Atributos del dispositivo recopilados por la Verificación de extremos

En este documento, se describen los detalles de los atributos del dispositivo que recopila Endpoint Verification de los dispositivos que acceden a los recursos de tu organización. Endpoint Verification recopila atributos del dispositivo, atributos de identidad del dispositivo, atributos configurables del dispositivo y atributos del navegador Chrome.

Atributos del dispositivo

En la siguiente tabla, se describen los atributos que recopila la Verificación de extremos y que puedes usar para crear niveles de acceso.

Nombre del atributo Descripción SO compatibles Ejemplo de uso del atributo en las expresiones de CEL
is_secured_with_screenlock Es un valor booleano que indica si la función de bloqueo de pantalla está habilitada en un dispositivo.
  • macOS
  • ChromeOS
  • Windows
  • Linux
 device.is_secured_with_screenlock == true
encryption_status

Es el estado de encriptación de un dispositivo. Valores posibles:

  • ENCRYPTION_UNSPECIFIED = 0 indica que el estado de encriptación del dispositivo no está especificado o no se conoce.
  • ENCRYPTION_UNSUPPORTED = 1 indica que el dispositivo no admite la encriptación.
  • ENCRYPTION_UNENCRYPTED = 2 indica que el dispositivo admite la encriptación, pero no está encriptado.
  • ENCRYPTED = 3 indica que el dispositivo está encriptado.
  • macOS
  • ChromeOS
  • Windows
  • Linux
 device.encryption_status == DeviceEncryptionStatus.ENCRYPTED
os_type

Es el sistema operativo que se ejecuta en un dispositivo. Valores posibles:

  • OS_UNSPECIFIED = 0 indica que no se especificó o no se conoce el sistema operativo del dispositivo.
  • DESKTOP_MAC = 1
  • DESKTOP_WINDOWS = 2
  • DESKTOP_LINUX = 3
  • DESKTOP_CHROME_OS = 6
  • macOS
  • ChromeOS
  • Windows
  • Linux
 device.os_type == OsType.DESKTOP_MAC
os_version Es la versión del sistema operativo que se ejecuta en un dispositivo.
  • macOS
  • ChromeOS
  • Windows
  • Linux
  • device.os_version == "MacOS 13.4.0"
  • device.os_version == "ChromeOs 14541.0.0"
  • device.os_version == "Windows 10.0.19045"
  • device.os_version == "Linux rodete"
verified_chrome_os Es un valor booleano que indica si la solicitud proviene de un dispositivo con un ChromeOS verificado. ChromeOS (solo para dispositivos inscritos en la empresa) device.verified_chrome_os == true
model Es el modelo de un dispositivo.
  • macOS
  • Windows
  • Linux
 device.model == "MacBookPro16,1"
is_managed_browser_profile Es un valor booleano que indica si la cuenta del área de contenido de Chrome asociada a un dispositivo coincide con la cuenta de su perfil de Chrome.
  • macOS
  • ChromeOS
  • Windows
  • Linux
 device.is_managed_browser_profile == true
certificates Son los atributos de los certificados asociados a un dispositivo. Por ejemplo, certificados empresariales.
  • macOS
  • ChromeOS
  • Windows
  • Linux
 device.certificates.exists(cert, cert.is_valid && cert.root_ca_fingerprint == "SOME_ROOT_CA_FINGERPRINT")
windows_domain_name Es el nombre de dominio de una máquina Windows. Windows device.clients["bce"].data["windows_domain_name"] == "GOOGLE"
is_os_native_firewall_enabled

Es un valor booleano que indica si el firewall integrado del sistema operativo está habilitado en un dispositivo.
  • macOS
  • ChromeOS
  • Windows
  • Linux
 device.clients["bce"].data["is_os_native_firewall_enabled"] == true
is_secure_boot_enabled Es un valor booleano que indica si la opción de inicio seguro está habilitada en un dispositivo. Windows device.clients["bce"].data["is_secure_boot_enabled"] == true
av_installed

Es una lista de los productos de software antivirus que están instalados en un dispositivo.

 Windows device.clients["bce"].data["av_installed"].exists(x, x == "mcafee") == true
av_enabled

Es una lista de los productos de software antivirus que están instalados y habilitados en un dispositivo.

 Windows device.clients["bce"].data["av_enabled"].exists(x, x == "mcafee") == true
hotfixes

Es una lista de correcciones que se aplican en los sistemas Windows.

 Windows device.clients["bce"].data["hotfixes"].exists(x, x == "KB0001") == true

Atributos de identidad del dispositivo

En la siguiente tabla, se describen los atributos que recopila la Verificación de extremos y que puedes usar para identificar dispositivos. Estos atributos no se pueden usar para crear niveles de acceso.

Nombre del atributo Descripción SO compatibles
Número de serie Es el número de serie del dispositivo.
  • macOS
  • ChromeOS (solo para dispositivos inscritos en la empresa)
  • Windows
  • Linux
Nombre de host Es el nombre de host del dispositivo.
  • macOS
  • Windows
  • Linux
ID de dispositivo Es el número de identificación único asociado al dispositivo.
  • macOS
  • Windows
  • Linux
Dirección MAC de Wi-Fi Es la dirección MAC del dispositivo.
  • macOS
  • ChromeOS
  • Windows
  • Linux

Atributos del dispositivo configurables

Endpoint Verification proporciona una opción para recopilar atributos detallados del dispositivo llamados atributos configurables del dispositivo, como atributos de metadatos de archivos, carpetas y archivos binarios; entradas de registro; y propiedades en un archivo plist. Puedes usar estos atributos de configuración del dispositivo para crear niveles de acceso.

Esta opción no está habilitada de forma predeterminada. Para recopilar estos atributos del dispositivo configurables y detallados, configura los parámetros de Endpoint Verification.

En la siguiente tabla, se describen los atributos de archivos, carpetas y archivos binarios.

Nombre del atributo Descripción SO compatibles Ejemplo de uso del atributo en las expresiones de CEL
presence

Indica la presencia de un archivo, una carpeta o un archivo binario. Valores posibles:

  • VALUE_UNKNOWN = 0 indica que no se conoce la presencia debido a una falla que ocurrió antes de la evaluación.
  • VALUE_INACCESSIBLE = 1 indica que la organización no tiene acceso al recurso del indicador.
  • VALUE_NOT_FOUND = 2 indica que no se encontró el recurso.
  • VALUE_FOUND = 3 indica que se encontró el recurso.
  • macOS
  • Windows
  • Linux
 device.clients["bce"].data["file_config"]["config_name"]["presence"] == PresenceValue.VALUE_FOUND
is_running Indica si se está ejecutando un archivo binario. Siempre es falso para un archivo o una carpeta.
  • macOS
  • Windows
  • Linux
 device.clients["bce"].data["file_config"]["config_name"]["is_running"] == true
sha256_hash

Proporciona el hash SHA-256 de un archivo o un archivo binario. Siempre es una cadena vacía para una carpeta.
  • macOS
  • Windows
  • Linux
 device.clients["bce"].data["file_config"]["config_name"]["sha256_hash"] == ""
public_key_sha256

Proporciona una lista de valores de hash SHA-256 de las claves públicas que se usan para firmar el archivo ejecutable. Siempre es una cadena vacía para un archivo o una carpeta.
  • macOS
  • Windows
 device.clients["bce"].data["file_config"]["config_name"]["public_key_sha256"].exists(x, x == "")
product_name

Nombre del producto del ejecutable. Siempre es una cadena vacía para un archivo o una carpeta.
  • macOS
  • Windows
 device.clients["bce"].data["file_config"]["config_name"]["product_name"] == "some value"
version

Es la versión del producto del archivo ejecutable. Siempre es una cadena vacía para un archivo o una carpeta.

  • macOS
  • Windows
 device.clients["bce"].data["file_config"]["config_name"]["version"] == "some value"

En la siguiente tabla, se describen los atributos según las entradas del registro y las propiedades de un archivo plist.

Nombre del atributo Descripción SO compatibles Ejemplo de uso del atributo en las expresiones de CEL
presence

Indica la presencia de una entrada de registro o de plist. Valores posibles:

  • VALUE_UNKNOWN = 0 indica que no se conoce la presencia debido a una falla que ocurrió antes de la evaluación.
  • VALUE_INACCESSIBLE = 1 indica que la organización no tiene acceso al recurso del indicador.
  • VALUE_NOT_FOUND = 2 indica que no se encontró el recurso.
  • VALUE_FOUND = 3 indica que se encontró el recurso.
  • macOS
  • Windows
  • device.clients["bce"].data["registry_config"]["config_name"]["presence"] == PresenceValue.VALUE_FOUND
  • device.clients["bce"].data["plist_config"]["config_name"]["presence"] == PresenceValue.VALUE_FOUND
value

Proporciona los datos que se almacenan en el registro o en la lista de propiedades. Valores posibles:

  • macOS: NSString o NSNumber
  • Windows: REG_SZ, REG_DWORD o REG_QWORD

Las cadenas tienen un límite de 1,024 bytes.
  • macOS
  • Windows
  • device.clients["bce"].data["registry_config"]["config_name"]["value"] == <"string value"|boolean|double|int>
  • device.clients["bce"].data["plist_config"]["config_name"]["value"] == <"string value"|boolean|double|int>

Atributos del navegador Chrome

El navegador Chrome es la plataforma de extremos de confianza cero de Chrome Enterprise Premium, lo que fortalece y protege a las empresas desde cualquier lugar. Gracias a la integración nativa con el navegador Chrome, Chrome Enterprise Premium ofrece administración de políticas de seguridad centralizada, protección de extremos sin agentes y acceso integrado de confianza cero.

Chrome Enterprise Premium ofrece las siguientes funciones de seguridad de extremos:

  • Protección de datos: Evita que se filtren datos sensibles (por ejemplo, información de identificación personal) en archivos transferidos y en el contenido que sube el navegador.
  • Protección contra amenazas: Protege contra las transferencias de software malicioso mediante la reputación, las firmas y la zona de pruebas en la nube.
  • Análisis empresarial: Proporciona análisis e investigación para los eventos de seguridad, como transferencias de software malicioso, visitas al sitio de suplantación de identidad (phishing), robos de credenciales o transferencias de datos sensibles.

Para garantizar que los usuarios accedan a los recursos de los entornos seguros, puedes establecer políticas de confianza cero que aseguren que el entorno del navegador del usuario tenga estas funciones de protección contra amenazas y protección de datos activadas.

IMPORTANTE: Los atributos de Chrome solo son efectivos para el tráfico basado en el navegador. No tienen efecto cuando las solicitudes no provienen de un navegador, como las solicitudes de la gcloud CLI o los SDKs de Google Cloud .

En la siguiente tabla, se describen los atributos del navegador Google Chrome que recopila la Verificación de extremos y que puedes usar para crear niveles de acceso:

Nombre del atributo Descripción SO compatibles Ejemplo de uso del atributo en las expresiones de CEL
versionAtLeast(min_version) Es la versión mínima del navegador Chrome.
  • macOS
  • ChromeOS
  • Windows
  • Linux
 device.chrome.versionAtLeast("88.0.4321.44")
management_state

Es el estado de administración del navegador para un dispositivo. Se considera que un navegador está administrado si se inscribió en la Administración en la nube para el navegador Chrome. Valores posibles:

  • CHROME_MANAGEMENT_STATE_UNSPECIFIED = 0 indica que el estado de administración del dispositivo no está especificado o no se conoce.
  • CHROME_MANAGEMENT_STATE_UNMANAGED = 1 indica que ninguna organización administra el navegador o el perfil.
  • CHROME_MANAGEMENT_STATE_MANAGED_BY_OTHER_DOMAIN = 2 indica que el navegador es administrado, pero por otra organización.
  • CHROME_MANAGEMENT_STATE_PROFILE_MANAGED = 3 indica que el navegador no está administrado y que el perfil lo administra una organización.
  • CHROME_MANAGEMENT_STATE_BROWSER_MANAGED = 4 indica que una organización administra el navegador y el perfil.
  • macOS
  • ChromeOS
  • Windows
  • Linux
 device.chrome.management_state == ChromeManagementState.CHROME_MANAGEMENT_STATE_MANAGED_BY_OTHER_DOMAIN
is_file_upload_analysis_enabled Es un valor booleano que indica si el conector de análisis de carga de archivos está habilitado en un dispositivo.
  • macOS
  • ChromeOS
  • Windows
  • Linux
 device.chrome.is_file_upload_analysis_enabled == true | false
is_file_download_analysis_enabled Es un valor booleano que indica si el conector de análisis de descarga de archivos está habilitado en un dispositivo.
  • macOS
  • ChromeOS
  • Windows
  • Linux
 device.chrome.is_file_download_analysis_enabled == true | false
is_bulk_data_entry_analysis_enabled Es un valor booleano que indica si el conector de análisis de texto masivo (pegar) está habilitado en un dispositivo.
  • macOS
  • ChromeOS
  • Windows
  • Linux
 device.chrome.is_bulk_data_entry_analysis_enabled == true | false
is_security_event_analysis_enabled Es un valor booleano que indica si el conector de informes de eventos de seguridad está habilitado en un dispositivo.
  • macOS
  • ChromeOS
  • Windows
  • Linux
 device.chrome.is_security_event_analysis_enabled == true | false
is_realtime_url_check_enabled Es un valor booleano que indica si el conector de verificación de URL en tiempo real está habilitado en un dispositivo.
  • macOS
  • ChromeOS
  • Windows
  • Linux
 device.chrome.is_realtime_url_check_enabled == true | false
safe_browsing_protection_level

Es la política de nivel de protección de la navegación del navegador. Valores posibles:

  • SAFE_BROWSING_LEVEL_UNSPECIFIED = 0 indica que no se estableció la política de nivel de protección del navegador para el dispositivo.
  • SAFE_BROWSING_LEVEL_DISABLED = 1 indica que la política de nivel de protección del navegador está inhabilitada para el dispositivo y que este no está protegido contra sitios web, descargas ni extensiones peligrosos.
  • SAFE_BROWSING_LEVEL_STANDARD = 2 indica que el dispositivo está protegido contra descargas, extensiones y sitios web que se sabe que son peligrosos.
  • SAFE_BROWSING_LEVEL_ENHANCED = 3
    • indica que el dispositivo tiene protección proactiva contra descargas, extensiones y sitios web peligrosos.
  • Mac
  • ChromeOS
  • Windows
  • Linux
 device.chrome.safe_browsing_protection_level == SafeBrowsingLevel.SAFE_BROWSING_LEVEL_STANDARD
is_site_isolation_enabled Es un valor booleano que indica si el aislamiento de sitios está habilitado para todos los sitios.
  • macOS
  • ChromeOS
  • Windows
  • Linux
 device.chrome.is_site_isolation_enabled == true
is_built_in_dns_client_enabled Es un valor booleano que indica si el cliente DNS integrado de Chrome se comunica con el servidor DNS.
  • macOS
  • ChromeOS
  • Windows
  • Linux
 device.chrome.is_built_in_dns_client_enabled == true
password_protection_warning_trigger

Es la política de activación de advertencias de protección con contraseña del navegador. Valores posibles:

  • PASSWORD_PROTECTION_TRIGGER_UNSPECIFIED = 0 indica que no se estableció la política de activación de advertencias de protección de contraseñas.
  • PASSWORD_PROTECTION_TRIGGER_PROTECTION_OFF = 1 indica que nunca se detecta la reutilización de la contraseña.
  • PASSWORD_PROTECTION_TRIGGER_PASSWORD_REUSE = 2 indica que se muestra una advertencia cuando el usuario final reutiliza su contraseña protegida en un sitio que no está permitido.
  • PASSWORD_PROTECTION_TRIGGER_PHISHING_REUSE = 3 indica que se muestra una advertencia cuando el usuario final reutiliza su contraseña protegida en un sitio de phishing.
  • macOS
  • ChromeOS
  • Windows
  • Linux
 device.chrome.password_protection_warning_trigger == PasswordProtectionTrigger.PASSWORD_PROTECTION_TRIGGER_PASSWORD_REUSE
is_chrome_remote_desktop_app_blocked Es un valor booleano que indica si la aplicación remota de Escritorio remoto de Chrome está bloqueada.
  • macOS
  • ChromeOS
  • Windows
  • Linux
 device.chrome.is_chrome_remote_desktop_app_blocked == true
is_chrome_cleanup_enabled Es un valor booleano que indica si la Herramienta de limpieza de Chrome está habilitada. Windows device.chrome.is_chrome_cleanup_enabled == true
is_third_party_blocking_enabled Es un valor booleano que indica si está habilitado el bloqueo de inserción de software de terceros. Windows device.chrome.is_third_party_blocking_enabled == true

En la siguiente tabla, se incluyen ejemplos de políticas que puedes establecer:

Ejemplo de una política Expresión
Solo permite el acceso cuando el usuario proviene de un navegador Chrome completamente administrado y no solo de un perfil de Chrome administrado. Después de la autenticación a través de un navegador Chrome completamente administrado, el usuario también puede usar Google Cloud CLI para acceder a los recursos. device.chrome.management_state == ChromeManagementState.CHROME_MANAGEMENT_STATE_BROWSER_MANAGED
Solo permite el acceso a los recursos si el análisis de contenido de descarga está habilitado para que los administradores puedan garantizar que se pueda detectar la descarga de contenido sensible. device.chrome.is_file_download_analysis_enabled == true
Solo permite el acceso al contenido si el navegador tiene habilitadas las capacidades de protección de datos y amenazas. device.chrome.is_file_download_analysis_enabled == true && device.chrome.is_file_upload_analysis_enabled == true && device.chrome.is_realtime_url_check_enabled == true
Solo permite el acceso al contenido si los informes de eventos de seguridad están habilitados. device.chrome.is_security_event_analysis_enabled == true

¿Qué sigue?