Cómo determinar el estado de cifrado de un dispositivo administrado por Dell Encryption
Summary: En este artículo, se describen los métodos para determinar el estado de cifrado de los productos Dell Data Security (anteriormente, Dell Data Protection), administrados por Dell Encryption. ...
Symptoms
Productos afectados:
- Dell Encryption
- Dell Data Protection | Encryption
Cause
No corresponde
Resolution
En la siguiente información, se describen las ubicaciones de registro y los comandos que pueden ayudar a un administrador a determinar el estado de protección de los dispositivos que Dell Encryption administra a través del terminal. Esta información se puede utilizar para validar el estado del dispositivo y ayudar a determinar los problemas con el estado protegido en un terminal.
El cálculo del estado protegido para el cifrado basado en políticas de Dell se fundamenta en el “estado de barrido” tanto del dispositivo como de cualquier usuario de la computadora. Para obtener más información sobre cómo se calcula el estado protegido, consulte: Solución de problemas en el estado protegido con Shield.
Los datos para el estado de cifrado del dispositivo se almacenan localmente en el terminal, principalmente en el registro. La ubicación principal que se utiliza para los datos de cifrado basado en políticas es HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\CMGShield. Estas son las claves principales para identificar el estado:
- DCID (este también es el ID de recuperación): La clave que muestra que el dispositivo se activó.
- GKPort (valor predeterminado: 8000): La clave de control del puerto que se utiliza para las actualizaciones de políticas.
- GK: La clave para controlar el servidor de registro.
- Servidor: La clave para el servidor de activación original.
Para validar el estado de activación del dispositivo, podemos consultar el contenido de HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\CMGShield\RSST. Dentro de esta clave de registro, varias claves detallan el estado del dispositivo:
- _DEVICE_: este es el estado de activación del dispositivo. Todo número entero positivo es un dispositivo activado.
- _INVALID_: si esto está presente, el usuario que inició sesión no está activado.
- <RandomCharacters> : el identificador de credenciales de usuario (UCID) se encuentra en esta ubicación. Si este valor está presente y configurado en 1, ese usuario específico se activa y se encuentra dentro del Período de concesión de dispositivo. El período de concesión de dispositivos es una política que define Dell Security Management Server y el valor predeterminado es 30 días.
La información relacionada con el estado actual del barrido de cifrado del dispositivo se encuentra dentro de la clave de registro HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\CMGshield\SweepTimes. Los valores de esta clave pueden variar y se utiliza un identificador único basado en el usuario para determinar el estado de barrido de cada usuario. A continuación, se muestra un ejemplo de un dispositivo:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\CMGShield\SweepTimes] "_SDENCR_SweepStop"=dword:00000001 "9P18NZD1SweepStop"=dword:00000001 "AllSweepsCompleted"=dword:00000001 "AllSweepsCompletedInXDays"=dword:00000001 "LastUpdate"="20180409 162157"
Un desglose de estas claves y su significado y uso:
- _SDENCR_SweepStop
- Un valor de 0 indica que se está realizando un barrido de cifrado que afecta a la clave de cifrado de datos del sistema.
- Un valor de 1 indica que todos los barridos de cifrado de datos del sistema están completos.
- 9P18NZD1SweepStop
- Los ocho caracteres generados aleatoriamente son identificadores para usuarios específicos.
- Cuando esta clave está fijada en 0, hay un barrido en curso para el usuario con el que se correlaciona el identificador.
- Cuando está establecido en 1, los barridos que se correlacionan con las claves de cifrado comunes o de usuario se completan en este terminal.
- AllSweepsCompleted
- Cuando está establecido en 0, indica que hay un barrido de cifrado activo que afecta las claves de cifrado comunes o de usuario.
- Cuando está establecido en 1, los barridos que se correlacionan con las claves de cifrado comunes o de usuario se completan en este terminal.
- AllSweepsCompletedinXDays
- Cuando está establecido en 0, los barridos de cifrado no se han completado para todos los usuarios que han iniciado sesión dentro del período de concesión de dispositivos definido por Dell Security Management Server (DSMS).
- Cuando se establece en 1, se completan los barridos de cifrado para todos los usuarios que hayan iniciado sesión dentro del período de arrendamiento de dispositivo definido.
- LastUpdate: esta es la última vez que se sondeó la base de datos interna para buscar actualizaciones en el estado de barrido del dispositivo dentro de esta entrada del registro.
Dell Encryption Self-Encrypting Drive Manager y Dell Full Disk Encryption Management recopilan información basada en el porcentaje de cifrado del disco y la validación del entorno de autenticación de prearranque (PBA) presente en el disco. Estos valores se almacenan en el registro y se pueden encontrar en HKLM\SYSTEM\CurrentControlSet\Services\DellMgmtAgent\Parameters" y "HKLM\Software\Dell\Dell Data Protection\.
El estado protegido del dispositivo se determina según el porcentaje de cifrado del disco. Todo este procesamiento se realiza de forma local y se entrega al servidor a través de intervalos de sondeo regulares.
Para determinar el estado de activación del agente, compruebe la clave de registro de ID del agente. Si se completa la clave, el dispositivo se registró correctamente:
HKLM\Software\Dell\Dell Data Protection\ REG_SZ: AgentID Value: <populated>
Para determinar si el ambiente de autenticación de prearranque (PBA) está habilitado en el terminal, compruebe la clave de registro IsPBAActive:
HKLM\SYSTEM\CurrentControlSet\Services\DellMgmtAgent\Parameters DWORD: IsPBAActive Value: 1 (1 is enabled, 0 or not present means no PBA)
Para determinar la versión del producto instalado, compruebe la clave de registro:
HKLM\Software\Dell\Dell Data Protection\Branding REG_SZ: EE Value: <version #>
La información de la versión del agente también se puede recopilar a través de wmic llamadas mediante el comando:
Wmic path win32_product where (caption like '%%Dell Encryption%%') get version
Los resultados se deben mostrar de la siguiente manera:
Figura 1: (Solo en inglés) Tipo Wmic path win32_product where (caption like '%%Dell Encryption%%') get version
La información de porcentaje de cifrado para Dell Full Disk Encryption no se puede consultar en el registro. Esta información se completa en DellAgent.log (almacenado en C:\ProgramData\Dell\Dell Data Protection\) si el registro de depuración está activado. Para habilitar el registro de depuración de Dell Full Disk Encryption, consulte Aumentar el registro en Dell Encryption Enterprise y Dell Encryption Personal.
Ejemplo de línea de registro:
YYYY.MM.DD HH:MM:SS.MMM [ProcessID] (ThreadID) T FDE : SetEncryptionInfo - Set EncryptionPercentage to <Percentage>
Dell BitLocker Manager recopila información basada en el porcentaje de cifrado del disco y la validación de los Protectores de claves que están presentes para cada volumen administrado. Estos datos que recopila la línea de comandos mediante el método manage-bde o el comando de PowerShell get-bitlockervolume.
El estado protegido del dispositivo se determina según el porcentaje de cifrado del disco. Este procesamiento se realiza de forma local en el terminal y se entrega al servidor a través de intervalos de sondeo regulares.
El comando manage-bde -status Muestra el estado del cifrado de BitLocker para todos los volúmenes del disco.
La salida contiene varios valores:
- Tamaño: la cantidad de espacio en el volumen.
- Versión de BitLocker: versión de BitLocker empleada
- El “Modo de compatibilidad” de BitLocker tiene una versión de 1.0.
- El “Nuevo modo de cifrado” de BitLocker (introducido en Windows 10, versión 1511, también conocido como Umbral 2) tiene una versión de 2.0.
- Conversion Status: estado del volumen para el cifrado
- Porcentaje de cifrado: porcentaje del volumen que ha completado el cifrado.
- Método de cifrado: algoritmo utilizado para cifrar el volumen.
- Estado de protección: detalla si BitLocker está habilitado, deshabilitado o suspendido.
- Estado de bloqueo: indica si el volumen está bloqueado o desbloqueado.
- Campo de identificación: genera cualquier información de identificación personalizada para la organización.
- Key Protectors: el mecanismo utilizado para proteger el volumen, puede ser TPM, contraseña, PIN, USB o una combinación de estos elementos.
Más información sobre el manage-bde El comando se puede encontrar aquí: https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/manage-bde
Estos son algunos ejemplos de resultados de la ejecución de manage-bde -status en ciertos intervalos durante el cifrado:
Disk volumes that can be protected with BitLocker Drive Encryption: Volume C: [] [OS Volume] Size: 59.40 GB BitLocker Version: None Conversion Status: Fully Decrypted Percentage Encrypted: 0.0% Encryption Method: None Protection Status: Protection Off Lock Status: Unlocked Identification Field: None Key Protectors: None Found
Figura 2: (Solo en inglés) Tipo manage-bde -status
Disk volumes that can be protected with BitLocker Drive Encryption: Volume C: [] [OS Volume] Size: 59.40 GB BitLocker Version: 2.0 Conversion Status: Used Space Only Encrypted Percentage Encrypted: 100.0% Encryption Method: XTS-AES 256 Protection Status: Protection On Lock Status: Unlocked Identification Field: Unknown Key Protectors: TPM, Numerical Password
Figura 3: (Solo en inglés) Tipo manage-bde -status
El comando de get-bitlockervolume | FL se puede utilizar para recopilar datos sobre el estado de BitLocker en el dispositivo.
La salida contiene varios valores:
- ComputerName: nombre del dispositivo que se está protegiendo.
- MountPoint: letra o ubicación de la unidad en el disco del volumen que se está administrando.
- EncryptionMethod: algoritmo que se utiliza para proteger los datos en el volumen.
- AutoUnlockEnabled: indica si la opción AutoUnlock está activada.
- AutoUnlockKeyStored: proporciona información detallada sobre si AutoUnlockKey se ha almacenado en el caché en la computadora local o si se encuentra en una ubicación independiente.
- MetadataVersion: detalla la versión de BitLocker que se está utilizando en este volumen.
- El “Modo de compatibilidad” de BitLocker tiene una versión de 1.
- El “Nuevo modo de cifrado” de BitLocker (introducido en Windows 10, versión 1511, también conocido como Umbral2) tiene una versión de 2.
- VolumeStatus: estado del volumen (Decrypted, Encrypting, FullyEncrypted)
- ProtectionStatus: detalla si BitLocker está habilitado, deshabilitado o suspendido.
- LockStatus: indica si el volumen está bloqueado o desbloqueado.
- EncryptionPercentage: porcentaje de estado de cifrado del volumen.
- WipePercentage: estado en el porcentaje del espacio vacío en la unidad que se sobrescribió.
- VolumeType: el tipo de volumen, normalmente OperatingSystemDrive oFixedVolume
- CapacityGB: tamaño del volumen administrado
- KeyProtector: el mecanismo utilizado para proteger el volumen, puede ser TPM, contraseña, PIN, USB o una combinación de estos elementos.
Más información sobre el get-bitlockervolume El comando se puede encontrar aquí: https://docs.microsoft.com/en-us/powershell/module/bitlocker/?view=win10-ps
Estos son algunos ejemplos de resultados de la ejecución de get-bitlockervolume | FL en ciertos intervalos durante el cifrado:
ComputerName: DESKTOP-T46E07P
MountPoint: C:
EncryptionMethod: None
AutoUnlockEnabled:
AutoUnlockKeyStored:
MetadataVersion: 0
VolumeStatus: FullyDecrypted
ProtectionStatus: Off
LockStatus: Unlocked
EncryptionPercentage: 0
WipePercentage: 0
VolumeType: OperatingSystem
CapacityGB: 59.39843
KeyProtector: {}
Figura 4: (Solo en inglés) Tipo get-bitlockervolume | FL
ComputerName: DESKTOP-T46E07P
MountPoint: C:
EncryptionMethod: XtsAes256
AutoUnlockEnabled:
AutoUnlockKeyStored: False
MetadataVersion: 2
VolumeStatus: FullyEncrypted
ProtectionStatus: On
LockStatus: Unlocked
EncryptionPercentage: 100
WipePercentage: 0
VolumeType: OperatingSystem
CapacityGB: 59.39843
KeyProtector: {Tpm, RecoveryPassword}
Figura 5: (Solo en inglés) Tipo get-bitlockervolume | FL
Para comunicarse con el equipo de soporte, consulte los números de teléfono de soporte internacionales de Dell Data Security.
Vaya a TechDirect para generar una solicitud de soporte técnico en línea.
Para obtener información y recursos adicionales, únase al foro de la comunidad de seguridad de Dell.