Шифрование данных в состоянии покоя на сервере Windows без использования сторонних инструментов
BitLocker встроен в Windows Pro/Enterprise и Windows Server и является одним из самых быстрых способов защиты данных «в состоянии покоя» — особенно если вы храните данные клиентов, внутренние документы, резервные копии или файлы баз данных на диске VPS.
На VPS с Windows, работающем на VPS-хостинге, BitLocker помогает снизить последствия сценариев взлома хранилища и обеспечивает соответствие нормативным требованиям, где шифрование является обязательным.
Важный нюанс VPS: диск ОС против диска данных
Перед включением BitLocker решите, что именно вы будете шифровать:
- Диск данных (рекомендуется в первую очередь): шифрование проще в управлении и обычно не нарушает автоматизацию перезагрузки.
- Системный диск (C:): на многих виртуальных серверах нет TPM, поэтому шифрование диска ОС может потребовать ручной разблокировки во время загрузки. Это может быть неудобно без внеполосной консоли.
Рекомендация для большинства конфигураций VPS: зашифруйте диски, на которых хранятся данные приложений, резервные копии и экспортированные данные (D:, E:), и подготовьте проверенный план восстановления.
Контрольный список перед запуском (выполните это перед включением)
- Убедитесь, что ваша версия поддерживает BitLocker (Windows Server / Pro / Enterprise).
- Сделайте резервную копию (если возможно, резервную копию на уровне файлов или моментальный снимок).
- Убедитесь, что у вас есть доступ к консоли на случай чрезвычайных ситуаций (панель хостинга / VNC / KVM).
- Подготовьте безопасное место для ключа восстановления (НЕ на том же VPS).
- Убедитесь, что у вас достаточно свободного места на диске (для шифрования требуется рабочее пространство).
Шаг 1: Установите BitLocker на Windows Server
На Windows Server BitLocker часто не установлен по умолчанию. Запустите PowerShell от имени администратора:
Install-WindowsFeature BitLocker -IncludeAllSubFeature -IncludeManagementTools -Restart
После перезагрузки проверьте:
Get-WindowsFeature BitLocker
Шаг 2: Разрешите BitLocker без TPM (часто встречается на VPS)
Многие виртуальные серверы не предоставляют доступ к TPM. BitLocker все равно может работать, но необходимо разрешить аутентификацию при запуске без TPM.
- Запустите
gpedit.msc
- Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Шифрование дисков BitLocker → Диски операционной системы
- Включить Требовать дополнительную аутентификацию при запуске
- Установите флажок «Разрешить BitLocker без совместимого модуля TPM»
Если вы пропустите этот шаг, Windows может отказаться включить шифрование системного диска в среде без TPM.
Шаг 3 (рекомендуется): шифрование тома данных с помощью PowerShell
Пример для диска D: с XTS-AES-256 и «Только использованное пространство» (быстрее на новых томах). Запустите PowerShell от имени администратора:
$pwd = Read-Host -AsSecureString "Set BitLocker password for D:"
Enable-BitLocker -MountPoint "D:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -PasswordProtector -Password $pwd
# Add a recovery password protector (store the recovery key OFF the server!)
$kp = Add-BitLockerKeyProtector -MountPoint "D:" -RecoveryPasswordProtector
$kp.RecoveryPassword
Проверьте ход шифрования:
manage-bde -status D:
Список средств защиты (для подтверждения наличия средства защиты восстановления):
manage-bde -protectors -get D:
Автоматическая разблокировка: что нужно знать (и почему она может не работать на VPS)
BitLocker может автоматически разблокировать диски с данными после разблокировки диска с ОС. На практике Windows часто требует, чтобы диск с ОС был защищен BitLocker, чтобы включить автоматическую разблокировку для фиксированных дисков с данными — в противном случае может появиться ошибка типа «Диск с операционной системой не защищен…».
Если ваш VPS должен перезагружаться в автоматическом режиме, у вас есть 3 реалистичных варианта:
- Зашифруйте диски с ОС и данными и убедитесь, что вы сможете разблокировать их после перезагрузки (требуется доступ к консоли).
- Зашифровать только определенные конфиденциальные файлы/данные приложений на уровне приложения, если разблокировка всего диска затруднительна с операционной точки зрения.
- Используйте шифрование на уровне провайдера (если ваш хостинг-стек это поддерживает) и оставьте BitLocker для сценариев, связанных исключительно с данными.
Метод с графическим интерфейсом (Панель управления) для администраторов, предпочитающих клики
- Панель управления → Система и безопасность → Шифрование дисков BitLocker
- Выберите диск → Включить BitLocker
- Выберите пароль (общий для VPS)
- Сохраните ключ восстановления за пределами VPS
- Выберите область шифрования: «Только используемое пространство» (новый диск) или «Весь диск» (существующие данные)
Как отключить BitLocker (при необходимости)
Отключение приводит к расшифровке диска — не прерывайте процесс:
manage-bde -off D:
Рекомендации по шифрованию Windows VPS
- Никогда не храните ключи восстановления на том же VPS, который вы шифруете.
- Документируйте: какие диски зашифрованы, где находятся ключи восстановления, кто имеет к ним доступ.
- Перед запуском в производственную среду протестируйте сценарий перезагрузки и сценарий восстановления.
- Будьте готовы к снижению производительности во время первоначального шифрования; запланируйте его на время вне пиковых нагрузок.
Если вам нужна стабильная производительность диска для рабочих нагрузок, связанных с шифрованием, выберите тарифный план со стабильной пропускной способностью ввода-вывода хранилища — это один из ключевых факторов при выборе Windows VPS на VPS-хостинге.
