Por ser administrador do Google Workspace, você pode utilizar alertas por e-mail para receber notificações quando um usuário for desconectado devido a cookies de sessão suspeitos. O sequestro de cookies ou de sessão consiste em roubar o ID da sessão de um usuário utilizando os cookies gerados durante o login na conta. Sempre que um cookie de sessão suspeito é detectado, a sessão é encerrada, e o usuário é desconectado da conta e de qualquer sessão suspeita relacionada no dispositivo.
Quando o usuário tentar fazer login de novo no mesmo dispositivo, será mostrada uma mensagem solicitando a remoção de malware ou software não seguro. O usuário também vai precisar passar por uma etapa extra de verificação ao fazer login na conta no mesmo dispositivo.
A ferramenta de investigação de segurança (SIT, na sigla em inglês) ou a ferramenta de auditoria e investigação servem para identificar tentativas de invasão de contas de usuários por meio de cookies de sessão na sua organização.
Etapa 1: iniciar a investigação
Opção 1: investigar cookies de sessão suspeitos no SIT
Edições com suporte para a origem de dados de eventos de registro do usuário na ferramenta de investigação:
Enterprise Plus, Education Plus, Cloud Identity Premium, Enterprise Standard, Education Standard
-
-
No Admin Console, acesse Menu
Segurança
Central de segurança
- No menu Origem de dados, selecione Eventos de registro do usuário.
- No menu Adicionar condição, selecione Evento e verifique se a condição está definida como É (a opção padrão).
- No menu Evento, selecione Usuário desconectado devido a um cookie de sessão suspeito.
- Clique em Pesquisar.
Os resultados da pesquisa são mostrados na parte de baixo da página.
Opção 2: investigar cookies de sessão suspeitos na página de auditoria e investigação
-
-
No Admin Console, acesse Menu
Relatórios
- Clique em Adicionar um filtro e selecione Evento.
- Na janela pop-up, verifique se o operador no menu superior está definido como É (a opção padrão). Selecione Usuário desconectado devido a um cookie de sessão suspeito no menu de baixo e clique em Aplicar.
- Clique em Pesquisar.
Os registros são mostrados na parte de baixo da página.
Etapa 2: entrar em ação
Na coluna Descrição, clique em Cookie de sessão suspeito para abrir o painel "Detalhes de registro". Se aparecer Verdadeiro na linha É suspeito, ajude os usuários afetados a concluir as etapas para Remover malware ou software não seguro.
Proteger contas violadas
Se você suspeita que uma conta pode ter sido violada ou invadida, como administrador, você pode garantir que a segurança das contas dos seus usuários. Colabore com os usuários afetados para identificar e proteger as contas violadas.
