Google Workspace automatycznie zwiększa bezpieczeństwo sesji online użytkowników za pomocą danych uwierzytelniających sesji powiązanych z urządzeniem (DBSC). DBSC ma zapobiegać przechwyceniu sesji, czyli kradzieży plików cookie.
Ten typ cyberataku ma miejsce, gdy niepowołana osoba przejmuje kontrolę nad aktywną sesją przeglądarki użytkownika, kradnąc plik cookie sesji – często za pomocą złośliwego oprogramowania na urządzeniu użytkownika. Plik cookie sesji to mały plik danych zawierający unikalny identyfikator sesji wydany przez witrynę podczas logowania. Przekazując ten skradziony plik cookie, osoba przeprowadzająca atak może podszywać się pod uprawnionego użytkownika i kontynuować uwierzytelnioną sesję.
DBSC wiąże sesję użytkownika z jego konkretnym urządzeniem, utrudniając osobom przeprowadzającym atak używanie skradzionych plików cookie na innych urządzeniach. Tworzy to opartą na sprzęcie barierę bezpieczeństwa, która zmniejsza ryzyko nieautoryzowanego dostępu do kont użytkowników i zapewnia bezpieczeństwo danych wrażliwych. DBSC jest domyślnie włączona na wszystkich kontach Workspace. Aby aktywować tę ochronę, administrator nie musi podejmować żadnych działań.
Wymagania dotyczące korzystania z DBSC
- Przeglądarka Chrome: wersja 146 lub nowsza w systemie Windows. Więcej informacji znajdziesz w artykule Aktualizowanie Google Chrome.
- Zabezpieczenia sprzętowe: wymagają funkcji zabezpieczeń sprzętowych do bezpiecznego przechowywania kluczy kryptograficznych używanych do powiązania sesji z urządzeniem. W przypadku Windowsa jest to moduł zaufanej platformy (TPM), który jest standardem na większości urządzeń z systemem Windows 11. Aby potwierdzić możliwości sprzętowe, zapoznaj się z dokumentacją producenta urządzenia.
Jak działa ochrona DBSC
Ochrona DBSC jest stosowana automatycznie, gdy urządzenie i przeglądarka użytkownika spełniają wymagania techniczne. W niektórych przypadkach sesje mogą pozostać niepowiązane. Częste przyczyny:
- Nieobsługiwane środowisko – problemy z systemem operacyjnym użytkownika, wersją przeglądarki lub zabezpieczeniami sprzętowymi (np. modułem TPM w systemie Windows).
- Istniejące sesje – ochrona DBSC dotyczy tylko nowych sesji. Użytkownicy, którzy byli już zalogowani w momencie włączenia DBSC, muszą się wylogować i zalogować ponownie, aby powiązać sesję.
- Modyfikacje przeglądarki – niektóre rozszerzenia przeglądarki lub ręczne zmiany plików cookie mogą uniemożliwiać prawidłowe działanie DBSC.
Wymuszanie używania DBSC za pomocą dostępu zależnego od kontekstu
Ograniczone do aplikacji internetowych na komputer i nieobowiązujące w przypadku aplikacji mobilnych lub interfejsów API
Możesz dodatkowo zwiększyć bezpieczeństwo, wymagając, żeby użytkownicy mieli DSBC w celu uzyskiwania dostępu do określonych aplikacji Google Workspace. Gdy wymusisz DBSC, użytkownicy będą proszeni o ponowne zalogowanie się, jeśli system wykryje różnicę w stosunku do wcześniej utworzonej sesji powiązanej. Ponowne uwierzytelnienie umożliwia systemowi podjęcie próby nowego, bezpiecznego powiązania. Użytkownicy korzystający z nieobsługiwanych platform nie mają dostępu do chronionej aplikacji. To zabezpieczenie można skonfigurować za pomocą dostępu zależnego od kontekstu.
Aby skonfigurować wymuszanie DBSC:
- Aby utworzyć niestandardowy poziom dostępu, postępuj zgodnie z instrukcjami podanymi w artykule na temat zezwalania na dostęp do aplikacji tylko z sesji związanych z DBSC.
- Przypisz poziom dostępu do aplikacji, do których dostęp mają mieć tylko sesje związane z DBSC, w trybie monitorowania, aby symulować egzekwowanie bez blokowania dostępu użytkowników.
- Po ocenie wpływu przypisz poziomy dostępu w trybie aktywnym, aby wymusić dostęp tylko z sesji związanych z DBSC. Szczegółowe informacje znajdziesz w artykule Wdrażanie dostępu zależnego od kontekstu.
Wymuszanie DBSC nie jest natychmiastowe, co oznacza, że po zalogowaniu się użytkownika obowiązuje okres prolongaty, zanim zostanie zastosowane wymuszanie. Takie rozwiązanie pozwala rozwiązać potencjalne tymczasowe problemy z wiązaniem. Po powiązaniu system okresowo sprawdza, czy użytkownicy korzystający z określonych aplikacji mają sesje związane DBSC. Każde ponowne uwierzytelnianie spowoduje zresetowanie tego okresu prolongaty, a DBSC nie zostanie wymuszone podczas ponownego uwierzytelniania.
Analizowanie problemów z ochroną DBSC i sesjami
Za pomocą narzędzia do analizy zagrożeń możesz monitorować ochronę DBSC i rozwiązywać problemy z przerwami w sesji. Istnieją 2 źródła logów aktywności DBSC:
- Zdarzenia w dzienniku użytkownika – monitorowanie powiązania tokenów dostępu z urządzeniami użytkowników.
- Zdarzenia z dziennika oceny dostępu – sprawdzanie stanu poszczególnych plików cookie.
Uwaga: zdarzenia z dziennika DBSC są widoczne tylko na koncie głównym, gdy na tym samym profilu przeglądarki Chrome zalogowanych jest kilka kont użytkowników.
Krok 1. Wyszukaj aktywność DBSC w zdarzeniach z dziennika użytkownika
Użyj tego źródła danych, aby sprawdzić, czy DBSC prawidłowo wiąże klucze z urządzeniami użytkowników i weryfikuje sesje.
Aby sprawdzić, czy DBSC wiąże klucze:
-
W konsoli administracyjnej Google otwórz Menu
Bezpieczeństwo Centrum bezpieczeństwa Narzędzie do analizy zagrożeń.Wymaga uprawnień administratora Centrum bezpieczeństwa.
- W menu Źródło danych wybierz Zdarzenia w dzienniku użytkownika.
- Kliknij Dodaj warunek.
- W przypadku Atrybutu wybierz Zdarzenie Równe jako operatora Powiązanie klucza DBSC jako zdarzenie.
- Kliknij Szukaj.
- W tabeli wyników sprawdź kolumnę Stan zdarzenia:
- Sukces – ochrona DBSC jest włączona dla użytkownika, a sesja jest chroniona.
- Nie udało się – nie udało się powiązać DBSC, a ochrona nie jest włączona dla użytkownika.
- Brak wyników – w przypadku tej sesji użytkownika nie podjęto próby ochrony za pomocą DBSC.
Aby sprawdzić, czy DBSC weryfikuje sesje:
-
W konsoli administracyjnej Google otwórz Menu
Bezpieczeństwo Centrum bezpieczeństwa Narzędzie do analizy zagrożeń.Wymaga uprawnień administratora Centrum bezpieczeństwa.
- Kliknij Dodaj warunek.
- W sekcji Atrybut wybierz Zdarzenie jako operatora wybierz Równe, a jako zdarzenie – Weryfikacja klucza DBSC.
- Kliknij Szukaj.
- W tabeli wyników sprawdź kolumnę Stan zdarzenia:
- Succeeded (Powodzenie) – plik cookie został zweryfikowany.
- Niepowodzenie – weryfikacja DBSC nie powiodła się. Kliknij stan, aby uzyskać dodatkowe informacje, np. kod błędu.
Jedna nieudana weryfikacja nie musi oznaczać, że użytkownik ma problemy z przerwami w sesji. Jeśli kilka weryfikacji z rzędu zakończy się niepowodzeniem, użytkownicy mogą napotkać przerwy w działaniu usługi.
Krok 2. Sprawdź, czy w zdarzeniach z dziennika oceny dostępu nie ma odmów dostępu
Użyj tego źródła danych, aby sprawdzić, czy użytkownikowi odmówiono dostępu do plików cookie.
-
W konsoli administracyjnej Google otwórz Menu
Bezpieczeństwo Centrum bezpieczeństwa Narzędzie do analizy zagrożeń.Wymaga uprawnień administratora Centrum bezpieczeństwa.
- W sekcji Źródło danych wybierz Zdarzenia z dziennika oceny dostępu.
- Kliknij Dodaj warunek.
- W polu Atrybut wybierz Zdarzenie Równe jako operator Odmowa prośby o weryfikację plików cookie jako zdarzenie.
- Kliknij Szukaj.
- W tabeli wyników kliknij Odrzucono w kolumnie Stan zdarzenia lub link w kolumnie Opis, aby otworzyć panel boczny, w którym możesz sprawdzić te przyczyny nieudanych prób:
- DBSC_BOUND_COOKIE_MISSING
- DBSC_BOUND_COOKIE_CORRUPTED
- DBSC_BOUND_COOKIE_EXPIRED
Zdarzenia z dziennika są pogrupowane według sesji. Aby zarządzać ilością logów, rejestrowane jest tylko 1 zdarzenie na godzinę dla każdej unikalnej sesji i typu nieudanej próby. W ciągu tej godziny nie są rejestrowane żadne inne próby z tymi samymi szczegółami.
Krok 3. Sprawdź, czy przerwy w sesji są spowodowane przez DBSC
Użytkownicy mogą zostać wylogowani z różnych powodów, np. z powodu limitów długości sesji, zasad określonych przez administratora lub problemów z siecią. Wylogowanie nie zawsze oznacza problem z DBSC, ale określone sekwencje logów mogą pomóc w identyfikacji potencjalnej aktywności związanej z DBSC lub przypadków, w których system zablokował przejętą sesję.
Aby zidentyfikować aktywność związaną z DBSC, skorzystaj z tych wskazówek:
- Sprawdź sekwencje w dzienniku – jeśli znajdziesz nieudane weryfikacje klucza DBSC, po których następuje odmowa żądania weryfikacji pliku cookie, przyczyną wylogowania użytkownika może być DBSC.
- Zrozumieć wpływ na użytkownika – aby chronić konto, użytkownik musi zalogować się ponownie, jeśli podczas procesu wiązania wystąpi błąd.
Google, Google Workspace oraz powiązane znaki i logotypy są znakami towarowymi firmy Google LLC. Wszystkie inne nazwy firm i produktów są znakami towarowymi należącymi do ich właścicieli.