Провести расследование и принять меры в отношении подозрительных файлов.

Evidence Locker хранит подозрительные или конфиденциальные файлы в хранилище Google Cloud Storage (GCS). Вам потребуется создать такое хранилище, выполнив следующие шаги. Знание работы с Google Cloud Storage будет полезным.

Совет: Слишком мягкое правило Google Cloud Data Loss Prevention (DLP) может сохранить в хранилище множество файлов, что приведет к высоким затратам на хранение. Создавайте правила, которые сохраняют только файлы, вызывающие серьезные подозрения.

1. Создайте проект Google Cloud. Инструкции см. в разделе «Создание и управление проектами» .
   • Для доступа к сервисной учетной записи и пользователю Google Cloud необходимы права администратора хранилища в проекте Google Cloud, содержащем этот сегмент. См. раздел «Предоставление ролей на уровне проекта, сегмента или управляемой папки» .
2. Включите API Cloud Resource Manager для проекта:
   • API Cloud Resource Manager позволяет программно управлять ресурсами контейнеров, такими как организации и проекты, в Google Cloud.
   • Для получения номера проекта перейдите в API Cloud Resource Manager .
3. Создайте сегмент данных (Bucket) с использованием управляемого клиентом ключа шифрования (CMEK).
   • Включите API KMS. См. раздел «Использование управляемых клиентом ключей шифрования» .
   • (Необязательно) Чтобы создать связку ключей CMEK и сам ключ, перейдите в раздел Безопасность > Управление ключами > Создать связку ключей .
   • Создайте корзину в разделе Cloud Storage > Buckets . См. раздел Create buckets .
     • Корзина GCS должна принадлежать вашей организации и находиться в том же домене.
     • CMEK должен находиться в том же регионе, что и контейнер. Подробнее.
   • (Необязательно, но рекомендуется): Установите время жизни (TTL) для файлов. Например, автоматически удаляйте их через 30 дней.

1. В консоли администратора Google перейдите в меню. Приложения Дополнительные сервисы Google.

   Перейдите в раздел «Дополнительные сервисы Google».

   Для этого требуются права администратора в разделе «Настройки службы» .

2. Нажмите «Службы безопасности Chrome Enterprise» .
3. Выберите «Включить» для всех или «Выключить» для всех , а затем нажмите «Сохранить» .
4. (Необязательно) Чтобы включить или выключить службу для организационного подразделения:
   1. В левой части экрана выберите организационное подразделение.
   2. Чтобы изменить статус службы, выберите «Вкл. » или «Выкл.» .
   3. Выберите один вариант:
      • Если для параметра «Статус службы» установлено значение «Наследуется» , и вы хотите сохранить обновленную настройку, даже если изменится родительская настройка, нажмите «Переопределить» .
      • Если для параметра «Статус службы» установлено значение «Переопределено» , нажмите «Наследовать» , чтобы вернуться к настройкам родительского параметра, или нажмите «Сохранить» , чтобы сохранить новые настройки, даже если настройки родительского параметра изменятся.
        Узнайте больше об организационной структуре .
5. Нажмите «Настройки хранилища улик» .
6. Нажмите «Ввести имя сегмента Google Cloud Storage» .
7. Если у вас нет учетной записи службы, нажмите «Создать учетную запись службы» . Для продолжения потребуется учетная запись службы.
8. Добавьте учетную запись службы в свой сегмент Google Cloud Storage (GCS).
   Важно : у учетной записи службы должны быть права администратора хранилища в проекте GCP, содержащем корзину. См. раздел «Создание корзины Google Cloud Storage» .
   1. В консоли Google Cloud перейдите в меню. IAM и администрирование Управляйте ресурсами.
   2. Перейдите к проекту GCS, содержащему этот контейнер.
   3. Перейдите на вкладку «Разрешения» .
   4. Выберите учетную запись службы "Хранилище вещественных доказательств".
   5. Нажмите «Предоставить доступ» .
   6. В поле «Новый субъект» введите только что созданный вами сервисный аккаунт.
   7. В разделе «Роль» выберите «Администратор хранилища» .
   8. (Необязательно): Пользователи без прав суперадминистратора также должны иметь права администратора хранилища в проекте GCP, содержащем корзину. Это необходимо для выбора корзины GCS из проекта.
   9. Нажмите « Сохранить ».
9. В настройках Evidence Locker в консоли администратора Google Workspace введите имя корзины Google Cloud.
10. (Необязательно) Чтобы сохранить копии файлов, помеченных как вредоносное ПО, в хранилище доказательств, выберите «Сохранить содержимое, содержащее вредоносное ПО, в хранилище доказательств» .
11. Нажмите « Сохранить ».

1. В консоли администратора Google перейдите в меню. Приложения Дополнительные сервисы Google.

   Перейдите в раздел «Дополнительные сервисы Google».

   Для этого требуются права администратора в разделе «Настройки службы» .

2. Нажмите «Службы безопасности Chrome Enterprise» .
3. Нажмите «Настройки хранилища улик» .
4. Нажмите и дождитесь отображения учетной записи службы вашей организации.
5. Ниже поля с именем корзины выберите пункт «Сохранить содержимое, содержащее вредоносное ПО, в Evidence Locker» .

Вы можете копировать файлы в хранилище доказательств (Evidence Locker) при нарушении правил защиты данных. Копируются только файлы, запуск которых инициирован следующими действиями:

• Файл загружен
• Файл загружен
• Печать

Контент, помеченный как "Вставленный контент", не копируется в Evidence Locker.

1. Перейти в меню Правила .
2. В выпадающем меню выберите «Защита данных» .
3. Введите название и описание правила.
4. В разделе «Область применения» выберите организационные подразделения и/или группы, к которым применяется это правило.
   Примечание: Если вы выберете область действия группы, будут поддерживаться только те группы, которые созданы администраторами в консоли администратора Google.
5. В разделе «Приложения» выберите в Chrome параметры «Загруженный файл» , «Скачанный файл» и/или «Распечатанное содержимое» .
6. В разделе «Действия» в подразделе «Блокировка доказательств» выберите пункт «Сохранить загруженные, скачанные или распечатанные материалы, обнаруженные этим правилом, в Блокировке доказательств».

Для получения более подробной информации см. раздел «Создание правил защиты данных» .

1. В консоли администратора Google перейдите в меню. Безопасность Центр безопасности Инструмент расследования .

   Перейдите к инструменту «Расследование».

   Для этого требуются права администратора центра безопасности .

   Для работы требуются следующие права администратора центра безопасности . См. раздел «Права администратора инструмента расследования инцидентов безопасности» .

   • Для загрузки и управления подозрительными файлами:
     Управление > Chrome
   • Чтобы просмотреть содержимое подозрительных файлов:
     Просмотр конфиденциального контента > Chrome
2. Нажмите «Источник данных» и выберите «События журнала Chrome» .
3. Найдите нужные вам записи и прокрутите страницу вправо.
4. В столбце «Путь к файлу в хранилище улик» щелкните ссылку на сохраненный файл.
   Подробная информация о файле отображается на боковой панели. Например, исходное имя файла и путь к нему в хранилище Google Cloud Storage.
5. Внизу нажмите «Скачать файл» .

Загруженный zip-файл защищен паролем. Пароль "защищен" и одинаков для всех файлов.

1. В консоли администратора Google перейдите в меню. Безопасность Центр безопасности Инструмент расследования .

   Перейдите к инструменту «Расследование».

   Для этого требуются права администратора центра безопасности .

2. Щелкните «Источник данных» и выберите «Журнал правил событий» . Нажмите «Поиск» .
3. Найдите строку «Действие завершено» с нужным правилом и прокрутите вправо, чтобы найти столбец «Путь к файлу хранилища доказательств» .
4. Это путь, по которому хранится файл. Нажмите «Подробнее». чтобы увидеть дополнительные действия.