Recoger registros de Google Chrome

En este documento se describe cómo puedes recoger registros de eventos de seguridad de Chrome Browser y ChromeOS configurando un conector de informes de Chrome Enterprise y cómo se asignan los campos de registro a los campos del modelo de datos unificado (UDM) de Chrome.

Para obtener más información, consulta Ingestión de datos en Google SecOps.

Información general

Una implementación típica consta de eventos de seguridad del navegador Chrome y de ChromeOS configurados para enviar registros a Google SecOps. Cada implementación de cliente puede ser diferente y más compleja. La implementación consta de los siguientes componentes:

• Chrome los eventos de seguridad del navegador Chrome y de ChromeOS que quieras recoger.

• Conector de informes de Chrome Enterprise: reenvía los registros de Chrome a Google SecOps.

• Google SecOps: conserva y analiza los registros de Chrome.

Una etiqueta de ingestión identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de ingestión CHROME_MANAGEMENT.

Antes de empezar

• Asegúrate de que tienes una cuenta de administrador de Google Workspace.

• Asegúrate de que todos los sistemas de la arquitectura de implementación estén configurados en la zona horaria UTC.

• Asegúrate de que tienes una clave de API de ingestión de Chronicle. Si no tienes ninguna, ponte en contacto con el equipo de Asistencia de SecOps de Google o con tu punto de contacto de cliente de SecOps de Google para solicitar tu clave de la API Ingestion de Chronicle.

• Para obtener más información, consulta el artículo Eventos de registro de Chrome.

Configura Gestión en la nube del navegador Chrome

Estos son los pasos generales para configurar Gestión en la nube del navegador Chrome:

• Registrar navegadores Chrome gestionados en la nube

• Activar los informes del navegador Chrome

• Añadir configuraciones de proveedores

Sigue estos pasos para configurar Gestión en la nube del navegador Chrome.

1. En la consola de administración, haz clic en Menú > Dispositivos > Chrome > Navegadores gestionados.

2. Opcional: Selecciona la organización de nivel superior o la unidad organizativa en la que quieras generar un token que registre los navegadores directamente en esa unidad organizativa. Para obtener más información, consulta el artículo Añadir unidades organizativas.

3. Haz clic en Enroll (Registrar). Si es la primera vez que registras un navegador, se te pedirá que aceptes los Términos del Servicio de Gestión en la nube del navegador Chrome (CBCM).

4. Haz clic en Copiar token de registro en el portapapeles.

5. Para registrar navegadores Chrome gestionados en la nube, haz clic en Hecho.

6. En la consola de administración, ve a Menú > Dispositivos > Chrome > Configuración > Usuarios y navegadores. Selecciona el nivel organizativo superior para que todas las organizaciones secundarias hereden la política. Desplázate hacia abajo hasta Informes del navegador.

7. En Informes del navegador gestionado, selecciona Activar los informes en la nube del navegador gestionado.

8. Para activar los informes del navegador Chrome, haz clic en Guardar.

9. En la consola de administración, ve a Menú > Dispositivos > Chrome > Conectores.

10. Opcional: Si vas a configurar los ajustes de Chrome Enterprise Connectors por primera vez, sigue las indicaciones para activar Chrome Enterprise Connectors.

11. En la parte superior, haz clic en + Nueva configuración de proveedor.

12. En el panel que aparece a la derecha, busca la configuración de Google SecOps y haz clic en Configurar.

13. Introduce el ID de configuración, la clave de API y el nombre de host:

    • ID de configuración: el ID que se muestra en la página Configuración de usuario y de navegador y en la página Conectores.

    • Clave de API: la clave de API que se debe especificar al llamar a la API de ingestión de Chronicle para identificar al cliente.

    • Nombre de host: el endpoint de la API de ingestión. Para los clientes de EE. UU., siempre será malachiteingestion-pa.googleapis.com. Para los de otras regiones, consulta la documentación de endpoints regionales.

14. Haz clic en AÑADIR CONFIGURACIÓN para añadir la nueva configuración de proveedor.

Tipos de registros y modelos de datos admitidos

A continuación se indican los tipos de registros y eventos admitidos para la gestión de Chrome. Todos los tipos de registros y eventos admitidos están en formato JSON.

Tipo de registro	Tipo de evento
Actividad maliciosa	badNavigationEvent dangerousDownloadEvent Malware transfer Extension install Password changed Password reuse Unsafe site visit Login events Password breach urlFilteringInterstitialEvent browserCrashEvent
Actividad de auditoría	CHROME_OS_ADD_USER CHROME_OS_REMOVE_USER DEVICE_BOOT_STATE_CHANGE CHROME_OS_LOGIN_FAILURE_EVENT CHROME_OS_LOGIN_LOGOUT_EVENT CHROME_OS_LOGIN_EVENT CHROME_OS_LOGOUT_EVENT CHROME_OS_REPORTING_DATA_LOST PASSWORD_CHANGED PASSWORD_REUSE DLP_EVENT CONTENT_TRANSFER CONTENT_UNSCANNED EXTENSION_REQUEST LOGIN_EVENT MALWARE_TRANSFER PASSWORD_BREACH SENSITIVE_DATA_TRANSFER UNSAFE_SITE_VISIT extensionTelemetryEvent
Protección de datos	Content transfer Content unscanned Sensitive data transfer
Chrome OS	ChromeOS login failure ChromeOS login success ChromeOS logout ChromeOS user added ChromeOS user removed ChromeOS lock success ChromeOS unlock success ChromeOS unlock failure ChromeOS device boot state change ChromeOS USB device added ChromeOS USB device removed ChromeOS USB status change ChromeOS CRD host started ChromeOS CRD client connected ChromeOS CRD client disconnected ChromeOS CRD host stopped

Formatos de registro de Google Chrome admitidos

El analizador de Google Chrome admite registros en formato JSON.

Registros de ejemplo de Google Chrome admitidos

• JSON:

  {
    "event": "badNavigationEvent",
    "time": "1622093983.104",
    "reason": "SOCIAL_ENGINEERING",
    "result": "EVENT_RESULT_WARNED",
    "device_name": "",
    "device_user": "",
    "profile_user": "sample@domain.io",
    "url": "https://test.domain.com/s/phishing.html",
    "device_id": "e9806c71-0f4e-4dfa-8c52-93c05420bb8f",
    "os_platform": "",
    "os_version": "",
    "browser_version": "109.0.5414.120",
    "user_agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/109.0.0.0 Safari/537.36",
    "client_type": "CHROME_BROWSER_PROFILE"
  }
  

Referencia de asignación de campos

En esta sección se explica cómo asigna el analizador de Google SecOps los campos de registro de Chrome a los campos del modelo de datos unificado (UDM) de Google SecOps para los conjuntos de datos.

Referencia de asignación de campos: identificador de evento a tipo de evento

En la siguiente tabla se enumeran los CHROME_MANAGEMENT tipos de registros y sus tipos de eventos de UDM correspondientes.

Referencia de mapeado de campos: CHROME_MANAGEMENT

En la siguiente tabla se enumeran los campos de registro del tipo de registro CHROME_MANAGEMENT y sus campos de UDM correspondientes.

Siguientes pasos

• Ingestión de datos en Google SecOps

Para ver blogs de la comunidad sobre los registros de Chrome, consulta los siguientes enlaces:

• Integrar la gestión de Chrome Enterprise con Google SecOps

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.