Lineamientos para configurar un CASB externo con Google Workspace

Un agente de seguridad de acceso a la nube (CASB) es un software local o basado en la nube que se encuentra entre los usuarios y las aplicaciones de Internet. Un CASB aplica políticas de seguridad, reduce la amenaza de software malicioso y supervisa la actividad del usuario que podría afectar la seguridad de tu dominio.

Importante: No es necesario configurar un CASB de terceros con Google Workspace. Sin embargo, si decides hacerlo, te recomendamos que leas los lineamientos y las instrucciones para solucionar problemas que se indican a continuación.

Lineamientos de CASB

Usa un CASB sin conexión cuando corresponda

Si es posible, no uses un CASB activo o intercalado en el tráfico de red entre los usuarios y Google (no uses un proxy ni un filtro de red). Considera otras formas de alcanzar tus objetivos, por ejemplo, las APIs o los complementos de Gmail, como un CASB sin conexión. El equipo de asistencia al cliente de Google no puede brindar asistencia para solucionar posibles problemas de Google Workspace que involucren soluciones de CASB activas o intercaladas.

En su lugar, te recomendamos las siguientes opciones que ofrece Google Workspace:

Asegúrate de poder inhabilitar el CASB para realizar pruebas.

Si debes usar un CASB, asegúrate de poder probar tu configuración omitiendo o inhabilitando el CASB para una máquina o un usuario específicos. Esto es importante porque los proveedores o las configuraciones de CASB suelen causar problemas de conexión a los servicios de Google (en lugar de que Google tenga un problema).

Estas son algunas opciones habituales para probar si un problema con Google Workspace se debe a un CASB:

  • (Recomendado) Usa otra máquina para conectarte, en la que el tráfico de red no se enrute a través del CASB y no esté sujeto a ninguna política corporativa que requiera la instalación de filtros de red locales o extensiones del navegador. Por ejemplo, acceder al servicio de Google desde un dispositivo personal o conectar la máquina afectada a una red móvil (conexión) en lugar de a la red corporativa
  • Configura tu CASB para que pase el tráfico de la máquina afectada. Esta opción suele ser más difícil de configurar.
  • Si las políticas de tu organización no permiten la conexión directa a tu cuenta de Google Workspace, usa un entorno de prueba independiente de Google Workspace.

Si debes bloquear el tráfico de Google, no debes modificar el cuerpo de la carga útil o de la respuesta, por ejemplo, inyectando tu propio código JavaScript. En cambio, asegúrate de que tu CASB o proxy reemplacen la respuesta por una respuesta 500. Idealmente, la respuesta 500 debería tener un encabezado único para indicar que proviene del CASB. Si modificas los cuerpos de respuesta, Google no puede garantizar la asistencia para los problemas que surjan.

Ten en cuenta que Google no puede ayudarte con la configuración de CASB

Google no puede garantizar asistencia con problemas relacionados con el bloqueo o la modificación del tráfico de red entre el navegador (o el cliente de API) y Google, ni con problemas que se produzcan como efecto secundario de dichos cambios. Google proporciona APIs para las integraciones, pero no podemos brindar asistencia para las integraciones creadas por otros medios (por ejemplo, inyección de código o CSS). Esto se debe a que Google no tiene visibilidad de la configuración ni del código en los sistemas de terceros, y no puede brindar garantías sobre las interfaces no públicas.

El equipo de asistencia de Google Workspace tampoco puede ayudar a depurar código de terceros, en especial si el código no usa APIs o interfaces oficiales de Google. Por ejemplo, puedes usar un complemento de Gmail para agregar un botón a la IU de Gmail, y eso es compatible. Sin embargo, no se admite agregar un botón a la IU de Gmail inyectando tu propio código JavaScript, ya sea con una extensión de Chrome o un proxy de intermediario (MITM).

Solución de problemas

A continuación, se indican algunos posibles efectos secundarios y síntomas de problemas de red relacionados con los filtros de CASB o de red. Esta no es una lista exhaustiva de problemas, por lo que es posible que haya otros síntomas:

  • La interfaz de usuario no se carga o está en blanco.
  • Se redirecciona a los usuarios a una página de asistencia de Google con instrucciones para borrar la caché, y este redireccionamiento persiste incluso después de borrar la caché.
  • La aplicación se está cargando, pero algunas funciones están inhabilitadas. Por ejemplo, los usuarios no pueden redactar un correo electrónico, o las opciones del editor de Documentos, Hojas de cálculo o Presentaciones están inhabilitadas o atenuadas.
  • Se producen errores en varios productos no relacionados de Google Workspace (por ejemplo, Gmail y Drive), a pesar de que no se informó ninguna interrupción en el Panel de estado de Google Workspace.

Verifica si el CASB o el proxy modifican tu tráfico de red o sesión de navegación

  • Compara las huellas digitales de los certificados HTTPS con los certificados reales de Google. Por ejemplo, usa la prueba del servidor SSL para comparar la huella digital del certificado que ves en el navegador con la huella digital que se muestra para el mismo nombre de host (por ejemplo, docs.google.com).
  • Si los certificados son diferentes, esto indica que hay un CASB activo o integrado. Intenta reproducir el problema en una conexión directa a Google (por ejemplo, en una máquina independiente conectada a través de una red móvil, como se mencionó anteriormente) y asegúrate de que no haya agentes en ejecución local que intercepten el tráfico de red.
  • Si los certificados son los mismos, es probable que no haya un CASB intercalado. Intenta reproducir el problema en el modo Incógnito de Chrome y asegúrate de que no se permitan extensiones de Chrome en ese modo. Esto elimina los problemas relacionados con los agentes que se ejecutan de forma local y que se instalan como extensiones de Chrome.

Próximos pasos

Si tienes problemas de CASB o de red, y verificas que un CASB o proxy modifica tu tráfico de red como se describe en las secciones anteriores, haz lo siguiente:

  • Comunícate con tu administrador de red.
  • Comprueba si el problema ocurre en una máquina o cuentas no relacionadas (consulta la sección anterior: Asegúrate de poder inhabilitar el CASB para realizar pruebas). Google no puede garantizar que las conexiones interrumpidas o modificadas, o las páginas modificadas por extensiones, funcionen según lo previsto. Comunícate con tu proveedor de CASB.
  • Si aún crees que el problema es de Google, recopila la siguiente información y proporciónala al equipo de asistencia de Google: