Google Workspace verbetert de beveiliging van de online sessies van uw gebruikers automatisch met Inloggegevens voor apparaatgebonden sessie (Device Bound Session Credentials, DBSC). Inloggegevens voor apparaatgebonden sessie is ontworpen om sessiekaping, ook wel cookiediefstal, te voorkomen.
Dit type cyberaanval vindt plaats als een niet-geautoriseerde partij de controle over de actieve websessie van een gebruiker krijgt door de sessiecookie te stelen, vaak via malware op het apparaat van de gebruiker. Een sessiecookie is een klein gegevensbestand met de unieke sessie-ID die door de website is uitgegeven tijdens het inloggen. Door deze gestolen cookie te presenteren, kan de aanvaller zich voordoen als de echte gebruiker en de geverifieerde sessie voortzetten.
Inloggegevens voor apparaatgebonden sessie werkt door de sessie van een gebruiker aan het specifieke apparaat te koppelen, waardoor het voor aanvallers moeilijker is om gestolen cookies op andere apparaten te gebruiken. Zo wordt er een hardwaregebaseerde beveiligingsgrens gemaakt die het risico op ongeautoriseerde toegang tot gebruikersaccounts verkleint en gevoelige gegevens beschermt. DBSC staat standaard aan voor alle Workspace-accounts. Beheerders hoeven niets te doen om deze beveiliging te activeren.
Vereisten voor het gebruik van Inloggegevens voor apparaatgebonden sessie (DBSC)
- Chrome-browser: Versie 146 of hoger voor Windows. Ga naar Google Chrome updaten voor meer informatie.
- Hardwarebeveiliging: Vereist hardwaregebaseerde beveiligingsfuncties om de cryptografische sleutels die worden gebruikt om de sessie aan het apparaat te koppelen, beveiligd op te slaan. Voor Windows is dit een Trusted Platform Module (TPM). Deze is standaard op de meeste apparaten met Windows 11. Raadpleeg de documentatie van de fabrikant van je apparaat om de hardwaremogelijkheden te bevestigen.
Hoe DBSC-beveiliging wordt toegepast
DBSC-beveiliging wordt automatisch toegepast als het apparaat en de browser van een gebruiker aan de nodige technische vereisten voldoen. In sommige gevallen blijven sessies niet-gebonden. Dit zijn enkele veelvoorkomende redenen:
- Niet-ondersteunde omgeving: Problemen met het besturingssysteem, de browserversie of de hardwarebeveiliging van de gebruiker (zoals een TPM op Windows).
- Bestaande sessies: DBSC-beveiliging is alleen van toepassing op nieuwe sessies. Gebruikers die al waren ingelogd toen DBSC werd aangezet, moeten uitloggen en opnieuw inloggen om hun sessie te binden.
- Browserwijzigingen: Bepaalde browserextensies of handmatige wijzigingen in cookies kunnen voorkomen dat DBSC correct werkt.
Inloggegevens voor apparaatgebonden sessie afdwingen met contextbewuste toegang
Beperkt tot web-apps op desktops en niet van toepassing op mobiele apps of API's
U kunt de beveiliging nog verder verbeteren door te vereisen dat gebruikers inloggegevens voor apparaatgebonden sessies hebben om toegang te krijgen tot specifieke Google Workspace-apps. Als je Inloggegevens voor apparaatgebonden sessie afdwingt, wordt gebruikers gevraagd opnieuw in te loggen als het systeem een verschil waarneemt met een eerder ingestelde gekoppelde sessie. Door deze nieuwe verificatie kan het systeem een nieuwe, beveiligde binding proberen. Gebruikers op niet-ondersteunde platforms hebben geen toegang tot de beveiligde app. U stelt deze beveiligingsmaatregel in via contextbewuste toegang.
Zo stelt u afdwinging van Inloggegevens voor apparaatgebonden sessie in:
- Volg de instructies om een aangepast toegangsniveau te maken in Toegang tot apps alleen toestaan via DBSC-sessies.
- Wijs in de controlemodus het toegangsniveau toe aan de apps waartoe alleen DBSC-sessies toegang moeten hebben om afdwingen te simuleren zonder de gebruikerstoegang te blokkeren.
- Nadat u het resultaat heeft beoordeeld, wijst u toegangsniveaus toe in de actieve modus om alleen toegang via DBSC-sessies af te dwingen. Ga naar Contextbewuste toegang implementeren voor meer informatie.
Afdwinging van DBSC is niet onmiddellijk. Nadat een gebruiker heeft ingelogd, volgt er een periode voordat afdwinging wordt toegepast. Zo wordt er rekening gehouden met mogelijke tijdelijke koppelingsproblemen. Nadat de app is gekoppeld, checkt het systeem periodiek of gebruikers die toegang hebben tot de opgegeven apps, gebruikmaken van DBSC-sessies. Bij elke nieuwe verificatie wordt deze respijtperiode gereset en wordt DBSC tijdens die nieuwe verificatie niet afgedwongen.
Problemen met DBSC-beveiliging en sessies onderzoeken
U kunt de tool voor beveiligingsonderzoek gebruiken om DBSC-beveiliging te controleren en problemen met sessieonderbrekingen op te lossen. Er zijn 2 logboekbronnen voor DBSC-activiteit:
- Gebeurtenissen in het gebruikerslogboek: Monitor de binding van toegangstokens aan gebruikersapparaten.
- Gebeurtenissen in het logboek Toegangsevaluatie: Controleer de status van specifieke cookies.
Opmerking: DBSC-logboekgebeurtenissen zijn alleen zichtbaar voor het primaire account als er meerdere gebruikersaccounts zijn ingelogd bij hetzelfde Chrome-browserprofiel.
Stap 1: Zoek naar DBSC-activiteit in gebeurtenissen in het gebruikerslogboek
Gebruik deze gegevensbron om te bepalen of DBSC sleutels koppelt aan gebruikersapparaten en sessies valideert.
Zo controleert u of DBSC sleutels bindt:
-
Ga in de Google Beheerdersconsole naar Menu
Beveiliging
Beveiligingscentrum
Onderzoekstool.Hiervoor is het beheerdersrecht Beveiligingscentrum vereist.
- Selecteer bij Gegevensbron de optie Gebeurtenissen in gebruikerslogboek.
- Klik op Voorwaarde toevoegen.
- Selecteer Gebeurtenis voor Kenmerk Is als operator
DBSC-sleutelbinding als gebeurtenis.
- Klik op Zoeken.
- Controleer in de resultaatentabel de kolom Gebeurtenisstatus:
- Geslaagd: DBSC-beveiliging staat aan voor de gebruiker en de sessie is beveiligd.
- Mislukt: DBSC-binding is mislukt en beveiliging staat niet aan voor de gebruiker.
- Geen resultaten: Er is geen DBSC-beveiliging geprobeerd voor deze gebruikerssessie.
Zo checkt u of DBSC sessies valideert:
-
Ga in de Google Beheerdersconsole naar Menu
Beveiliging
Beveiligingscentrum
Onderzoekstool.Hiervoor is het beheerdersrecht Beveiligingscentrum vereist.
- Klik op Voorwaarde toevoegen.
- Selecteer bij Kenmerk de optie Gebeurtenis Is als operator
DBSC-sleutelvalidatie als gebeurtenis.
- Klik op Zoeken.
- Controleer in de resultaatentabel de kolom Gebeurtenisstatus:
- Geslaagd: De cookie is gevalideerd.
- Mislukt: DBSC-validatie is mislukt. Klik op de status voor aanvullende informatie, zoals een foutcode.
Eén mislukte validatie betekent niet per se dat de gebruiker sessieonderbrekingen ervaart. Gebruikers kunnen onderbrekingen krijgen als er meerdere mislukte validaties achter elkaar plaatsvinden.
Stap 2: Check of er toegang is geweigerd in logboekgebeurtenissen voor Toegangsevaluatie
Gebruik deze gegevensbron om te bepalen of de cookie van een gebruiker toegang is geweigerd.
-
Ga in de Google Beheerdersconsole naar Menu
Beveiliging
Beveiligingscentrum
Onderzoekstool.Hiervoor is het beheerdersrecht Beveiligingscentrum vereist.
- Selecteer bij Gegevensbron de optie Gebeurtenissen in het logboek Toegangsevaluatie.
- Klik op Voorwaarde toevoegen.
- Selecteer bij Kenmerk de optie Gebeurtenis Is als operator
Verzoek voor cookievalidatie weigeren als gebeurtenis.
- Klik op Zoeken.
- Klik in de resultaattabel op Geweigerd in de kolom Eventstatus of op de link in de kolom Beschrijving om een zijvenster te openen waarin u de volgende redenen voor mislukte pogingen kunt controleren:
- DBSC_BOUND_COOKIE_MISSING
- DBSC_BOUND_COOKIE_CORRUPTED
- DBSC_BOUND_COOKIE_EXPIRED
Logboekgebeurtenissen worden gegroepeerd op sessie. Er wordt maar één gebeurtenis per uur geregistreerd voor elke unieke sessie en elk type mislukte poging om het logboekvolume te beheren. Andere pogingen met dezelfde gegevens worden in dat uur niet geregistreerd.
Stap 3: Onderzoek of sessieonderbrekingen worden veroorzaakt door DBSC
Gebruikers kunnen om verschillende redenen worden uitgelogd, zoals limieten voor de sessieduur, door de beheerder gedefinieerd beleid of netwerkproblemen. Hoewel uitloggen niet altijd op een DBSC-probleem wijst, kunnen specifieke logboekreeksen helpen om mogelijke DBSC-gerelateerde activiteit of gevallen te identificeren waarin het systeem een gecompromitteerde sessie heeft geblokkeerd.
Gebruik deze punten om activiteit gerelateerd aan DBSC te herkennen:
- Logboekreeksen controleren: Als u mislukte DBSC-sleutelvalidaties vindt, gevolgd door een Verzoek voor cookievalidatie weigeren, kan DBSC de oorzaak zijn van het uitloggen van de gebruiker.
- Inzicht in de impact op de gebruiker: Als er een fout optreedt tijdens het koppelingsproces, moet de gebruiker opnieuw inloggen om het account te beschermen.
Google, Google Workspace en gerelateerde merken en logo's zijn handelsmerken van Google LLC. Alle andere bedrijfs- en productnamen zijn handelsmerken van de bedrijven waarmee ze in verband worden gebracht.