收集 Google Chrome 記錄

本文說明如何設定 Chrome Enterprise 報表連接器，收集 Chrome 瀏覽器和 ChromeOS 安全性事件記錄，以及記錄欄位如何對應至 Chrome 統一資料模型 (UDM) 欄位。

詳情請參閱「將資料匯入 Google SecOps」。

總覽

一般部署作業包含 Chrome 瀏覽器和 ChromeOS 安全性事件，這些事件會設為將記錄傳送至 Google SecOps。每位客戶的部署作業可能有所不同，且可能更複雜。部署作業包含下列元件：

• Chrome：您要收集的 Chrome 瀏覽器和 ChromeOS 安全性事件。

• Chrome Enterprise 報表連接器：Chrome Enterprise 報表連接器會將 Chrome 記錄轉送至 Google SecOps。

• Google SecOps：保留及分析 Chrome 記錄。

擷取標籤會標示剖析器，將原始記錄資料正規化為具結構性的 UDM 格式。本文中的資訊適用於使用 CHROME_MANAGEMENT 攝入標籤的剖析器。

事前準備

• 確認您擁有 Google Workspace 管理員帳戶。

• 請確認部署架構中的所有系統都已設定為世界標準時間。

• 請確認您已取得 Chronicle Ingestion API 金鑰。如果沒有，請聯絡 Google SecOps 支援團隊或 Google SecOps 客戶聯絡窗口，要求提供 Chronicle Ingestion API 金鑰。

• 詳情請參閱 Chrome 記錄事件。

設定 Chrome 瀏覽器雲端管理服務

以下是設定 Chrome 瀏覽器雲端管理服務的大致步驟：

• 註冊採用雲端式管理的 Chrome 瀏覽器

• 開啟 Chrome 瀏覽器報告

• 新增供應商設定

請按照下列步驟設定 Chrome 瀏覽器雲端管理服務。

1. 在管理控制台中，依序點選「選單」 >「裝置」 >「Chrome」 >「受管理的瀏覽器」。

2. 選用：選取頂層機構或機構單位，產生權杖，以便直接將瀏覽器註冊至該特定機構單位。詳情請參閱「新增機構單位」。

3. 按一下「註冊」。如果這是您初次註冊瀏覽器，系統會提示您接受《Chrome 瀏覽器雲端管理 (CBCM) 服務條款》。

4. 按一下「將註冊權杖複製到剪貼簿」。

5. 如要註冊雲端式管理的 Chrome 瀏覽器，請按一下「完成」。

6. 在管理控制台中，依序前往「選單」>「裝置」>「Chrome」>「設定」>「使用者與瀏覽器」。選取頂層機構單位，以便讓所有子機構沿用相同的政策設定。向下捲動至「瀏覽器報告功能」。

7. 將「受管理瀏覽器的報告功能」設為「啟用受管理瀏覽器的雲端報告功能」。

8. 如要開啟 Chrome 瀏覽器報告，請按一下「儲存」。

9. 在管理控制台中，依序前往「選單」 >「裝置」 >「Chrome」 >「連接器」。

10. 選用：如果您是第一次設定 Chrome Enterprise 連接器，請按照提示將其開啟。

11. 按一下頂端的「+ 新增供應商設定」。

12. 在右側面板中找出 Google SecOps 設定，然後按一下「設定」。

13. 輸入「Configuration ID」、「API 金鑰」和「主機名稱」：

    • 設定 ID：顯示在「使用者與瀏覽器設定」頁面和「連接器」頁面中的 ID。

    • API 金鑰：在呼叫 Chronicle 攝入 API 以識別客戶時，所需指定的 API 金鑰。

    • 主機名稱：擷取 API 端點。美國客戶的端點一律為 malachiteingestion-pa.googleapis.com；其他地區請參閱地區端點說明文件。

14. 按一下「新增設定」，即可新增供應商設定。

支援的記錄類型和資料模型

以下是 Chrome 管理工具支援的記錄類型和事件。所有支援的記錄類型和事件皆為 JSON 格式。

記錄類型	事件類型
惡意活動	badNavigationEvent dangerousDownloadEvent Malware transfer Extension install Password changed Password reuse Unsafe site visit Login events Password breach urlFilteringInterstitialEvent browserCrashEvent
稽核活動	CHROME_OS_ADD_USER CHROME_OS_REMOVE_USER DEVICE_BOOT_STATE_CHANGE CHROME_OS_LOGIN_FAILURE_EVENT CHROME_OS_LOGIN_LOGOUT_EVENT CHROME_OS_LOGIN_EVENT CHROME_OS_LOGOUT_EVENT CHROME_OS_REPORTING_DATA_LOST PASSWORD_CHANGED PASSWORD_REUSE DLP_EVENT CONTENT_TRANSFER CONTENT_UNSCANNED EXTENSION_REQUEST LOGIN_EVENT MALWARE_TRANSFER PASSWORD_BREACH SENSITIVE_DATA_TRANSFER UNSAFE_SITE_VISIT extensionTelemetryEvent
資料保護	Content transfer Content unscanned Sensitive data transfer
Chrome 作業系統	ChromeOS login failure ChromeOS login success ChromeOS logout ChromeOS user added ChromeOS user removed ChromeOS lock success ChromeOS unlock success ChromeOS unlock failure ChromeOS device boot state change ChromeOS USB device added ChromeOS USB device removed ChromeOS USB status change ChromeOS CRD host started ChromeOS CRD client connected ChromeOS CRD client disconnected ChromeOS CRD host stopped

支援的 Google Chrome 記錄格式

Google Chrome 剖析器支援 JSON 格式的記錄。

支援的 Google Chrome 範例記錄

• JSON：

  {
    "event": "badNavigationEvent",
    "time": "1622093983.104",
    "reason": "SOCIAL_ENGINEERING",
    "result": "EVENT_RESULT_WARNED",
    "device_name": "",
    "device_user": "",
    "profile_user": "sample@domain.io",
    "url": "https://test.domain.com/s/phishing.html",
    "device_id": "e9806c71-0f4e-4dfa-8c52-93c05420bb8f",
    "os_platform": "",
    "os_version": "",
    "browser_version": "109.0.5414.120",
    "user_agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/109.0.0.0 Safari/537.36",
    "client_type": "CHROME_BROWSER_PROFILE"
  }
  

欄位對應參考資料

本節說明 Google SecOps 剖析器如何將 Chrome 記錄欄位對應至 Google SecOps 統一資料模型 (UDM) 欄位，以便處理資料集。

欄位對應參考資料：事件 ID 與事件類型

下表列出 CHROME_MANAGEMENT 記錄類型及其對應的 UDM 事件類型。

欄位對應參考資料：CHROME_MANAGEMENT

下表列出 CHROME_MANAGEMENT 記錄類型的記錄欄位，以及對應的 UDM 欄位。

後續步驟

• 將資料擷取至 Google SecOps

如要查看 Chrome 記錄的社群網誌，請參閱：

• 將 Chrome Enterprise 管理服務與 Google SecOps 整合

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。