Verdächtige Dateien untersuchen und Maßnahmen ergreifen

In Evidence Locker werden verdächtige oder sensible Dateien in einem GCS-Bucket (Google Cloud Storage) gespeichert. Sie müssen einen Bucket mit den folgenden Schritten erstellen. Grundkenntnisse zu Google Cloud Storage sind hilfreich.

Tipp:Eine zu laxe Google Cloud Data Loss Prevention-Regel (DLP) kann dazu führen, dass viele Dateien im Bucket gespeichert werden und hohe Speicherkosten entstehen. Erstellen Sie Regeln, mit denen nur hochgradig verdächtige Dateien gespeichert werden.

1. Erstellen Sie ein Google Cloud-Projekt. Anleitungen hierzu finden Sie im Hilfeartikel Projekte erstellen und verwalten.
   • Das Dienstkonto und der Google Cloud-Nutzer benötigen Administratorberechtigungen im Google Cloud-Projekt, das den Bucket enthält. Weitere Informationen finden Sie unter Rollen auf Ebene des Projekts, des Buckets oder des verwalteten Ordners zuweisen.
2. Aktivieren Sie die Cloud Resource Manager API für das Projekt:
   • Mit der Cloud Resource Manager API können Sie Containerressourcen wie Organisationen und Projekte in Google Cloud programmatisch verwalten.
   • Rufen Sie die Cloud Resource Manager API für die project_number auf.
3. Bucket mit kundenverwaltetem Verschlüsselungsschlüssel (CMEK) erstellen
   • Aktivieren Sie die KMS API. Weitere Informationen finden Sie unter Kundenverwaltete Verschlüsselungsschlüssel verwenden.
   • (Optional) Wenn Sie einen CMEK-Schlüsselbund und einen Schlüssel erstellen möchten, rufen Sie Sicherheit > Schlüsselverwaltung > Schlüsselbund erstellen auf.
   • Erstellen Sie unter Cloud Storage > Buckets einen Bucket. Weitere Informationen finden Sie unter Buckets erstellen.
     • Der GCS-Bucket muss Ihrer Organisation gehören und sich in derselben Domain befinden.
     • Der CMEK muss sich in derselben Region wie der Bucket befinden. Weitere Informationen
   • (Optional, aber empfohlen): Legen Sie eine Gültigkeitsdauer (TTL) für die Dateien fest. Sie können sie beispielsweise nach 30 Tagen automatisch löschen lassen.

1. Öffnen Sie in der Admin-Konsole im Menü    Apps  Zusätzliche Google-Dienste.

   Zu den zusätzlichen Google-Diensten

   Hierfür ist die Adminberechtigung „Diensteinstellungen“ erforderlich.

2. Klicken Sie auf Chrome Enterprise Security Services.
3. Klicken Sie auf Für alle aktiviert oder Für alle deaktiviert und anschließend auf Speichern.
4. Optional: So aktivieren oder deaktivieren Sie einen Dienst für eine Organisationseinheit:
   1. Wählen Sie links die Organisationseinheit aus.
   2. Wenn Sie den Dienststatus ändern möchten, wählen Sie An oder Aus aus.
   3. Wählen Sie eine Option aus:
      • Wenn der Dienststatus Übernommen lautet und Sie die aktualisierte Einstellung beibehalten möchten, auch wenn sich die übergeordnete Einstellung ändert, klicken Sie auf Überschreiben.
      • Wenn der Dienststatus auf Überschrieben festgelegt ist, klicken Sie auf Übernehmen, um wieder die Einstellung vom übergeordneten Element zu übernehmen, oder auf Speichern, um die neue Einstellung beizubehalten, auch wenn sich die übergeordnete Einstellung ändert.

        Weitere Informationen finden Sie im Artikel Funktionsweise der Organisationsstruktur.

5. Klicken Sie auf Evidence Locker settings (Evidence Locker-Einstellungen).
6. Klicken Sie auf Geben Sie den Namen des Google Cloud Storage-Buckets ein.
7. Wenn Sie kein Dienstkonto haben, klicken Sie auf Dienstkonto generieren. Ein Dienstkonto ist erforderlich, um fortzufahren.
8. Fügen Sie das Dienstkonto Ihrem GCS-Bucket (Google Cloud Storage) hinzu.
   Wichtig: Das Dienstkonto muss im GCP-Projekt, das den Bucket enthält, die Berechtigungen der Rolle „Storage-Administrator“ haben. Weitere Informationen finden Sie unter Google Cloud Storage-Bucket erstellen.
   1. Öffnen Sie in der Google Cloud Console das Menü  „IAM und Verwaltung“  „Ressourcen verwalten“.
   2. Rufen Sie das GCS-Projekt auf, das den Bucket enthält.
   3. Klicken Sie auf den Tab Berechtigungen.
   4. Wählen Sie das Dienstkonto für Evidence Locker aus.
   5. Klicken Sie auf Zugriff gewähren.
   6. Geben Sie unter „Neues Hauptkonto“ das gerade generierte Dienstkonto ein.
   7. Wählen Sie unter „Rolle“ die Option Storage-Administrator aus.
   8. (Optional): Nutzer, die keine Super Admins sind, müssen im GCP-Projekt, das den Bucket enthält, auch die Berechtigung Storage-Administrator haben. Dies ist erforderlich, um einen GCS-Bucket aus dem Projekt auszuwählen.
   9. Klicken Sie auf Speichern.
9. Geben Sie in den Einstellungen für Evidence Locker in der Admin-Konsole von Google Workspace den Namen des Google Cloud-Buckets ein.
10. Optional: Wenn Sie Kopien von Dateien, die als Malware gekennzeichnet sind, in Evidence Locker aufbewahren möchten, wählen Sie Inhalte mit Malware in Evidence Locker speichern aus.
11. Klicken Sie auf Speichern.

1. Öffnen Sie in der Admin-Konsole im Menü    Apps  Zusätzliche Google-Dienste.

   Zu den zusätzlichen Google-Diensten

   Hierfür ist die Adminberechtigung „Diensteinstellungen“ erforderlich.

2. Klicken Sie auf Chrome Enterprise Security Services.
3. Klicken Sie auf Evidence Locker settings (Evidence Locker-Einstellungen).
4. Klicken Sie auf und warten Sie, bis das Dienstkonto Ihrer Organisation angezeigt wird.
5. Wählen Sie unter dem Feld für den Bucket-Namen die Option Inhalte mit Malware in Evidence Locker speichern aus.

Sie können Dateien in den Evidence Locker-Bucket kopieren, wenn ein Verstoß gegen eine Datenschutzregel vorliegt. Es werden nur Dateien kopiert, die durch die folgenden Aktionen ausgelöst wurden:

• Datei hochgeladen
• Datei heruntergeladen
• Drucken

Inhalte, die mit „Eingefügte Inhalte“ gekennzeichnet sind, werden nicht in Evidence Locker kopiert.

1. Öffnen Sie in der Admin-Konsole das Menü  Regeln.

   Zu den Regeln

   Hierfür ist die Administratorberechtigung Vertrauensregeln ansehen erforderlich.

2. Wählen Sie im Drop-down-Menü Datenschutz aus.
3. Geben Sie einen Namen und eine Beschreibung für die Regel ein.
4. Wählen Sie unter „Geltungsbereich“ die Organisationseinheiten und/oder Gruppen aus, für die diese Regel gilt.
   Hinweis: Wenn Sie einen Gruppenbereich auswählen, werden nur Gruppen unterstützt, die von Administratoren in der Google Admin-Konsole erstellt wurden.
5. Wählen Sie unter „Apps“ die Chrome-Optionen Datei hochgeladen, Datei heruntergeladen und/oder Inhalt gedruckt aus.
6. Wählen Sie in „Aktionen“ unter „Evidence Locker“ die Option Von dieser Regel erkannte hochgeladene, heruntergeladene oder gedruckte Inhalte in Evidence Locker speichern aus.

Weitere Informationen finden Sie unter Datenschutzregeln erstellen.

1. Öffnen Sie in der Admin-Konsole im Menü    Sicherheit Sicherheitscenter Prüftool.

   Prüftool aufrufen

   Hierfür ist die Administratorberechtigung Sicherheitscenter erforderlich.

   Die folgenden spezifischen Administratorberechtigungen für das Sicherheitscenter sind erforderlich. Weitere Informationen finden Sie im Hilfeartikel Administratorberechtigungen für das Sicherheitsprüftool.

   • So laden Sie verdächtige Dateien herunter und verwalten sie:
     Verwalten > Chrome
   • So rufen Sie den Inhalt verdächtiger Dateien auf:
     Sensible Inhalte ansehen > Chrome
2. Klicken Sie auf Datenquelle und wählen Sie Chrome-Protokollereignisse aus.
3. Suchen Sie die Einträge für Ihre Suche und scrollen Sie nach rechts.
4. Klicken Sie in der Spalte Dateipfad für Evidence Locker auf den Link zur gespeicherten Datei.
   Die Dateidetails werden in der Seitenleiste angezeigt. Beispiel: Der ursprüngliche Name und Pfad der Datei im Google Cloud Storage-Bucket.
5. Klicken Sie unten auf Datei herunterladen.

Die heruntergeladene ZIP-Datei ist passwortgeschützt. Das Passwort ist geschützt und für alle Dateien gleich.

1. Öffnen Sie in der Admin-Konsole im Menü    Sicherheit Sicherheitscenter Prüftool.

   Prüftool aufrufen

   Hierfür ist die Administratorberechtigung Sicherheitscenter erforderlich.

2. Klicken Sie auf Datenquelle und wählen Sie Ereignisse im Regelprotokoll aus. Klicken Sie auf Suchen.
3. Suchen Sie die Zeile Aktion abgeschlossen mit der gewünschten Regel und scrollen Sie nach rechts zur Spalte Dateipfad für Evidence Locker.
4. Dies ist der Pfad, unter dem die Datei gespeichert ist. Klicken Sie auf das Dreipunkt-Menü , um weitere Aktionen aufzurufen.