Verdachte bestanden onderzoeken en er actie op ondernemen

Evidence Locker slaat verdachte of gevoelige bestanden op in een Google Cloud Storage-bucket (GCS). Maak een bucket met de volgende stappen. Het is handig als u bekend bent met Google Cloud Storage.

Tip: Als een Google Cloud Data Loss Prevention-regel (DLP) te soepel is, kunnen er veel bestanden in de bucket worden opgeslagen. Dat kan leiden tot hoge opslagkosten. Maak regels waarmee alleen zeer verdachte bestanden worden opgeslagen.

1. Maak een Google Cloud-project. Ga voor instructies naar Projecten maken en beheren.
   • Het serviceaccount en de Google Cloud-gebruiker hebben beheerdersrechten voor opslag nodig in het Google Cloud-project dat de bucket bevat. Ga naar Rollen toekennen op project-, bucket- of beheerde-mapniveau.
2. Zet de Cloud Resource Manager API aan voor het project:
   • Met de Cloud Resource Manager API kunt u containerresources zoals organisaties en projecten programmatisch beheren in Google Cloud.
   • Ga naar de Cloud Resource Manager API voor het project nummer.
3. Maak een bucket met een door de klant beheerde versleutelingssleutel (Customer Managed Encryption Key, CMEK).
   • Zet de KMS API aan. Zie Door de klant beheerde versleutelingssleutels gebruiken.
   • (Optioneel) Als u een CMEK-sleutelhanger en -sleutel wilt maken, gaat u naar Beveiliging > Sleutelbeheer > Sleutelhanger maken.
   • Maak een bucket via Cloud Storage > Buckets. Ga naar Buckets maken.
     • De GCS-bucket moet eigendom zijn van uw organisatie en zich in hetzelfde domein bevinden.
     • De CMEK moet zich in dezelfde regio bevinden als de bucket. Meer informatie
   • (Optioneel, maar aanbevolen): Stel een Time to Live (TTL) in voor de bestanden. Laat ze bijvoorbeeld na 30 dagen automatisch verwijderen.

1. Ga in de Google Beheerdersconsole naar Menu Apps Aanvullende Google-services.

   Ga naar Aanvullende Google-services.

   Hiervoor is het beheerdersrecht Service-instellingen vereist.

2. Klik op Chrome Enterprise Security Services.
3. Klik op Aan voor iedereen of Uit voor iedereen en klik op Opslaan.
4. (Optioneel) Zo zet u een service aan of uit voor een organisatie-eenheid:
   1. Selecteer links de organisatie-eenheid.
   2. Selecteer Aan of Uit om de servicestatus te wijzigen.
   3. Kies een van deze opties:
      • Als de servicestatus is ingesteld op Overgenomen en u de bijgewerkte instelling wilt behouden, zelfs als de instelling voor de bovenliggende organisatie-eenheid wijzigt, klikt u op Overschrijven.
      • Als de servicestatus is ingesteld op Overschreven, klikt u op Overnemen om de instelling hetzelfde te maken als de instelling voor de bovenliggende organisatie-eenheid, of op Opslaan om de nieuwe instelling te behouden, zelfs als de instelling voor de bovenliggende organisatie-eenheid wijzigt.

        Meer informatie over de organisatiestructuur.

5. Klik op Instellingen voor Evidence Locker.
6. Klik op Voer de Google Cloud Storage-bucketnaam in.
7. Als u geen serviceaccount heeft, klikt u op Een serviceaccount genereren. Je hebt een serviceaccount nodig om door te gaan.
8. Voeg het serviceaccount toe aan uw Google Cloud Storage-bucket (GCS).
   Belangrijk: Het serviceaccount moet beheerdersrechten voor opslag hebben in het GCP-project dat de bucket bevat. Zie Een Google Cloud Storage-bucket maken.
   1. Ga in de Google Cloud Console naar Menu IAM en beheer Resources beheren.
   2. Ga naar het GCS-project met de bucket.
   3. Klik op het tabblad Rechten.
   4. Selecteer het serviceaccount voor de Evidence Locker.
   5. Klik op Toegang geven.
   6. Voer bij Nieuw hoofdaccount het serviceaccount in dat u net heeft gegenereerd.
   7. Selecteer bij Rol de optie Opslagbeheerder.
   8. (Optioneel): Gebruikers die geen hoofdbeheerder zijn, moeten ook opslagbeheerdersrechten hebben in het GCP-project dat de bucket bevat. Dit is vereist om een GCS-bucket uit het project te selecteren.
   9. Klik op Opslaan.
9. Voer in de instellingen voor Evidence Locker in de Google Workspace-beheerdersconsole de naam van de Google Cloud-bucket in.
10. (Optioneel) Als u kopieën van bestanden die zijn gemarkeerd als malware wilt bewaren in Evidence Locker, selecteert u Content met malware opslaan in Evidence Locker.
11. Klik op Opslaan.

1. Ga in de Google Beheerdersconsole naar Menu Apps Aanvullende Google-services.

   Ga naar Aanvullende Google-services.

   Hiervoor is het beheerdersrecht Service-instellingen vereist.

2. Klik op Chrome Enterprise Security Services.
3. Klik op Instellingen voor Evidence Locker.
4. Klik op en wacht tot het serviceaccount van uw organisatie wordt getoond.
5. Selecteer Content met malware opslaan in Evidence Locker onder het veld Bucketnaam.

U kunt bestanden naar de Evidence Locker-bucket kopiëren als er een schending van een regel voor gegevensbescherming plaatsvindt. Alleen bestanden die door de volgende acties worden getriggerd, worden gekopieerd:

• Bestand geüpload
• Bestand gedownload
• Afdrukken

Content die met 'Content geplakt' is gemarkeerd, wordt niet gekopieerd naar Evidence Locker.

1. Ga in de Google Beheerdersconsole naar Menu Regels.

   Naar Regels

   Hiervoor is het beheerdersrecht Vertrouwensregels bekijken vereist.

2. Selecteer Gegevensbescherming in het dropdownmenu.
3. Typ een naam en beschrijving voor de regel.
4. Selecteer onder Bereik de organisatie-eenheden en/of groepen waarvoor deze regel moet gelden.
   Opmerking: Als u een groepsbereik selecteert, worden alleen groepen ondersteund die door beheerders zijn gemaakt in de Google Beheerdersconsole.
5. Selecteer onder Apps de Chrome-opties Bestand geüpload, Bestand gedownload en/of Content afgedrukt.
6. Selecteer in Acties onder Evidence Locker de optie Content die is geüpload, gedownload of afgedrukt en die door deze regel wordt gedetecteerd, opslaan in de Evidence Locker.

Zie Regels voor gegevensbescherming maken voor meer informatie.

1. Ga in de Google Beheerdersconsole naar Menu Beveiliging Beveiligingscentrum Onderzoekstool.

   Ga naar Onderzoekstool.

   Hiervoor is het beheerdersrecht Beveiligingscentrum vereist.

   De volgende specifieke beheerdersrechten voor het Beveiligingscentrum zijn vereist. Ga naar Beheerdersrechten van de tool voor beveiligingsonderzoek.

   • Zo downloadt en beheert u verdachte bestanden:
     Beheren > Chrome
   • Zo bekijkt u de content van verdachte bestanden:
     Gevoelige content bekijken > Chrome
2. Klik op Gegevensbron en selecteer Gebeurtenissen in het logboek Chrome.
3. Zoek de vermeldingen voor uw zoekopdracht en scroll naar rechts.
4. Klik in de kolom Bestandspad Evidence Locker op de link naar het opgeslagen bestand.
   De bestandsgegevens worden getoond in het zijvenster. Bijvoorbeeld de oorspronkelijke naam en het pad van het bestand in de Google Cloud Storage-bucket.
5. Klik onderaan op Bestand downloaden.

Het gedownloade zip-bestand is beveiligd met een wachtwoord. Het wachtwoord is 'beveiligd' en is voor alle bestanden hetzelfde.

1. Ga in de Google Beheerdersconsole naar Menu Beveiliging Beveiligingscentrum Onderzoekstool.

   Ga naar Onderzoekstool.

   Hiervoor is het beheerdersrecht Beveiligingscentrum vereist.

2. Klik op Gegevensbron en selecteer Gebeurtenissen in het logboek Regels. Klik op Zoeken.
3. Zoek de rij Actie afgerond met de gewenste regel en scroll naar rechts om de kolom Evidence Locker-bestandspad te vinden.
4. Dit is het pad waar het bestand is opgeslagen. Klik op Meer om aanvullende acties te tonen.