Comment identifier les disques durs déverrouillés et entièrement déchiffrés à l’aide de PowerShell ?

Le paysage informatique en constante évolution exige de la vigilance en matière de sécurité, en particulier dans le domaine de la protection des données. Alors que la transformation numérique pousse les entreprises à s’appuyer davantage sur les données, la protection des informations sensibles devient primordiale. L’un des aspects essentiels de la protection des données est la compréhension de l’état du chiffrement des disques. Cela nous amène à notre objectif principal : un script PowerShell capable d’identifier le nombre de disques durs déverrouillés et entièrement décryptés. 

Contexte

Le chiffrement des disques est depuis longtemps un pilier de la sécurité de l’information, en particulier dans les entreprises où sont stockés d’importants volumes de données sensibles. Les professionnels de l’informatique et les fournisseurs de services gérés (MSP) s’efforcent de veiller à ce que les disques durs restent chiffrés afin d’empêcher tout accès non autorisé. Le contrôle de l’état du chiffrement devient une tâche cruciale, d’où la nécessité d’élaborer des scripts efficaces qui permettent de savoir quels lecteurs peuvent être vulnérables. Notre script répond à ce besoin précis.

Le script

#Requires -Version 2.0

<#
.SYNOPSIS
    Returns the number of drives in the Unlocked and FullyDecrypted state.
.DESCRIPTION
    Returns the number of drives in the Unlocked and FullyDecrypted state.
.EXAMPLE
    No parameters needed.
.EXAMPLE
    PS C:> Get-UnencryptedDiskCount.ps1
    No Parameters needed
.OUTPUTS
    int
.NOTES
    Minimum OS Architecture Supported: Windows 7, Windows Server 2012
    Uses manage-bde.exe or Get-BitLockerVolume depending on the version of PowerShell
    Release Notes:
    Initial Release
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
.COMPONENT
    Misc
#>

[CmdletBinding()]
param ()

begin {
    function Test-IsElevated {
        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
        $p = New-Object System.Security.Principal.WindowsPrincipal($id)
        if ($p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator))
        { Write-Output $true }
        else
        { Write-Output $false }
    }
    function Get-DriveLetter {
        param()
        Get-Disk | Where-Object { $_.bustype -ne 'USB' } | Get-Partition | Where-Object { $_.DriveLetter } | Select-Object -ExpandProperty DriveLetter
    }
    function Invoke-ManageBDE {
        [CmdletBinding()]
        param ()
        # Check if manage-bde.exe is available
        if ((Get-Command -Name "manage-bde.exe" -ErrorAction SilentlyContinue)) {
            # Get physical drives
            Get-DriveLetter | ForEach-Object {
                $DriveLetter = $_
                $ReturnObj = [PSCustomObject]@{
                    MountPoint = "$_`:"
                }
                # Get data from manage-bde.exe and convert the text to objects for easier processing 
                (manage-bde.exe -status "$_`:") -split "`n" | Where-Object { $_ -like "*:*" } | ForEach-Object {
                    $First = ($_ -split ":")[0].Trim() -replace ' '
                    $Last = ($_ -split ":")[1].Trim() -replace ' '
                    if ($First -notlike "Name" -and $First -notlike "BitLocker Drive Encryption" -and $First -notlike "Volume $DriveLetter") {
                        if ($First -like "ConversionStatus") {
                            # Renames ConversionStatus to VolumeStatus to match Get-BitLockerVolume's output
                            $ReturnObj | Add-Member -MemberType NoteProperty -Name "VolumeStatus" -Value $Last
                        }
                        else {
                            $ReturnObj | Add-Member -MemberType NoteProperty -Name $First -Value $Last
                        }
                    }
                }
                $ReturnObj
            } | Select-Object MountPoint, LockStatus, VolumeStatus
        }
        else {
            Write-Host "Windows Feature BitLocker is not install."
            Write-Output 0
        }
    }
}
process {
    if (-not (Test-IsElevated)) {
        Write-Error -Message "Access Denied. Please run with Administrator privileges."
        exit 1
    }
    $Result = if ($PSVersionTable.PSVersion.Major -le 4) {
        Invoke-ManageBDE
    }
    else {
        try {
            Get-DriveLetter | Get-BitLockerVolume | Select-Object MountPoint, LockStatus, VolumeStatus
        }
        catch {
            Write-Output "Falling back on manage-bde.exe"
            Invoke-ManageBDE
        }
    }
    $UnencryptedDisks = if ($Result) {
        (($Result | Where-Object { "Unlocked" -like $_.LockStatus -and "FullyDecrypted" -like $_.VolumeStatus }).LockStatus).Count
    }
    else {
        (Get-DriveLetter).Count
    }
    
    # Return a count of Unlocked drives
    Write-Host "Unencrypted Disk Count: $UnencryptedDisks"
    # Return an exit code of 2 if more than 1 disk is unencrypted
    if ($UnencryptedDisks -gt 0) {
        exit 2
    }
    exit 0
}
end {}

 

Description détaillée

Le script est structuré de manière méticuleuse afin de fournir un décompte des disques non chiffrés. Voici comment il atteint son objectif :

• Vérification de l’élévation : Initialement, le script s’assure qu’il s’exécute avec les droits d’administrateur. Il peut ainsi accéder sans restriction aux informations nécessaires sur le disque.
• Récupération de lettres de lecteur : Le script récupère les lettres de lecteur de tous les lecteurs non connectés en USB.
• État du chiffrement : En fonction de la version de PowerShell et de la disponibilité d’utilitaires spécifiques, le script vérifie l’état du chiffrement via manage-bde.exe ou Get-BitLockerVolume.
• Rassemblement et affichage des résultats : Le script compte le nombre de lecteurs déverrouillés et entièrement déchiffrés, puis affiche le résultat.
• Codes de sortie : Il propose des codes de sortie pour indiquer le résultat. Un code de sortie de “2” signifie qu’il y a plus d’un disque non chiffré, tandis que “0” indique que tout va bien.

Cas d’utilisation potentiels

Imaginez un professionnel de l’informatique, Alex, qui travaille pour une entreprise de soins de santé possédant des centaines d’ordinateurs. Chaque appareil contient des données sensibles sur les patients, ce qui rend le chiffrement crucial. Périodiquement, Alex doit s’assurer que les lecteurs de chaque machine sont chiffrés. À l’aide de ce script, il peut collecter efficacement des données, ce qui lui permet de remédier rapidement aux vulnérabilités potentielles.

Comparaisons

Bien qu’il existe d’autres méthodes, comme des solutions logicielles tierces qui offrent une surveillance du chiffrement des disques, notre script se distingue par sa simplicité et son intégration directe avec les utilitaires Windows natifs. Alors que de nombreuses solutions nécessitent des frais d’installation ou de licence prolongés, ce script PowerShell est léger, rentable et peut être exécuté instantanément.

FAQ

• Ai-je besoin de droits d’administrateur pour exécuter ce script ?
  Oui, vous devez l’exécuter avec des privilèges d’administrateur pour obtenir des résultats précis.

• Le script fonctionne-t-il sur toutes les versions de Windows ?
  Il prend en charge Windows 7 et les versions plus récentes, ainsi que Windows Server 2012.

Implications

Bien que le script est un outil formidable, il est essentiel d’en comprendre les résultats. Les disques non chiffrés dans un environnement d’entreprise peuvent entraîner des violations de données. Ainsi, le texte ne se contente pas d’informer, il constitue un système d’alerte précoce.

Recommandations

• Exécutez toujours le script périodiquement, en particulier après l’introduction de nouveaux lecteurs ou systèmes dans votre réseau.
• Intégrez ses résultats à d’autres outils de surveillance pour obtenir un tableau de bord complet de la sécurité.
• Envisagez une automatisation qui alerte immédiatement le personnel informatique en cas de détection d’un disque non chiffré.

Conclusions

Dans le contexte du chiffrement des disques, un outil qui fournit des informations comme notre script PowerShell est inestimable. Pour des plateformes comme NinjaOne, qui se concentre sur la gestion informatique intégrée, l’incorporation de tels scripts peut offrir aux utilisateurs une vision plus complète de leur sécurité informatique. À une époque où les violations de données sont de plus en plus fréquentes, les outils qui peuvent offrir des informations en temps réel sur les vulnérabilités telles que les lecteurs non chiffrés ne sont pas seulement utiles, mais essentiels.