Raccogliere i log di Google Chrome

Questo documento descrive come raccogliere i log degli eventi di sicurezza del browser Chrome e di ChromeOS configurando un connettore di reporting di Chrome Enterprise e come i campi dei log vengono mappati ai campi del modello di dati unificato (UDM) di Chrome.

Per ulteriori informazioni, consulta Importazione dei dati in Google SecOps.

Panoramica

Un deployment tipico è costituito da eventi di sicurezza del browser Chrome e di ChromeOS configurati per inviare log a Google SecOps. Ogni implementazione del cliente potrebbe essere diversa e più complessa. Il deployment è costituito dai seguenti componenti:

• Chrome: gli eventi di sicurezza del browser Chrome e di ChromeOS che vuoi raccogliere.

• Connettore di reporting di Chrome Enterprise: il connettore di reporting di Chrome Enterprise inoltra i log di Chrome a Google SecOps.

• Google SecOps: conserva e analizza i log di Chrome.

Un'etichetta di importazione identifica l'analizzatore sintattico che normalizza i dati dei log non elaborati in formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta di importazione CHROME_MANAGEMENT.

Prima di iniziare

• Assicurati di avere un account amministratore di Google Workspace.

• Assicurati che tutti i sistemi nell'architettura di deployment siano configurati nel fuso orario UTC.

• Assicurati di disporre di una chiave API Chronicle Ingestion. Se non ne hai una, contatta l'assistenza Google SecOps o il tuo punto di contatto cliente Google SecOps per richiedere la chiave API di importazione di Chronicle.

• Per ulteriori informazioni, consulta gli eventi dei log di Chrome.

Impostare Chrome Browser Cloud Management

Di seguito sono riportati i passaggi di alto livello per configurare Chrome Browser Cloud Management:

• Registra i browser Chrome gestiti su cloud

• Attivare i report del browser Chrome

• Aggiungere nuove configurazioni del fornitore

Per configurare Chrome Browser Cloud Management, svolgi i seguenti passaggi.

1. Nella Console di amministrazione, fai clic su Menu > Dispositivi > Chrome > Browser gestiti.

2. (Facoltativo) Seleziona l'organizzazione di primo livello o l'unità organizzativa in cui vuoi generare un token che registri i browser direttamente in quella specifica unità organizzativa. Per ulteriori informazioni, consulta Aggiungere un'unità organizzativa.

3. Fai clic su Registrati. Se questa è la tua prima registrazione del browser, ti verrà chiesto di accettare i Termini di servizio di Chrome Browser Cloud Management (CBCM).

4. Fai clic su Copia token di registrazione negli appunti.

5. Per registrare i browser Chrome gestiti su cloud, fai clic su Fine.

6. Nella Console di amministrazione, vai a Menu > Dispositivi > Chrome > Impostazioni > Utenti e browser. Seleziona la tua unità organizzativa di primo livello, in modo che tutte le organizzazioni secondarie ereditino il criterio. Scorri verso il basso fino a Report sul browser.

7. Imposta Reporting sul browser gestito su Attiva reporting su cloud tramite browser gestito.

8. Per attivare i report del browser Chrome, fai clic su Salva.

9. Nella Console di amministrazione, vai a Menu > Dispositivi > Chrome > Connettori.

10. (Facoltativo) Se è la prima volta che configuri le impostazioni dei connettori di Chrome Enterprise, segui le istruzioni per attivare Chrome Enterprise Connectors.

11. In alto, fai clic su + Configurazione nuovo provider.

12. Nel riquadro visualizzato a destra, trova la configurazione di Google SecOps e fai clic su Configura.

13. Inserisci l'ID configurazione, la chiave API e il nome host:

    • ID configurazione: l'ID visualizzato nella pagina Impostazioni browser e utente e nella pagina Connettori.

    • Chiave API: la chiave API da specificare quando si chiama l'API di importazione di Chronicle per identificare il cliente.

    • Nome host: l'endpoint dell'API di importazione. Per i clienti statunitensi, sarà sempre malachiteingestion-pa.googleapis.com; per le altre regioni, consulta la documentazione sugli endpoint regionali.

14. Fai clic su ADD CONFIGURATION (AGGIUNGI CONFIGURAZIONE) per aggiungere la nuova configurazione del fornitore.

Tipi di log e modelli di dati supportati

Di seguito sono riportati i tipi di log e gli eventi supportati per la gestione di Chrome. Tutti i tipi di log e gli eventi supportati sono in formato JSON.

Tipo di log	Tipo di evento
Attività dannose	badNavigationEvent dangerousDownloadEvent Malware transfer Extension install Password changed Password reuse Unsafe site visit Login events Password breach urlFilteringInterstitialEvent browserCrashEvent
Attività di controllo	CHROME_OS_ADD_USER CHROME_OS_REMOVE_USER DEVICE_BOOT_STATE_CHANGE CHROME_OS_LOGIN_FAILURE_EVENT CHROME_OS_LOGIN_LOGOUT_EVENT CHROME_OS_LOGIN_EVENT CHROME_OS_LOGOUT_EVENT CHROME_OS_REPORTING_DATA_LOST PASSWORD_CHANGED PASSWORD_REUSE DLP_EVENT CONTENT_TRANSFER CONTENT_UNSCANNED EXTENSION_REQUEST LOGIN_EVENT MALWARE_TRANSFER PASSWORD_BREACH SENSITIVE_DATA_TRANSFER UNSAFE_SITE_VISIT extensionTelemetryEvent
Protezione dei dati	Content transfer Content unscanned Sensitive data transfer
Chrome OS	ChromeOS login failure ChromeOS login success ChromeOS logout ChromeOS user added ChromeOS user removed ChromeOS lock success ChromeOS unlock success ChromeOS unlock failure ChromeOS device boot state change ChromeOS USB device added ChromeOS USB device removed ChromeOS USB status change ChromeOS CRD host started ChromeOS CRD client connected ChromeOS CRD client disconnected ChromeOS CRD host stopped

Formati dei log di Google Chrome supportati

L'analizzatore di Google Chrome supporta i log in formato JSON.

Log di esempio di Google Chrome supportati

• JSON:

  {
    "event": "badNavigationEvent",
    "time": "1622093983.104",
    "reason": "SOCIAL_ENGINEERING",
    "result": "EVENT_RESULT_WARNED",
    "device_name": "",
    "device_user": "",
    "profile_user": "sample@domain.io",
    "url": "https://test.domain.com/s/phishing.html",
    "device_id": "e9806c71-0f4e-4dfa-8c52-93c05420bb8f",
    "os_platform": "",
    "os_version": "",
    "browser_version": "109.0.5414.120",
    "user_agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/109.0.0.0 Safari/537.36",
    "client_type": "CHROME_BROWSER_PROFILE"
  }
  

Riferimento alla mappatura dei campi

Questa sezione spiega in che modo il parser di Google SecOps mappa i campi dei log di Chrome ai campi del modello UDM (Unified Data Model) di Google SecOps per i set di dati.

Riferimento alla mappatura dei campi: identificatore evento a tipo di evento

Nella tabella seguente sono elencati i tipi di log CHROME_MANAGEMENT e i relativi tipi di eventi UDM.

Riferimento alla mappatura dei campi: CHROME_MANAGEMENT

La tabella seguente elenca i campi del log del tipo di log CHROME_MANAGEMENT e i relativi campi UDM.

Passaggi successivi

• Importazione dei dati in Google SecOps

Per i blog della community sui log di Chrome, consulta:

• Integrare la gestione di Chrome Enterprise con Google SecOps

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.