הנחיות להגדרת CASB של צד שלישי ב-Google Workspace

מתווך מבוסס-ענן לאבטחת גישה (CASB) הוא תוכנה מקומית או מבוססת-ענן שנמצאת בין המשתמשים לבין אפליקציות באינטרנט. מערכת CASB אוכפת מדיניות אבטחה, מפחיתה את האיום של תוכנות זדוניות ועוקבת אחרי פעילות המשתמשים שעלולה להשפיע על האבטחה של הדומיין.

חשוב: לא חייבים להגדיר CASB של צד שלישי ב-Google Workspace. עם זאת, אם תחליטו לעשות זאת, מומלץ לקרוא את ההנחיות ואת ההוראות לפתרון בעיות שבהמשך.

הנחיות בנושא CASB

שימוש ב-CASB אופליין במקרים הרלוונטיים

אם אפשר, אל תשתמשו ב-CASB מוטבע או פעיל בתנועה ברשת בין המשתמשים לבין Google (אל תשתמשו בשרת proxy או במסנן רשת). כדאי לשקול דרכים אחרות להשגת היעדים שלכם – לדוגמה, ממשקי API או תוספים ל-Gmail כמו CASB אופליין. צוות התמיכה של Google לא יכול לעזור בפתרון בעיות פוטנציאליות ב-Google Workspace שקשורות לפתרונות CASB מוטמעים או פעילים.

במקום זאת, אנחנו ממליצים על האפשרויות הבאות שמוצעות ב-Google Workspace:

מוודאים שאפשר להשבית את ה-CASB לצורך בדיקה

אם אתם חייבים להשתמש ב-CASB, ודאו שאתם יכולים לבדוק את ההגדרות שלכם על ידי עקיפה או השבתה של ה-CASB במחשב או למשתמש ספציפי. זה חשוב כי ספקים או הגדרות של CASB גורמים לעיתים קרובות לבעיות בחיבור לשירותי Google (ולא בגלל בעיה ב-Google).

ריכזנו כאן כמה אפשרויות נפוצות לבדיקה אם בעיה ב-Google Workspace נגרמת על ידי CASB:

  • (מומלץ) להשתמש במחשב אחר כדי להתחבר, שבו התנועה ברשת לא מנותבת דרך ה-CASB, ולא כפופה למדיניות ארגונית שמחייבת התקנה של מסנני רשת מקומיים או תוספים לדפדפן. לדוגמה, נכנסים לשירות של Google ממכשיר אישי, או מחברים את המכשיר המושפע לרשת סלולרית (שיתוף אינטרנט בין ניידים) במקום לרשת הארגונית.
  • מגדירים את ה-CASB כך שיעביר את התנועה מהמכשיר המושפע. בדרך כלל קשה יותר להגדיר את האפשרות הזו.
  • אם מדיניות הארגון לא מאפשרת להתחבר ישירות לחשבון Google Workspace, צריך להשתמש בסביבת בדיקה נפרדת של Google Workspace.

אם אתם חייבים לחסום את התנועה מ-Google, אל תשנו את גוף המטען הייעודי (payload) או התגובה – לדוגמה, על ידי הזרקת קוד JavaScript משלכם. במקום זאת, ודאו שה-CASB או שרת ה-Proxy מחליפים את התגובה בתגובה 500. באופן אידיאלי, לתגובה 500 צריכה להיות כותרת ייחודית שמציינת שהיא הגיעה מה-CASB. אם תשנו את גוף התגובה, Google לא תוכל להבטיח תמיכה בבעיות שייגרמו כתוצאה מכך.

חשוב לדעת ש-Google לא יכולה לעזור בהגדרות של CASB.

‫Google לא יכולה להבטיח סיוע בבעיות שקשורות לחסימה או לשינוי של תנועה ברשת בין הדפדפן (או לקוח ה-API) לבין Google, או בבעיות שמתרחשות כתוצאת לוואי של שינויים כאלה. ‫Google מספקת ממשקי API לשילובים, אבל אנחנו לא יכולים לתמוך בשילובים שנוצרו באמצעים אחרים (לדוגמה, הזרקת קוד/CSS). הסיבה לכך היא של-Google אין גישה להגדרות או לקוד במערכות של צד שלישי, והיא לא יכולה לספק ערבויות לגבי ממשקים לא ציבוריים.

צוות התמיכה למשתמשי Google Workspace גם לא יכול לסייע בניפוי באגים בקוד של צד שלישי, במיוחד אם הקוד לא מתממשק עם Google APIs או עם ממשקים רשמיים של Google. לדוגמה, אתם יכולים להשתמש בתוסף ל-Gmail כדי להוסיף לחצן לממשק המשתמש של Gmail, וזה נתמך. עם זאת, אנחנו לא תומכים בהוספת לחצן לממשק המשתמש של Gmail באמצעות הזרקת קוד JavaScript משלכם – בין אם באמצעות תוסף ל-Chrome או באמצעות שרת proxy מסוג man-in-the-middle ‏ (MITM).

פתרון בעיות

בהמשך מפורטות כמה תופעות לוואי ותסמינים אפשריים של בעיות ברשת שקשורות ל-CASB או למסנני רשת. זו לא רשימה מלאה של הבעיות, ויכול להיות שיהיו גם תסמינים אחרים:

  • ממשק המשתמש לא נטען או שהוא ריק.
  • המשתמשים מופנים לדף תמיכה של Google עם הוראות לניקוי המטמון, וההפניה הזו נמשכת גם אחרי ניקוי המטמון.
  • האפליקציה נטענת, אבל חלק מהפונקציות מושבתות. לדוגמה, המשתמשים לא יכולים לכתוב אימייל, או שהאפשרויות של עורך Docs, ‏Sheets או Slides מושבתות או מופיעות באפור.
  • שגיאות מתרחשות בכמה מוצרים לא קשורים של Google Workspace (לדוגמה, Gmail ו-Drive), למרות שלא דווח על הפסקה זמנית בשירות בלוח הבקרה של סטטוס שירותי Google Workspace.

איך בודקים אם התנועה ברשת או סשן הגלישה משתנים על ידי ה-CASB או שרת ה-Proxy

  • השוואה בין טביעות האצבע לאישור HTTPS לבין האישורים האמיתיים של Google. לדוגמה, אפשר להשתמש ב-SSL Server Test כדי להשוות בין טביעת האצבע של האישור שמוצג בדפדפן לבין טביעת האצבע שמוצגת לאותו שם מארח (לדוגמה, docs.google.com).
  • אם האישורים שונים, זה מצביע על CASB מוטבע/פעיל. נסו לשחזר את הבעיה בחיבור ישיר ל-Google – לדוגמה, במכונה נפרדת שמחוברת דרך רשת סלולרית, כמו שצוין למעלה – וודאו שאין סוכנים שפועלים באופן מקומי ומיירטים את התנועה ברשת.
  • אם האישורים זהים, כנראה שאין CASB מוטבע. נסו לשחזר את הבעיה במצב פרטי ב-Chrome, וודאו שאין תוספים ל-Chrome שפועלים במצב פרטי. כך אפשר למנוע בעיות שקשורות לסוכנים שפועלים באופן מקומי ומותקנים כתוספים ל-Chrome.

השלבים הבאים

אם אתם נתקלים בבעיות ב-CASB או ברשת, ואתם מוודאים שהתנועה ברשת משתנה על ידי CASB או שרת proxy כמו שמתואר בקטעים שלמעלה, בצעו את הפעולות הבאות:

  • דברו עם מנהל הרשת.
  • בודקים אם הבעיה מתרחשת במכשיר או בחשבונות לא קשורים (ראו את הסעיף שלמעלה: מוודאים שאפשר להשבית את ה-CASB לצורך בדיקה). ‫Google לא יכולה להבטיח שחיבורים שנקטעו או שונו, או דפים ששונו על ידי תוסף, יפעלו כצפוי. צריך לפנות לספק ה-CASB.
  • אם אתם עדיין חושבים שהבעיה היא בצד של Google, אספו את המידע הבא ושלחו אותו לצוות התמיכה של Google: