← До повного змісту CIS Google Workspace Foundations Benchmark

CIS Benchmark

CIS Benchmark • Google Workspace v1.4

1. Каталог користувачів та організаційні підрозділи

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Каталог користувачів та організаційні підрозділи».


Рекомендацій: 3


Google Workspace v1.4

1.1.1 Переконайтеся, що призначено від двох до чотирьох глобальних адміністраторів (Вручну)

Level 1Вручну

Оригінал: Ensure that between two and four global admins are designated (Manual)

Наявність кількох облікових записів суперадміністратора потрібна в першу чергу для того, щоб єдина точка невдачі можна уникнути. Крім того, для великих організацій наявність кількох суперадміністраторів може бути корисним для цілей балансування робочого навантаження.

💡 Обґрунтування безпеки:

З точки зору безпеки мати лише один обліковий запис суперадміністратора проблематично, якщо цей користувач був недоступний протягом тривалого періоду часу. Крім того, супер Облікові записи адміністраторів ніколи не повинні використовуватися кількома користувачами. З точки зору безпеки мати велику кількість облікових записів суперадміністратора – це погано практика. Загалом, усім користувачам слід надавати найменші повноваження, необхідні для виконання своїх завдань робота. Це стосується й адміністраторів, оскільки не всі, кому потрібно «Адмініструвати Something” має бути суперадміністратором. Google Workspaces пропонує багато попередньо визначених Ролі адміністрування, а також дозволяє створювати настроювані ролі з дуже деталізованими параметрами вибір дозволу.

⚠️ Вплив на робочий процес (Impact):

Не повинно бути жодного впливу на користувачів, але адміністратори повинні мати нормальний (низький рівень прав) і обліковий запис адміністратора (високі привілеї).

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Перейдіть до каталогу та клацніть «Користувачі», відобразиться список усіх користувачів
  3. Натисніть «+ Додати фільтр», виберіть «Роль адміністратора», поставте прапорець «Суперадміністратор» і виберіть «Застосувати».
  4. У списку відображених користувачів будуть лише користувачі з роллю суперадміністратора
  5. Переконайтеся, що в списку є більше одного (1) користувача
  6. Переконайтеся, що в списку зазначено не більше чотирьох (4) користувачів.
⚙️ Виправлення (Remediation / Налаштування)
ℹ️ Примітка: Необхідно створити новий обліковий запис, а не додати цю роль до існуючого
оскільки завдання адміністрування слід виконувати через окремі облікові записи адміністратора.

Значення за замовчуванням: Усі клієнти Google Workspace спочатку матимуть одного суперадміністратора.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 5.1
IG 1, 2, 3
Establish and Maintain an Inventory of Accounts Establish and maintain an inventory of all accounts managed in the enterprise. The inventory must include both user and administrator accounts. The inventory, at a minimum, should contain the person’s name, username, start/stop dates, and department. Validate that all active accounts are authorized, on a recurring schedule at a minimum quarterly, or more frequently.

CIS Controls V7: 4.1
IG 1, 2
Maintain Inventory of Administrative Accounts Use automated tools to inventory all administrative accounts, including domain and local accounts, to ensure that only authorized individuals have elevated privileges.

1.1.2 Переконайтеся, що облікові записи суперадміністратора використовуються лише для дій суперадміністратора (Вручну)

Level 1Вручну

Оригінал: Ensure super admin accounts are used only for super admin activities (Manual)

Облікові записи суперадміністратора мають доступ до всіх функцій консолі адміністратора Google і API адміністратора та може керувати всіма аспектами облікового запису вашої організації. Супер адміністратори також мати повний доступ до всіх календарів користувачів і деталей подій. Рекомендується надати кожному суперадміністратору два облікові записи. Один для їх супер обліковий запис адміністратора та другий обліковий запис для повсякденної діяльності. Користувачі повинні входити лише в a обліковий запис суперадміністратора для виконання завдань суперадміністратора, наприклад налаштування 2-Step Перевірка (2SV), керування платежами та ліцензіями користувачів або допомога іншому адміністратору у відновленні їхній рахунок. Суперадміністратори повинні використовувати окремий обліковий запис не адміністратора протягом дня. сьогоднішня діяльність. Суперадміністратори повинні входити в обліковий запис за потреби для виконання певних завдань, а потім виходити. Від’їзд вхід в обліковий запис суперадміністратора може збільшити ризик фішингових атак.

💡 Обґрунтування безпеки:

Використовуйте обліковий запис суперадміністратора лише за потреби. Делегувати завдання адміністратора користувачу облікові записи з обмеженими правами адміністратора. Використовуйте підхід із найменшими привілеями, де кожен користувач має доступ до ресурсів та інструментів, необхідних для виконання типових завдань. Наприклад, ти може надати адміністратору дозволи на створення облікових записів користувачів і скидання паролів, але ні нехай видаляють облікові записи користувачів.

⚠️ Вплив на робочий процес (Impact):

Користувачі суперадміністраторів повинні будуть перемикати облікові записи, а також використовувати вхід/вихід функціональність при виконанні адміністративних завдань.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

  1. Увійдіть на сторінку https://admin.google.com як адміністратор
  2. Перейдіть до каталогу та клацніть «Користувачі», відобразиться список усіх користувачів
  3. Натисніть «+ Додати фільтр», виберіть «Роль адміністратора», поставте прапорець «Суперадміністратор» і виберіть «Застосувати».
  4. У списку відображених користувачів будуть лише користувачі з роллю суперадміністратора
  5. Натисніть «+ Додати фільтр», виберіть «Роль адміністратора», установіть прапорець «Делегований адміністратор», а потім виберіть «Застосувати».
  6. Переконайтеся, що немає користувачів із ролями суперадміністратора та уповноваженого адміністратора.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Для кожного суперадміністратора, який також є обліковим записом уповноваженого адміністратора, або створіть обліковий запис уповноваженого адміністратора для користувача elevate, або створіть обліковий запис уповноваженого адміністратора для наявного облікового запису не адміністратора в обліковому записі уповноваженого адміністратора.

    Значення за замовчуванням: N/A
    📋 CIS Controls & Нормативні посилання
    1. https://support.google.com/a/answer/179832?hl=en
    CIS Controls V8: 5.4
    IG 1, 2, 3
    Restrict Administrator Privileges to Dedicated Administrator Accounts Restrict administrator privileges to dedicated administrator accounts on enterprise assets. Conduct general computing activities, such as internet browsing, email, and productivity suite use, from the user’s primary, non-privileged account.

    CIS Controls V7: 4.1
    IG 1, 2
    Maintain Inventory of Administrative Accounts Use automated tools to inventory all administrative accounts, including domain and local accounts, to ensure that only authorized individuals have elevated privileges.

    1.2.1.1 Переконайтеся, що доступ до даних каталогу обмежено зовні (Вручну)

    Level 1Вручну

    Оригінал: Ensure directory data access is externally restricted (Manual)

    Налаштуйте спільний доступ до зовнішнього каталогу Google Workspace, щоб запобігти необмеженому доступу доступ до даних каталогу.

    💡 Обґрунтування безпеки:

    Якщо ваша організація використовує програми сторонніх розробників, які інтегруються з вашими службами Google, ви контролювати, скільки інформації каталогу зовнішні програми можуть отримати доступ. Якщо ви надасте доступ до каталогу, ваші користувачі матимуть кращий досвід роботи із зовнішніми програмами. Наприклад, коли вони використовують сторонню поштову програму, вони хочуть знайти контакти домену і автоматично заповнюйте адреси електронної пошти. Додатку потрібен доступ до каталогу даних, щоб це сталося. Однак це має можливість спільно використовувати ВСІ домени І публічні дані за допомогою підключеної сторонньої програми. • Загальнодоступні дані та базові поля профілю автентифікованого користувача — надайте доступ до них дані профілю домену із зовнішніми програмами та API. Також поділіться автентифікованими ім’я користувача, фото та адреса електронної пошти, щоб увімкнути вхід Google, якщо надаються відповідні обсяги. Інші непублічні поля профілю для автентифікований користувач не має спільного доступу. Уся непублічна інформація профілю іншого користувачі в домені не мають спільного доступу. • Домен і загальнодоступні дані — (за замовчуванням) надати спільний доступ до всієї інформації каталогу, до якої надано спільний доступ з вашим доменом і публічними даними. Ця інформація включає інформацію профілю для користувачів у вашому домені, спільні зовнішні контакти та імена профілів Google+ і фотографії.

    Тільки внутрішні – загальні

    ⚠️ Вплив на робочий процес (Impact):

    Налаштування спільного доступу до зовнішнього каталогу застосовується лише до наведених нижче API та програм Сценарії або сторонні програми Marketplace, які використовують ці API: • Google People API • Google CardDAV API • Google Contacts API v3 Налаштування застосовується лише до програм сторонніх розробників, таких як iOS Mail і iOS Contacts (коли зареєстровано на пристрої iOS через Додати обліковий запис, а потім Google), сторонні програми Контакти (на Android). Налаштування не застосовується до продуктів Google, зокрема мобільних програм, як-от наступні • Gmail, Контакти (на Android), Inbox, Meet та інші мобільні програми Google • iOS Mail і iOS Contacts за допомогою Google Sync (якщо зареєстровано на пристрої iOS через «Додати обліковий запис», а потім «Обмін») • Workspace Sync для Microsoft Outlook

    🔍 Аудит (перевірка налаштувань)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    Щоб перевірити це налаштування за допомогою консолі адміністратора Google:

    1. Увійдіть на сторінку https://admin.google.com як адміністратор
    2. Відкрийте згорнуте меню за допомогою кнопки «гамбургер \ 3 горизонтальні лінії»
    3. У розділі Каталог виберіть Параметри каталогу
    4. У розділі Параметри спільного доступу виберіть Спільний доступ до зовнішнього каталогу
    5. Переконайтеся, що налаштовано основні поля профілю автентифікованого користувача
    6. Виберіть Зберегти
    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    Щоб налаштувати це налаштування за допомогою консолі адміністратора Google Workspace:

    1. Увійдіть на сторінку https://admin.google.com як адміністратор
    2. Відкрийте згорнуте меню за допомогою кнопки «гамбургер \ 3 горизонтальні лінії»
    3. У розділі Каталог виберіть Параметри каталогу
    4. У розділі Параметри спільного доступу виберіть Спільний доступ до зовнішнього каталогу
    5. Виберіть основні поля профілю автентифікованого користувача
    Значення за замовчуванням: • Спільне використання зовнішнього каталогу = домен і загальнодоступні дані
    📋 CIS Controls & Нормативні посилання
    CIS Controls V8: 3.3
    IG 1, 2, 3
    Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

    CIS Controls V7: 14.6
    IG 1, 2, 3
    Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

    Потрібні інші розділи стандарту?

    Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


    До повного змісту CIS Google Workspace Foundations Benchmark →