Directrices para configurar un CASB de terceros con Google Workspace

Un agente de seguridad de acceso a la nube (CASB) es un software on-premise o basado en la nube que funciona como intermediario entre los usuarios y las aplicaciones de Internet. Un CASB implementa obligatoriamente políticas de seguridad, reduce las amenazas de ataques de software malicioso y supervisa la actividad de los usuarios que podría afectar a la seguridad del dominio.

Importante: No es obligatorio configurar un CASB de terceros para usarlo con Google Workspace. Sin embargo, si decides hacerlo, te recomendamos que leas las directrices e instrucciones para solucionar problemas que se proporcionan en este artículo.

Directrices para configurar un CASB

Usar un CASB sin conexión siempre que sea posible

En la medida de lo posible, no utilices un CASB en línea o activo para controlar el tráfico de red entre los usuarios y Google. Por lo tanto, no es aconsejable usar un proxy ni un filtro de red. Piensa en otras alternativas para hacerlo; por ejemplo, utilizar como CASB sin conexión APIs o complementos de Gmail. El equipo de Asistencia de Google no puede ayudar a resolver problemas o posibles incidencias de Google Workspace relacionados con el uso de soluciones CASB en línea o activas.

Te recomendamos que uses alguna de estas opciones que ofrece Google Workspace como alternativa:

• API Reports
• Complementos
• Prevención de la pérdida de datos (DLP)
• Herramienta de investigación de seguridad
• Controles de APIs

Asegurarse de poder inhabilitar el CASB para hacer pruebas

Si necesitas utilizar un CASB, asegúrate de que puedes omitirlo o inhabilitarlo en una cuenta de usuario o un equipo concretos para probar la configuración. Este paso es importante porque los problemas de conexión en los servicios de Google provienen a menudo de los proveedores o de la configuración del CASB, y no de Google.

A continuación te mostramos algunos métodos habituales para probar si un problema detectado en Google Workspace se debe a un CASB:

• (Opción recomendada) Utiliza otro equipo para establecer la conexión; uno donde el tráfico de red no se enrute a través del CASB y que no esté sujeto a ninguna política corporativa que requiera que se instalen filtros de red o extensiones de navegador locales. Por ejemplo, accede al servicio de Google desde un dispositivo personal o conecta el equipo afectado a un móvil (mediante conexión de red compartida) en vez de a la red corporativa.
• Configura el CASB para que permita el paso del tráfico a través del equipo afectado. Esta opción suele ser más difícil de configurar.
• Si las políticas de tu organización no permiten la conexión directa a tu cuenta de Google Workspace, usa un entorno de prueba de Google Workspace independiente.

Si es necesario bloquear el tráfico de Google, no deberías modificar la carga útil ni el cuerpo de la respuesta; por ejemplo, insertando tu propio código JavaScript. En vez de eso, comprueba que tu CASB o proxy sustituye la respuesta con una respuesta 500. Lo ideal es que la respuesta 500 tenga un encabezado único para indicar que procede del CASB. Si modificas los cuerpos de las respuestas, Google no podrá garantizar la asistencia para solucionar los problemas que puedan surgir.

Ser consciente de que Google no puede ayudar a configurar el CASB

Google no puede garantizar ninguna asistencia para solucionar problemas relacionados con el bloqueo o la modificación del tráfico de red entre el navegador (o el cliente de API) y Google, ni con problemas que ocurran como efecto secundario de tales cambios. Aunque Google proporciona APIs para integraciones, no puede ofrecer asistencia si las integraciones se han creado por otros medios; por ejemplo, por inserción de código u hojas de estilo en cascada (CSS). El motivo es que Google no tiene acceso a la configuración ni al código de los sistemas de terceros y no puede ofrecer garantías en relación con interfaces que no son públicas.

El equipo de Asistencia de Google Workspace tampoco puede ayudar a depurar código de terceros, especialmente si el código no usa APIs ni interfaces oficiales de Google. Por ejemplo, si utilizas un complemento de Gmail para añadir un botón a la interfaz de Gmail, Google sí te puede ayudar. Sin embargo, no puede ayudarte si añades el botón a la interfaz de Gmail insertando código JavaScript propio en vez de hacerlo con una extensión de Chrome o un proxy de intermediario (MITM).

Solución de problemas

Identificar problemas relacionados con el CASB o filtros de red 

A continuación se detallan algunos de los posibles efectos secundarios y síntomas de problemas de red relacionados con el uso de un CASB o filtros de red. En la lista no se incluyen todos los problemas, por lo que también podrían detectarse otros síntomas:

• La interfaz de usuario no se carga o está en blanco.
• Se redirige a los usuarios a una página de ayuda de Google donde se muestran instrucciones para borrar la caché, y se les sigue redirigiendo a ella incluso después de haberla borrado.
• La aplicación se carga, pero algunas funciones están inhabilitadas. Por ejemplo, los usuarios no pueden redactar un correo o hay opciones de los editores de Documentos, Hojas de cálculo o Presentaciones inhabilitadas o atenuadas.
• Se producen errores en diferentes productos de Google Workspace no relacionados, como Gmail y Drive, a pesar de que no se registra ninguna interrupción del servicio en el Panel de Estado de Google Workspace.

Verificar si el CASB o un proxy modifican el tráfico de red o la sesión de navegación

• Compara las huellas digitales de los certificados HTTPS con los certificados reales de Google. Por ejemplo, usa el servicio SSL Server Test para comparar la huella digital del certificado que ves en el navegador con la huella digital que se muestra para el mismo nombre de host, como docs.google.com. 
• Si los certificados son diferentes, esto indica que hay un CASB en línea o activo. Intenta reproducir el problema utilizando una conexión directa con Google; por ejemplo, con un equipo independiente conectado a través de una red móvil, como se mencionó anteriormente. Asimismo, comprueba que no haya agentes que se ejecuten localmente y que estén interceptando el tráfico de red.
• Si los certificados coinciden, probablemente no haya un CASB en línea. Intenta reproducir el problema en el modo de incógnito de Chrome asegurándote de que no se permite ninguna extensión de este navegador mientras lo utilices. Esta medida evita los problemas relacionados con los agentes que se ejecutan localmente y que se instalan como extensiones de Chrome.

Pasos siguientes

Si tienes problemas con el CASB o la red y verificas que el CASB o un proxy están modificando tu tráfico de red como se ha indicado en secciones anteriores de este artículo, sigue estas recomendaciones:

• Ponte en contacto con tu administrador de red.
• Comprueba si el problema ocurre en un equipo o una cuenta independientes. Consulta la sección Asegurarse de poder inhabilitar el CASB para hacer pruebas que se incluye más arriba. Google no puede garantizar que las conexiones interrumpidas o modificadas ni las páginas modificadas por medio de una extensión funcionen del modo previsto. Ponte en contacto con el proveedor de tu CASB.
• Si sigues pensando que el problema se debe a Google, recoge la siguiente información y proporciónasela al equipo de Asistencia de Google:
  • Los datos que hayas obtenido relacionados con lo descrito en las secciones anteriores Identificar problemas relacionados con el CASB o filtros de red y Verificar si el CASB o un proxy modifican el tráfico de red o la sesión de navegación
  • Otros síntomas o problemas inesperados detectados en sitios de Google o de terceros
  • Otros patrones de problemas que hayas advertido (por ejemplo, con usuarios, grupos de usuarios, regiones geográficas, páginas o grupos de topologías de redes específicos)
  • Una captura HAR desde el modo de incógnito, con todas las extensiones inhabilitadas, mientras reproduces el problema (consulta Cómo realizar una captura en formato HAR)
  • Capturas de pantalla o un vídeo donde se muestren los errores encontrados