Guía de herramientas de Sophos Disk Encryption
Contents
1. SOPHOS simple secure Versi n 5 61 Contenido LA ACESA GU A EAE A e A 3 2 Descarga de herramientas de Citradoorisisiida desi dii ides ADA DAL DA DA ADE DARASE TADES 4 3 Visualizaci n del estado del sistema con SGNState ossssssss osos eos sosa oo oen ea ea oe a enno ceos enno ao ceense Donas 5 4 Reversi n de instalaciones fallidas con SGNRollback oooocnnoninnnnnnnnnnnonncncranoronnnrncnananranorocnnrannnnoos 6 5 Recuperaci n del acceso a datos cifrados con la herramienta KeyRecoVerY coooiccnonnnnnnnonmcmnmmo 9 6 Recuperaci n del sistema con la herramienta BE Restore coococcoccconnnnnonnnninonnnnnnnnnonnnrnnnnnannanaronncraons 12 7 Retirada de vol menes cifrados con BElnvVol eX6 oooooocncnnciconnnononnnnonnnnnnrnnnnonnnnonnnnannanoronnnrnonnncnnanos 15 8 Retirada de unidades autocifrables compatibles con Opal ooooncionnccninncncnnnnnnnnononnoronnnnnnranaronnnraono 17 O SOporte t cnica t cadn liado 18 VO Aviso legal ai 19 Gu a de herramientas 1 Acerca de esta gu a En esta gu a se explica c mo utilizar las herramientas de cifrado para las estaciones protegidas con el software de cifrado de Sophos Estas son las herramientas disponibles y tratadas en este documento SGNState visualizaci n del estado del sistema SGNRollback reversi n de instalaciones fallidas Herramienta KeyRecovery RecoverKeys exe recuperaci n del acceso a los equipos mediante procedimientos de desaf o respuesta BE_Restore2. un mensaje de error 17 Sophos Disk Encryption 9 Soporte t cnico Para obtener asistencia t cnica sobre cualquier producto de Sophos puede E Visitar el f rum SophosTalk en http community sophos com para consultar casos similares E Visitar la base de conocimiento de Sophos en http esp sophos com support E Descargar la documentaci n correspondiente desde http esp sophos com support docs E Enviar un email a supportOsophos com indicando la versi n del producto de Sophos el sistema operativo y parches aplicados y el texto exacto de cualquier mensaje de error 18 Gu a de herramientas 1O Aviso legal Copyright 1996 2012 Sophos Group Todos los derechos reservados SafeGuard es una marca registrada de Sophos Group Ninguna parte de esta publicaci n puede ser reproducida almacenada o transmitida de ninguna forma ni por ning n medio sea ste electr nico mec nico grabaci n fotocopia o cualquier otro sin la correspondiente licencia del producto bajo dichos t rminos o sin la previa autorizaci n escrita por parte del propietario Sophos Sophos Anti Virus and SafeGuard son marcas registradas de Sophos Limited Sophos Groupo Utimaco Safeware AG seg n corresponda Otros productos y empresas mencionados son marcas registradas de sus propietarios El documento Disclaimer and Copyright for 3rd Party Software en la carpeta de instalaci n del producto incluye informaci n sobre copyright de terc
3. Mirrored MBR Nota si selecciona From Current MBR se utilizar la tabla de particiones del MBR actual que en este caso est da ada Adem s de no poder arrancar el sistema se actualizar el MBR reflejado que por lo tanto quedar tambi n da ado Restauraci n de firmas de discos de Windows Al crear por primera vez el sistema de archivos en un disco duro Windows crea tambi n una firma Esta firma se guarda en el registro de arranque maestro MBR del disco duro en los sectores de inicio 0x01B a 0x01BB Recuerde que por ejemplo las letras de unidad l gicas del disco duro dependen de la firma del disco de Windows Ejemplo el administrador de Windows utiliza el administrador de discos duros de Windows para cambiar las letras de unidad l gicas de las unidades C D y E por C F y Q Como resultado se elimina la firma del disco de Windows en el MBR del disco duro Tras el siguiente proceso de inicio Windows escanea el disco duro y restaura la lista de unidades Como resultado las tres unidades recuperan las letras de unidad originales C D y E Cuando este proceso tiene lugar en un equipo con el software de cifrado instalado el controlador del filtro BEFLT sys no se carga y es imposible arrancar el sistema aparece una m pantalla azul en el equipo y el error STOP OxED Unmountable Boot Volume Para repararlo es necesario restaurar la firma original del disco de Windows en el MBR del disco duro 13 Sop
4. exe reparaci n del sistema registro de arranque maestro BEInvVol exe retirada de vol menes cifrados opalinvdisk exe retirada de unidades autocifrables compatibles con Opal Todas las herramientas se pueden descargar en un mismo archivo zip La herramienta SGNState se copia tambi n de forma autom tica en las estaciones durante la instalaci n del software de cifrado P blico destinatario Esta gu a est dirigida a administradores de sistemas inform ticos Sophos Disk Encryption 2 Descarga de herramientas de cifrado 1 Vaya a http esp sophos com support updates 2 Escriba el nombre de usuario y la contrase a de su cuenta de MySophos 3 Seleccione Herramientas de cifrado y extraiga el archivo ZIP en la estaci n Las herramientas estar n disponibles en la estaci n Gu a de herramientas 3 Visualizaci n del estado del sistema con SGNState La herramienta de l nea de comandos SGNState muestra informaci n sobre el estado actual estado de cifrado e informaci n sobre el estado m s detallada de la instalaci n del software de cifrado en las estaciones Creaci n de informes SGNState tambi n se puede utilizar como se describe a continuaci n m El c digo devuelto de SGNState se puede evaluar en el servidor mediante herramientas de gesti n de terceros E SGNState LD devuelve un resultado con formato para LANDesk que se puede pasar a un archivo Par metros Puede llamar SGNState con los siguien
5. herramienta no funcionar correctamente y aparecer un mensaje de error Nota le recomendamos que inicie el sistema desde un medio externo por ejemplo un disco de Windows PE y que siga las instrucciones disponibles en la ayuda de la l nea de comandos para utilizar la herramienta Una vez retirados los vol menes correspondientes dejan de ser legibles Seg n el est ndar 5220 22 M la herramienta de l nea de comandos sobrescribe siete veces los sectores de arranque y las reas de almacenamiento de claves originales y copias de seguridad de todos los vol menes cifrados para purgarlos de forma permanente No se guardan copias de seguridad de las claves aleatorias de cifrado de datos de cada volumen en la base de datos central por lo que los vol menes quedan perfectamente sellados La herramienta muestra tambi n informaci n sobre los vol menes disponibles por ejemplo el nombre y el tama o del volumen e informaci n sobre los sectores de arranque y las reas de almacenamiento de claves Esta informaci n puede almacenarse en un archivo que deber a guardarse en un volumen sin retirar Nota una vez eliminados no es posible recuperar los datos Inicio de la herramienta de l nea de comandos Sintaxis E xl volumen Listar informaci n sobre los vol menes de destino Si no se especifica el volumen de destino listar informaci n sobre todos los vol menes E xi lt volumen gt Invalidar los vol menes de destino si e
6. Power on Authentication se bloquea al iniciar el sistema por primera vez y no es posible volver a arrancar el equipo E El disco duro no est cifrado Requisitos previos adicionales Para utilizar SGNRollback deben cumplirse tambi n los siguientes requisitos previos E SGNRollback funciona en los sistemas de recuperaci n WinPE y BartPE Para utilizar SGNRollback para tareas de recuperaci n int grelo en el sistema de recuperaci n necesario Consulte la documentaci n del sistema de recuperaci n correspondiente para obtener m s informaci n Si SGNRollback debe autoejecutarse el administrador que lo utilice deber definir la configuraci n correspondiente en WinPE consulte Activaci n del autoinicio de SGNRollback para Windows PE en la p gina 7 o BartPE consulte Activaci n del autoinicio de SGNRollback para BartPE en la p gina 7 Sistemas operativos compatibles SGNRollback es compatible con los siguientes sistemas operativos E Windows XP E Windows Vista E Windows 7 Inicio de SGNRollback en el sistema de recuperaci n SGNRollback puede iniciarse de forma manual o a adirse al inicio autom tico del sistema de recuperaci n Gu a de herramientas 4 2 1 4 2 2 4 3 4 4 Activaci n del autoinicio de SGNRollback para Windows PE Para activar el inicio autom tico de SGNRollback para Windows PE instale el kit de instalaci n automatizada de Microsoft Windows En la gu a del usuario del entorno de preinst
7. aci n 5 3 5 4 Compruebe que la secuencia de arranque de la configuraci n de la BIOS permite el arranque desde CD o DVD 1 Inserte el disco de recuperaci n y reinicie el equipo El disco se cargar de forma autom tica Se abre el administrador de archivos de Windows PE En la vista del explorador en PC puede ver la unidad y la estructura del disco El contenido de la unidad cifrada no aparece en el administrador de archivos de Windows PE El sistema de archivos la capacidad o el espacio libre y en uso tampoco se indican en las propiedades de la unidad cifrada Importaci n de archivos de recuperaci n de claves a la herramienta KeyRecovery Compruebe que el archivo de recuperaci n de claves se ha exportado a una unidad accesible por ejemplo una unidad de memoria USB y que la unidad se ha montado correctamente y est visible en el administrador de archivos de Windows PE del disco de recuperaci n 1 En el administrador de archivos de Windows PE seleccione la unidad en la que est almacenado el archivo de recuperaci n de claves El archivo de recuperaci n de claves se denomina recoverytoken tok y aparece en la parte derecha Seleccione recoverytoken tok y arr strelo a la unidad en la que se encuentra la herramienta KeyRecovery RecoverKeys exe Su ltelo en el directorio Tools1SGN Tools Inicio del desaf o En la parte inferior de la ficha Inicio r pido del administrador de archivos de Windows PE
8. alaci n de Windows se describe c mo crear un entorno de Windows PE y c mo iniciar aplicaciones de forma autom tica Activaci n del autoinicio de SGNRollback para BartPE Para activar el autoinicio de SGNRollback para BartPE 1 Cree una imagen de PE con BartPEBuilder versi n 3 1 3 o posterior Para m s informaci n consulte la documentaci n de BartPE 2 En BartPE Builder a ada la carpeta de herramientas de recuperaci n en el campo Custom 3 Cree la imagen 4 Copie el archivo AutoRun0Recovery cmd en la carpeta 1386 de la versi n de Windows preparada para utilizarse con BartPE 5 Cree un archivo AutoRun0Recovery cmd que contenga las dos l neas siguientes WRecoverylrecovery exe exit 6 Ejecute la herramienta PEBuilder desde la l nea de comandos Pebuilder buildis Se crear una imagen ISO que incluye el archivo de autoejecuci n 7 Guarde la imagen resultante en un medio de recuperaci n Al arrancar la imagen SGNRollback se iniciar de forma autom tica Par metros SGNRollback puede iniciarse con el par metro siguiente drv WinDrive Indica la letra de la unidad en la que se encuentra la instalaci n a reparar Este par metro solo puede utilizarse en modo de recuperaci n Debe utilizarse en entornos de arranque m ltiple para indicar la unidad correcta Reversi n de instalaciones fallidas 1 Arranque el equipo desde el medio de recuperaci n que contiene el sistema de recuperaci
9. cesarios est n incluidos en el archivo zip descargable de herramientas de cifrado 1 Copie todos los archivos en las carpetas KeyRecovery y Restore de las herramientas de cifrado a la memoria USB Gu rdelos todos en la misma carpeta De lo contrario la herramienta de recuperaci n no se iniciar correctamente 2 Solicite el disco de recuperaci n de Windows PE personalizado para Sophos Disk Encryption al soporte de Sophos Deber utilizarlo para el arranque del equipo El disco incluye los controladores de cifrado necesarios Para obtener la imagen ISO p ngase en contacto con soporte t cnico o visite http esp sophos com support knowledgebase article 108805 html 3 Grabe la imagen ISO a un disco 4 Compruebe que la secuencia de arranque de la configuraci n de la BIOS permite el arranque desde CD o DVD Reparaci n del sector de arranque maestro Para reparar un MBR da ado 1 En el equipo afectado conecte la memoria USB con la herramienta BE_Restore 2 Inserte el disco de recuperaci n de Windows PE y reinicie el equipo El disco se cargar de forma autom tica Se abre el administrador de archivos de Windows PE 3 Localice BE_Restore exe y ejec telo 4 En la herramienta abra la ficha MBR y seleccione Repair MBR BE_Restore exe localiza el kernel del software de cifrado en el disco duro utiliza su direcci n y vuelve a crear el cargador del MBR Esto puede tardar alg n tiempo Nota si se encuentra m s de un k
10. ernel se utilizar el m s reciente Gu a de herramientas 6 3 6 4 Al terminar este proceso reinicie el equipo Reparaci n del registro de arranque maestro con tabla de particiones da ada El software de cifrado permite crear particiones principales o ampliadas nuevas lo que provoca ciertos cambios en la tabla de particiones del disco duro correspondiente Las tablas de particiones da adas pueden impedir el arranque del sistema operativo despu s de iniciar sesi n correctamente en Power on Authentication Para resolver el problema 1 En el equipo afectado conecte la memoria USB con la herramienta BE_Restore 2 Inserte el disco de recuperaci n de Windows PE y reinicie el equipo El disco se cargar de forma autom tica Se abre el administrador de archivos de Windows PE 3 Localice BE_Restore exe y ejec telo 4 En la herramienta abra la ficha MBR y seleccione Repair MBR Si BE_Restore exe detecta alguna diferencia entre la tabla de particiones del MBR actual y la del MBR reflejado deber seleccionar la tabla de particiones que desee utilizar Nota el MBR reflejado es el registro de arranque maestro original de Microsoft guardado durante la configuraci n del software de cifrado en la estaci n para poder restaurarlo por ejemplo al desinstalar el programa El software de cifrado actualiza la tabla de particiones del MBR reflejado si se produce alg n cambio en las particiones de Windows 5 Seleccione From
11. eros 19
12. haga clic en el icono de KeyRecovery La herramienta KeyRecovery se inicia y muestra una lista que incluye todos los vol menes y la informaci n de cifrado correspondiente identificadores de clave Seleccione la unidad que desea descifrar y haga clic en Importar por D R para generar el c digo de desaf o En la p gina Desaf o Respuesta aparecer el c digo de desaf o Comunique el c digo de desaf o al centro de ayuda por tel fono o en un mensaje de texto Si utiliza el tel fono la Ayuda de deletreo puede resultar muy til El centro de ayuda generar el c digo de respuesta en Sophos Enterprise Console Para m s informaci n consulte el cap tulo Recuperaci n mediante el procedimiento de desaf o respuesta de la Ayuda de Sophos Enterprise Console Gu a de herramientas 5 5 Introducci n del c digo de respuesta El centro de ayuda deber haber generado el c digo de respuesta en Sophos Enterprise Console Para m s informaci n consulte el cap tulo Recuperaci n mediante el procedimiento de desaf o respuesta de la Ayuda de Sophos Enterprise Console 1 En la herramienta KeyRecovery de la estaci n en la p gina Desaf o Respuesta introduzca el c digo de respuesta proporcionado por el centro de ayuda 2 Haga clic en Aceptar Una vez aceptado el c digo la unidad seleccionada para el desaf o respuesta se descifra 3 Para comprobar que la unidad se ha descifrado correctamente selecci nela en el admi
13. hos Disk Encryption 14 Este proceso se lleva a cabo tambi n con BE Restore exe Nota Tenga cuidado al utilizar cualquier otra herramienta para reparar el MBR Por ejemplo los antiguos archivos FDISK exe de MS DOS utilizados para recrear el cargador del MBR FDISK MBR pueden crear un cargador nuevo sin la firma del disco de Windows Del mismo modo que una herramienta antigua puede eliminar la firma del disco de Windows el cargador nuevo del MBR puede no ser compatible con los tama os de disco duro usados de forma habitual en la actualidad Utilice siempre versiones actualizadas de las herramientas de reparaci n Gu a de herramientas 7 Retirada de vol menes cifrados con BElnvVol exe 7 1 Para retirar vol menes cifrados de forma segura discos duros memorias USB etc puede utilizar la herramienta de l nea de comandos BEInvVol exe basada en el est ndar 5220 22 M del Departamento de Defensa de los EE UU que permite eliminar almacenes de claves con total seguridad El est ndar est formado por siete ciclos de sobrescritura con patrones aleatorios y alternativos Esta herramienta de l nea de comandos est dise ada para utilizarse en equipos en los que E Haya instalado software de cifrado E Algunos vol menes del disco duro se hayan cifrado La herramienta debe ejecutarse en sistemas en los que los controladores de cifrado no est n activados para evitar la retirada accidental de datos De lo contrario la
14. n incluido SGNRollback Sophos Disk Encryption 2 Inicie SGNRollback en el sistema de recuperaci n Si la autoejecuci n est activada SGNRollback se iniciar de forma autom tica SGNRollback prepara el sistema operativo para la desinstalaci n del software de cifrado 3 A continuaci n deber retirar los medios de recuperaci n Despu s el equipo volver a arrancar en el modo seguro del sistema operativo Todas la modificaciones realizadas se eliminan y el software de cifrado se desinstala Gu a de herramientas 5 Recuperaci n del acceso a datos cifrados con la herramienta KeyRecovery 5 1 Para recuperar el acceso a los datos cifrados en situaciones de desastre complejas por ejemplo cuando Power on Authentication se da a puede utilizar la herramienta KeyRecovery para iniciar las estaciones a partir de un disco de recuperaci n mediante un procedimiento de desaf o respuesta Para ello el soporte de Sophos puede proporcionarle un disco de recuperaci n de Windows PE personalizado Pasos clave Para acceder a los datos cifrados de un equipo en el que la Power on Authentication est da ada siga estos pasos 1 Solicite el disco de recuperaci n de Windows PE personalizado para Sophos Disk Encryption al soporte de Sophos Este disco contiene la herramienta KeyRecovery necesaria adem s de los controladores del filtro del software de cifrado m s recientes P ngase en contacto con el soporte de Sophos o de
15. nistrador de archivos de Windows PE El contenido de la unidad descifrada aparece en el administrador de archivos de Windows PE En las propiedades de la unidad descifrada puede verse el sistema de archivos adem s de la capacidad y el espacio libre y en uso Se recupera el acceso a los datos almacenados en la unidad Como resultado es posible leer escribir y copiar datos en y desde la unidad 11 Sophos Disk Encryption 12 6 6 1 6 2 Recuperaci n del sistema con la herramienta BE Restore El software de cifrado cifra los archivos y las unidades de forma transparente Tambi n es posible cifrar las unidades de arranque por lo que es necesario que funciones como el c digo los algoritmos de cifrado y las claves de cifrado est n disponibles al comenzar la fase de arranque Silos m dulos esenciales no est n disponibles o no funcionan no es posible acceder a la informaci n cifrada Para solucionar da os en el sector de arranque maestro MBR puede utilizar la herramienta de recuperaci n BE_Restore exe una aplicaci n Win32 que debe ejecutarse en Windows nunca en DOS Nota BE_Restore exe solo puede reparar el MBR en el disco 0 Si utiliza dos discos duros y el sistema se arranca a partir del otro no es posible reparar el MBR Preparaci n para recuperar el sistema Para utilizar la herramienta de recuperaci n BE_Restore exe son necesarios varios archivos adicionales Tanto la herramienta como los archivos ne
16. sc rguelo en http esp sophos com support knowledgebase article 108805 html En Sophos Enterprise Console compruebe que se ha exportado el archivo de recuperaci n de claves necesario ya que el procedimiento de desaf o respuesta lo utiliza como informaci n de referencia Para m s informaci n consulte el cap tulo sobre c mo exportar archivos de recuperaci n de claves de la Ayuda de Sophos Enterprise Console El archivo de recuperaci n de claves debe estar disponible en el entorno del usuario por ejemplo desde una memoria USB o una ubicaci n de red compartida Inicie la estaci n desde el disco de recuperaci n personalizado En la estaci n importe el archivo de recuperaci n de claves a la herramienta KeyRecovery Inicie el desaf o en la herramienta Se generar un c digo de desaf o En Sophos Enterprise Console seleccione la estaci n correspondiente y la acci n de recuperaci n necesaria Despu s introduzca el c digo de desaf o generado en la estaci n Se generar un c digo de respuesta Para m s informaci n consulte el cap tulo Recuperaci n mediante el procedimiento de desaf o respuesta de la Ayuda de Sophos Enterprise Console En la estaci n introduzca el c digo de respuesta en la herramienta KeyRecovery Se descifrar n los datos cifrados Ahora es posible acceder al equipo y a los datos cifrados Sophos Disk Encryption 10 5 2 Inicio de equipos desde el disco de recuper
17. st n totalmente cifrados Con este comando es necesario especificar el lt volumen gt de destino E lt volumen gt Especificar el volumen de destino fa b c Z lt gt significa todos los vol menes 15 Sophos Disk Encryption 16 Opciones g0 Desactivar el mecanismo de registros E ga archivo Modo de registro append A adir entradas al final del archivo del registro de destino o crearlo si no existe E gt archivo Modo de registro truncate Truncar el archivo del registro de destino o crearlo si no existe E archivo Especificar el archivo del registro de destino Si no se especifica el archivo del registro de destino predeterminado es BEInvVol log en la ruta actual No sit e este archivo en el mismo volumen que desea invalidar E h Mostrar la ayuda Ejemplos gt beinvvol h gt beinvvol xld gt beinvvol xle gac subdir archivo log gt beinvvol xl gtc subdir archivo log gt beinvvol xif gt c mi subdir archivo log gt beinvvol xig g0 gt beinvvol xi Gu a de herramientas 8 Retirada de unidades autocifrables compatibles con 8 1 8 2 Opal Las unidades con autocifrado realizan el cifrado autom tico de los datos que se copian a las mismas La organizaci n Trusted Computing Group TCG ha hecho p blico el est ndar Opal que se utiliza en este tipo de unidades Requisitos previos y recomendaciones Para utilizar opalinvdisk exe tenga en cuenta los sig
18. tes par metros SGNSTATE L LD E El par metro devuelve informaci n de ayuda sobre los par metros de la l nea de comandos de SGNState disponibles E El par metro L muestra la informaci n siguiente Sistema operativo Versi n instalada del software de cifrado Tipo de POA Sophos o Opal Estado de la POA activado o desactivado Estado de Wake on LAN activado o desactivado Nombre del servidor Modo de inicio de sesi n Estado de activaci n de clientes Fecha y hora de la ltima replicaci n de datos ltima pol tica recibida Estado del cifrado cifrado o no m El par metro LD devuelve esta informaci n formateada para LANDesk Sophos Disk Encryption 4 4 1 4 2 Reversi n de instalaciones fallidas con SGNRollback Si se produce alg n error al intentar instalar el software de cifrado en una estaci n puede que no sea posible arrancar el equipo ni acceder a l para administrarlo de forma remota En dichos casos puede utilizar la herramienta SGNRollback SGNRollback revierte de forma autom tica los efectos de las instalaciones fallidas del software de cifrado lo que E permite arrancar el equipo bloqueado E elimina el software de cifrado y E deshace todas las modificaciones efectuadas en el GINA y el resto de componentes del sistema operativo Usos SGNRollback sirve para reparar instalaciones fallidas del software de cifrado en las estaciones cuando se cumple lo siguiente E
19. uientes requisitos previos y recomendaciones E Antes de utilizar opalinvdisk exe es necesario descifrar el disco duro compatible con Opal mediante el comando Descifrar del men contextual del Explorador de Windows de la estaci n El comando Descifrar est disponible en el men contextual cuando el cifrado se ha desactivado en la estaci n correspondiente desde la pol tica E Son necesarios derechos de administrador E Es aconsejable utilizar opalinvdisk exe en entornos de Windows PE E La herramienta opalinvdisk exe inicia el servicio optativo RevertSP con el par metro KeepGlobalRangeKey configurado como Falso El procedimiento de retirada llevado a cabo por RevertSP depende de cada disco duro Para obtener m s informaci n consulte la secci n 5 2 3 de las especificaciones TCG Storage Security Subsystem Class Opal versi n 1 00 revisi n 3 00 del est ndar Opal disponible en www trustedcomputinggroup org Ejecuci n de opalinvdisk exe 1 Abra la l nea de comandos e inicie opalinvdisk exe con derechos de administrador Aparecer la herramienta e informaci n sobre c mo utilizarla 2 En la l nea de comandos escriba opalinvdisk exe lt dispositivo de destino gt Por ejemplo opalinvdisk exe UnidadFisica0 Si se cumplen los requisitos previos necesarios RevertSP se inicia en la unidad especificada en lt dispositivo de destino gt Si no se cumplen los requisitos previos o la unidad no es compatible con RevertSP aparecer
Download Pdf Manuals
Related Search