Richtlijnen om een CASB van derden in te stellen met Google Workspace

Een Cloud Access Security Broker (CASB) is software op locatie of in de cloud die zich bevindt tussen gebruikers en internet-apps. Een CASB dwingt beveiligingsbeleid af, vermindert het risico op malware en controleert gebruikersactiviteit die mogelijk van invloed is op de beveiliging van uw domein.

Belangrijk: Het is niet vereist om een CASB van derden in te stellen met Google Workspace. Als u hier echter wel toe besluit, raden we u aan onderstaande richtlijnen en instructies voor probleemoplossing te lezen.

CASB-richtlijnen

Gebruik waar van toepassing een offline CASB

Gebruik indien mogelijk een inline/actieve CASB voor netwerkverkeer tussen gebruikers en Google (gebruik geen proxy of netwerkfilter). Probeer uw doelen op andere manieren te bereiken, bijvoorbeeld via API's of Gmail-add-ons zoals een offline CASB. Het Google-supportteam kan u niet helpen om problemen met Google Workspace op te lossen die zich voordoen bij gebruik van inline/actieve CASB-oplossingen.

We raden u aan de volgende opties uit te proberen die worden aangeboden door Google Workspace:

• Reports API
• Add-ons
• Gegevensverlies voorkomen (Data Loss Prevention, DLP)
• Tool voor beveiligingsonderzoek
• API-functies

Zorg dat u de CASB kunt uitzetten als u functies moet testen

Als u een CASB moet gebruiken, moet u zorgen dat u configuraties kunt testen door de CASB voor een specifieke computer of gebruiker over te slaan of uit te zetten. Dit is belangrijk, omdat CASB-providers of -configuraties vaak verbindingsproblemen met Google-services veroorzaken. Het probleem zit dan niet aan de kant van Google.

Hier ziet u enkele veelgebruikte manieren om te controleren of een probleem met Google Workspace wordt veroorzaakt door een CASB:

• (Aanbevolen) Maak verbinding op een ander apparaat waarop het netwerkverkeer niet via de CASB wordt gestuurd en waarvoor geen bedrijfsbeleid geldt waardoor lokale netwerkfilters of browserextensies moeten worden geïnstalleerd. Open de Google-service bijvoorbeeld vanaf een persoonlijk apparaat of maak op het getroffen apparaat verbinding met een mobiel netwerk (tethering) in plaats van het bedrijfsnetwerk.
• Stel de CASB in zodat verkeer van het getroffen apparaat wordt doorgelaten. Deze optie is vaak moeilijker in te stellen.
• Als uw organisatiebeleid niet toestaat dat u rechtstreeks verbinding maakt met uw Google Workspace-account, gebruikt u een aparte Google Workspace-testomgeving.

Als u Google-verkeer moet blokkeren, moet u niet de payload of reactietekst aanpassen, bijvoorbeeld door uw eigen JavaScript-code toe te voegen. Zorg in plaats hiervan dat de CASB of proxy de reactie vervangt door een 500-reactie. Zorg indien mogelijk ook dat de 500-reactie een unieke koptekst bevat waaraan u kunt zien dat deze afkomstig is van de CASB. Als u reactieteksten aanpast, kan Google geen support garanderen voor eventuele problemen die zich daardoor voordoen.

Google kan niet helpen met de configuratie van een CASB

Google kan geen hulp garanderen als er zich problemen voordoen waarbij netwerkverkeer tussen de browser (of API-client) en Google wordt geblokkeerd of aangepast, of als er zich problemen voordoen als gevolg van dit soort wijzigingen. Google biedt API's voor integraties, maar we bieden geen support voor integraties die zijn gemaakt op andere manieren (bijvoorbeeld door code of css toe te voegen). Google heeft namelijk geen zicht op de configuraties of code van systemen van derden en kan dus geen garanties geven voor interfaces die niet openbaar zijn.

Het Google Workspace-supportteam kan ook niet helpen bij foutopsporing in code van derden, vooral als de code geen officiële Google API's of -interfaces gebruikt. U kunt bijvoorbeeld een Gmail-add-on gebruiken om een knop toe te voegen aan de Gmail-UI. Hiervoor kunt u wel support krijgen. Als u echter een knop toevoegt aan de Gmail-UI door uw eigen JavaScript-code in te voegen (via een Chrome-extensie of een man-in-the-middle-proxy (MITM)) kunt u hiervoor geen support krijgen.

Problemen oplossen

Achterhalen of problemen worden veroorzaakt door een CASB of netwerkfilters

Hieronder ziet u enkele mogelijke gevolgen van netwerkproblemen vanwege een CASB of netwerkfilters. Deze lijst is niet compleet, er kunnen meer gevolgen zijn:

• De gebruikersinterface laadt niet of is leeg.
• Gebruikers worden doorgestuurd naar een Google-supportpagina met instructies om het cachegeheugen te wissen. Ze worden nog steeds doorgestuurd naar deze pagina als ze het cachegeheugen hebben gewist.
• De app laadt wel, maar bepaalde functies zijn inactief. Gebruikers kunnen bijvoorbeeld geen e-mails opstellen of opties in de editors van Documenten, Spreadsheets of Presentaties zijn inactief of uitgegrijsd.
• Er doen zich fouten voor in meerdere ongerelateerde Google Workspace-producten (bijvoorbeeld Gmail en Drive) en er staan geen meldingen van uitval op het Google Workspace-statusdashboard.

Controleren of uw netwerkverkeer of browsersessie wordt aangepast door de CASB of proxy

• Vergelijk de HTTPS-certificaatvingerafdrukken met de echte Google-certificaten. Gebruik bijvoorbeeld de SSL Server Test om de vingerafdruk van het certificaat dat u in de browser ziet te vergelijken met de vingerafdruk die wordt weergegeven voor dezelfde hostnaam (zoals docs.google.com). 
• Als de certificaten verschillen, betekent dit dat er een inline/actieve CASB is. Probeer het probleem te reproduceren terwijl u rechtstreeks verbinding heeft met Google, bijvoorbeeld op een apart apparaat dat verbinding heeft via een mobiel netwerk (zoals hierboven uitgelegd). Zorg dat er geen lokaal uitgevoerde agents zijn waardoor netwerkverkeer wordt onderschept.
• Als de certificaten hetzelfde zijn, betekent dit dat er waarschijnlijk geen inline CASB is. Probeer het probleem te reproduceren in de incognitomodus in Chrome. Zorg daarbij dat er geen Chrome-extensies zijn toegestaan in de incognitomodus. Zo weet u zeker dat het probleem niet wordt veroorzaakt door lokaal uitgevoerde agents die zijn geïnstalleerd als Chrome-extensie.

Volgende stappen

Als u problemen heeft met de CASB of het netwerk en als u heeft gecontroleerd of het netwerkverkeer wordt aangepast door een CASB of proxy, zoals beschreven in de gedeelten hierboven, doet u het volgende:

• Neem contact op met uw netwerkbeheerder.
• Controleer of het probleem zich ook voordoet op ongerelateerde apparaten of accounts (bekijk hierboven het gedeelte Zorg dat u de CASB kunt uitzetten als u functies moet testen). Google kan niet garanderen dat verbindingen die worden onderbroken of aangepast (of pagina's die daardoor worden aangepast) werken zoals verwacht. Neem contact op met uw CASB-provider.
• Als u nog steeds denkt dat het probleem bij Google zit, verzamelt u de volgende informatie en stuurt u deze naar het Google-supportteam:
  • Informatie gerelateerd aan de gedeelten hierboven: Achterhalen of problemen worden veroorzaakt door CASB of netwerkfilters en Controleren of uw netwerkverkeer of browsersessie wordt aangepast door de CASB of proxy
  • Eventuele andere onverwachte problemen die u ziet op Google-sites of niet-Google-sites.
  • Andere problemen die zich voordoen (bijvoorbeeld met specifieke gebruikers, gebruikersgroepen, geografische regio's, netwerktopologiegroepen of specifieke pagina's).
  • Een HAR-opname in de incognitomodus, met alle extensies uitgezet, terwijl u het probleem reproduceert (zie Een HAR-sessie opslaan).
  • Screenshots of video's waarin de problemen te zien zijn.