Verdachte sessiecookies onderzoeken en er actie op ondernemen

Als Google Workspace-beheerder kunt u instellen dat u een e-mailmelding krijgt als gebruikers zijn uitgelogd vanwege verdachte sessiecookies. Cookie-diefstal, -kaping of sessie-kaping, is het stelen van de sessie-ID van een gebruiker met behulp van cookies die worden gegenereerd wanneer iemand zich aanmeldt bij een account. Wanneer een verdachte sessiecookie wordt gedetecteerd, wordt de sessie beëindigd en wordt de gebruiker uitgelogd van het account voor die sessie en alle gerelateerde verdachte sessies op dat apparaat.

Als de gebruiker opnieuw probeert in te loggen op hetzelfde apparaat, krijgt deze een bericht met het verzoek om malware of onveilige software te verwijderen. De gebruiker moet ook een extra verificatiestap invoeren als deze weer inlogt op het account op het apparaat.

Met de tool voor beveiligingsonderzoek (SIT) of de controle- en onderzoekstool kunt u pogingen om gebruikersaccounts te hacken via sessiecookies in uw organisatie identificeren.

Stap 1: Uw onderzoek starten

Optie 1: Verdachte sessiecookies onderzoeken in SIT

Deze functie wordt ondersteund in de volgende versies: Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus en Cloud Identity Premium. Versies vergelijken

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Beveiligingscentrum en dan Onderzoekstool.

    Hiervoor is het beheerdersrecht Beveiligingscentrum vereist.

  2. Selecteer in het menu Gegevensbron de optie Gebeurtenissen in het logboek Gebruikers.
  3. Selecteer in het menu Voorwaarde toevoegen de optie Gebeurtenis en zorg dat de voorwaarde is ingesteld op Is (de standaardoptie).
  4. Selecteer in het menu Gebeurtenis de optie Gebruiker uitgelogd vanwege verdachte sessiecookie.
  5. Klik op Zoeken.
    De zoekresultaten worden onderaan de pagina weergegeven.

Optie 2: Verdachte sessiecookies onderzoeken op de controle- en onderzoekspagina

  1. Ga in de Google Beheerdersconsole naar Menu en dan Rapportage en dan Controle en onderzoek en dan Gebeurtenissen in het logboek Gebruiker.

    Hiervoor is het beheerdersrecht Controle en onderzoek vereist.

  2. Klik op Een filter toevoegen en selecteer Gebeurtenis.
  3. Zorg in het pop-upvenster dat de operator in het bovenste menu is ingesteld op Is (de standaardoptie), selecteer Gebruiker uitgelogd vanwege verdachte sessiecookie in het menu onderaan en klik op Toepassen.
  4. Klik op Zoeken.
    De logboeken worden onderaan de pagina weergegeven.

Stap 2: Actie ondernemen

Klik in de kolom Beschrijving op Verdachte sessiecookie om het deelvenster Logboekgegevens te openen. In elk logboek staat een getroffen gebruiker. Werk samen met de getroffen gebruikers en voer de stappen uit om malware of onveilige software te verwijderen.

Herstel gehackte accounts

Als u als beheerder vermoedt dat een account is gehackt, kunt u zorgen dat de accounts van uw gebruikers beveiligd zijn. Werk samen met de getroffen gebruikers om gehackte accounts te identificeren en te beveiligen.