Ce document décrit en détail les attributs des appareils collectés par la validation des points de terminaison à partir des appareils accédant aux ressources de votre organisation. Endpoint Verification collecte les attributs des appareils, les attributs d'identité des appareils, les attributs configurables des appareils et les attributs du navigateur Chrome.
Attributs de l'appareil
Le tableau suivant décrit les attributs collectés par la validation des points de terminaison que vous pouvez utiliser pour créer des niveaux d'accès.
| Nom de l'attribut | Description | OS compatibles | Exemple d'utilisation de l'attribut dans les expressions CEL |
is_secured_with_screenlock |
Valeur booléenne indiquant si la fonction de verrouillage de l'écran est activée sur un appareil. |
|
device.is_secured_with_screenlock == true |
encryption_status |
État du chiffrement d'un appareil. Valeurs possibles :
|
|
device.encryption_status == DeviceEncryptionStatus.ENCRYPTED |
os_type |
Système d'exploitation exécuté sur un appareil. Valeurs possibles :
|
|
device.os_type == OsType.DESKTOP_MAC |
os_version |
Version du système d'exploitation exécutée sur un appareil. |
|
|
verified_chrome_os |
Valeur booléenne indiquant si la requête provient d'un appareil avec un système ChromeOS validé. | ChromeOS (uniquement pour les appareils enregistrés auprès de l'entreprise) | device.verified_chrome_os == true |
model |
Modèle d'un appareil. |
|
device.model == "MacBookPro16,1" |
is_managed_browser_profile |
Valeur booléenne indiquant si le compte de la zone de contenu Chrome associé à un appareil correspond à son compte de profil Chrome. |
|
device.is_managed_browser_profile == true |
certificates |
Attributs des certificats associés à un appareil. Par exemple, les certificats d'entreprise. |
|
device.certificates.exists(cert, cert.is_valid && cert.root_ca_fingerprint == "SOME_ROOT_CA_FINGERPRINT") |
windows_domain_name |
Nom de domaine d'une machine Windows. | Windows | device.clients["bce"].data["windows_domain_name"] == "GOOGLE" |
is_os_native_firewall_enabled |
Valeur booléenne indiquant si le pare-feu intégré du système d'exploitation est activé sur un appareil. |
|
device.clients["bce"].data["is_os_native_firewall_enabled"] == true |
is_secure_boot_enabled |
Valeur booléenne indiquant si l'option de démarrage sécurisé est activée sur un appareil. | Windows | device.clients["bce"].data["is_secure_boot_enabled"] == true |
av_installed |
Liste des logiciels antivirus installés sur un appareil. |
Windows | device.clients["bce"].data["av_installed"].exists(x, x == "mcafee") == true |
av_enabled |
Liste des logiciels antivirus installés et activés sur un appareil. |
Windows | device.clients["bce"].data["av_enabled"].exists(x, x == "mcafee") == true |
hotfixes |
Liste des correctifs appliqués sur les systèmes Windows. |
Windows | device.clients["bce"].data["hotfixes"].exists(x, x == "KB0001") == true |
Attributs d'identité de l'appareil
Le tableau suivant décrit les attributs collectés par la validation des points de terminaison que vous pouvez utiliser pour identifier les appareils. Ces attributs ne peuvent pas être utilisés pour créer des niveaux d'accès.
| Nom de l'attribut | Description | OS compatibles |
| Numéro de série | Numéro de série de l'appareil. |
|
| Nom d'hôte | Nom d'hôte de l'appareil. |
|
| ID de l'appareil | Numéro d'identification unique associé à l'appareil. |
|
| Adresse MAC Wi-Fi | Adresse MAC de l'appareil. |
|
Attributs d'appareil configurables
La validation des points de terminaison permet de collecter des attributs d'appareil précis appelés attributs d'appareil configurables, tels que les attributs de métadonnées des fichiers, des dossiers et des binaires, les entrées de registre et les propriétés d'un fichier plist. Vous pouvez utiliser ces attributs de configuration de l'appareil pour créer des niveaux d'accès.
Cette option n'est pas activée par défaut. Pour collecter ces attributs d'appareil configurables et précis, configurez les paramètres de validation des points de terminaison.
Le tableau suivant décrit les attributs des fichiers, des dossiers et des binaires.
| Nom de l'attribut | Description | OS compatibles | Exemple d'utilisation de l'attribut dans les expressions CEL |
presence |
Indique la présence d'un fichier, d'un dossier ou d'un binaire. Valeurs possibles :
|
|
device.clients["bce"].data["file_config"]["config_name"]["presence"] == PresenceValue.VALUE_FOUND |
is_running |
Indique si un binaire est en cours d'exécution. Elle est toujours définie sur "false" pour un fichier ou un dossier. |
|
device.clients["bce"].data["file_config"]["config_name"]["is_running"] == true |
sha256_hash |
Fournit le hachage SHA-256 d'un fichier ou d'un binaire. Il s'agit toujours d'une chaîne vide pour un dossier. |
|
device.clients["bce"].data["file_config"]["config_name"]["sha256_hash"] == " |
public_key_sha256 |
Fournit une liste des valeurs de hachage SHA-256 des clés publiques utilisées pour signer l'exécutable. Il s'agit toujours d'une chaîne vide pour un fichier ou un dossier. |
|
device.clients["bce"].data["file_config"]["config_name"]["public_key_sha256"].exists(x, x == " |
product_name |
Nom du produit de l'exécutable. Il s'agit toujours d'une chaîne vide pour un fichier ou un dossier. |
|
device.clients["bce"].data["file_config"]["config_name"]["product_name"] == "some value" |
version |
Version du produit de l'exécutable. Il s'agit toujours d'une chaîne vide pour un fichier ou un dossier. |
|
device.clients["bce"].data["file_config"]["config_name"]["version"] == "some value" |
Le tableau suivant décrit les attributs en fonction des entrées de registre et des propriétés d'un fichier plist.
| Nom de l'attribut | Description | OS compatibles | Exemple d'utilisation de l'attribut dans les expressions CEL |
presence |
Indique la présence d'une entrée de registre ou de fichier plist. Valeurs possibles :
|
|
|
value |
Fournit les données stockées dans le registre ou le fichier plist. Valeurs possibles :
Les chaînes sont limitées à 1 024 octets. |
|
|
Attributs du navigateur Chrome
Le navigateur Chrome est la plate-forme de point de terminaison Zero Trust de Chrome Enterprise Premium. Il permet aux entreprises qui autorisent le télétravail de protéger leurs données et d'améliorer l'efficacité de leurs employés. Intégré nativement au navigateur Chrome, Chrome Enterprise Premium offre une gestion centralisée des règles de sécurité, une protection des points de terminaison sans agent et un accès "zéro confiance" intégré.
Chrome Enterprise Premium offre les fonctionnalités de sécurité des points de terminaison suivantes :
- Protection des données : empêchez la fuite de données sensibles (par exemple, des informations permettant d'identifier personnellement l'utilisateur) dans les fichiers transférés et dans le contenu importé par le navigateur.
- Protection contre les menaces : protégez-vous contre les transferts de logiciels malveillants à l'aide de la réputation, des signatures et du bac à sable cloud.
- Analyse Enterprise : fournit des analyses et des investigations pour les événements de sécurité tels que le transfert de logiciels malveillants, la visite de sites d'hameçonnage, le vol d'identifiants ou le transfert de données sensibles.
Pour vous assurer que les utilisateurs accèdent aux ressources depuis des environnements sécurisés, vous pouvez définir des règles zéro confiance qui garantissent que ces fonctionnalités de protection contre les menaces et de protection des données sont activées dans l'environnement du navigateur de l'utilisateur.
IMPORTANT : Les attributs Chrome ne sont efficaces que pour le trafic basé sur le navigateur. Ils n'ont aucun effet lorsque les requêtes ne proviennent pas d'un navigateur, comme les requêtes provenant de la gcloud CLI ou des SDK Google Cloud .
Le tableau suivant décrit les attributs du navigateur Google Chrome collectés par la validation des points de terminaison que vous pouvez utiliser pour créer des niveaux d'accès :
| Nom de l'attribut | Description | OS compatibles | Exemple d'utilisation de l'attribut dans les expressions CEL |
versionAtLeast(min_version) |
Version minimale du navigateur Chrome. |
|
device.chrome.versionAtLeast("88.0.4321.44") |
management_state |
État de gestion du navigateur pour un appareil. Un navigateur est considéré comme géré s'il est enregistré dans la gestion cloud du navigateur Chrome. Valeurs possibles :
|
|
device.chrome.management_state == ChromeManagementState.CHROME_MANAGEMENT_STATE_MANAGED_BY_OTHER_DOMAIN |
is_file_upload_analysis_enabled |
Valeur booléenne indiquant si le connecteur d'analyse des fichiers importés est activé sur un appareil. |
|
device.chrome.is_file_upload_analysis_enabled == true | false |
is_file_download_analysis_enabled |
Valeur booléenne indiquant si le connecteur d'analyse des téléchargements de fichiers est activé sur un appareil. |
|
device.chrome.is_file_download_analysis_enabled == true | false |
is_bulk_data_entry_analysis_enabled |
Valeur booléenne indiquant si le connecteur d'analyse de texte groupé (coller) est activé sur un appareil. |
|
device.chrome.is_bulk_data_entry_analysis_enabled == true | false |
is_security_event_analysis_enabled |
Valeur booléenne indiquant si le connecteur de signalement des événements de sécurité est activé sur un appareil. |
|
device.chrome.is_security_event_analysis_enabled == true | false |
is_realtime_url_check_enabled |
Valeur booléenne indiquant si le connecteur de vérification des URL en temps réel est activé sur un appareil. |
|
device.chrome.is_realtime_url_check_enabled == true | false |
safe_browsing_protection_level |
La règle relative au niveau de protection de la navigation du navigateur. Valeurs possibles :
|
|
device.chrome.safe_browsing_protection_level == SafeBrowsingLevel.SAFE_BROWSING_LEVEL_STANDARD |
is_site_isolation_enabled |
Valeur booléenne indiquant si l'isolation de site est activée pour chaque site. |
|
device.chrome.is_site_isolation_enabled == true |
is_built_in_dns_client_enabled |
Valeur booléenne indiquant si le client DNS intégré de Chrome communique avec le serveur DNS. |
|
device.chrome.is_built_in_dns_client_enabled == true |
password_protection_warning_trigger |
La règle de déclencheur d'avertissement de protection par mot de passe du navigateur. Valeurs possibles :
|
|
device.chrome.password_protection_warning_trigger == PasswordProtectionTrigger.PASSWORD_PROTECTION_TRIGGER_PASSWORD_REUSE |
is_chrome_remote_desktop_app_blocked |
Valeur booléenne indiquant si l'application Bureau à distance Chrome est bloquée. |
|
device.chrome.is_chrome_remote_desktop_app_blocked == true |
is_chrome_cleanup_enabled |
Valeur booléenne indiquant si l'outil de nettoyage Chrome est activé. | Windows | device.chrome.is_chrome_cleanup_enabled == true |
is_third_party_blocking_enabled
|
Valeur booléenne indiquant si le blocage de l'injection de logiciels tiers est activé. | Windows | device.chrome.is_third_party_blocking_enabled == true |
Le tableau suivant contient des exemples de règles que vous pouvez définir :
| Exemple de règle | Expression |
|---|---|
| Autoriser l'accès uniquement lorsque l'utilisateur se connecte à partir d'un navigateur Chrome entièrement géré, et pas seulement d'un profil Chrome géré. Une fois l'authentification effectuée dans un navigateur Chrome entièrement géré, l'utilisateur peut également utiliser Google Cloud CLI pour accéder aux ressources. | device.chrome.management_state == ChromeManagementState.CHROME_MANAGEMENT_STATE_BROWSER_MANAGED
|
| Autoriser l'accès aux ressources uniquement si l'analyse des contenus à télécharger est activée, afin que les administrateurs puissent s'assurer que le téléchargement de contenus sensibles soit détectable. | device.chrome.is_file_download_analysis_enabled == true
|
| Autoriser l'accès au contenu uniquement si les fonctionnalités de protection contre les menaces et de protection des données sont activées dans le navigateur. | device.chrome.is_file_download_analysis_enabled == true &&
device.chrome.is_file_upload_analysis_enabled == true &&
device.chrome.is_realtime_url_check_enabled == true
|
| Autoriser l'accès au contenu uniquement si les rapports d'événements de sécurité sont activés. | device.chrome.is_security_event_analysis_enabled == true
|
Étapes suivantes
Configurer la validation des points de terminaison sur vos appareils
Activer la collecte des attributs configurables de l'appareil