

Bu iletişim kutusu sürücüyü şifrelemeyi önerir. Diskin bağlam menüsünden yukarıda belirtilen komutla aynı sihirbazı başlatır. Ancak, ek grup ilkeleri yapılandırarak bazı adımları kullanıcıdan gizleyebilirsiniz.

Atlama sihirbazı iletişim kutuları

Buna, Çıkarılabilir veri sürücülerinde sürücü şifreleme türünü zorunlu kıl ayarı da dahildir. Tüm depolama alanının mı yoksa yalnızca kullanılan alanın mı şifreleneceğini belirtmek için kullanılır.

GPO aracılığıyla şifreleme türünü belirtme

Ayrıca, şifreleme algoritmasını genel BitLocker ayarlarında Şifreleme sürücüsü yöntemini ve şifreleme gücünü seçin (Windows 10 [sürüm 1511] ve üzeri) ile belirtebilirsiniz. Diğer Windows sürümleri için analog seçenekler de vardır.

GPO aracılığıyla şifreleme algoritmasını belirtme

Çok önemli bir nokta, kurtarma anahtarlarının nasıl ve nereye kaydedileceği sorusuyla ilgilidir. Grup ilkesi olmadan, kullanıcı anahtarları bir dosyaya kaydetme veya yazdırma arasında seçim yapabilir. Bu şekilde bırakırsanız, yardım masasına kayıp anahtarlar veya güvenlik eksikliği hakkında isteklerde bulunmayı bekleyebilirsiniz.

Kurtarma anahtarlarını AD’de kaydetme

Yönetilen ortamlarda, kurtarma anahtarları bunun yerine Active Directory’de depolanır. Bu, BitLocker korumalı çıkarılabilir sürücülerin nasıl kurtarılabileceğini seçin ayarı aracılığıyla yapılır. Prosedür, burada açıkladığımız önyükleme sürücüleriyle aynıdır.

Bu seçenek, kurtarma anahtarlarını kaydetmek üzere iletişim kutusunu gizlemek için kullanılabilir

BitLocker kurulum sihirbazından kurtarma seçeneklerini atla seçeneği işaretliyse, anahtarı kaydetmek için yukarıda belirtilen iletişim kutusu atlanır ve kullanıcılar anahtarı kendileri kaydedemez.

Veri sürücülerini kimlikle işaretleme

Ancak, bir kullanıcı GPO yerleştirilmeden önce BitLocker ile bir USB çubuğunu şifrelediyse ve anahtarı kendisi yedeklediyse, kayıp kurtarma anahtarları sorunu yine de oluşabilir. Kullanıcının üzerinde veri depolamaya devam etmesini önlemek için, sürücüleri bir kuruluş kimliğiyle işaretleyebilirsiniz.

Kuruluşunuz için benzersiz tanımlayıcıları sağlayın ayarı bundan sorumludur. Her çıkarılabilir sürücüye karşılık gelen kimliği sağlar. Bu, 260 karaktere kadar herhangi bir değer olabilir.

Ayrıca, Başka bir kuruluşta yapılandırılan cihazlara yazma erişimine izin verme seçeneğini etkinleştirmeniz gerekir (bu, daha önce bahsedilen BitLocker tarafından korunmayan çıkarılabilir sürücülere yazma erişimini reddet ayarının bir parçasıdır).

Kuruluş kimliği, izin verilen cihazları daha da kısıtlamak için kullanılabilir

Kendi kimliğinize ek olarak, bu cihazlara izin vermek için İzin Verilen BitLocker kimlik alanının altına virgülle ayrılmış başka kimlikler de girebilirsiniz.

Parola politikası

Son olarak, BitLocker To Go parolaları için kendi kurallarınızı tanımlayabilirsiniz, örneğin, varsayılan sekiz karakterden minimum uzunluğu artırmak için. Çıkarılabilir veri sürücüleri için parola kullanımını yapılandır ayarı bunu yapar. Karmaşıklık gereksinimi, etki alanı için bir parola ilkesinin yapılandırıldığını varsayar.

BitLocker To Go için katı parolaları zorlama seçenekleri

Şifrelenmiş USB sürücülerin güvenliğini sağlamak için bir başka kullanışlı işlev, çıkarılabilir sürücülerde BitLocker kullanımını denetleme tarafından sağlanır. Kullanıcıların çıkarılabilir veri sürücülerinde BitLocker korumasını askıya almasına ve şifresini çözmesine izin ver seçeneğini devre dışı bırakarak, BitLocker’ı kaldıramayacaklarından emin olursunuz.

BitLocker To Go’nun kullanıcılar tarafından devre dışı bırakılmasını önleme

Son

BitLocker To Go, USB medyasını şifrelemek için tercih edilen yerleşik araçtır. Ancak, merkezi yapılandırma olmadan, bu özelliğin kullanılıp kullanılmayacağı ve ne zaman kullanılacağı kullanıcının takdirine bırakılmıştır. Ayrıca, kurtarma anahtarlarını saklamak veya uygun bir şifreleme yöntemi seçmek onlara kalmıştır.

Güvenilir veri koruması sağlamak için, çoğu kuruluş bu görevleri grup ilkeleri aracılığıyla istenen ayarları uygulayabilen yönetici ekibine devreder.

Arif Akyüz
İçerik Üreticisi & Siber Güvenlik Uzmanı
[email protected]