Эта статья объясняет, как настроить коннекторы Google Drive и Gmail для политики Защита API приложений и данных для вашего аккаунта и создать правила, которые используют этот коннектор в политике защиты данных.
Заметка:
Пожалуйста, свяжитесь с SaaSecAPI@catonetworks.com или вашим официальным реселлером Cato для получения дополнительной информации об использовании политики App & Data API Protection.
Обзор коннекторов Google Drive и Gmail
Создайте коннектор для арендатора Google вашей организации. Коннектор требует, чтобы вы настроили консоли Google Cloud и Google Admin, чтобы разрешить и включить вызовы API для вашего аккаунта Cato. Затем определите правила в политике защиты данных, которые включают коннектор и указывают, что файлы или электронные письма должны сканироваться и обследоваться.
Необходимые условия
Администраторские разрешения для учетных записей Google Cloud и Google Admin
Коннектор Google Drive требует бизнес-лицензии для консоли Google Admin
Коннектор Gmail требует корпоративной лицензии Gmail
Учетные записи Google Drive и Gmail включены
Коннектор мониторит файлы, другие действия будут поддерживаться в ближайшее время
Создание первоначального Google-коннектора
Этот раздел объясняет, как создать первоначальный API-коннектор для Google Drive и Gmail, и как подключить Google-арендатора вашей организации к вашему аккаунту Cato.
Коннекторы Google Drive и Gmail позволяют движку API безопасности SaaS Cato сканировать файлы (вложения), папки и электронные письма на содержимое, определенное в политике защиты данных. События генерируются для контента, который соответствует правилу в политике.
Заметка:
Первый раз, когда вы создаете коннектор Google, необходимо разрешить Cato использовать API для подключения к вашей учетной записи Google. Если вы уже создали Google коннектор, и теперь создаете дополнительный, продолжите с Создание дополнительных коннекторов Google.
Обзор первоначальной настройки коннекторов Cato для Google Drive и Gmail
Это общий обзор процесса создания коннектора Cato для Google Drive и Gmail:
В приложении управления Cato создайте новый коннектор SaaS-приложения для Google Drive или Gmail.
Скопируйте области oAuth для коннектора.
В консоли Google Cloud для аккаунта вашей компании:
Создайте новый проект для коннектора Cato.
Включите необходимые API Google и сгенерируйте ID учетной записи службы.
В консоли Google Admin определите делегирование на уровне домена для коннектора Cato.
Вставьте области oAuth из коннектора в консоль Google Admin.
В консоли Google Cloud создайте API-ключи для коннектора Cato.
В приложении управления Cato загрузите API-ключи в коннектор SaaS-приложения для Google Drive или Gmail.
Шаг 1 - Создание SaaS-приложения Google Drive или Gmail
В приложении управления Cato создайте SaaS-приложение Google Drive или Gmail для коннектора к вашему аккаунту Google.
Чтобы создать коннектор для Google Drive или Gmail:
Из меню навигации выберите Ресурсы > Интеграции и нажмите вкладку Интегрированные приложения.
Нажмите Новое. Панель Новый коннектор открывается.
В раскрывающемся списке SaaS Приложение выберите Google Drive или Gmail.
В разделе Возможность выберите Защита данных и от угроз.
Введите Имя Коннектора.
Введите Административный Email для административного аккаунта Google с правами администратора.
Нажмите Копировать области oAuth.
Чтобы просмотреть полный список областей oAuth, смотрите ниже oAuth Области для конечных коннекторов Google Drive и Gmail.
Продолжайте ниже с Шаг 2 – Настройка проекта в консоли Google Cloud.
Шаг 2 – Настройка проекта в консоли Google Cloud
Из консоли для вашей платформы Google Cloud создайте новый проект и включите Admin SDK API и облачную идентификацию для вашей учетной записи. Затем создайте новый сервисный аккаунт и скопируйте уникальный ID (этот ID понадобится для шага 3).
Чтобы настроить проект в консоли Google Cloud:
Войдите в консоль Google Cloud и выберите существующий проект или создайте Новый Проект.
Активируйте Google API для соединителя:
Выберите проект и из панели навигации выберите API & Услуги > Библиотека.
В Библиотеке API найдите Admin SDK API.
Нажмите на Admin SDK API, и в новом окне нажмите Включить.
Вернитесь в библиотеку API и нажмите Google Drive API.
В следующем окне нажмите Включить.
Создайте сервисный аккаунт для коннектора Cato:
Из панели навигации выберите API & Сервисы > Учетные данные.
На панели меню нажмите Создать Учетные данные > Сервисный Аккаунт.
Введите Имя сервисного аккаунта.
Нажмите Создать и Продолжить, затем нажмите Готово.
В окне Сервисные Аккаунты отредактируйте новый аккаунт.
Копируйте и сохраните Уникальный ID для сервисного аккаунта. Вы введете этот ID в консоль администратора Google (ниже).
Продолжайте ниже с Шаг 3 – Определение делегирования для всего домена в консоли администратора Google.
Шаг 3 – Определение делегирования для всего домена в консоли администратора Google
Google использует делегирование для всего домена, чтобы приложения имели доступ к данным в рамках окружения Google Workspace. Определите делегирование для всего домена с разрешениями на доступ к API, которые вы включили в предыдущем разделе.
В консоли администратора Google создайте нового API клиента и настройте его на использование уникального ID для сервисного аккаунта (который вы сохранили из Шаг 2 – Настройка проекта в консоли Google Cloud выше).
Чтобы определить делегирование на уровне домена в консоли администратора Google:
Войдите в консоль администратора Google для вашей учетной записи.
На панели навигации выберите Безопасность > Контроль доступа и данных > Управление API.
В окне Управление API, в разделе делегирования для Домена внизу экрана нажмите Управлять делегированием на уровне домена.
В разделе Клиент API нажмите Добавить новый.
Откроется всплывающее окно Добавить новый клиент ID.
В ID клиента вставьте уникальный ID, который вы скопировали в предыдущем разделе.
Вставьте oAuth Области, к которым разрешён доступ коннектору.
Смотрите Шаг 1 - Создание Google Drive или Gmail SaaS Приложения выше для получения дополнительной информации о копировании областей OAuth в Приложение Управления Cato.
Нажмите Авторизовать.
Широкая делегация домена для коннектора Cato определена для использования уникального ID для Google API.
Продолжайте ниже с Шаг 4 - Создание Файла Ключей API в Консоли Google Cloud.
Шаг 4 - Создание Файла Ключей API в Консоли Google Cloud
После включения делегации домена для учетной записи службы коннектора Cato используйте консоль Google Cloud для создания файла ключа API для учетной записи службы.
Чтобы создать файл ключей API:
В консоли Google Cloud выберите IAM & Администрирование > Учетные записи служб в панеле навигации.
Выберите учетную запись службы для коннектора Cato и выберите Действия > Управление ключами.
Открывается вкладка Ключи для учетной записи службы.
Нажмите Добавить ключ > Создать новый ключ.
В всплывающем окне выберите JSON и нажмите ОК.
Браузер сохраняет файл ключа API в указанную папку.
Продолжайте ниже с Шаг 5 - Загрузка Файла Ключа API в Приложение Управления Cato.
Шаг 5 - Загрузка Файла Ключа API в Приложение Управления Cato
Загрузите файл ключа API, который был создан на предыдущем этапе, в коннектор Google Drive или Gmail в Приложение Управления Cato. После этого коннектор настроен и готов начать сканирование файлов и папок для вашего аккаунта.
Для коннектора Gmail необходимо добавить правило в настройке Архивирование электронной почты третьими сторонами в консоли Google Admin.
Заметка:
Файл ключа API содержит конфиденциальные данные, рекомендуем удалить файл после его загрузки в Приложение Управления Cato.
Чтобы загрузить файл ключа API в Приложение Управления Cato:
Откройте вкладку браузера Приложения Управления Cato, где вы начали настраивать коннектор Google Drive или Gmail (выше Шаг 1 - Создание Google Drive или Gmail SaaS Приложения).
В разделе Загрузить файл ключа загрузите файл ключа API, который вы создали (выше Шаг 4 - Создание Файла Ключей API в Консоли Google Cloud).
Кликните Сохранить.
Приложение Google Drive или Gmail SaaS добавляется на вкладку Интегрированные API.
Для приложения Gmail выполните следующие дополнительные шаги:
В экране завершения скопируйте адрес электронной почты.
Откройте консоль администратора Google.
Перейдите в Приложения > Google Workspace > Gmail > Маршрутизация > Архивирование электронной почты третьими сторонами.
Нажмите Добавить ещё одно правило.
В всплывающем окне Добавить настройку вставьте адрес электронной почты из шага a (выше).
Нажмите Save.
Понимание статуса подключения
Колонка Статус на странице Настройки соединителей показывает статус соединения между коннектором Google Drive и вашим аккаунтом Cato. Вот объяснения состояний:
Подключено - Ваша учетная запись подключена к приложению и работает корректно
Ошибка соединения - Проблема с подключением или разрешениями для коннектора Google Drive. Пожалуйста, откройте запрос в службу поддержки Support.
Создание дополнительных коннекторов Google
Когда вы создаете дополнительный коннектор Google для своего аккаунта, ваш Google аккаунт уже настроен для использования API для подключения к аккаунту Cato. Соединители используют одну и ту же область oAuth.
Активируйте Google API для нового Google Drive или Gmail API. Затем создайте и скачайте файл ключа со своего Google аккаунта и загрузите его в коннектор.
Чтобы создать дополнительный коннектор Google:
Войдите в консоль Google Cloud для вашего аккаунта.
Активируйте Google API для соединителя:
Выберите проект и из панели навигации выберите API & Услуги > Библиотека.
В библиотеке API найдите новую Google Drive API или Gmail API.
В следующем окне нажмите Включить.
Создайте и скачайте файл ключа для вашего Google аккаунта:
В консоли Google Cloud выберите IAM & Администрирование > Учетные записи служб в панеле навигации.
Выберите учетную запись службы для коннектора Cato и выберите Действия > Управление ключами.
Нажмите Добавить ключ > Создать новый ключ.
В всплывающем окне выберите JSON и нажмите ОК.
Браузер сохраняет файл ключа API в указанную папку.
Создайте новый коннектор Google:
Из меню навигации выберите Ресурсы > Интеграции и нажмите вкладку Интегрированные приложения.
Нажмите на Новый. Панель Новый коннектор открывается.
Определите настройки для коннектора Google Drive или Gmail и введите Google административный Email.
В разделе Загрузить файл ключа загрузите файл ключа API, который вы создали выше.
Кликните Сохранить.
Для приложения Gmail выполните следующие дополнительные шаги:
В экране завершения скопируйте адрес электронной почты.
Откройте консоль администратора Google.
Перейдите в Приложения > Google Workspace > Gmail > Маршрутизация > Архивирование электронной почты третьими сторонами.
Нажмите Добавить ещё одно правило.
В всплывающем окне Добавить настройку вставьте адрес электронной почты из шага a (выше).
Кликните Сохранить.
Добавление правил Google Drive или Gmail в политику защиты данных
Этот раздел объясняет, как использовать политику защиты данных для мониторинга и управления файлами, папками и электронной почтой, которые хранятся в вашем аккаунте Google.
Понимание действий Google Drive и Gmail
Когда вы создаете правило Защиты данных, вы можете определить различные действия для мониторинга или устранения нарушений политики при совпадении правила. Каждое действие автоматически генерирует событие, и вы также можете выбрать получение уведомлений по электронной почте. Чтобы узнать больше о событиях API защиты данных, смотрите ниже Анализ событий API защиты данных.
Эти действия вы можете задать для выполнения модулем Защиты данных при совпадении правила:
(Действия Удалить общий доступ и Карантин доступно только для Google Drive, для Gmail правила могут быть определены только с действием Мониторинг.)
Мониторинг - Создает событие, чтобы позволить вам отслеживать трафик, соответствующий правилу.
Удалить общий доступ - Когда пользователь пытается поделиться файлом, движок Защита данных API удаляет несанкционированные права на общий доступ, и пользователь, которому отправляется ссылка на файл, не будет иметь права доступа к файлу.
Карантин - Когда пользователь пытается загрузить файл, движок перемещает его в папку карантина, и пользователи больше не могут получить к нему доступ. Администратор Google может получить доступ к файлу в папке карантина. Для информации о настройке папок карантина, смотрите Подготовка к файлу карантина.
Заметка:
Следующие ограниченные возможности применяются к действиям в Google Drive:
Действие Удалить общий доступ не может быть применено к файлу в папке с общим доступом, разрешения на общий доступ могут быть удалены только для файлов, не находящихся в такой папке.
Когда применяется действие Удалить общий доступ, Google Drive позволяет пользователю запросить доступ к файлу у пользователя, который предоставил доступ, и они могут предоставить доступ приблизительно на десять минут.
На список применить действие Карантин может занять до 10 минут.
Подготовка к помещениям в карантин файлов
Настройте папки карантина для правил защиты данных и предотвращения угроз, и определите администратора Google с правами доступа к папкам. Вы можете настроить папки карантина для каждого администратора Google для арендатора. Когда папки настроены, вы можете создавать правила с действием Карантин и определять папку, в которую перемещается файл.
Для настройки папок карантина для администратора Google:
Из панели навигации выберите Безопасность > Приложение & Защита данных API и выберите вкладку Настройки.
Нажмите на Новый. Панель Папка карантина открывается.
Выберите коннектор приложения Google Drive.
Выберите администратора Google для получения доступа к этим папкам карантина.
Кликните Сохранить.
Папка защиты данных и папка предотвращения угроз создаются для администратора и могут быть настроены в правилах с помощью действия Карантин. Папки имеют имя по адресу электронной почты администратора и расположены в следующих каталогу Google Drive:
Папка Защиты данных: Cato_Qarantine/Cato_Qarantine_DataProtection
Папка Предотвращения угроз: Cato_Qarantine/Cato_Qarantine_ThreatPrevention
Настройка правил Google Drive и Gmail
Используйте страницу Защиты данных для добавления правил SaaS-приложения в вашу политику Защиты данных.
Создайте правило защиты данных, чтобы определить трафик, который сканируется API защиты данных. Создайте отдельные правила для каждого коннектора SaaS приложения, а затем определите критерии, которые определяют, какой трафик сканируется.
Для получения дополнительной информации о настройках правил Google Drive и Gmail см. ниже Понимание правил коннектора Google.
Чтобы создать новое правило Защиты данных для приложения Google Drive или Gmail:
Из панели навигации выберите Безопасность > Защита приложений и данных через API и выберите или разверните Защита данных.
Нажмите Создать. Панель Новое правило открыта.
В Коннектор приложения выберите приложение Google Drive или Gmail.
В разделе Общие введите параметры для правила.
В Владелец (для Google Drive) или Отправитель (для Gmail) выберите одного или нескольких пользователей Google, которых вы отслеживаете (значение по умолчанию Любой).
Когда вы выбираете нескольких пользователей, между ними существует отношение ИЛИ.
(Для Gmail) в Получатели, укажите пользователей Google, получающих почту (настройка по умолчанию Любой).
В Параметры совместного использования выберите уровень разрешений для сканируемых файлов и папок (значение по умолчанию Любое).
Когда вы выбираете несколько параметров, между ними существует отношение ИЛИ.
В Атрибуты файла (для Google Drive) или Вложения (для Gmail) укажите критерии для выбора сканируемых файлов (настройка по умолчанию - сканировать все файлы).
В разделе Профиль контента выберите DLP профиль контента для этого правила.
Выберите Действие.
Для действия Карантин (для Google Drive) выберите Путь к папке карантина. Для получения дополнительной информации о карантинных папках, смотрите выше ???.
(Необязательно) Настройте параметры отслеживания для создания Событий и Отправки уведомлений.
Для получения дополнительной информации о уведомлениях смотрите соответствующую статью о Группы подписок, Списки рассылки и Интеграции оповещений в разделе Оповещения.
Кликните Сохранить. Правило добавляется в Политику защиты данных.
Понимание Google Connector Rules
В этом разделе рассматривается, как настроить параметры правил защиты данных для сканирования соответствующего трафика Google Drive или Gmail. Каждое правило может быть определено согласно следующим критериям:
Владелец или Отправитель - Пользователи Google в вашем рабочем пространстве (значение по умолчанию Любой)
Внутренний - владелец может быть любым пользователем в вашей компании
Пользователь Google - Владелец является конкретным пользователем
Получатели (для Gmail) - Пользователи, которые получают электронную почту
Внутренний - владелец может быть любым пользователем в вашей компании
Внешний - Определен в вашем аккаунте Google как вне вашей компании
Пользователь Google - Владелец является конкретным пользователем
Домен - Введите домен для получателей электронных писем
Параметры Совместного Использования - Выберите типы разрешений на совместное использование файлов и папок, которые соответствуют этому правилу (значение по умолчанию Любое)
Приватный - доступ только у пользователя
Ограниченный доступ - TBD
Организационная единица - Любой пользователь в единице, определенной в иерархии пользователей Google Drive
Внешний - Внешние пользователи, получившие приглашение с ссылкой
Открытый - Доступен для всех с этой ссылкой
Атрибуты файла или вложения - Критерии для вложений, которые сканируются (значение по умолчанию - все вложения)
Тип файла
Имя файла
Размер файла (максимальный размер файла — 100 МБ)
Профиль контента - DLP Профиль контента, который определяет проверку контента DLP
Вы можете создать или отредактировать Профили Контента в Безопасность > Профили DLP > Профили DLP > Профиль контента
Действия - Выберите, хотите ли вы Мониторинг правила, генерируя событие или уведомление по электронной почте, когда правило будет соответствовать. Для Google Drive, вы также можете выбрать Удалить общий доступ разрешения или Карантин файлы, которые соответствуют правилу. Для информации о действиях в Google Drive, смотрите Понимание действий Google Drive и Gmail.
Определение Файлов или Вложений для Правила
Вы можете определить конкретные файлы (или вложения) для правила и ограничить API безопасности SaaS двигателем только для сканирования указанных файлов, чтобы проверить, соответствуют ли они Профилю Контента DLP.
Когда вы добавляете несколько файлов к правилу, выберите связь между ними:
Удовлетворяет любому (ИЛИ) - Соответствует только одному из типов файла в правиле
Удовлетворить всем (И) - Соответствует всем типам файлов в правиле (в противном случае правило игнорируется)
Вы можете использовать настройку Имя файла в правиле для определения точного имени файла или использовать подстановочные символы для определения ключевых слов. Например, вы можете определить Имя Файла как внутренний, чтобы соответствовать всем именам файлов, содержащим слово внутренний.
Работа с приведенными в порядок правилами защиты данных
Движок API Защиты данных последовательно проверяет данные и проверяет соответствие правилу. Если данные не соответствуют правилу, они не инспектируются. Правила, находящиеся в верхней части базы правил, имеют более высокий приоритет и применяются перед правилами, находящимися ниже в базе правил. Каждый тип приложения или соединителя применяется к данным только один раз.
Лучшие практики - чтобы максимизировать эффективность вашей базы правил, мы рекомендуем, чтобы для каждого типа коннектора правила для конкретных пользователей имели более высокий приоритет, чем правила, применяемые к Любой пользователям.
Например, если данные соответствуют коннектору в правиле №2, данные проверяются движком Защиты данных. Двигатель не продолжает применять правила №3 и ниже для того же коннектора. Тем не менее, данные могут соответствовать правилу с более низким приоритетом с другим коннектором.
Добавление защиты от угроз в коннектор
Вы можете создать правила Защиты от угроз для коннектора, чтобы сканировать файлы и вложения на наличие вредоносных программ и вирусов, используя движки Антивирус и NG Антивирус, которые включены для вашей учетной записи. Движок Защита данных API сканирует трафик коннектора и применяет действие и параметры отслеживания, которые вы настроили для правила.
Это действия, которые вы можете настроить для выполнения движком Защиты от угроз, когда правило срабатывает:
Мониторинг - Создает событие, чтобы позволить вам отслеживать трафик, соответствующий правилу.
Удалить общий доступ - Когда пользователь пытается поделиться файлом, движок Защита данных API удаляет несанкционированные права на общий доступ, и пользователь, которому отправляется ссылка на файл, не будет иметь права доступа к файлу.
Карантин - Когда пользователь пытается загрузить файл, движок перемещает его в папку карантина, и пользователи больше не могут получить к нему доступ. Администратор Google может получить доступ к файлу в папке карантина. Для информации о настройке папок карантина, смотрите Подготовка к файлу карантина.
Заметка:
Следующие ограниченные возможности применяются к действиям в Google Drive:
Действие Удалить общий доступ не может быть применено к файлу в папке с общим доступом, разрешения на общий доступ могут быть удалены только для файлов, не находящихся в такой папке.
Когда применяется действие Удалить общий доступ, Google Drive позволяет пользователю запросить доступ к файлу у пользователя, который предоставил доступ, и они могут предоставить доступ приблизительно на десять минут.
На список применить действие Карантин может занять до 10 минут.
Каждое действие автоматически генерирует событие, и вы также можете выбрать получение уведомлений по электронной почте. Чтобы узнать больше о событиях API защиты данных, смотрите ниже Анализ событий API защиты данных.
Когда вы создаете правило App & Data API Protection, Антивирусные двигатели, которые включены для вашего аккаунта (Безопасность > Антивирус), выполняют сканирование на наличие вредоносных программ в файлах, которые отправляются для этого прилojения-коннектора.
Следующий скриншот показывает правило Защиты от угроз для коннектора OneDrive, которое сканирует файлы, отправленные Внутренними пользователями или Гостями:
Создание Исключения для файла
Иногда существует файл, заблокированный движками Cato's Data Protection API, который вы знаете, что безопасен, и вам нужно разрешить его в сети. Исключения для антивируса в политике хеша файла также применяются к Защита АРМ и данных API. Для получения информации о добавлении файлов в политику хеша файла, смотрите Управление исключениями для антивируса.
Анализ событий API Защиты данных
На странице Домашняя > События отображаются все события API Защиты данных для вашей учетной записи. Мощные инструменты поиска позволяют провести детализированный поиск и выявить несколько событий, содержащих необходимые вам данные.
События API Защиты данных можно идентифицировать по следующим параметрам:
Тип события - Безопасность
Подтип - Защита данных API безопасности SaaS и Антивирус для API безопасности SaaS
Вы можете узнать больше об использовании страницы События здесь.
Объяснение полей событий API Защиты данных
Название поля | Description |
|---|---|
Имя API коннектора | Имя коннектора, которое определено для правила |
Тип разъема | SaaS-приложение, определенное для этого коннектора |
Профиль DLP | Профиль содержимого DLP, который сгенерировал это событие |
Имя Файла | Имя прикреплённого файла |
Совпадение типов данных | Типы данных в профиле содержимого, которые совпали с правилом |
Участники | Адреса электронной почты пользователей, получивших файл |
Правило | Имя правила в Политика защиты данных |
Владелец | Владелец файла |
Серьезность | Степень серьезности, определенная для правила |
Область совместного использования | Параметры совместного использования для вложения Google Drive |
oAuth области для коннекторов Google Drive и Gmail
Это обязательные oAuth области для различных типов коннекторов Google:
Google Drive Чтение -
https://www.googleapis.com/auth/admin.directory.user.readonly
https://www.googleapis.com/auth/admin.directory.domain.readonly
https://www.googleapis.com/auth/admin.directory.customer.readonly
https://www.googleapis.com/auth/admin.reports.audit.readonly
https://www.googleapis.com/auth/drive.readonly
https://www.googleapis.com/auth/admin.reports.usage.readonly
Google Drive Запись -
https://www.googleapis.com/auth/admin.directory.user.readonly
https://www.googleapis.com/auth/admin.directory.domain.readonly
https://www.googleapis.com/auth/admin.directory.customer.readonly
https://www.googleapis.com/auth/admin.reports.audit.readonly
https://www.googleapis.com/auth/drive.readonly
https://www.googleapis.com/auth/admin.reports.usage.readonly
https://www.googleapis.com/auth/drive
https://www.googleapis.com/auth/drive.file
Gmail -
https://www.googleapis.com/auth/admin.directory.user.readonly
https://www.googleapis.com/auth/admin.directory.domain.readonly
https://www.googleapis.com/auth/admin.directory.customer.readonly
https://www.googleapis.com/auth/admin.reports.audit.readonly
https://www.googleapis.com/auth/drive.readonly
https://www.googleapis.com/auth/admin.reports.usage.readonly