Эта статья объясняет, как настроить коннекторы Google Drive и Gmail для политики Защита API приложений и данных для вашего аккаунта и создать правила, которые используют этот коннектор в политике защиты данных.
Примечание
Примечание: Пожалуйста, свяжитесь с SaaSecAPI@catonetworks.com или вашим официальным реселлером Cato для получения дополнительной информации об использовании политики Защита API приложений и данных.
Создайте коннектор для арендатора Google вашей организации. Коннектор требует, чтобы вы настроили консоли Google Cloud и Google Admin, чтобы разрешить и включить вызовы API для вашего аккаунта Cato. Затем определите правила в политике защиты данных, которые включают коннектор и указывают, что файлы или электронные письма должны сканироваться и обследоваться.
-
Администраторские разрешения для учетных записей Google Cloud и Google Admin
-
Коннектор Google Drive требует бизнес-лицензии для консоли Google Admin
-
Коннектор Gmail требует корпоративной лицензии Gmail
-
Учетные записи Google Drive и Gmail включены
-
Коннектор мониторит файлы, другие действия будут поддерживаться в скором времени
Этот раздел объясняет, как создать первоначальный API-коннектор для Google Drive и Gmail, и как подключить Google-арендатора вашей организации к вашему аккаунту Cato.
Коннекторы Google Drive и Gmail позволяют движку API безопасности SaaS Cato сканировать файлы (вложения), папки и электронные письма на содержимое, определенное в политике защиты данных. События генерируются для контента, который соответствует правилу в политике.
Примечание
Примечание: Первый раз, когда вы создаете коннектор Google, необходимо разрешить Cato использовать API для подключения к вашему аккаунту Google. Если вы уже создали коннектор Google и сейчас создаете дополнительный, продолжите с Создание дополнительных Google-коннекторов.
Это общий обзор процесса создания коннектора Cato для Google Drive и Gmail:
-
В приложении управления Cato создайте новый коннектор SaaS-приложения для Google Drive или Gmail.
-
Скопируйте области oAuth для коннектора.
-
-
В консоли Google Cloud для аккаунта вашей компании:
-
Создайте новый проект для коннектора Cato.
-
Включите необходимые API Google и сгенерируйте ID учетной записи службы.
-
-
В консоли Google Admin определите делегирование на уровне домена для коннектора Cato.
-
Вставьте области oAuth из коннектора в консоль Google Admin.
-
-
В консоли Google Cloud создайте API-ключи для коннектора Cato.
-
В приложении управления Cato загрузите API-ключи в коннектор SaaS-приложения для Google Drive или Gmail.
В приложении управления Cato создайте SaaS-приложение Google Drive или Gmail для коннектора к вашему аккаунту Google.
Чтобы создать коннектор для Google Drive или Gmail:
-
В меню навигации выберите Ресурсы > Интеграции и нажмите вкладку Интегрированные приложения.
-
Нажмите Новый. Открывается панель Новый коннектор.
-
В раскрывающемся списке SaaS Приложение выберите Google Drive или Gmail.
-
В разделе Возможность выберите Защита данных и угроз.
-
Введите Имя коннектора.
-
Введите Административный Email для административного аккаунта Google с правами администратора.
-
Нажмите Копировать области oAuth.
Чтобы просмотреть полный список областей oAuth, смотрите ниже oAuth Области для коннекторов Google Drive и Gmail
-
Продолжайте ниже с Шаг 2 – Настройка проекта в консоли Google Cloud.
Из консоли для вашей платформы Google Cloud создайте новый проект и включите Admin SDK API и облачную идентификацию для вашей учетной записи. Затем создайте новый сервисный аккаунт и скопируйте уникальный ID (этот ID понадобится для шага 3).
Чтобы настроить проект в консоли Google Cloud:
-
Войдите в консоль Google Cloud и выберите существующий проект или создайте Новый Проект.
-
Включите Google API для коннектора:
-
Выберите проект и из панели навигации выберите API & Сервисы > Библиотека.
-
В Библиотеке API найдите Admin SDK API.
-
Нажмите на Admin SDK API, и в новом окне нажмите Включить.
-
Вернитесь в библиотеку API и нажмите Google Drive API.
-
В следующем окне нажмите Включить.
-
-
Создайте сервисный аккаунт для коннектора Cato:
-
Из панели навигации выберите API & Сервисы > Учетные данные.
-
На панели меню нажмите Создать Учетные данные > Сервисный Аккаунт.
-
Введите Имя сервисного аккаунта.
-
Нажмите Создать и Продолжить, затем нажмите Готово.
-
-
В окне Сервисные Аккаунты отредактируйте новый аккаунт.
-
Копируйте и сохраните Уникальный ID для сервисного аккаунта. Вы введете этот ID в консоль администратора Google (ниже).
-
Продолжайте ниже с Шаг 3 – Определение делегирования для всего домена в консоли администратора Google.
Google использует делегирование для всего домена, чтобы приложения имели доступ к данным в рамках окружения Google Workspace. Определите делегирование для всего домена с разрешениями на доступ к API, которые вы включили в предыдущем разделе.
В консоли администратора Google создайте нового API клиента и настройте его на использование уникального ID для сервисного аккаунта (который вы сохранили из Шаг 2 – Настройка проекта в консоли Google Cloud выше).
Чтобы определить делегирование на уровне домена в консоли администратора Google:
-
Войдите в консоль администратора Google для вашей учетной записи.
-
На панели навигации выберите Безопасность > Контроль доступа и данных > Управление API.
-
В окне Управление API, в разделе делегирования для Домена внизу экрана нажмите Управлять делегированием на уровне домена.
-
В разделе Клиент API нажмите Добавить новый.
Откроется всплывающее окно Добавить новый клиент ID.
-
В ID клиента вставьте уникальный ID, который вы скопировали в предыдущем разделе.
-
Вставьте oAuth Области, к которым разрешён доступ коннектору.
-
Смотрите Шаг 1 - Создание Google Drive или Gmail SaaS Приложения выше для получения дополнительной информации о копировании областей OAuth в Приложение Управления Cato.
-
-
Нажмите Авторизовать.
Широкая делегация домена для коннектора Cato определена для использования уникального ID для Google API.
-
Продолжайте ниже с Шаг 4 - Создание Файла Ключей API в Консоли Google Cloud.
После включения делегации домена для учетной записи службы коннектора Cato используйте консоль Google Cloud для создания файла ключа API для учетной записи службы.
Чтобы создать файл ключей API:
-
В консоли Google Cloud выберите IAM & Администрирование > Учетные записи служб в панеле навигации.
-
Выберите учетную запись службы для коннектора Cato и выберите Действия > Управление ключами.
Открывается вкладка Ключи для учетной записи службы.
-
Нажмите Добавить ключ > Создать новый ключ.
-
В всплывающем окне выберите JSON и нажмите ОК.
Браузер сохраняет файл ключа API в указанную папку.
-
Продолжайте ниже с Шаг 5 - Загрузка Файла Ключа API в Приложение Управления Cato.
Загрузите файл ключа API, который был создан на предыдущем этапе, в коннектор Google Drive или Gmail в Приложение Управления Cato. После этого коннектор настроен и готов начать сканирование файлов и папок для вашего аккаунта.
Для коннектора Gmail необходимо добавить правило в настройке Архивирование электронной почты третьими сторонами в консоли Google Admin.
Примечание
Примечание: файл ключа API содержит конфиденциальные данные, мы рекомендуем удалить файл после его загрузки в Приложение Управления Cato.
Чтобы загрузить файл ключа API в Приложение Управления Cato:
-
Откройте вкладку браузера Приложения Управления Cato, где вы начали настраивать коннектор Google Drive или Gmail (выше Шаг 1 - Создание Google Drive или Gmail SaaS Приложения).
-
В разделе Загрузить файл ключа загрузите файл ключа API, который вы создали (выше Шаг 4 - Создание Файла Ключей API в Консоли Google Cloud).
-
Нажмите Сохранить.
-
Приложение Google Drive или Gmail SaaS добавляется на вкладку Интегрированные API.
-
Для приложения Gmail выполните следующие дополнительные шаги:
-
В экране завершения скопируйте адрес электронной почты.
-
Откройте консоль администратора Google.
-
Перейдите в Приложения > Google Workspace > Gmail > Маршрутизация > Архивирование электронной почты третьими сторонами.
-
Нажмите Добавить ещё одно правило.
-
В всплывающем окне Добавить настройку вставьте адрес электронной почты из шага a (выше).
-
Нажмите Сохранить.
-
Колонка Статус на странице Настройки соединителей показывает статус соединения между коннектором Google Drive и вашим аккаунтом Cato. Это объяснения статусов:
-
Подключено - Ваш аккаунт подключен к приложению и работает правильно
-
Ошибка соединения - Проблема с подключением или разрешениями для коннектора Google Drive. Пожалуйста, откройте тикет с Поддержка.
Когда вы создаете дополнительный коннектор Google для своего аккаунта, ваш Google аккаунт уже настроен для использования API для подключения к аккаунту Cato. Соединители используют одну и ту же область oAuth.
Активируйте Google API для нового Google Drive или Gmail API. Затем создайте и скачайте файл ключа со своего Google аккаунта и загрузите его в коннектор.
Чтобы создать дополнительный коннектор Google:
-
Войдите в консоль Google Cloud для вашего аккаунта.
-
Активируйте Google API для соединителя:
-
Выберите проект и из панели навигации выберите API & Услуги > Библиотека.
-
В библиотеке API найдите новую Google Drive API или Gmail API.
-
В следующем окне нажмите Включить.
-
-
Создайте и скачайте файл ключа для вашего Google аккаунта:
-
В консоли Google Cloud из панели навигации выберите IAM & Администратор > Учетные записи.
-
Выберите учетную запись службы для коннектора Cato и выберите Действия > Управление ключами.
-
Нажмите Добавить ключ > Создать новый ключ.
-
В появившемся окне выберите JSON и нажмите ОК.
Браузер сохраняет файл ключа API в указанную папку.
-
-
Создайте новый коннектор Google:
-
В меню навигации выберите Ресурсы > Интеграции и нажмите вкладку Интегрированные приложения.
-
Нажмите Новый. Панель Новый коннектор открывается.
-
Определите настройки для коннектора Google Drive или Gmail и введите Google административный Email.
-
В разделе Загрузить файл ключа загрузите файл ключа API, который вы создали выше.
-
Нажмите Сохранить.
-
-
Для приложения Gmail выполните следующие дополнительные шаги:
-
На экране завершения скопируйте адрес электронной почты.
-
Откройте консоль администратора Google.
-
Перейдите в Приложения > Google Workspace > Gmail > Маршрутизация > Архивация электронной почты сторонних разработчиков.
-
Нажмите Добавить другое правило.
-
В всплывающем окне Добавить настройку вставьте адрес электронной почты из шага a (выше).
-
Нажмите Сохранить.
-
Этот раздел объясняет, как использовать политику защиты данных для мониторинга и управления файлами, папками и электронной почтой, которые хранятся в вашем аккаунте Google.
Когда вы создаете правило защиты данных, вы можете определить различные действия для мониторинга или устранения нарушений политики, когда правило срабатывает. Каждое действие автоматически генерирует событие, и вы также можете выбрать получение уведомления по электронной почте. Для получения дополнительных сведений о событиях API защиты данных, смотрите ниже Анализ событий API защиты данных.
Это действия, которые вы можете настроить для выполнения системой защиты данных при совпадении с правилом:
(Действия Удалить общий доступ и Карантин доступно только для Google Drive, для Gmail правила могут быть определены только с действием Мониторинг.)
-
Мониторинг - Генерирует событие, чтобы вы могли отслеживать трафик, соответствующий правилу.
-
Удалить общий доступ - Когда пользователь пытается поделиться файлом, движок API защиты данных удаляет неавторизованное разрешение на общий доступ, и пользователь, получивший ссылку на файл, не будет иметь разрешение на доступ к файлу.
-
Карантин - Когда пользователь пытается загрузить файл, движок перемещает его в папку карантина, после чего пользователи больше не смогут получить к нему доступ. Администратор Google может получить доступ к файлу в папке карантина. Для получения информации о настройке папок карантина смотрите Подготовка к помещению файла в карантин.
Примечание
Примечание: Следующие ограниченные возможности применяются к действиям в Google Drive:
-
Действие Удалить общий доступ не может быть применено к файлу в общей папке, разрешения на общий доступ могут быть удалены только для файлов вне общей папки.
-
Когда применяется действие Удалить общий доступ, Google Drive позволяет пользователю запросить доступ к файлу у пользователя, который поделился файлом, и доступ может быть предоставлен примерно на десять минут.
-
Действие Карантин может занять до 10 минут для применения к файлу.
Настройте папки карантина для правил защиты данных и предотвращения угроз, и определите администратора Google с правами доступа к папкам. Вы можете настроить папки карантина для каждого администратора Google для арендатора. Когда вы настраиваете папки, вы можете затем создать правила с действием Карантин, и определить папку, в которую файл перемещается.
Для настройки папок карантина для администратора Google:
-
В панели навигации выберите Безопасность > Приложение и Данные Защита API и выберите вкладку Настройки.
-
Нажмите Новый. Откроется панель Папка карантина.
-
Выберите коннектор приложения Google Drive.
-
Выберите администратора Google для получения доступа к этим папкам карантина.
-
Нажмите Сохранить.
Для администратора создаются папка защиты данных и папка предотвращения угроз, и они могут быть настроены в правилах с использованием действия Карантин. Папки имеют имя по адресу электронной почты администратора и расположены в следующих каталогу Google Drive:
-
Папка защиты данных: Cato_Qarantine/Cato_Qarantine_DataProtection
-
Папка предотвращения угроз: Cato_Qarantine/Cato_Qarantine_ThreatPrevention
-
Используйте страницу защиты данных для добавления правил SaaS приложений в вашу политику защиты данных.
Создайте правило защиты данных для определения трафика, который анализируется API защиты данных. Создайте отдельные правила для каждого коннектора SaaS приложения, а затем определите критерии, которые определяют, какой трафик будет сканироваться.
Для получения дополнительной информации о настройках правил для Google Drive и Gmail см. ниже Понимание Google Connector Rules.
Чтобы создать новое правило Защиты данных для приложения Google Drive или Gmail:
-
Из панели навигации выберите Безопасность > Защита API Приложения и Данных и выберите или разверните Защита данных.
-
Нажмите Новый. Откроется панель Новое правило.
-
В Коннектор приложения выберите приложение Google Drive или Gmail.
-
В разделе Общие введите настройки для правила.
-
В Владелец (для Google Drive) или Отправитель (для Gmail) выберите одного или нескольких пользователей Google, которых вы отслеживаете (значение по умолчанию Любой).
Если выбрать нескольких пользователей, между ними будет отношение ИЛИ.
-
(Для Gmail) в Получатели, укажите пользователей Google, получающих почту (настройка по умолчанию Любой).
-
В Параметры совместного использования выберите уровень разрешений для сканируемых файлов и папок (значение по умолчанию Любое).
Если выбрать несколько параметров, между ними будет отношение ИЛИ.
-
В Атрибуты файла (для Google Drive) или Вложения (для Gmail) укажите критерии для выбора сканируемых файлов (настройка по умолчанию - сканировать все файлы).
-
В Профиль контента выберите DLP Профиль Контента для этого правила.
-
Выберите Действие.
Для действия Карантин (для Google Drive) выберите Путь к папке карантина. Для получения дополнительной информации о папках карантина, см. выше ???.
-
(Опционально) Настройте параметры отслеживания для создания Событий и отправки Уведомлений.
Для получения дополнительной информации о уведомлениях смотрите соответствующую статью о Группы подписок, Списки рассылки и Интеграции оповещений в разделе Оповещения.
-
Нажмите Сохранить. Правило будет добавлено в политику защиты данных.
В этом разделе рассматривается, как настроить параметры правил защиты данных для сканирования соответствующего трафика Google Drive или Gmail. Каждое правило может быть определено по следующим критериям:
-
Владелец или Отправитель - Пользователи Google в вашем рабочем пространстве (значение по умолчанию Любой)
-
Внутренний - Владелец является любым пользователем вашей компании
-
Пользователь Google - Владелец является конкретным пользователем
-
-
Получатели (для Gmail) - Пользователи, которые получают электронную почту
-
Внутренний - Владелец является любым пользователем вашей компании
-
Внешний - Определен в вашем аккаунте Google как вне вашей компании
-
Пользователь Google - Владелец является конкретным пользователем
-
Домен - Введите домен для получателей электронных писем
-
-
Параметры Совместного Использования - Выберите типы разрешений на совместное использование файлов и папок, которые соответствуют этому правилу (значение по умолчанию Любое)
-
Атрибуты файла или вложения - Критерии для вложений, которые сканируются (значение по умолчанию - все вложения)
-
Тип файла
-
Имя файла
-
Размер файла (максимальный размер файла - 100 МБ)
-
-
Профиль контента - Профиль DLP, который определяет инспекцию DLP контента
Вы можете создавать или редактировать Профили контента в Безопасность > Профили DLP > Профили DLP > Профиль контента
-
Действия - Выберите, хотите ли вы Мониторинг правила, генерируя событие или уведомление по электронной почте, когда правило будет соответствовать. Для Google Drive, вы также можете выбрать Удалить общий доступ разрешения или Карантин файлы, которые соответствуют правилу. Для информации о действиях в Google Drive, смотрите Понимание действий Google Drive и Gmail.
Вы можете определить конкретные файлы (или вложения) для правила и ограничить движок API SaaS только для сканирования указанных файлов, чтобы проверить, соответствуют ли они Профилю контента DLP.
Когда вы добавляете несколько файлов к правилу, выберите отношение между ними:
-
Удовлетворяет любому (ИЛИ) - Совпадение с одним из типов файлов в правиле
-
Удовлетворить всем (И) - Совпадение со всеми Типами Файлов в правиле (в противном случае правило игнорируется)
Вы можете использовать настройку Имя файла в правиле для определения точного имени файла или использовать подстановочные знаки для определения ключевых слов. Например, вы можете определить Имя файла как внутренний, чтобы соответствовать всем именам файлов, содержащим слово внутренний.
Движок API защиты данных последовательно проверяет данные и проверяет, соответствуют ли они какому-либо правилу. Если данные не соответствуют какому-либо правилу, то они не проверяются. Правила, находящиеся в верхней части базы правил, имеют более высокий приоритет и применяются перед правилами, расположенными ниже в базе правил. Каждый тип приложения или соединителя применяется к данным только один раз.
Лучшая практика - Для максимальной эффективности вашей базы правил, мы рекомендуем, чтобы для каждого типа соединителя правила для конкретных пользователей имели более высокий приоритет, чем правила, применяемые ко Любой пользователям.
Например, если данные соответствуют соединителю в правиле №2, данные проверяются движком API защиты данных. Движок не продолжает применять правила №3 и ниже для того же соединителя. Однако данные могут соответствовать правилу более низкого приоритета с другим соединителем.
Вы можете создать правила защиты от угроз для коннектора, чтобы сканировать файлы и вложения на наличие вредоносного ПО и вирусов с использованием движков Антивирус и Next Gen Антивирус, которые включены для вашего аккаунта. Движок API защиты данных сканирует трафик соединителя и применяет действия и параметры отслеживания, которые вы настроили для правила.
Вот действия, которые вы можете установить для выполнения движком защиты от угроз, когда правило будет соответствовать:
-
Мониторинг - Генерирует событие, позволяющее вам мониторить трафик, который соответствует правилу.
-
Удалить общий доступ - Когда пользователь пытается поделиться файлом, движок API защиты данных удаляет несанкционированное разрешение общего доступа, и пользователь, получивший ссылку на общий файл, не будет иметь разрешений для доступа к файлу.
-
Карантин - Когда пользователь пытается загрузить файл, движок перемещает его в папку карантина, и пользователи больше не могут получить к нему доступ. Администратор Google может получить доступ к файлу в папке карантина. Для информации о настройке папок карантина, смотрите Подготовка к файлу карантина.
Примечание
Примечание: Следующие известные ограничения применяются к действиям Google Drive:
-
Действие Удалить общий доступ не может быть применено к файлу в папке с общим доступом, разрешения на общий доступ могут быть удалены только для файлов, не находящихся в такой папке.
-
Когда применяется действие Удалить общий доступ, Google Drive позволяет пользователю запросить доступ к файлу у пользователя, который предоставил доступ, и они могут предоставить доступ приблизительно на десять минут.
-
На список применить действие Карантин может занять до 10 минут.
Каждое действие автоматически генерирует событие, и вы также можете выбрать получение уведомления по электронной почте. Для получения дополнительной информации о событиях API безопасности данных смотрите ниже Анализ событий API безопасности данных.
Когда вы создаете правило Защита API приложений и данных, антивирусные движки, включенные для вашего аккаунта (Безопасность > Защита от вредоносных программ), выполняют сканирование файлов на вредоносное ПО для того приложения-коннектора.
Следующий скриншот показывает правило защиты от угроз для коннектора OneDrive, который сканирует файлы, отправленные внутренними пользователями или гостями:
Иногда файл блокируется движками API защиты данных компании Кейто, и вы знаете, что он безопасен, и вам нужно разрешить его в сети. Исключения Антивируса в политике Хеш файла также применяются к Защите API Приложений и Данных. Для получения дополнительной информации о добавлении файлов в Политику Хеш файлов, смотрите Управление Исключениями Антивируса.
Страница Домашняя > События показывает все события API защиты данных для вашей учетной записи. Мощные инструменты поиска позволяют углубляться и идентифицировать некоторые события, содержащие необходимые данные.
События API защиты данных можно идентифицировать по следующим полям:
-
Тип события - Безопасность
-
Подтип - Защита данных API безопасности SaaS и Антивирус для API безопасности SaaS
Вы можете узнать больше об использовании страницы События здесь.
|
Название поля |
Описание |
|---|---|
|
Имя коннектора |
Имя для коннектора, определенного для правила |
|
Тип коннектора |
Приложение SaaS, определенное для этого коннектора |
|
Профиль DLP |
Профиль контента DLP, который сгенерировал это событие |
|
Имя файла |
Имя прикрепленного файла |
|
Соответствующие типы данных |
Типы данных в профиле контента, которые соответствуют правилу |
|
Сотрудники |
Адреса электронной почты пользователей, получивших файл |
|
Правило |
Имя правила в Политика защиты данных |
|
Владелец |
Владелец файла |
|
Серьезность |
Серьезность, определенная для правила |
|
Область совместного использования |
Параметры совместного использования для вложения Google Drive |
Это обязательные oAuth области для различных типов коннекторов Google:
-
Google Drive Чтение -
-
https://www.googleapis.com/auth/admin.directory.user.readonly
-
https://www.googleapis.com/auth/admin.directory.domain.readonly
-
https://www.googleapis.com/auth/admin.directory.customer.readonly
-
https://www.googleapis.com/auth/admin.reports.audit.readonly
-
https://www.googleapis.com/auth/drive.readonly
-
https://www.googleapis.com/auth/admin.reports.usage.readonly
-
-
Google Drive Запись -
-
https://www.googleapis.com/auth/admin.directory.user.readonly
-
https://www.googleapis.com/auth/admin.directory.domain.readonly
-
https://www.googleapis.com/auth/admin.directory.customer.readonly
-
https://www.googleapis.com/auth/admin.reports.audit.readonly
-
https://www.googleapis.com/auth/drive.readonly
-
https://www.googleapis.com/auth/admin.reports.usage.readonly
-
https://www.googleapis.com/auth/drive
-
https://www.googleapis.com/auth/drive.file
-
-
Gmail -
-
https://www.googleapis.com/auth/admin.directory.user.readonly
-
https://www.googleapis.com/auth/admin.directory.domain.readonly
-
https://www.googleapis.com/auth/admin.directory.customer.readonly
-
https://www.googleapis.com/auth/admin.reports.audit.readonly
-
https://www.googleapis.com/auth/drive.readonly
-
https://www.googleapis.com/auth/admin.reports.usage.readonly
-
0 комментариев
Войдите в службу, чтобы оставить комментарий.