Diretrizes para configurar um CASB de terceiros no Google Workspace

Um agente de segurança de acesso à nuvem (CASB) é um software local ou baseado na nuvem que fica entre os usuários e os aplicativos da Internet. Um CASB aplica políticas de segurança, reduz a ameaça de malware e monitora a atividade do usuário que pode afetar a segurança do seu domínio.

Importante:não é necessário configurar um CASB de terceiros com o Google Workspace. No entanto, se você decidir fazer isso, recomendamos que leia as diretrizes e instruções de solução de problemas abaixo.

Diretrizes para o CASB

Use um CASB off-line quando aplicável

Se possível, não use um CASB inline/ativo no tráfego de rede entre usuários e o Google (não use um proxy ou filtro de rede). Considere outras maneiras de atingir suas metas, por exemplo, APIs ou complementos do Gmail, como um CASB off-line. A equipe do Suporte do Google não oferece assistência para resolver problemas, e a resolução de possíveis problemas no Google Workspace envolve soluções de CASB inline/ativas.

Em vez disso, recomendamos as seguintes opções oferecidas pelo Google Workspace:

Confira se é possível desativar o CASB para testes

Se você precisar usar um CASB, confirme que é possível testar a configuração ignorando ou desativando o CASB para um computador ou usuário específico. Isso é importante porque os provedores/configurações de CASB geralmente causam problemas de conexão com os serviços do Google (em vez de o Google ter um problema).

Estas são algumas opções comuns para testar se um problema no Google Workspace é causado por um CASB:

  • (Recomendado) Use um computador diferente, onde o tráfego de rede não seja roteado pelo CASB, e que não esteja sujeito a políticas corporativas que exijam a instalação de extensões de navegador e filtros de rede locais. Por exemplo, acesse o Serviço do Google em um dispositivo pessoal ou conecte o computador afetado a uma rede móvel (tethering) em vez de uma rede corporativa.
  • Configure o CASB para ignorar o tráfego do computador afetado. Essa opção costuma ser mais difícil de configurar.
  • Caso as políticas organizacionais não permitam a conexão direta com sua conta do Google Workspace, use um ambiente de teste do Google Workspace separado.

Se você Precisar bloquear o tráfego do Google, não modifique o corpo da resposta/do payload, por exemplo, injetando seu próprio código do JavaScript. Em vez disso, confirme que o CASB/proxy substitui a resposta por uma resposta 500. O ideal é a resposta 500 ter um cabeçalho exclusivo para indicar que ela foi originada pelo CASB. Se você modificar os corpos das respostas, o Google não garanirá o suporte para os possíveis problemas.

O Google não pode ajudar com configurações de CASB

O Google não garante assistência a problemas relacionados ao bloqueio ou à modificação do tráfego de rede entre o navegador (ou cliente de API) e o Google ou problemas que ocorrem em decorrência dessas modificações. O Google oferece APIs para integrações, mas não oferecemos suporte para integrações criadas de outras formas (por exemplo, injeção de código/CSS). Isso acontece porque o Google não tem visibilidade da configuração ou do código em sistemas de terceiros e não pode oferecer garantias sobre interfaces não públicas.

A equipe de suporte do Google Workspace não oferece ajuda para depurar códigos de terceiros, principalmente se o código não usar APIs ou interfaces oficiais do Google. Por exemplo, você pode usar um complemento do Gmail para adicionar um botão à IU do Gmail. No entanto, não é possível adicionar um botão à IU do Gmail injetando seu próprio JavaScript, seja com uma extensão do Chrome ou um proxy man-in-the-middle (MITM).

Solução de problemas

Veja abaixo alguns possíveis efeitos colaterais e sintomas de problemas de rede relacionados aos filtros de rede/ao CASB. Esta não é uma lista abrangente dos problemas. Podem existir outros sintomas.

  • A interface do usuário não está carregando ou está em branco.
  • Os usuários são redirecionados para uma página do Suporte do Google com instruções de como limpar o cache. Isso acontece mesmo depois da limpeza do cache.
  • O app é carregado, mas algumas funcionalidades estão desativadas. por exemplo, os usuários não podem escrever um e-mail ou as opções dos Editores de arquivos Google estão desativadas ou esmaecidas.
  • Erros estão ocorrendo em vários produtos do Google Workspace não relacionados (como o Gmail e o Drive) apesar de nenhuma falha temporária ter sido informada no Painel de status do Google Workspace.

Verifique se o tráfego de rede ou a sessão de navegação está sendo modificada pelo CASB/proxy.

  • Compare as impressões digitais do certificado HTTPS aos certificados do Google. Por exemplo, use o teste de servidor SSL para comparar a impressão digital do certificado que você está vendo no navegador com a impressão digital mostrada para o mesmo nome de host (por exemplo, docs.google.com).
  • Se os certificados forem diferentes, isso indica um CASB in-line/ativo. Tente reproduzir o problema em uma conexão direta com o Google (por exemplo, em um computador separado conectado a uma rede móvel, como mencionado acima) e confirme que não há agentes executados localmente que interceptam o tráfego de rede.
  • Se os certificados forem iguais, isso provavelmente indica que não há um CASB inline. Tente reproduzir o problema no modo de navegação anônima do Chrome, mas confirme que as extensões do Chrome estão permitidas no modo de navegação anônima. Isso elimina problemas relacionados a agentes executados localmente instalados como extensões do Chrome.

Próximas etapas

Se você estiver enfrentando problemas de CASB/rede e verificar que o tráfego de rede está sendo modificado por um CASB/proxy, conforme descrito nas seções acima, faça o seguinte: