Arranque seguro y cifrado de disco

El arranque seguro (Secure Boot) verifica las firmas criptográficas del cargador de arranque del sistema operativo y los controladores del kernel antes de ejecutarlos, impidiendo que bootkits o rootkits tomen control por debajo del software de seguridad. El chip TPM almacena hashes de medición en registros de configuración de plataforma (PCR) para atestar que el firmware y el software base no han sufrido modificaciones antes de liberar las llaves de descifrado.

El estándar actual para la protección de datos en reposo en estaciones de trabajo exige algoritmos robustos con mitigación de ataques basados en manipulación de sectores.

Abre el laboratorio y examina config-tpm-bitlocker.txt. Identifica el algoritmo y modo configurado para la protección de disco BitLocker.

Si un equipo experimenta una alteración de hardware legítima, se requiere una llave de recuperación para desbloquear el volumen. Guardar estas llaves en archivos de texto en servidores locales es una mala práctica grave.

Revisa custodia-recuperacion.txt y determina qué repositorio de custodia cuenta con respaldo automatizado por API y control de acceso nivel 2.

Almacenar llaves de recuperación en bases de datos o carpetas compartidas sin cifrado permite a cualquier administrador local recuperar discos de equipos sustraídos sin dejar rastro de auditoría.