Google Workspace verbessert die Sicherheit der Online-Sitzungen Ihrer Nutzer automatisch durch die Verwendung von Anmeldedaten für gerätegebundene Sitzungen (Device Bound Session Credentials, DBSC). DBSC soll Sitzungsübernahmen verhindern, die auch als Cookie-Diebstahl bezeichnet werden.
Diese Art von Cyberangriff tritt auf, wenn sich eine nicht autorisierte Partei die Kontrolle über die aktive Websitzung eines Nutzers verschafft, indem sie das Sitzungscookie stiehlt – oft durch Malware auf dem Gerät des Nutzers. Ein Sitzungscookie ist eine kleine Datendatei, die die eindeutige Sitzungs-ID enthält, die von der Website bei der Anmeldung ausgegeben wird. Durch Vorlage dieses gestohlenen Cookies kann sich der Angreifer als der legitime Nutzer ausgeben und die authentifizierte Sitzung fortsetzen.
DBSC bindet die Sitzung eines Nutzers an sein jeweiliges Gerät. Dadurch wird es für Angreifer schwieriger, gestohlene Cookies auf anderen Geräten zu verwenden. So wird eine hardwarebasierte Sicherheitsgrenze geschaffen, die das Risiko eines unbefugten Zugriffs auf Nutzerkonten verringert und vertrauliche Daten schützt. DBSC ist standardmäßig für alle Workspace-Konten aktiviert. Administratoren müssen nichts weiter tun, um diese Schutzmaßnahme zu aktivieren.
Voraussetzungen für die Verwendung von DBSC
- Chrome-Browser: Version 146 oder höher für Windows. Weitere Informationen finden Sie unter Google Chrome aktualisieren.
- Hardwaresicherheit:Erfordert hardwarebasierte Sicherheitsfunktionen, um die kryptografischen Schlüssel sicher zu speichern, die zum Binden der Sitzung an das Gerät verwendet werden. Bei Windows ist das ein Trusted Platform Module (TPM), das auf den meisten Geräten mit Windows 11 Standard ist. Informationen zu den Hardwarefunktionen finden Sie in der Dokumentation des Geräteherstellers.
So wird der DBSC-Schutz angewendet
Der DBSC-Schutz wird automatisch angewendet, wenn das Gerät und der Browser eines Nutzers die erforderlichen technischen Voraussetzungen erfüllen. In einigen Fällen bleiben Sitzungen möglicherweise ungebunden. Häufige Gründe:
- Nicht unterstützte Umgebung: Probleme mit dem Betriebssystem, dem Browser version oder der Hardwaresicherheit des Nutzers (z. B. ein TPM unter Windows).
- Vorhandene Sitzungen: Der DBSC-Schutz gilt nur für neue Sitzungen. Nutzer, die bereits angemeldet waren, als DBSC aktiviert wurde, müssen sich abmelden und noch einmal anmelden, um ihre Sitzung zu binden.
- Browseränderungen: Bestimmte Browsererweiterungen oder manuelle Änderungen an Cookies können verhindern, dass DBSC ordnungsgemäß funktioniert.
DBSC mit dem kontextsensitiven Zugriff erzwingen
Beschränkt auf Webanwendungen für Computer und nicht für mobile Apps oder APIs geeignet
Sie können die Sicherheit weiter erhöhen, indem Sie festlegen, dass Nutzer für den Zugriff auf bestimmte Google Workspace-Apps DBSC benötigen. Wenn Sie DBSC erzwingen, werden Nutzer aufgefordert, sich noch einmal anzumelden, wenn das System eine Abweichung von einer zuvor eingerichteten gebundenen Sitzung feststellt. Durch diese erneute Authentifizierung kann das System eine neue, sichere Bindung versuchen. Nutzer auf nicht unterstützten Plattformen können nicht auf die geschützte App zugreifen. Diese Sicherheitsmaßnahme wird über den kontextsensitiven Zugriff konfiguriert.
So richten Sie die Durchsetzung von DBSC ein:
- Folgen Sie der Anleitung unter Zugriff auf Apps nur über DBSC-gebundene Sitzungen zulassen, um eine benutzerdefinierte Zugriffsebene zu erstellen.
- Weisen Sie die Zugriffsebene den Apps zu, auf die nur über DBSC-gebundene Sitzungen zugegriffen werden soll. Verwenden Sie dazu den Monitormodus , um die Erzwingung zu simulieren, ohne den Nutzerzugriff zu blockieren.
- Nachdem Sie die Auswirkungen bewertet haben, weisen Sie Zugriffsebenen im Aktivmodus zu, um den Zugriff nur über DBSC-gebundene Sitzungen zu erzwingen. Weitere Informationen finden Sie unter Kontextsensitiven Zugriff implementieren.
Die Durchsetzung von DBSC erfolgt nicht sofort. Nach der Anmeldung eines Nutzers gibt es also eine Kulanzzeitraum, bevor die Durchsetzung erfolgt. So können potenzielle vorübergehende Bindungsprobleme berücksichtigt werden. Nach der Bindung prüft das System regelmäßig, ob Nutzer, die auf die angegebenen Apps zugreifen, DBSC-gebundene Sitzungen haben. Bei jeder erneuten Authentifizierung wird dieser Kulanzzeitraum zurückgesetzt und DBSC wird während dieser erneuten Authentifizierung nicht erzwungen.
Probleme mit dem DBSC-Schutz und Sitzungen untersuchen
Mit dem Sicherheitsprüftool können Sie den DBSC-Schutz überwachen und Probleme mit Sitzungsunterbrechungen beheben. Es gibt zwei Protokollquellen für DBSC-Aktivitäten:
- Nutzer-Protokollereignisse: Überwachen Sie die Bindung von Zugriffstokens an Nutzergeräte.
- Protokollereignisse bei der Zugriffsbewertung : Überprüfen Sie den Status bestimmter Cookies.
Hinweis:DBSC-Protokollereignisse sind nur für das primäre Konto sichtbar, wenn mehrere Nutzerkonten im selben Chrome-Browserprofil angemeldet sind.
Schritt 1: Nach DBSC-Aktivitäten in Nutzer-Protokoll Ereignissen suchen
Mit dieser Datenquelle können Sie prüfen, ob DBSC Schlüssel erfolgreich an Nutzer Geräte bindet und Sitzungen validiert.
So prüfen Sie, ob DBSC Schlüssel bindet :
-
Öffnen Sie in der Admin-Konsole das Dreistrichmenü
Sicherheit
Sicherheitscenter
Prüftool.Hierfür ist die Administratorberechtigung Sicherheitscenter erforderlich.
- Wählen Sie unter Datenquelle die Option Nutzer-Protokollereignisse aus.
- Klicken Sie auf Bedingung hinzufügen.
- Wählen Sie unter Attribut die Option Ereignis aus. Wählen Sie als Operator Ist aus und als Ereignis DBSC key
binding aus.
- Klicken Sie auf Suchen.
- Überprüfen Sie in der Ergebnistabelle die Spalte Ereignisstatus :
- Erfolgreich : Der DBSC-Schutz ist für den Nutzer aktiviert und die Sitzung ist geschützt.
- Fehlgeschlagen : Die DBSC-Bindung ist fehlgeschlagen und der Schutz ist nicht aktiviert für den Nutzer.
- Keine Ergebnisse: Der DBSC-Schutz wurde für diese Nutzersitzung nicht versucht.
So prüfen Sie, ob DBSC Sitzungen validiert :
-
Öffnen Sie in der Admin-Konsole das Dreistrichmenü
Sicherheit
Sicherheitscenter
Prüftool.Hierfür ist die Administratorberechtigung Sicherheitscenter erforderlich.
- Klicken Sie auf Bedingung hinzufügen.
- Wählen Sie unter Attribut die Option EreignisIst als Operator und DBSC-Schlüsselvalidierung als Ereignis aus.
- Klicken Sie auf Suchen.
- Überprüfen Sie in der Ergebnistabelle die Spalte Ereignisstatus :
- Erfolgreich : Das Cookie wurde erfolgreich validiert.
- Fehlgeschlagen : Die DBSC-Validierung ist fehlgeschlagen. Klicken Sie auf den Status um zusätzliche Informationen wie einen Fehlercode zu erhalten.
Ein Fehler bedeutet nicht unbedingt, dass es zu Sitzungs unterbrechungen kommt. Unterbrechungen können auftreten, wenn mehrere Validierungs fehler nacheinander auftreten.
Schritt 2: In Protokollereignissen bei der Zugriff Bewertung nach Zugriffsverweigerungen suchen
Mit dieser Datenquelle können Sie prüfen, ob der Zugriff auf das Cookie eines Nutzers verweigert wurde.
-
Öffnen Sie in der Admin-Konsole das Dreistrichmenü
Sicherheit
Sicherheitscenter
Prüftool.Hierfür ist die Administratorberechtigung Sicherheitscenter erforderlich.
- Wählen Sie unter Datenquelle die Option Protokollereignisse bei der Zugriffsbewertung aus.
- Klicken Sie auf Bedingung hinzufügen.
- Wählen Sie unter Attribut die Option EreignisIst als Operator und Anfrage zur Cookie-Validierung ablehnen als Ereignis aus.
- Klicken Sie auf Suchen.
- Klicken Sie in der Ergebnistabelle in der Spalte Ereignisstatus auf Abgelehnt oder in der Spalte Beschreibung auf den Link, um ein Seitenfenster zu öffnen, in dem Sie die folgenden Fehlerursachen sehen können:
- DBSC_BOUND_COOKIE_MISSING
- DBSC_BOUND_COOKIE_CORRUPTED
- DBSC_BOUND_COOKIE_EXPIRED
Protokollereignisse werden nach Sitzung gruppiert. Um das Protokollvolumen zu verwalten, wird nur ein Ereignis pro Stunde für jede eindeutige Sitzung und jeden Fehlertyp aufgezeichnet. Andere Versuche mit denselben Details werden in dieser Stunde nicht aufgezeichnet.
Schritt 3: Untersuchen, ob Sitzungsunterbrechungen durch DBSC verursacht werden
Nutzer können aus verschiedenen Gründen abgemeldet werden, z. B. aufgrund von Beschränkungen der Sitzungslänge , von Administratoren festgelegten Richtlinien oder Netzwerkproblemen. Eine Abmeldung deutet nicht immer auf ein DBSC-Problem hin. Bestimmte Protokollsequenzen können jedoch helfen, potenzielle DBSC-bezogene Aktivitäten oder Fälle zu identifizieren, in denen das System eine kompromittierte Sitzung blockiert hat.
Anhand dieser Punkte können Sie DBSC-bezogene Aktivitäten identifizieren:
- Protokollsequenzen überprüfen: Wenn Sie Fehler bei der DBSC-Schlüssel validierung finden, gefolgt von einer Anfrage zur Cookie-Validierung ablehnen, könnte DBSC die Ursache für die Abmeldung des Nutzers sein.
- Auswirkungen auf den Nutzer verstehen: Um das Konto zu schützen, muss sich ein Nutzer noch einmal anmelden, wenn beim Bindungsprozess ein Fehler auftritt.
Google, Google Workspace und zugehörige Warenzeichen und Logos sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen sind Marken der jeweiligen Unternehmen.