Dependendo da sua edição do Google Workspace, talvez você tenha acesso à ferramenta de investigação de segurança, que tem recursos mais avançados. Por exemplo, os superadministradores podem identificar, filtrar e resolver problemas de segurança e privacidade. Saiba mais
Por ser administrador da organização, você pode fazer pesquisas e resolver problemas de segurança relacionados a eventos de registro do Chrome. Por exemplo, nessa página, você vê um registro das ações para acompanhar os eventos relacionados aos navegadores Chrome e aos dispositivos ChromeOS gerenciados. Você também pode saber quando um site não seguro foi acessado.
Antes de começar
Para ver todos os eventos do Chrome:
- O navegador precisa ser gerenciado pelo Gerenciamento de nuvem do navegador Chrome, por um dispositivo ChromeOS registrado na sua organização ou por um perfil de usuário gerenciado no navegador Chrome.
- Você precisa configurar relatórios para ocorrências de segurança do Chrome. Confira mais detalhes em Gerenciar conectores de relatórios do Chrome Enterprise.
- Para analisar eventos de proteção de dados do Chrome, configure o BeyondCorp Enterprise. Confira mais detalhes em Proteger usuários do Chrome com o BeyondCorp Threat and Data Protection.
Pesquisar eventos de registro do Chrome
A capacidade de realizar uma pesquisa depende da edição do Google Workspace, dos seus privilégios de administrador e da origem dos dados. Você pode fazer uma pesquisa com todos os usuários, seja qual for a edição do Google Workspace deles.
Para pesquisar eventos de registro, primeiro escolha uma origem de dados. Em seguida, selecione um ou mais filtros para sua pesquisa.
-
Faça login com uma conta de administrador no Google Admin Console.
Se você não estiver usando uma conta de administrador, não vai conseguir acessar o Admin Console.
-
Acesse Menu
Relatórios > Auditoria e investigação > Eventos de registro do Chrome.
Exige o privilégio de administrador Relatórios.
- Clique em Adicionar um filtro e selecione um atributo.
- Na janela pop-up, escolha um operador
selecione um valor
- (Opcional) Para criar vários filtros para sua pesquisa, repita essa etapa.
- (Opcional) Para adicionar um operador de pesquisa, acima de Adicionar um filtro, selecione AND ou OR.
- Clique em Pesquisar.
Observação: na guia Filtrar, você pode incluir pares de valores e parâmetros simples para filtrar os resultados da pesquisa. Também é possível usar a guia Criador de condições, onde os filtros são representados como condições com operadores AND/OR.
Para pesquisar na ferramenta de investigação de segurança, primeiro clique em uma origem de dados. Em seguida, escolha uma ou mais condições para sua pesquisa. Para cada condição, selecione um atributo, um operador e um valor.
-
Faça login com uma conta de administrador no Google Admin Console.
Se você não estiver usando uma conta de administrador, não vai conseguir acessar o Admin Console.
-
Acesse Menu
Segurança > Central de segurança > Ferramenta de investigação.
Exige o privilégio de administrador Central de segurança.
- Clique em Origem de dados e selecione Eventos de registro do Chrome.
- Clique em Adicionar condição.
Dica: você pode incluir uma ou mais condições na pesquisa ou usar consultas aninhadas. Veja mais detalhes em Personalizar sua pesquisa com consultas aninhadas. - Clique em Atributo
Para ver uma lista com todos os atributos, acesse a seção Descrições de atributos abaixo. - Selecione um operador.
- Digite um valor ou selecione uma opção na lista suspensa.
- (Opcional) Para adicionar outras condições de pesquisa, repita as etapas 4 a 7.
- Clique em Pesquisar.
Os resultados da pesquisa na ferramenta de investigação são exibidos em uma tabela na parte de baixo da página. - (Opcional) Para salvar a investigação, clique em Salvar
Observação:
- Na guia Criador de condições, os filtros são representados como condições com os operadores AND/OR. Também é possível usar a guia Filtrar para incluir pares simples de parâmetros e valores e filtrar os resultados da pesquisa.
- Quando você renomeia um usuário, não vê os resultados de consultas com o nome antigo. Por exemplo, se você renomear NomeAntigo@example.com para NovoNome@example.com, não vai ver resultados de eventos relacionados a NomeAntigo@example.com.
Descrições de atributos
Para essa origem de dados, você pode usar os seguintes atributos ao pesquisar dados de eventos de registro:
| Atributo | Descrição |
|---|---|
| ID do grupo |
Nome do grupo do usuário Para mais informações, acesse Filtrar resultados por Grupo do Google. Para adicionar um grupo à lista de permissões de grupos de filtragem:
|
| Unidade organizacional do usuário | Unidade organizacional do usuário |
| Nome do app | Nome da extensão na Chrome Web Store. |
| Versão do navegador | Número atribuído à versão do navegador Chrome, como 123.0.6312.59 |
| Tipo de cliente |
Plataforma do Chrome gerenciada em que o evento aconteceu.
|
| Hash de conteúdo | O hash SHA256 do conteúdo |
| Nome do conteúdo | O nome do conteúdo salvo, como um nome de arquivo. |
| Tamanho do conteúdo* | O tamanho do conteúdo salvo (em bytes) |
| Tipo de conteúdo | O tipo de mídia (MIME) do conteúdo salvo, como text/html |
| Data | Data e hora do evento no fuso horário padrão do navegador. |
| Destino | O sistema de arquivos de destino para eventos de transferência de arquivos. Para eventos de controle de dados, o sistema de arquivos de destino ou o URL de destino para uploads de arquivos ou ações de copiar e colar. |
| Nome do dispositivo | O nome do dispositivo. |
| Plataforma do dispositivo | O sistema operacional onde o navegador está sendo executado. |
| Usuário do dispositivo | O nome do usuário, conforme informado pelo sistema operacional. |
| Código da API Directory | ID do dispositivo retornado pela API Directory |
| Domínio* | O domínio onde a ação ocorreu |
| Tipo de ação da extensão | O tipo de ação da extensão do Chrome que aciona o evento. Pode ser Instalar, Desinstalar ou Atualizar. |
| Origem da extensão | A fonte onde a extensão do Chrome foi instalada. Pode ser Chrome Web Store, Externo ou Não especificado. |
| Versão da extensão | A versão da extensão. |
| Evento | A ação de evento registrada, como Conteúdo não verificado, Acesso a site não seguro, Reutilização de senha, Transferência de dados sensíveis, Transferência de malware ou Transferência de conteúdo. |
| Motivo do evento* | Detalhes sobre a ação, como O arquivo é protegido por senha. |
| Resultado do evento | O resultado do evento com base nas políticas e regras definidas, Pode ser Ignorado, Bloqueado, Avisado, Permitido ou Detectado. |
| Usuário do perfil | O nome de usuário do perfil do navegador Chrome |
| ID de verificação | O ID da verificação da análise de conteúdo que acionou o evento |
| Origem |
A origem relacionada ao evento:
|
| URL da guia |
O URL para o qual a guia redireciona ao fazer o download de um arquivo. Esse URL pode acionar a regra de prevenção contra perda de dados (DLP) Arquivo transferido. Por exemplo, quando um usuário faz o download de um arquivo do Google Drive, o URL da guia (drive.google.com) ou o URL de download (googleusercontent.com) podem acionar a regra. Observação: URL da guia e URL são idênticos, exceto para downloads. |
| Tipo de acionador | A ação do usuário que acionou o evento, como Desconhecido, Página impressa, Upload de arquivo, Download de arquivo, Upload de conteúdo da Web ou Transferência de arquivo. |
| Usuário acionador | O nome de usuário relacionado ao evento:
|
| URL | O URL que gerou o evento |
| Categoria do URL | A categoria do URL que gerou o evento. |
| User agent | A string de user agent do navegador usado para acessar o conteúdo Por exemplo, Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_6) AppleWebKit/537.36 (KHTML, como Gecko) Chrome/84.0.4140.0 Safari/537.36. |
| ID do dispositivo virtual* | O ID do dispositivo (depende da plataforma) |
Filtrar dados por eventos "Threat" ou "Data protection"
- Abra os eventos de registro conforme descrito acima em Acessar dados de eventos de registro do Chrome.
- Clique em Adicionar um filtro
- Selecione o operador.
- Na lista suspensa, selecione uma opção.
- Clique em Aplicar.
Descrições de eventos "Chrome Threat"
| Valor do evento | Descrição | Suporte ao conector de geração de relatórios |
|---|---|---|
| Eventos de falha | Foi detectada uma falha em uma guia ou no navegador. | Compatível com a versão 112 e posteriores do navegador Chrome |
| Instalação de extensões | Uma extensão do navegador foi instalada pelo usuário ou pelo administrador. | Compatível com a versão 110 e posteriores do navegador Chrome |
| Transferência de malware | O conteúdo enviado ou salvo pelo usuário é considerado malicioso, perigoso ou indesejado. | Compatível com a versão 104 e posteriores do navegador Chrome |
| Eventos de login |
Observação: para que esse evento seja informado, o Gerenciador de senhas precisará estar ativado. Um usuário bem-sucedido faz login em um domínio com o URL especificado nas configurações do conector de geração de relatórios. Você pode ver o evento na Central de segurança do Google. Logins mal-sucedidos não são informados. |
Compatível com a versão 105 e posteriores do navegador Chrome |
| Violação de senha |
Observação: para que esse evento seja informado, o Gerenciador de senhas precisará estar ativado. Quando um usuário digita o nome de usuário e a senha em um site, o Chrome emite um aviso caso tenha sido comprometido em uma violação de dados em algum site ou app. Veja mais detalhes em Mudar senhas não seguras na sua Conta do Google. O Chrome também sugere que o usuário faça alterações em todos os lugares em que foram usados. Para os URLs especificados no Admin Console, a violação também é exibida na janela da Central de segurança do Google se a senha tiver sido salva no Gerenciador de senhas. Cada URL é exibido como um registro separado. |
Compatível com a versão 105 e posteriores do navegador Chrome |
| Senha alterada |
O usuário redefine a senha no primeiro acesso à conta de usuário. |
Compatível com a versão 104 e posteriores do navegador Chrome |
| Reutilização de senha | O usuário digitou uma senha em um URL fora da lista de URLs de login corporativos permitidos. | Compatível com a versão 104 e posteriores do navegador Chrome |
| Acesso a site não seguro | O URL acessado pelo usuário é considerado enganoso ou malicioso. | Compatível com a versão 104 e posteriores do navegador Chrome |
Descrições de eventos "Chrome Data Protection"
Os eventos de proteção de dados do Chrome estão disponíveis apenas para os clientes que compraram o Chrome Enterprise Premium .
Saiba mais sobre o Chrome Enterprise Premium e como configurá-lo em Proteger usuários do Chrome com o Chrome Enterprise Premium threat and data protection.
| Valor do evento | Descrição | Suporte ao conector de geração de relatórios |
|---|---|---|
| Transferência de conteúdo | O conteúdo foi enviado por upload, transferido por download ou impresso pelo Chrome e enviado para verificação de malware ou dados confidenciais. |
Compatível com a versão 104 e posteriores do navegador Chrome Exige Chrome Enterprise Premium |
| Conteúdo não verificado | Um arquivo pode não ser verificado por vários motivos. Por exemplo:
|
Compatível com a versão 104 e posteriores do navegador Chrome Exige Chrome Enterprise Premium |
| Transferência de dados confidenciais | O conteúdo enviado, impresso, salvo ou colado pelo usuário contém dados confidenciais, conforme detectado pelas regras de proteção de dados. |
Compatível com a versão 104 e posteriores do navegador Chrome Exige Chrome Enterprise Premium |
| Filtragem de URL | O usuário tentou acessar um URL que corresponde a uma regra de proteção de dados definida pelo administrador |
Compatível com a versão 113 e posteriores do navegador Chrome Exige Chrome Enterprise Premium |
Descrições de ocorrências de segurança do ChromeOS
- Nas sessões de visitante gerenciadas, de quiosque ou de usuários não afiliados, os endereços de e-mail não são coletados. Confira mais detalhes em Afiliação do usuário.
- Para coletar dados desses eventos, é necessário ativar todos os relatórios ou as opções específicas, conforme detalhado abaixo. Confira mais detalhes em Definir políticas de dispositivos ChromeOS > Informar telemetria do dispositivo, Definir políticas de dispositivos ChromeOS > Informar informações do SO do dispositivo e Definir políticas do Chrome para usuários ou navegadores > Geração de relatórios de controles de dados.
| Valor do evento | Descrição | Suporte ao conector de geração de relatórios | Política necessária |
|---|---|---|---|
| Falha de login no Chrome OS | O usuário não fez login no dispositivo ChromeOS. | Compatível | Relatar telemetria do dispositivo |
| Usuário fez login no Chrome OS | O usuário fez login no dispositivo ChromeOS. | Compatível | |
| Usuário saiu do Chrome OS | O usuário saiu do dispositivo ChromeOS. | Compatível | |
| Usuário adicionado ao Chrome OS | Uma conta de usuário foi adicionada a um dispositivo ChromeOS. | Compatível | |
| Usuário removido do Chrome OS | Uma conta de usuário foi removida de um dispositivo ChromeOS. | Compatível | |
| ChromeOS bloqueado com sucesso | A tela de um dispositivo ChromeOS foi bloqueada. | Não compatível | |
| ChromeOS desbloqueado com sucesso | A tela de um dispositivo Chrome OS foi desbloqueada. | Não compatível | |
| Falha ao desbloquear o ChromeOS | Ocorreu uma falha na tentativa de desbloqueio de um dispositivo ChromeOS. | Não compatível | |
| Mudança do estado de inicialização do dispositivo Chrome OS |
O estado de inicialização de um dispositivo ChromeOS foi alternado para o modo de desenvolvedor ou verificado.
|
Não compatível | Relatar informações do SO do dispositivo |
| Dispositivo USB adicionado ao Chrome OS |
Um dispositivo USB foi adicionado a um dispositivo ChromeOS. Esse evento só é informado para usuários afiliados. |
Compatível | Relatar informações do SO do dispositivo |
| Dispositivo USB removido do Chrome OS | Um dispositivo USB foi removido de um dispositivo ChromeOS. Esse evento só é informado para usuários afiliados. | Compatível | |
| Mudança do status do USB no ChromeOS | Um usuário afiliado faz login no dispositivo e todas as conexões USB existentes são informadas. | Compatível | |
| Host da CRD do Chrome OS iniciado | Um usuário afiliado iniciou uma sessão do Chrome Report Desktop (CRD) em um dispositivo gerenciado. | Compatível | Relatar informações do SO do dispositivo |
| Cliente da CRD do Chrome OS conectado |
Um usuário conectado à sessão da Chrome Report Desktop (CRD). |
Compatível | |
| Cliente da CRD do Chrome OS desconectado | Um usuário desconectado da sessão da Chrome Report Desktop (CRD). | Compatível | |
| Host da CRD do Chrome OS interrompido | Um usuário afiliado interrompeu uma sessão do Chrome Report Desktop (CRD) em um dispositivo gerenciado. | Compatível | |
| Reversão do ChromeOS concluída | Um dispositivo ChromeOS concluiu uma reversão do SO. | Não compatível | Informar informações do SO do dispositivo |
| A versão do Chrome OS foi atualizada | Um usuário atualizou um dispositivo ChromeOS para a versão do ChromeOS de destino. | Não compatível | |
| Falha na atualização da versão do ChromeOS | Não foi possível atualizar um dispositivo ChromeOS para a versão do ChromeOS de destino. | Não compatível | |
| Powerwash do dispositivo Chrome OS iniciado | Um dispositivo ChromeOS iniciou um Powerwash. | Não compatível | |
| Controle de acesso aos dados | Um usuário acionou regras de controle de dados do ChromeOS aplicadas pelo administrador. | Compatível | Relatórios de controles de dados |
Gerenciar dados de eventos de registro
Gerenciar os dados da coluna de resultados da pesquisa
Você pode controlar quais colunas de dados aparecem nos resultados da pesquisa.
- No canto superior direito da tabela de resultados da pesquisa, clique em "Gerenciar colunas"
.
- (Opcional) Para remover as colunas, clique em "Remover item"
.
- (Opcional) Para adicionar colunas, ao lado de Adicionar nova coluna, clique na seta para baixo
e selecione a coluna de dados.
Repita quantas vezes forem necessárias. - (Opcional) Arraste o nome das colunas se quiser mudar a ordem.
- Clique em Salvar.
Exportar dados do resultado da pesquisa
Você pode exportar os resultados da pesquisa para o app Planilhas Google ou um arquivo CSV.
- Na parte de cima da tabela de resultados da pesquisa, clique em Exportar tudo.
- Digite um nome
A exportação aparece abaixo da tabela de resultados da pesquisa em Exportar resultados da ação. - Para ver os dados, clique no nome da exportação.
A exportação é aberta no Planilhas Google.
Os limites de exportação variam:
- O total de resultados da exportação é limitado a 100.000 linhas.
- Edições que têm o recurso: Frontline Standard e Frontline Plus; Enterprise Standard e Enterprise Plus; Education Standard e Education Plus, Enterprise Essentials Plus; Cloud Identity Premium. Comparar sua edição
Se você tiver a ferramenta de investigação de segurança, os resultados da exportação serão limitados a 30 milhões de linhas, exceto para pesquisas de mensagens do Gmail, que são limitadas a 10.000 linhas.
Para mais informações, consulte Exportar resultados da pesquisa.
Quando e por quanto tempo os dados ficam disponíveis?
Realizar ações com base nos resultados da pesquisa
- É possível configurar alertas com base nos dados de eventos de registro usando as regras de relatórios. Consulte instruções em Criar e gerenciar regras do relatório.
- Edições que têm o recurso: Frontline Standard e Frontline Plus; Enterprise Standard e Enterprise Plus; Education Standard e Education Plus, Enterprise Essentials Plus; Cloud Identity Premium. Comparar sua edição
Para prevenir, detectar e corrigir problemas de segurança de maneira eficiente, automatize as ações na ferramenta de investigação de segurança e configure alertas criando regras de atividade. Para configurar uma regra, defina as condições e especifique quais ações vão ser realizadas quando as condições forem atendidas. Veja mais detalhes e instruções em Criar e gerenciar regras de atividade.
Edições que têm o recurso: Frontline Standard e Frontline Plus; Enterprise Standard e Enterprise Plus; Education Standard e Education Plus, Enterprise Essentials Plus; Cloud Identity Premium. Comparar sua edição
Depois de fazer uma pesquisa na ferramenta de investigação de segurança, você pode realizar ações com base nos resultados. Por exemplo, você pode fazer uma pesquisa com base nos eventos de registro do Gmail e usar a ferramenta para excluir ou enviar mensagens para a quarentena ou para a caixa de entrada de outros usuários. Confira mais detalhes em Realizar ações com base nos resultados da pesquisa.
Gerenciar suas investigações
Edições que têm o recurso: Frontline Standard e Frontline Plus; Enterprise Standard e Enterprise Plus; Education Standard e Education Plus, Enterprise Essentials Plus; Cloud Identity Premium. Comparar sua edição
Ver a lista de investigaçõesPara ver uma lista das suas investigações e das compartilhadas com você, clique em Ver investigações. A lista de investigações inclui os nomes, as descrições e os proprietários das investigações, além da data da última modificação.
Nessa lista, você pode realizar ações em qualquer uma das suas investigações, como excluir uma investigação. Marque a caixa ao lado de uma investigação e clique em Ações.
Observação: logo acima da lista de investigações, em Acesso rápido, você pode ver as investigações salvas recentemente.
Como superadministrador, clique em Configurações para:
- alterar o fuso horário do seu evento (aplicável às condições e aos resultados da pesquisa);
- ativar ou desativar a opção Solicitar avaliador (mais detalhes em Solicitar avaliadores para ações em massa);
- ativar ou desativar a opção Ver conteúdo (disponível para os administradores com os privilégios apropriados);
- ativar ou desativar a opção Ativar justificativa da ação.
Veja mais detalhes e instruções em Configurar suas investigações.
Para salvar seus critérios de pesquisa ou compartilhar essas informações com outras pessoas, crie e salve uma investigação. Em seguida, compartilhe, duplique ou exclua a investigação.
Veja mais detalhes em Salvar, compartilhar, excluir e duplicar investigações.
Dados de telemetria da extensão do Chrome
Disponível apenas para clientes que compraram uma licença do Google Security Operations.
É possível capturar dados de telemetria da extensão do Chrome no Google Security Operations. Coletar dados de telemetria de extensão no Chrome e enviá-los para o Google Security Operations para fornecer análise instantânea e contexto sobre atividades de risco.
-
Faça login com uma conta de administrador no Google Admin Console.
Se você não estiver usando uma conta de administrador, não vai conseguir acessar o Admin Console.
-
Acesse Menu
Dispositivos > Chrome > Configurações. A página Configurações do navegador e usuário é aberta por padrão.
Exige o privilégio de administrador Gerenciamento de dispositivos móveis.
Se você se inscreveu no Gerenciamento de nuvem do navegador Chrome, acesse Menu
Navegador Chrome > Configurações.
- Acesse Relatórios do navegador.
- Clique em Relatórios de eventos e selecione Ativar relatórios de eventos.
- Clique em Configurações adicionais e marque a caixa Relatórios de telemetria da extensão.
- Clique em Salvar.
-
- Abra uma configuração do Google Security Operations
- Acesse Eventos do usuário e do navegador e, em Tipos de evento opcionais, marque a caixa Relatórios de telemetria da extensão. Como alternativa, clique em Nova configuração do provedor para criar uma nova configuração em que você quer receber eventos de telemetria da extensão.
- Clique em Salvar.
Para mais informações sobre o Google Security Operations e como configurá-lo, entre em contato com o Google Cloud Security.
Dados de telemetria da extensão do Chrome
|
Valor da extensão do Chrome
|
Descrição
|
Suporte ao conector de geração de relatórios
|
|---|---|---|
| chrome.cookies.get |
Recupera informações sobre um único cookie. API que permite a manipulação de cookies. O serviço de telemetria rastreia chamadas de API e argumentos para expor o roubo de cookies. |
Compatível com a versão 129 e posteriores do navegador Chrome. Requer uma licença do Google Security Operations para acessar os dados de telemetria. |
| chrome.cookies.get(All) |
Um sinal de telemetria de extensão do Chrome. Recupera todos os cookies de um único armazenamento de cookies que corresponde às informações fornecidas. API que permite a manipulação de cookies. O serviço de telemetria rastreia chamadas de API e argumentos para expor o roubo de cookies. |
Compatível com a versão 129 e posteriores do navegador Chrome. Requer uma licença do Google Security Operations para acessar os dados de telemetria. |
| chrome.tabs | Um sinal de telemetria de extensão do Chrome. Essa API oferece controles sobre as guias. O serviço de telemetria rastreia o uso dos métodos de criação, atualização e remoção de APIs para expor a pesquisa ou o sequestro do navegador. |
Compatível com a versão 129 e posteriores do navegador Chrome. Requer uma licença do Google Security Operations para acessar os dados de telemetria. |
| Hosts remotos contatados | Um sinal de telemetria de extensão do Chrome. O serviço de telemetria registra uma lista de todos os hosts remotos que são contatados usando http(s) e websockets. |
Compatível com a versão 129 e posteriores do navegador Chrome. Requer uma licença do Google Security Operations para acessar os dados de telemetria. |
| Extensões fora da loja | Um sinal de telemetria de extensão do Chrome. O serviço de telemetria rastreia nomes de arquivos e hashes de extensões que não são instaladas pela Chrome Web Store. |
Compatível com a versão 129 e posteriores do navegador Chrome. Requer uma licença do Google Security Operations para acessar os dados de telemetria. |
