Sebagai administrator, Anda dapat meningkatkan keamanan sesi online pengguna dengan menerapkan Kredensial Sesi yang Terikat Perangkat (DBSC). DBSC dirancang untuk mencegah pembajakan sesi, yang juga dikenal sebagai pencurian cookie.
Jenis serangan cyber ini terjadi saat pihak yang tidak sah mendapatkan kontrol atas sesi web aktif pengguna dengan mencuri cookie sesi—sering kali melalui malware di perangkat pengguna. Cookie sesi adalah file data kecil yang berisi ID sesi unik yang dikeluarkan oleh situs selama login. Dengan menampilkan cookie yang dicuri ini, penyerang dapat meniru identitas pengguna yang sah dan melanjutkan sesi autentikasi mereka.
DBSC berfungsi dengan mengikat sesi pengguna ke perangkat tertentu, sehingga mempersulit penyerang untuk menggunakan cookie curian di perangkat lain. Dengan menggunakan DBSC, Anda dapat menurunkan risiko akses tidak sah ke akun pengguna, dan menjaga keamanan data pengguna yang sensitif.
Persyaratan menggunakan DBSC
- Chrome untuk Windows: Saat ini, DBSC hanya tersedia di browser Chrome untuk perangkat Windows.
- Keamanan hardware (TPM): Perangkat pengguna harus memiliki Trusted Platform Module (TPM), yaitu komponen hardware standar yang sudah tersedia untuk sebagian besar perangkat yang menjalankan Windows 11. Hardware ini menyimpan kunci kriptografi yang digunakan untuk mengikat sesi ke perangkat dengan aman. Pengguna biasanya dapat menemukan informasi tentang ketersediaan TPM di setelan sistem perangkat mereka atau dengan melihat dokumentasi produsen perangkat.
- Versi Chrome: Pengguna harus memiliki Chrome versi 136 atau yang lebih baru. Untuk mengetahui detailnya, buka Mengupdate Google Chrome.
- Akun utama: Data peristiwa log dan perlindungan DBSC hanya tersedia untuk akun utama di profil browser Chrome.
Catatan: Binding sesi melindungi sebagian besar cookie Google, meskipun beberapa cookie atau sesi mungkin tetap tidak terikat.
Mengaktifkan DBSC
Sebelum memulai: Jika diperlukan, pelajari cara menerapkan setelan ke departemen atau grup.
-
Di konsol Google Admin, buka Menu
Keamanan
Kontrol data dan akses
Kontrol sesi Google.Memerlukan hak istimewa administrator Setelan Keamanan.
-
(Opsional) Guna menerapkan setelan hanya untuk beberapa pengguna, pilih unit organisasi (sering digunakan untuk departemen) atau grup konfigurasi (lanjutan) di bagian samping.
Setelan grup menggantikan setelan unit organisasi. Pelajari lebih lanjut
- Untuk Kredensial Sesi yang Terikat Perangkat, pilih Aktifkan DBSC.
-
Klik Simpan. Atau, Anda dapat mengklik Ganti untuk unit organisasi.
Untuk memulihkan nilai yang diwarisi nanti, klik Warisi (atau Tidak disetel untuk grup).
Menerapkan DBSC dengan Akses Kontekstual
Terbatas untuk aplikasi web desktop dan tidak berlaku untuk aplikasi seluler atau API
Anda dapat meningkatkan keamanan lebih lanjut dengan mewajibkan pengguna memiliki DBSC untuk mengakses aplikasi Google Workspace tertentu. Saat Anda menerapkan DBSC, pengguna akan diminta untuk login lagi jika sistem mendeteksi perbedaan dengan sesi terikat yang sebelumnya ditetapkan. Autentikasi ulang ini memungkinkan sistem mencoba binding baru yang aman. Pengguna di platform yang tidak didukung akan diblokir agar tidak dapat mengakses aplikasi yang dilindungi. Langkah keamanan ini dikonfigurasi melalui Akses Kontekstual.
Untuk menyiapkan penerapan DBSC:
- Aktifkan DBSC untuk pengguna yang ingin Anda lindungi. Untuk mengetahui langkah-langkahnya, buka Mengaktifkan DBSC.
- Ikuti petunjuk untuk membuat tingkat akses kustom di Mengizinkan akses ke aplikasi hanya dari sesi terikat DBSC.
- Tetapkan tingkat akses ke aplikasi yang hanya ingin Anda akses oleh sesi terikat DBSC dalam mode pantau untuk menyimulasikan penerapan tanpa memblokir akses pengguna.
- Setelah menilai dampaknya, tetapkan tingkat akses dalam mode aktif untuk menerapkan akses hanya oleh sesi terikat DBSC. Untuk mengetahui detailnya, buka Men-deploy Akses Kontekstual.
Penerapan DBSC tidak langsung, yang berarti bahwa setelah pengguna login, ada masa tenggang sebelum penerapan diterapkan. Desain ini mengakomodasi potensi masalah binding sementara. Setelah terikat, sistem akan memeriksa secara berkala apakah pengguna yang mengakses aplikasi yang ditentukan memiliki sesi terikat DBSC. Setiap autentikasi ulang akan mereset masa tenggang ini, dan DBSC tidak akan diterapkan selama autentikasi ulang tersebut.
Menyelidiki masalah sesi &perlindungan DBSC
Anda dapat menggunakan alat investigasi keamanan untuk memantau perlindungan DBSC dan memecahkan masalah gangguan sesi. Ada 2 sumber log untuk aktivitas DBSC:
- Peristiwa log pengguna—Pantau binding token akses ke perangkat pengguna.
- Peristiwa log Evaluasi Akses—Tinjau status cookie tertentu.
Langkah 1: Telusuri aktivitas DBSC di Peristiwa log pengguna
Gunakan sumber data ini untuk melihat apakah DBSC berhasil mengikat kunci ke perangkat pengguna perangkat dan memvalidasi sesi.
Untuk memeriksa apakah DBSC mengikat kunci:
-
Di konsol Google Admin, buka Menu
Keamanan
Pusat keamanan
Alat investigasi.Anda harus memiliki hak istimewa administrator Pusat keamanan.
- Untuk Sumber data, pilih Peristiwa log pengguna.
- Klik Tambahkan Kondisi.
- Untuk Atribut, pilih PeristiwaAdalah sebagai operatorBinding kunci DBSC sebagai peristiwa.
- Klik Telusuri.
- Di tabel hasil, tinjau kolom Status peristiwa :
- Berhasil—Perlindungan DBSC diaktifkan untuk pengguna, dan sesi dilindungi.
- Gagal—Binding DBSC gagal, dan perlindungan tidak diaktifkan untuk pengguna.
- Tidak ada hasil—Perlindungan DBSC tidak dicoba untuk sesi pengguna ini.
Untuk memeriksa apakah DBSC memvalidasi sesi:
-
Di konsol Google Admin, buka Menu
Keamanan
Pusat keamanan
Alat investigasi.Anda harus memiliki hak istimewa administrator Pusat keamanan.
- Klik Tambahkan Kondisi.
- Untuk Atribut, pilih PeristiwaAdalah sebagai operatorValidasi kunci DBSC sebagai peristiwa.
- Klik Telusuri.
- Di tabel hasil, tinjau kolom Status peristiwa :
- Berhasil—Cookie berhasil divalidasi.
- Gagal—Validasi DBSC gagal. Klik status untuk mendapatkan informasi tambahan, seperti kode error.
Satu kegagalan tidak selalu berarti pengguna mengalami gangguan sesi. Pengguna mungkin mengalami gangguan jika beberapa kegagalan validasi terjadi secara berurutan.
Langkah 2: Periksa penolakan akses di Peristiwa log Evaluasi Akses
Gunakan sumber data ini untuk melihat apakah cookie pengguna ditolak aksesnya.
-
Di konsol Google Admin, buka Menu
Keamanan
Pusat keamanan
Alat investigasi.Anda harus memiliki hak istimewa administrator Pusat keamanan.
- Untuk Sumber data, pilih Peristiwa log Evaluasi Akses.
- Klik Tambahkan Kondisi.
- Untuk Atribut, pilih PeristiwaAdalah sebagai operatorTolak Permintaan Validasi Cookie sebagai peristiwa.
- Klik Telusuri.
- Di tabel hasil, klik Ditolak di
kolom Status peristiwa atau link di
kolom Deskripsi untuk membuka panel samping tempat Anda
dapat meninjau alasan kegagalan berikut:
- DBSC_BOUND_COOKIE_MISSING
- DBSC_BOUND_COOKIE_CORRUPTED
- DBSC_BOUND_COOKIE_EXPIRED
Peristiwa log dikelompokkan berdasarkan sesi. Hanya satu peristiwa yang dicatat per pengguna setiap jam, meskipun beberapa upaya akses diblokir selama waktu tersebut.
Langkah 3: Selidiki apakah gangguan sesi disebabkan oleh DBSC
Pengguna dapat di-logout karena berbagai alasan, seperti batas durasi sesi kebijakan yang ditentukan administrator, atau masalah jaringan. Meskipun logout tidak selalu menunjukkan masalah DBSC, urutan log tertentu dapat membantu mengidentifikasi potensi aktivitas terkait DBSC atau instance saat sistem memblokir sesi yang terganggu.
Gunakan poin-poin ini untuk membantu mengidentifikasi aktivitas terkait DBSC:
- Tinjau urutan log—Jika Anda menemukan kegagalan Validasi kunci DBSC yang diikuti oleh Tolak Permintaan Validasi Cookie , DBSC dapat menjadi penyebab logout pengguna.
- Pahami dampaknya terhadap pengguna—Untuk menjaga keamanan akun, pengguna harus login lagi jika proses binding mengalami error.
- Kecualikan pengguna dari DBSC—Jika pengguna terus-menerus di-logout, Anda dapat membuat grup konfigurasi yang dikecualikan dari DBSC dan menambahkan pengguna ke grup tersebut untuk mengevaluasi apakah DBSC menyebabkan logout.
Google, Google Workspace, serta merek dan logo terkait adalah merek dagang Google LLC. Semua nama perusahaan dan produk lainnya adalah merek dagang milik setiap perusahaan terkait.