mcpField
B
bitlocker-design

bitlocker-design

github.com/vinayaklattheセキュリティ17880 回インストール19 週間前に更新
リポジトリ

bitlocker-design について

bitlocker-design は、Windows エンドポイントの BitLocker 暗号化と復旧管理を設計するスキルです。管理者向けに、デバイスに応じた起動前認証、Intune 展開、回復キーのエスクロー、コンプライアンス計画を案内します。

主な機能

  1. 01デバイス別の起動前認証設定
  2. 02Intune ディスク暗号化ポリシーの計画
  3. 03BitLocker のサイレント有効化
  4. 04回復キーのエスクロー確認
  5. 05リムーバブルドライブ暗号化の計画
  6. 06コンプライアンスと Conditional Access の連携

活用シーン

  1. 01企業の Windows ノート PC 暗号化の計画
  2. 02高機密デバイスへの TPM+PIN 設定
  3. 03展開前の回復キー確認
  4. 04リムーバブル USB ドライブの保護

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill bitlocker-design

インストール後、Claude Code で/bitlocker-designを入力して読み込まれたか確認します。

詳細

BitLocker の設計

BitLocker は Windows デバイスのボリューム全体を暗号化し、デバイスの紛失や盗難時に保存データを保護します。クラウド管理されている環境では、Intune のエンドポイント セキュリティ ポリシーの ディスク暗号化 を通じて展開および監視し、回復キーを Microsoft Entra ID にエスクローします。

使用する場面

Windows エンドポイントを暗号化し、回復キーとコンプライアンスを一元管理する場合に使用します。ロールアウト前に、このスキルを使ってプリブート モードを選択し、サイレント有効化を設定し、回復を計画してください。

一般的な Intune デバイス ベースライン（intune-device-mgmt）、macOS の FileVault（Intune のディスク暗号化ポリシーを直接使用）、Azure VM のディスク暗号化（azure-key-vault）には、このスキルを使用しないでください。

デバイスの種類に応じた構成の選択

デバイス プロファイルプリブート認証暗号化備考
最新の企業向けノート PC（TPM 2.0、セキュア ブート）TPM のみ（PIN なし）XTS-AES 256デフォルト。サイレント有効化
高機密性の管理者 / Tier 0（PAW）TPM + PINXTS-AES 256より強固。PAW と併用
キオスク / 無人運用デバイスネットワーク ロック解除を使用する TPM のみXTS-AES 256PIN を入力するユーザーがいない場合
レガシー デバイス（TPM 2.0 / セキュア ブートなし）デバイスを交換該当なしベアメタルのレガシー デバイスで有効化を試みないでください
リムーバブル メディア（USB）BitLocker To Go（パスワードまたはスマートカード）XTS-AES 256別のポリシー
固定データ ドライブOS ドライブで自動ロック解除XTS-AES 256OS ドライブとともに暗号化

目安： 最新の企業向けノート PC の 95% では、TPM のみ + サイレント有効化が適切なデフォルトです。TPM + PIN は物理攻撃に対するセキュリティを 2 倍にしますが、サポートへの問い合わせは 3 倍になります。TPM + PIN は Tier 0 / PAW に限定してください。

手順

  1. 前提条件を確認する — TPM 2.0（限定的なケースでは TPM 1.2）、セキュア ブート対応 UEFI、サポートされている Windows エディション（Pro/Enterprise）、Entra 参加またはハイブリッド参加（キーのエスクローに必要）。 確認方法：Get-Tpm で TpmReady=True と表示され、manage-bde -status でドライブが暗号化可能と表示されること。

  2. Intune のディスク暗号化ポリシーを構成する — エンドポイント セキュリティ → ディスク暗号化 → BitLocker プロファイルを作成します。暗号化方式（XTS-AES 256）、OS ドライブ + 固定ドライブの暗号化、プリブート モード（デフォルトでは TPM のみ）を設定します。

  3. サイレント有効化 — デバイスで BitLocker をサイレントに有効化する と 回復キーを Microsoft Entra ID に自動的にエスクローする を有効にします。ユーザーにプロンプトは表示されず、バックグラウンドで暗号化が完了します。これが現在のデフォルトです。 確認方法：パイロット デバイスで BitLocker = On と表示され、キーが Entra にエスクローされている（デバイス オブジェクトで確認可能）こと、ユーザー操作が記録されていないこと。

  4. 広範なロールアウトの前に回復キーのエスクローを確認する — パイロット デバイスの回復キーを Entra のデバイス画面から取得します。取得できない場合はポリシーに誤りがあります。展開を拡大する前に修正してください。キーがエスクローされていないデバイスは回復不能になります。 確認方法：パイロット リング内のデバイスの 100% でキーを Entra 上で確認でき、ヘルプデスクが取得できること。

  5. リムーバブル ドライブに BitLocker To Go を使用する — 別のポリシーを設定し、リムーバブル ドライブの暗号化 にパスワード（8 文字以上）またはスマートカードを必須にします。データの機密性に応じて、Defender for Endpoint のデバイス制御を使用し、暗号化されていないリムーバブル ドライブへの書き込みをブロックします。

  6. コンプライアンスと条件付きアクセスに連携する — Intune のコンプライアンス ポリシーに BitLocker / 暗号化を追加します。条件付きアクセスの許可制御「準拠しているデバイスを必須にする」により、暗号化状態に基づいて企業アプリへのアクセスを制御します。 確認方法：暗号化されていないデバイスがコンプライアンスの猶予期間内に非準拠と報告され、条件付きアクセスによってブロックされること。

  7. 監視と回復運用 — 暗号化レポートを毎日確認し、暗号化中のまま 7 日を超えているデバイスにアラートを設定します。ヘルプデスクの回復手順を文書化します。ユーザーが起動画面から回復キー ID を読み上げる → ヘルプデスクが Entra で検索する → キーをユーザーに伝える。

ガードレール

  • 広範な展開の前に、回復キーのエスクローが機能していることを確認してください。エスクローされていないキーはデータ損失のリスクになります。 デバイス50台でパイロットを実施し、すべてのキーを取得してから規模を拡大してください。
  • 起動前認証の選択肢は、ユーザーエクスペリエンスや自動化／イメージングに影響するため、パイロットで検証してください。 TPM+PIN は Wake-on-LAN、リモート管理、無人再起動に支障をきたすことがあります。
  • リムーバブルドライブの暗号化（BitLocker To Go）は、別途ポリシーを決定する必要があります。 OS ドライブのポリシーで USB ドライブもカバーされると思い込まないでください。
  • TPM がなければ、（実際には）BitLocker も使用できません。 ソフトウェアのみの BitLocker ははるかに脆弱であり、そのデバイスは廃棄すべきという兆候です。
  • 回復キーは機密情報です。 ヘルプデスクの手順では、回復キーを声に出して伝える前に、問い合わせ者の本人確認を必須にしてください。
  • 安易に回復キーをローテーションしないでください。 ローテーションのたびに、一定期間エスクロー済みのキーが無効になります。ローテーションを完了扱いにする前に、新しいキーがエスクローされていることを確認してください。

よくあるアンチパターン

  • 「エスクローを確認せずに BitLocker を有効にする」 - 最初のデバイス紛失時にキーが見つからず、データを復旧できなくなります。まずエスクローを確認してください。
  • 「全員に TPM+PIN を適用する」 - PIN の忘れやロックに関するチケットが3倍に増加します。PAW／Tier 0 に限定してください。
  • 「コンプライアンス連携を省略する」 - 暗号化済みデバイスが CA に表示されません。コンプライアンスポリシーに追加してください。
  • 「BitLocker To Go は任意」 - 顧客データが入った USB メモリが暗号化されずに紛失すると、情報漏えいにつながります。機密データを扱うデバイスでは必須にしてください。
  • 「問い合わせ者を確認せずに、ヘルプデスクが回復キーを読み上げる」 - ソーシャルエンジニアリングによるデータ窃取の経路になります。本人確認を行ってください。
  • 「キーを保存せずに暗号化してから再イメージングする」 - 更新作業中に見落としやすく、再イメージングによって復旧可能な状態が失われます。消去する前にエスクローを確認してください。

プロンプトの例

  • Design a BitLocker policy with silent enablement via Intune and Entra escrow.
  • Set up TPM+PIN pre-boot authentication for our PAW devices.
  • Verify recovery key escrow on a pilot ring before broad rollout.
  • Configure BitLocker To Go for removable USB drives with password protection.
  • Add disk encryption to Intune compliance policy and gate Conditional Access.
  • Plan and document the help-desk recovery key workflow.

Microsoft Learn

コメント

Markdown 対応