Szyfrowanie dysków stanowi jeden z podstawowych mechanizmów ochrony danych przechowywanych lokalnie na komputerach, serwerach i innych urządzeniach końcowych. Chroni informacje przed nieautoryzowanym dostępem, szczególnie w przypadku kradzieży, utraty urządzenia lub fizycznego dostępu do nośnika przez osoby nieuprawnione.

W środowiskach Windows najczęściej stosowanym mechanizmem szyfrowania całych woluminów jest BitLocker. W systemach Linux podobną funkcję pełni między innymi LUKS (Linux Unified Key Setup), który zazwyczaj korzysta z mechanizmów dm-crypt.

Samo włączenie szyfrowania nie gwarantuje jednak odpowiedniego poziomu ochrony. Podczas audytu należy również sprawdzić sposób przechowywania i zabezpieczania kluczy szyfrujących, mechanizmy uwierzytelniania przed uruchomieniem systemu, ochronę kluczy odzyskiwania, konfigurację TPM oraz zastosowane metody szyfrowania. Istotne jest także potwierdzenie, że organizacja potrafi odzyskać dostęp do danych w sytuacji awaryjnej.

Celem kontroli jest potwierdzenie, że organizacja skutecznie chroni dane przechowywane na dyskach przed nieautoryzowanym dostępem oraz właściwie zarządza kluczami szyfrującymi.

Znaczenie szyfrowania dysków w cyberbezpieczeństwie

Dane zapisane na dyskach mogą obejmować informacje o użytkownikach i klientach, dokumenty biznesowe, dane uwierzytelniające, konfiguracje systemów, klucze kryptograficzne oraz inne informacje wymagające ochrony.

W przypadku kradzieży komputera lub wymontowania z niego dysku osoba atakująca może próbować odczytać zapisane dane bez uruchamiania zainstalowanego systemu operacyjnego.

Przykładowo może podłączyć dysk do innego komputera lub uruchomić urządzenie z zewnętrznego nośnika.

Jeśli organizacja nie stosuje odpowiedniego szyfrowania, hasło użytkownika i pozostałe zabezpieczenia systemu operacyjnego mogą nie zapewnić wystarczającej ochrony. Nieautoryzowana osoba może bowiem uzyskać dostęp do danych z pominięciem standardowych mechanizmów uwierzytelniania.

Szyfrowanie całego dysku lub wybranych woluminów utrudnia odczytanie zapisanych informacji bez odpowiedniego klucza kryptograficznego.

Mechanizm ten ma szczególne znaczenie w przypadku:

• laptopów,
• komputerów przenośnych,
• stacji roboczych,
• serwerów przechowujących dane wrażliwe,
• urządzeń używanych poza siedzibą organizacji,
• systemów zawierających dane klientów,
• systemów przetwarzających informacje poufne.

Szyfrowanie danych a kontrola dostępu

Szyfrowanie dysku nie zastępuje mechanizmów uwierzytelniania ani kontroli dostępu.

BitLocker i LUKS chronią przede wszystkim dane zapisane na nośniku przed odczytaniem przez osoby, które uzyskają fizyczny dostęp do urządzenia lub samego dysku.

Po prawidłowym uruchomieniu systemu użytkownicy i procesy z odpowiednimi uprawnieniami mogą uzyskać dostęp do odszyfrowanych danych. Samo szyfrowanie nie ogranicza więc dostępu do informacji wewnątrz działającego systemu.

Dlatego organizacja powinna traktować szyfrowanie dysków jako jeden z elementów szerszego modelu ochrony, który obejmuje również:

szyfrowanie dysku
        ↓
ochrona kluczy
        ↓
uwierzytelnianie
        ↓
kontrola dostępu
        ↓
monitorowanie
        ↓
ochrona danych

Brak prawidłowej kontroli dostępu po uruchomieniu systemu może spowodować, że samo szyfrowanie dysku nie zapewni wystarczającej ochrony danych.

BitLocker w systemach Windows

BitLocker to wbudowany w system Windows mechanizm szyfrowania woluminów. Umożliwia ochronę zarówno woluminu systemowego, jak i dodatkowych woluminów przeznaczonych do przechowywania danych.

Istotną funkcją BitLockera jest możliwość współpracy z modułem TPM (Trusted Platform Module), który zabezpiecza materiał kryptograficzny i pomaga weryfikować integralność środowiska rozruchowego.

Podczas audytu należy ustalić:

• czy BitLocker jest aktywny,
• które woluminy są szyfrowane,
• jaki jest stan szyfrowania,
• jaki mechanizm ochrony klucza jest wykorzystywany,
• czy system posiada TPM,
• czy TPM jest prawidłowo skonfigurowany,
• gdzie przechowywane są klucze odzyskiwania,
• czy organizacja posiada możliwość odzyskania dostępu do danych,
• czy konfiguracja jest zarządzana centralnie.

Sprawdzenie stanu BitLocker

Jednym z podstawowych narzędzi administracyjnych jest:

Get-BitLockerVolume

Polecenie pozwala uzyskać informacje dotyczące między innymi:

• woluminu,
• stanu ochrony,
• procentowego poziomu szyfrowania,
• metody szyfrowania,
• mechanizmu ochrony klucza.

Przykładowo:

Get-BitLockerVolume |
    Select-Object MountPoint, VolumeStatus, ProtectionStatus, EncryptionPercentage

Audytor powinien zweryfikować, czy wszystkie wymagane woluminy są rzeczywiście zaszyfrowane.

Szczególną uwagę należy zwrócić na wolumin systemowy oraz woluminy zawierające dane wymagające ochrony.

Stan ochrony BitLocker

Samo zakończenie procesu szyfrowania nie jest wystarczające.

Należy również sprawdzić stan ochrony:

ProtectionStatus

Możliwa jest sytuacja, w której wolumin jest zaszyfrowany, ale ochrona została czasowo zawieszona.

Dlatego należy rozróżnić:

dysk zaszyfrowany

od:

dysk zaszyfrowany i aktywnie chroniony

Jeżeli ochrona BitLocker jest zawieszona, audytor powinien ustalić:

• dlaczego została zawieszona,
• kto wykonał operację,
• kiedy została wykonana,
• czy jest to stan tymczasowy,
• czy ochrona została ponownie aktywowana.

Metody ochrony klucza BitLocker

BitLocker może wykorzystywać różne mechanizmy ochrony klucza.

W zależności od konfiguracji mogą być wykorzystywane między innymi:

• TPM,
• TPM + PIN,
• klucz odzyskiwania,
• hasło,
• klucz USB,
• kombinacje mechanizmów dostępne dla określonego typu woluminu.

Z punktu widzenia bezpieczeństwa szczególne znaczenie ma wykorzystanie TPM oraz dodatkowego mechanizmu uwierzytelniającego dla systemów o podwyższonych wymaganiach bezpieczeństwa.

Audytor powinien sprawdzić, czy zastosowana metoda ochrony odpowiada polityce bezpieczeństwa organizacji.

TPM

TPM zapewnia sprzętowy mechanizm przechowywania i ochrony materiału kryptograficznego.

Stan TPM można sprawdzić między innymi za pomocą:

Get-Tpm

Przykładowe informacje obejmują:

TpmPresent
TpmReady
TpmEnabled
TpmActivated

Audytor powinien ustalić, czy:

• TPM jest obecny,
• TPM jest gotowy do użycia,
• urządzenie wykorzystuje TPM zgodnie z polityką,
• konfiguracja TPM jest zgodna z wymaganiami organizacji.

W przypadku urządzeń, które wspierają TPM, ale go nie wykorzystują, należy ustalić przyczynę.

Secure Boot

W środowiskach korzystających z BitLockera należy również zadbać o bezpieczeństwo procesu rozruchowego systemu.

Mechanizm Secure Boot ogranicza możliwość uruchomienia nieautoryzowanego lub niepodpisanego oprogramowania podczas startu komputera, zwiększając tym samym ochronę środowiska rozruchowego.

Stan mechanizmu Secure Boot można sprawdzić za pomocą polecenia PowerShell:

Confirm-SecureBootUEFI

Jeśli system obsługuje UEFI i Secure Boot, audytor powinien sprawdzić, czy organizacja włączyła ten mechanizm i czy jego konfiguracja spełnia przyjęte wymagania.

Warto pamiętać, że Secure Boot i BitLocker odpowiadają za różne aspekty bezpieczeństwa. Audytor powinien więc ocenić każdy z nich osobno, a następnie sprawdzić, jak oba mechanizmy wspólnie chronią urządzenie.

Klucze odzyskiwania BitLocker

Kontrola kluczy odzyskiwania stanowi jeden z najważniejszych elementów audytu szyfrowania dysków.

Klucz odzyskiwania pozwala odblokować wolumin i uzyskać dostęp do danych, gdy standardowa metoda uwierzytelniania zawiedzie lub nie będzie dostępna.

Organizacja powinna chronić te klucze przed nieuprawnionym dostępem i zadbać o ich bezpieczne przechowywanie.

Audytor powinien ustalić:

• gdzie przechowywane są klucze,
• kto ma do nich dostęp,
• czy są objęte kontrolą dostępu,
• czy są objęte odpowiednią retencją,
• czy organizacja posiada procedurę odzyskiwania,
• czy proces odzyskiwania jest monitorowany.

Przechowywanie kluczy odzyskiwania w niekontrolowanych miejscach stwarza poważne zagrożenie dla bezpieczeństwa danych. Dotyczy to między innymi zwykłych plików tekstowych, współdzielonych katalogów bez odpowiednich ograniczeń dostępu oraz prywatnych skrzynek pocztowych administratorów.

W środowiskach Microsoft organizacja może centralnie zarządzać kluczami, korzystając między innymi z Active Directory lub Microsoft Entra ID. Wybór rozwiązania zależy od modelu zarządzania urządzeniami w organizacji.

LUKS w systemach Linux

W systemach Linux jednym z najczęściej wykorzystywanych mechanizmów szyfrowania dysków jest LUKS (Linux Unified Key Setup).

LUKS definiuje standardowy format zarządzania zaszyfrowanymi urządzeniami blokowymi i współpracuje zazwyczaj z mechanizmem dm-crypt, który odpowiada za szyfrowanie i deszyfrowanie danych.

Podczas audytu należy sprawdzić:

• czy wymagane woluminy są zaszyfrowane,
• wersję LUKS,
• zastosowany mechanizm kryptograficzny,
• konfigurację urządzenia,
• liczbę aktywnych slotów kluczy,
• sposób przechowywania materiału uwierzytelniającego,
• mechanizmy odzyskiwania,
• możliwość rotacji kluczy,
• procedury awaryjne.

Sprawdzenie konfiguracji LUKS

Podstawową informację o urządzeniu można uzyskać za pomocą:

sudo cryptsetup luksDump /dev/sdaX

Należy oczywiście użyć właściwego urządzenia blokowego.

Audytor powinien zwrócić uwagę między innymi na:

• wersję LUKS,
• typ szyfrowania,
• parametry KDF,
• aktywne sloty kluczy.

Nie należy kopiować ani ujawniać materiału kluczowego podczas zbierania dowodów audytowych.

LUKS i sloty kluczy

LUKS pozwala na wykorzystanie wielu slotów kluczy.

Jest to istotne z punktu widzenia zarządzania dostępem i rotacji kluczy.

Audytor powinien ustalić:

• ile slotów jest aktywnych,
• kto zna poszczególne hasła lub posiada odpowiedni materiał uwierzytelniający,
• czy istnieją nieużywane sloty,
• czy sloty po odejściu administratora zostały usunięte,
• czy organizacja posiada procedurę zmiany kluczy.

Należy zwrócić uwagę na nieużywane lub nieudokumentowane sloty.

Jeżeli organizacja nie wie, kto ma możliwość odblokowania zaszyfrowanego woluminu, stanowi to problem z punktu widzenia kontroli dostępu.

Szyfrowanie systemu Linux

W przypadku serwerów Linux należy ustalić, które systemy plików są chronione szyfrowaniem.

Można wykorzystać:

lsblk

oraz:

findmnt

Dodatkowo:

lsblk -f

pozwala uzyskać informacje dotyczące systemów plików i urządzeń.

Audytor powinien zweryfikować, czy szyfrowaniem objęte są wszystkie wymagane obszary.

Szczególną uwagę należy zwrócić na:

• wolumin systemowy,
• woluminy zawierające dane aplikacyjne,
• dane użytkowników,
• pliki tymczasowe,
• nośniki zawierające kopie danych.

Nie każdy system wymaga szyfrowania wszystkich dostępnych woluminów. Zakres powinien wynikać z klasyfikacji danych oraz polityki bezpieczeństwa.

Szyfrowanie dysków a serwery

W przypadku serwerów kwestia szyfrowania wymaga szczególnej analizy.

Na stacji roboczej podstawowym zagrożeniem jest często kradzież lub utrata urządzenia.

W przypadku serwera należy dodatkowo uwzględnić:

• dostęp fizyczny do serwerowni,
• możliwość wyjęcia dysku,
• wymianę uszkodzonych nośników,
• procedury utylizacji,
• proces serwisowania,
• dostęp administratorów,
• możliwość automatycznego restartu,
• sposób odblokowywania woluminów podczas startu.

Szyfrowanie dysku może również komplikować proces automatycznego uruchamiania serwera.

Dlatego organizacja powinna posiadać jasno zdefiniowany sposób zarządzania kluczami i odblokowywania zaszyfrowanych woluminów.

Szyfrowanie dysków a nośniki wymienne

Kontrola powinna również obejmować nośniki wymienne, jeżeli są wykorzystywane do przechowywania danych organizacji.

Dotyczy to między innymi:

• dysków USB,
• zewnętrznych dysków SSD,
• pamięci flash,
• przenośnych dysków backupowych.

W środowisku Windows należy rozważyć wykorzystanie mechanizmów szyfrowania odpowiednich dla nośników wymiennych.

W przypadku Linux należy ustalić, czy nośniki zawierające dane wymagające ochrony są odpowiednio szyfrowane.

Szczególne znaczenie ma tutaj procedura przekazywania i zwrotu nośników.

Najczęstsze nieprawidłowości

Podczas audytów można spotkać między innymi następujące problemy.

Brak szyfrowania dysku

System przechowuje dane wymagające ochrony na nieszyfrowanym nośniku.

Szyfrowanie tylko części danych

Wolumin systemowy jest szyfrowany, ale dodatkowy wolumin zawierający dane aplikacyjne pozostaje nieszyfrowany.

Zawieszona ochrona BitLocker

Dysk pozostaje zaszyfrowany, ale mechanizm ochrony został czasowo zawieszony i nie został ponownie aktywowany.

Brak centralnego zarządzania kluczami

Klucze odzyskiwania są przechowywane lokalnie lub przez pojedynczych administratorów.

Brak procedury odzyskiwania

Organizacja nie posiada sprawdzonej procedury odzyskania dostępu do danych po awarii urządzenia lub utracie podstawowego mechanizmu uwierzytelnienia.

Nadmiarowe klucze LUKS

W LUKS znajdują się aktywne sloty kluczy, których przeznaczenia nie można ustalić.

Brak kontroli nad dostępem do kluczy

Zbyt duża liczba administratorów ma możliwość uzyskania kluczy odzyskiwania.

Brak ochrony nośników wymiennych

Dane są kopiowane na przenośne nośniki bez zastosowania odpowiedniego szyfrowania.

Brak kontroli przy wycofaniu sprzętu

Organizacja nie posiada procedury zapewniającej bezpieczne usunięcie kluczy lub danych przed przekazaniem, sprzedażą albo utylizacją urządzenia.

Ocena ryzyka

Brak szyfrowania dysków może prowadzić do ujawnienia danych w przypadku fizycznej utraty lub kradzieży urządzenia.

Poziom ryzyka zależy przede wszystkim od:

• rodzaju przechowywanych danych,
• klasyfikacji informacji,
• mobilności urządzenia,
• możliwości uzyskania fizycznego dostępu,
• zastosowanych dodatkowych zabezpieczeń,
• znaczenia systemu.

Brak szyfrowania laptopa, na którym organizacja przechowuje dane klientów, może znacząco zwiększać ryzyko naruszenia ich poufności.

Inaczej może wyglądać ocena serwera bez szyfrowania, jeśli znajduje się on w odpowiednio zabezpieczonej serwerowni i organizacja stosuje dodatkowe mechanizmy ochrony fizycznej.

Audytor powinien zatem oceniać potrzebę szyfrowania, uwzględniając model zagrożeń, klasyfikację danych oraz pozostałe zabezpieczenia stosowane przez organizację.

Rekomendowane działania naprawcze

Organizacja powinna jasno określić, które systemy i kategorie danych wymagają szyfrowania.

W przypadku systemów Windows należy stosować BitLocker zgodnie z przyjętą polityką bezpieczeństwa i odpowiednio skonfigurować mechanizmy ochrony kluczy.

Jeśli urządzenie posiada moduł TPM, organizacja powinna wykorzystywać go zgodnie z obowiązującymi wymaganiami bezpieczeństwa.

Klucze odzyskiwania należy przechowywać w centralnym, kontrolowanym systemie. Organizacja powinna również ograniczyć dostęp do tych kluczy i rejestrować operacje związane z ich odczytem.

W systemach Linux należy stosować LUKS lub inny zatwierdzony przez organizację mechanizm szyfrowania, który spełnia wymagania bezpieczeństwa.

Należy regularnie sprawdzać aktywne sloty kluczy i usuwać te, które nie są już potrzebne.

Organizacja powinna również opracować procedury dotyczące:

• odzyskiwania dostępu,
• rotacji kluczy,
• wymiany sprzętu,
• utraty urządzenia,
• serwisowania dysków,
• utylizacji nośników,
• obsługi nośników wymiennych.

Organizacja powinna regularnie testować procedury odzyskiwania danych.

Samo posiadanie klucza odzyskiwania nie gwarantuje dostępu do danych w sytuacji awaryjnej. Organizacja musi wiedzieć, gdzie przechowuje klucz, kto może z niego skorzystać i jak prawidłowo przeprowadzić proces odzyskiwania.

Dowody audytowe

W systemach Windows dowodami mogą być między innymi:

Get-BitLockerVolume
Get-Tpm
Confirm-SecureBootUEFI

Dodatkowo audytor może wykorzystać:

• konfigurację Group Policy,
• konfigurację Microsoft Intune,
• informacje z Microsoft Entra ID,
• informacje dotyczące kluczy odzyskiwania,
• dokumentację zarządzania urządzeniami.

W systemach Linux:

lsblk
lsblk -f
findmnt
sudo cryptsetup luksDump /dev/sdaX

Dodatkowymi dowodami mogą być:

• konfiguracja systemu,
• dokumentacja szyfrowania,
• procedury zarządzania kluczami,
• wyniki testów odzyskiwania,
• dokumentacja CMDB,
• polityka klasyfikacji informacji,
• rejestr urządzeń.

Podczas zbierania dowodów należy zachować szczególną ostrożność, aby nie ujawnić rzeczywistych kluczy szyfrujących, haseł lub kodów odzyskiwania.

Przykładowe ustalenie audytowe

Ustalenie: Brak szyfrowania woluminu zawierającego dane wymagające ochrony

Podczas kontroli serwera Windows audytor stwierdził, że wolumin systemowy korzysta z szyfrowania BitLocker, natomiast dodatkowy wolumin z danymi aplikacyjnymi pozostaje niezaszyfrowany.

Zgodnie z dokumentacją klasyfikacji informacji organizacja powinna chronić dane przechowywane na tym woluminie przed nieautoryzowanym dostępem.

Jeśli osoba nieuprawniona uzyska fizyczny dostęp do dysku, może odczytać zapisane na nim dane bez logowania do systemu operacyjnego.

Ryzyko: średnie / wysokie — zależnie od rodzaju danych oraz zabezpieczeń fizycznych.

Potencjalne skutki:

• ujawnienie informacji poufnych,
• naruszenie poufności danych klientów,
• naruszenie wymagań wewnętrznej polityki bezpieczeństwa,
• konsekwencje prawne lub kontraktowe.

Rekomendacja:

Objąć wskazany wolumin mechanizmem szyfrowania zgodnym z polityką organizacji. Klucz odzyskiwania powinien być przechowywany w centralnym, odpowiednio zabezpieczonym repozytorium.

Powiązanie z innymi kontrolami

Kontrola szyfrowania dysków jest bezpośrednio powiązana z innymi elementami audytu systemów operacyjnych.

Szczególne znaczenie mają:

• zarządzanie kontami i uprawnieniami,
• zabezpieczenie usług zdalnego dostępu,
• konfiguracja TPM i Secure Boot,
• zarządzanie aktualizacjami,
• ochrona przed malware,
• kontrola dostępu do plików,
• zarządzanie kopiami zapasowymi,
• bezpieczeństwo fizyczne,
• zarządzanie kluczami kryptograficznymi.

W praktyce należy rozpatrywać szyfrowanie jako element całego procesu ochrony danych:

klasyfikacja danych
        ↓
wymagania dotyczące szyfrowania
        ↓
szyfrowanie dysku
        ↓
ochrona kluczy
        ↓
kontrola dostępu
        ↓
monitorowanie
        ↓
odzyskiwanie
        ↓
bezpieczna utylizacja nośnika

Powiązanie z normami i dobrymi praktykami

Kontrola szyfrowania dysków wspiera realizację wymagań dotyczących ochrony informacji, kryptografii, kontroli dostępu oraz bezpieczeństwa urządzeń końcowych.

Może być powiązana między innymi z:

• ISO/IEC 27001:2022,
• ISO/IEC 27002:2022,
• NIST Cybersecurity Framework,
• CIS Controls v8,
• CIS Benchmarks dla systemów Windows i Linux.

W przypadku danych podlegających szczególnym wymaganiom prawnym lub kontraktowym zakres stosowania szyfrowania powinien wynikać również z odpowiednich regulacji oraz wewnętrznej klasyfikacji informacji.

Podsumowanie

Szyfrowanie dysków pomaga chronić dane przed nieautoryzowanym dostępem do fizycznego nośnika.

W systemach Windows najczęściej stosuje się BitLocker, natomiast w środowiskach Linux popularnym rozwiązaniem jest LUKS.

Audytor nie powinien jednak ograniczać kontroli do sprawdzenia, czy organizacja włączyła szyfrowanie. Powinien również ocenić konfigurację mechanizmu, sposób zarządzania kluczami oraz skuteczność stosowanych zabezpieczeń.

Należy również zweryfikować:

• zakres szyfrowania,
• stan ochrony,
• sposób ochrony kluczy,
• wykorzystanie TPM,
• konfigurację procesu rozruchowego,
• klucze odzyskiwania,
• dostęp administratorów,
• procedury odzyskiwania,
• rotację i wycofywanie kluczy,
• zabezpieczenie nośników wymiennych,
• procedury utylizacji sprzętu.

Najważniejszą zasadą jest zapewnienie, aby dane były zaszyfrowane, klucze odpowiednio chronione, a organizacja posiadała kontrolowany i przetestowany proces odzyskania dostępu do danych.

Szyfrowanie dysku powinno być traktowane jako element szerszego systemu ochrony informacji, obejmującego kontrolę dostępu, hardening systemu, bezpieczeństwo fizyczne, zarządzanie kluczami oraz procedury reagowania na utratę lub kradzież urządzenia.

---

Dziękuję Ci, za poświęcony czas na przeczytanie tego artykułu. Jeśli był on dla Ciebie przydatny, to gorąco zachęcam Cię do zapisania się na mój newsletter, jeżeli jeszcze Cię tam nie ma. Proszę Cię także o “polubienie” mojego bloga na Facebooku oraz kanału na YouTube – pomoże mi to dotrzeć do nowych odbiorców. Raz w tygodniu (niedziela punkt 17.00) otrzymasz powiadomienia o nowych artykułach / projektach zanim staną się publiczne. Możesz również pozostawić całkowicie anonimowy pomysł na wpis/nagranie.

Link do formularza tutaj: https://beitadmin.pl/pomysly

Pozostaw również komentarz lub napisz do mnie wiadomość odpisuję na każdą, jeżeli Masz jakieś pytania:).