Come sospendere BitLocker con PowerShell

Punti chiave

• Gestione automatizzata di BitLocker: Lo script offre un modo semplice per sospendere la crittografia BitLocker sui sistemi Windows, migliorando l’efficienza della gestione IT.
• Sono richiesti privilegi amministrativi: L’esecuzione dello script per sospendere BitLocker richiede i privilegi di amministratore, per garantire una gestione sicura delle impostazioni di crittografia.
• Opzioni di riavvio condizionale: Parametri come -Restart e -RestartIfNoEncryption offrono flessibilità e si adattano a diversi scenari operativi negli ambienti IT.
• Sospensione temporanea per manutenzione: Ideale per gli aggiornamenti del sistema o le modifiche hardware, lo script sospende la crittografia solo fino al successivo riavvio, mantenendo la sicurezza generale.
• Script e gestione manuale: Sospendere BitLocker tramite PowerShell è più efficiente e meno soggetto a errori rispetto ai metodi di sospensione manuale di BitLocker.
• Sicurezza e conformità: Utilizza lo script per sospendere BitLocker con giudizio, entro i limiti dei criteri di sicurezza dell’organizzazione, per evitare una possibile esposizione dei dati.
• Potenziamento degli strumenti di gestione IT: L’integrazione con piattaforme come NinjaOne può semplificare ulteriormente la distribuzione degli script e la gestione della sicurezza IT.
• Riattivazione automatica dopo il riavvio: BitLocker si riattiva automaticamente dopo un riavvio del sistema, garantendo una protezione continua dei dati.

BitLocker, il programma di crittografia di Microsoft, offre un livello di sicurezza fondamentale per la protezione dei dati. Tuttavia, in scenari specifici come gli aggiornamenti del sistema o le modifiche all’hardware, la sospensione temporanea di BitLocker diventa necessaria. Gli script PowerShell, come quello che esaminiamo oggi, forniscono una soluzione efficiente per la gestione dello stato di BitLocker, offrendo convenienza e controllo ai professionisti IT.

Background

Lo script PowerShell fornito per sospendere BitLocker è progettato per sospendere la crittografia BitLocker sui sistemi Windows fino al successivo riavvio. Questa funzionalità è particolarmente preziosa negli ambienti IT gestiti, dove gli aggiornamenti software su larga scala o le modifiche alla configurazione del sistema spesso richiedono la sospensione temporanea della crittografia. Per i fornitori di servizi gestiti (MSP) e i professionisti IT, questo script semplifica il processo, garantendo un’interruzione minima dei protocolli di sicurezza durante l’esecuzione di operazioni critiche.

Lo script per sospendere BitLocker:

#Requires -Version 5.1

<#
.SYNOPSIS
    Suspends BitLocker Protection until after the next restart. Can optionally restart the computer once suspended.
.DESCRIPTION
    Suspends BitLocker Protection until after the next restart. Can optionally restart the computer once suspended.
.EXAMPLE
    (No Parameters)

    Checking for Bitlocker Volumes...
    Bitlocker Volumes found!

    Drive RecoveryPassword                                                Status
    ----- ----------------                                                ------
    C:    652795-525382-638803-450769-280214-250415-444829-276023 FullyEncrypted



    Suspending Found Volumes
    Suspended Drive C:

PARAMETER: -Restart
    Restart the computer after suspending BitLocker protection.

PARAMETER: -RestartIfNoEncryption
    Restart the computer even if no BitLocker protection was found.

.OUTPUTS
    None
.NOTES
    Minimum OS Architecture Supported: Windows 10, Server 2016
    Release Notes:
    Initial Release
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
#>

[CmdletBinding()]
param (
    [Parameter()]
    [Switch]$Restart = [System.Convert]::ToBoolean($env:restart),
    [Parameter()]
    [Switch]$RestartIfNoEncryption = [System.Convert]::ToBoolean($env:restartRegardlessOfBitlockerStatus)
)

begin {
    function Test-IsElevated {
        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
        $p = New-Object System.Security.Principal.WindowsPrincipal($id)
        $p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator)
    }
}
process {
    if (-not (Test-IsElevated)) {
        Write-Error -Message "Access Denied. Please run with Administrator privileges."
        exit 1
    }

    Write-Host "Checking for BitLocker Volumes..."
    $BitLockerVolumes = Get-BitLockerVolume | Where-Object { $_.ProtectionStatus -eq "On" } | ForEach-Object {
        [PSCustomObject]@{
            Drive            = $_.MountPoint
            RecoveryPassword = $_.KeyProtector | Where-Object { $_.RecoveryPassword } | Select-Object -ExpandProperty RecoveryPassword
            Status           = $_.VolumeStatus
        }
    }

    if ($BitlockerVolumes) {
        Write-Host "BitLocker Volumes found!"
        $BitLockerVolumes | Format-Table -AutoSize | Out-String | Write-Host

        Write-Host "Suspending Found Volumes"
        $BitlockerVolumes | ForEach-Object {
            try {
                Suspend-BitLocker -MountPoint $_.Drive -RebootCount 1 -ErrorAction Stop | Out-Null
                Write-Host "Suspended Drive $($_.Drive)"
            }
            catch {
                Write-Error "Failed to suspend drive $($_.Drive)!"
                Exit 1
            }
        }
    }else{
        Write-Warning "No BitLocker Volumes found with protection turned on?"
        if(-not $RestartIfNoEncryption){
            Exit 1
        }
    }

    if(($Restart -or $RestartIfNoEncryption) -and ($BitLockerVolumes -or $RestartIfNoEncryption)){
        Write-Host "Scheduling restart for 30 seconds from now."

        Start-Process cmd.exe -ArgumentList "/c shutdown.exe /r /t 30" -Wait -NoNewWindow
    }
    
}
end {
    
    
    
}

 

Analisi dettagliata dello script per sospendere BitLocker

Lo script per sospendere BitLocker inizia controllando se è stato eseguito con i privilegi di amministratore, essenziali per modificare le impostazioni di BitLocker. Identifica quindi tutte le unità con protezione BitLocker attivata e visualizza il loro stato. Se BitLocker è attivo, lo script lo sospende sulle unità identificate, consentendo l’accesso all’unità non crittografata solo per la sequenza di avvio successiva.

Due parametri chiave, -Restart e -RestartIfNoEncryption, permettono di controllare il comportamento del computer dopo l’esecuzione del codice. Il parametro -Restart attiva il riavvio del sistema dopo la sospensione di BitLocker, mentre -RestartIfNoEncryption assicura il riavvio anche se non vengono trovati volumi crittografati. Questa flessibilità è fondamentale per l’automazione delle grandi infrastrutture IT.

Casi d’uso potenziali

Immagina un amministratore IT di una grande azienda che si prepara a distribuire un aggiornamento software critico su tutti i computer aziendali. Utilizzando questo script, può sospendere BitLocker temporaneamente, applicare l’aggiornamento e quindi consentire a BitLocker di riattivarsi al successivo riavvio del sistema, mantenendo la sicurezza e garantendo al tempo stesso una distribuzione regolare dell’aggiornamento.

Confronti

Tradizionalmente, sospendere BitLocker richiede un intervento manuale per ogni sistema o complesse configurazioni dei criteri di gruppo. Questo script semplifica il processo, fornendo un approccio più diretto e basato su script che può essere integrato in flussi di lavoro automatizzati, cose che lo rendono un’opzione più efficiente per gli MSP e i professionisti IT.

Domande frequenti

• È sicuro sospendere BitLocker utilizzando questo script?
  • Sì, ma assicurati che lo script per sospendere BitLocker venga utilizzato in un ambiente controllato. Lo script sospende la crittografia solo fino al successivo riavvio, dopodiché BitLocker si riattiva automaticamente.

• Questo script per sospendere BitLocker può essere utilizzato su qualsiasi versione di Windows?
  • Lo script per sospendere BitLocker è progettato per Windows 10 e Server 2016 e versioni successive, poiché queste versioni supportano i comandi PowerShell necessari.

• Lo script per sospendere BitLocker fornisce un feedback se BitLocker non viene trovato?
  • Sì, avvisa se non vengono rilevati volumi crittografati e agisce in base ai parametri dello script.

Implicazioni

Questo script per sospendere BitLocker è uno strumento potente, e un suo uso improprio può portare a vulnerabilità di sicurezza. La sospensione temporanea di BitLocker espone i dati, pertanto deve essere usata con giudizio e in ambienti sicuri. Assicurati sempre che la sospensione di BitLocker sia in linea con i criteri di sicurezza della tua organizzazione.

Raccomandazioni

• Esegui sempre lo script per sospendere BitLocker in un ambiente sicuro e controllato.
• Verifica che tutti i sistemi siano stati riavviati correttamente dopo l’esecuzione dello script per garantire la riattivazione di BitLocker.
• Incorpora questo script per sospendere BitLocker in protocolli più ampi di manutenzione del sistema per mantenere l’integrità generale della sicurezza.

Considerazioni finali

Nel contesto dei servizi IT gestiti, strumenti come NinjaOne possono integrare script di questo tipo. NinjaOne offre soluzioni complete per la gestione dell’IT, semplificando l’implementazione di script, il monitoraggio dell’integrità del sistema e la gestione della sicurezza in una rete. L’integrazione di script PowerShell in piattaforme di questo tipo migliora l’efficienza, la sicurezza e il controllo, essenziali per le moderne infrastrutture IT.