Protecao de dados com NTFS, EFS, BitLocker e backup

1. Criar estrutura e classificar os dados

Crie uma estrutura simples separando arquivos publicos, internos e confidenciais.

New-Item -ItemType Directory -Path C:\ECSS-M11\Publico,C:\ECSS-M11\Interno,C:\ECSS-M11\Confidencial,C:\ECSS-M11\Backup -Force | Out-Null
"Informacao publica" | Out-File C:\ECSS-M11\Publico\readme.txt -Encoding utf8
"Procedimento interno" | Out-File C:\ECSS-M11\Interno\procedimento.txt -Encoding utf8
"Dados confidenciais do laboratorio" | Out-File C:\ECSS-M11\Confidencial\dados.txt -Encoding utf8
Get-ChildItem C:\ECSS-M11 -Recurse

2. Examinar permissoes NTFS atuais

Antes de alterar qualquer permissao, veja a ACL da pasta confidencial.

Get-Acl C:\ECSS-M11\Confidencial | Format-List
icacls C:\ECSS-M11\Confidencial

Anote: quais usuarios ou grupos aparecem com permissao na pasta?

3. Restringir acesso a pasta confidencial

Remova heranca e permita acesso total apenas ao usuario atual e aos administradores locais.

$currentUser = "$env:USERDOMAIN\$env:USERNAME"
icacls C:\ECSS-M11\Confidencial /inheritance:r
icacls C:\ECSS-M11\Confidencial /grant:r "${currentUser}:(OI)(CI)F" "Administrators:(OI)(CI)F"
icacls C:\ECSS-M11\Confidencial

Resultado esperado: a pasta confidencial deixa de herdar permissoes amplas.

4. Ativar EFS na pasta confidencial

Use EFS para criptografar os arquivos da pasta confidencial com a identidade do usuario atual.

cipher /E C:\ECSS-M11\Confidencial
cipher /C C:\ECSS-M11\Confidencial\dados.txt

Se o ambiente bloquear EFS por politica, registre a mensagem de erro. Isso tambem e uma evidencia de controle.

Opcional: para listar certificados EFS do usuario, execute:

Get-ChildItem Cert:\CurrentUser\My | Where-Object { $_.EnhancedKeyUsageList.FriendlyName -contains "Encrypting File System" } | Select-Object Subject,Thumbprint,NotAfter

5. Criar um disco virtual pequeno para simular midia removivel

Crie um VHDX dinamico de 1 GB e monte-o como unidade S:.

'create vdisk file=C:\ECSS-M11\bitlocker-lab.vhdx maximum=1024 type=expandable' | Set-Content C:\ECSS-M11\create-vhd.txt -Encoding ASCII
'select vdisk file=C:\ECSS-M11\bitlocker-lab.vhdx' | Add-Content C:\ECSS-M11\create-vhd.txt -Encoding ASCII
'attach vdisk' | Add-Content C:\ECSS-M11\create-vhd.txt -Encoding ASCII
'create partition primary' | Add-Content C:\ECSS-M11\create-vhd.txt -Encoding ASCII
'format fs=ntfs quick label=ECSSDATA' | Add-Content C:\ECSS-M11\create-vhd.txt -Encoding ASCII
'assign letter=S' | Add-Content C:\ECSS-M11\create-vhd.txt -Encoding ASCII
'exit' | Add-Content C:\ECSS-M11\create-vhd.txt -Encoding ASCII
diskpart /s C:\ECSS-M11\create-vhd.txt
Get-Volume -DriveLetter S

Se a letra S: ja estiver em uso, altere para outra letra livre no arquivo create-vhd.txt.

6. Proteger o disco virtual com BitLocker

Ative BitLocker na unidade S: usando senha de laboratorio.

Enable-BitLocker -MountPoint "S:" -EncryptionMethod XtsAes128 -PasswordProtector -Password (ConvertTo-SecureString 'Pa$$w0rd' -AsPlainText -Force) -UsedSpaceOnly
Get-BitLockerVolume -MountPoint "S:"
manage-bde -status S:

Resultado esperado: a unidade aparece protegida ou em processo de criptografia. Em producao, use senha forte e armazene a chave de recuperacao com controle adequado.

7. Copiar dados protegidos para o disco BitLocker

Copie uma evidencia confidencial para a unidade protegida.

Copy-Item C:\ECSS-M11\Confidencial\dados.txt S:\dados-protegidos.txt
Get-ChildItem S:\
Get-FileHash S:\dados-protegidos.txt -Algorithm SHA256

Anote: o hash do arquivo copiado para o volume protegido.

8. Criar backup e restaurar arquivo

Simule perda de arquivo e recupere a partir de um backup compactado.

Compress-Archive -Path C:\ECSS-M11\Confidencial -DestinationPath C:\ECSS-M11\Backup\confidencial-backup.zip -Force
Remove-Item C:\ECSS-M11\Confidencial\dados.txt
Expand-Archive C:\ECSS-M11\Backup\confidencial-backup.zip -DestinationPath C:\ECSS-M11\Restore -Force
Get-ChildItem C:\ECSS-M11\Restore -Recurse

Resultado esperado: o arquivo removido aparece dentro da pasta de restauracao.

9. Encerrar o disco virtual

Ao final, bloqueie e desconecte o VHDX.

manage-bde -lock S: -ForceDismount
'select vdisk file=C:\ECSS-M11\bitlocker-lab.vhdx' | Set-Content C:\ECSS-M11\detach-vhd.txt -Encoding ASCII
'detach vdisk' | Add-Content C:\ECSS-M11\detach-vhd.txt -Encoding ASCII
'exit' | Add-Content C:\ECSS-M11\detach-vhd.txt -Encoding ASCII
diskpart /s C:\ECSS-M11\detach-vhd.txt

10. Evidencias para entregar

• Print ou saida do icacls da pasta confidencial.
• Resultado do cipher /C ou mensagem de politica que bloqueou EFS.
• Status do BitLocker em S:.
• Arquivo restaurado a partir do backup.
• Resposta curta: qual e o risco de perder a chave de recuperacao?