Google Chrome-Protokolle erfassen

In diesem Dokument wird beschrieben, wie Sie Protokolle zu Sicherheitsereignissen für Chrome-Browser und ChromeOS erfassen können, indem Sie einen Chrome Enterprise Reporting Connector einrichten. Außerdem wird beschrieben, wie Protokollfelder den Feldern des Unified Data Model (UDM) von Chrome zugeordnet werden.

Weitere Informationen finden Sie unter Datenaufnahme in Google SecOps.

Übersicht

Eine typische Bereitstellung besteht aus Chrome- und ChromeOS-Sicherheitsereignissen, die so konfiguriert sind, dass Protokolle an Google SecOps gesendet werden. Jede Kundenbereitstellung kann unterschiedlich und komplexer sein. Die Bereitstellung besteht aus den folgenden Komponenten:

• Chrome: Die Sicherheitsereignisse für den Chrome-Browser und ChromeOS, die Sie erfassen möchten.

• Chrome Enterprise Connector für die Berichterstellung: Der Chrome Enterprise Connector für die Berichterstellung leitet Chrome-Protokolle an Google SecOps weiter.

• Google SecOps: Chrome-Protokolle werden beibehalten und analysiert.

Ein Erfassungslabel identifiziert den Parser, der Logrohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument beziehen sich auf den Parser mit dem Label CHROME_MANAGEMENT.

Hinweise

• Sie benötigen ein Google Workspace-Administratorkonto.

• Achten Sie darauf, dass alle Systeme in der Bereitstellungsarchitektur in der UTC-Zeitzone konfiguriert sind.

• Prüfen Sie, ob Sie einen API-Schlüssel für die Chronicle Ingestion API haben. Wenn Sie keinen haben, wenden Sie sich an den Google SecOps-Support oder Ihren Ansprechpartner bei Google SecOps, um Ihren Chronicle Ingestion API-Schlüssel anzufordern.

• Weitere Informationen finden Sie unter Chrome-Protokollereignisse.

Chrome-Verwaltung über die Cloud einrichten

Dies sind die allgemeinen Schritte zum Einrichten der Chrome-Verwaltung über die Cloud:

• Chrome-Browser für die Verwaltung über die Cloud registrieren

• Berichterstellung zu Chrome-Browsern aktivieren

• Neue Anbieterkonfigurationen hinzufügen

So richten Sie die Chrome-Verwaltung über die Cloud ein:

1. Klicken Sie in der Admin-Konsole auf das Dreistrich-Menü > Geräte > Chrome > Verwaltete Browser.

2. Optional: Wählen Sie die oberste Organisationseinheit oder die Organisationseinheit aus, für die Sie ein Token generieren möchten, mit dem Browser direkt für diese bestimmte Organisationseinheit registriert werden. Weitere Informationen finden Sie im Hilfeartikel Eine Organisationseinheit hinzufügen.

3. Klicken Sie auf Registrieren. Wenn das Ihre erste Browserregistrierung ist, werden Sie aufgefordert, die Nutzungsbedingungen der Chrome-Verwaltung über die Cloud (Chrome Browser Cloud Management, CBCM) zu akzeptieren.

4. Klicken Sie auf Registrierungstoken in Zwischenablage kopieren.

5. Klicken Sie auf Fertig, um Chrome-Browser für die Verwaltung über die Cloud zu registrieren.

6. Gehen Sie in der Admin-Konsole zum Dreistrich-Menü > Geräte > Chrome > Einstellungen > Nutzer und Browser. Wählen Sie die oberste Organisationseinheit aus, damit alle untergeordneten Organisationen die Richtlinie übernehmen. Scrollen Sie nach unten zu Browserberichte.

7. Setzen Sie Berichte zu verwalteten Browsern auf Cloud-Berichterstellung für verwaltete Browser aktivieren.

8. Wenn Sie die Berichterstellung für Chrome-Browser aktivieren möchten, klicken Sie auf Speichern.

9. Öffnen Sie in der Admin-Konsole das Menü > Geräte > Chrome > Connectors.

10. Optional: Wenn Sie die Einstellungen für Chrome Enterprise Connectors zum ersten Mal konfigurieren, folgen Sie der Anleitung zum Aktivieren von Chrome Enterprise Connectors.

11. Klicken Sie oben auf Neue Anbieterkonfiguration.

12. Suchen Sie im Bereich rechts nach der Google SecOps-Einrichtung und klicken Sie auf Einrichten.

13. Geben Sie die Konfigurations-ID, den API-Schlüssel und den Hostnamen ein:

    • Konfigurations-ID: Die ID, die auf der Seite Nutzer- und Browsereinstellungen und auf der Seite Connectors angezeigt wird.

    • API-Schlüssel: Der API-Schlüssel, der beim Aufrufen der Chronicle Ingestion API zum Identifizieren des Kunden angegeben werden soll.

    • Hostname: Der Ingestion API-Endpunkt. Für Kunden in den USA ist dies immer malachiteingestion-pa.googleapis.com. Informationen zu anderen Regionen finden Sie in der Dokumentation zu regionalen Endpunkten.

14. Klicken Sie auf KONFIGURATION HINZUFÜGEN, um die neue Anbieterkonfiguration hinzuzufügen.

Unterstützte Log-Typen und Datenmodelle

Die folgenden Protokolltypen und Ereignisse werden für die Chrome-Verwaltung unterstützt. Alle unterstützten Logtypen und Ereignisse liegen im JSON-Format vor.

Logtyp	Ereignistyp
Böswillige Aktivität	badNavigationEvent dangerousDownloadEvent Malware transfer Extension install Password changed Password reuse Unsafe site visit Login events Password breach urlFilteringInterstitialEvent browserCrashEvent
Prüfaktivität	CHROME_OS_ADD_USER CHROME_OS_REMOVE_USER DEVICE_BOOT_STATE_CHANGE CHROME_OS_LOGIN_FAILURE_EVENT CHROME_OS_LOGIN_LOGOUT_EVENT CHROME_OS_LOGIN_EVENT CHROME_OS_LOGOUT_EVENT CHROME_OS_REPORTING_DATA_LOST PASSWORD_CHANGED PASSWORD_REUSE DLP_EVENT CONTENT_TRANSFER CONTENT_UNSCANNED EXTENSION_REQUEST LOGIN_EVENT MALWARE_TRANSFER PASSWORD_BREACH SENSITIVE_DATA_TRANSFER UNSAFE_SITE_VISIT extensionTelemetryEvent
Datenschutz	Content transfer Content unscanned Sensitive data transfer
Chrome OS	ChromeOS login failure ChromeOS login success ChromeOS logout ChromeOS user added ChromeOS user removed ChromeOS lock success ChromeOS unlock success ChromeOS unlock failure ChromeOS device boot state change ChromeOS USB device added ChromeOS USB device removed ChromeOS USB status change ChromeOS CRD host started ChromeOS CRD client connected ChromeOS CRD client disconnected ChromeOS CRD host stopped

Unterstützte Google Chrome-Protokollformate

Der Google Chrome-Parser unterstützt Logs im JSON-Format.

Unterstützte Google Chrome-Beispiellogs

• JSON:

  {
    "event": "badNavigationEvent",
    "time": "1622093983.104",
    "reason": "SOCIAL_ENGINEERING",
    "result": "EVENT_RESULT_WARNED",
    "device_name": "",
    "device_user": "",
    "profile_user": "sample@domain.io",
    "url": "https://test.domain.com/s/phishing.html",
    "device_id": "e9806c71-0f4e-4dfa-8c52-93c05420bb8f",
    "os_platform": "",
    "os_version": "",
    "browser_version": "109.0.5414.120",
    "user_agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/109.0.0.0 Safari/537.36",
    "client_type": "CHROME_BROWSER_PROFILE"
  }
  

Referenz zur Feldzuordnung

In diesem Abschnitt wird beschrieben, wie der Google SecOps-Parser Chrome-Logfelder den Feldern des Google SecOps Unified Data Model (UDM) für die Datasets zuordnet.

Feldzuordnung: Ereignis-ID zu Ereignistyp

In der folgenden Tabelle sind die CHROME_MANAGEMENT-Logtypen und die entsprechenden UDM-Ereignistypen aufgeführt.

Referenz zur Feldzuordnung: CHROME_MANAGEMENT

In der folgenden Tabelle sind die Logfelder des Logtyps CHROME_MANAGEMENT und die entsprechenden UDM-Felder aufgeführt.

Nächste Schritte

• Datenaufnahme in Google SecOps

Community-Blogs zu Chrome-Protokollen:

• Chrome Enterprise-Verwaltung in Google SecOps einbinden

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten