Google Workspace'te Üçüncü Taraf OAuth Uygulamaları Nasıl Denetlenir

Çoğu BT yöneticisine kaç üçüncü taraf uygulamanın Google Workspace verilerine erişimi olduğunu sorun, bir sayı değil bir tahmin alırsınız. Bu belirsizlik asıl sorundur. Bir kullanıcı her "Google ile Giriş Yap"a tıkladığında veya bir Marketplace eklentisi yüklediğinde, bir OAuth uygulamasına kurumsal verilere kalıcı bir erişim dilimi vermiş olur — ve bu izin, kullanıcının ilgisinden, tedarikçinin geçerliliğinden ve çoğu zaman yöneticinin farkındalığından daha uzun ömürlü olur.

Bu makale, bu izinleri denetlemek için pratik bir yöntemdir: bunları nerede bulacağınız, hangilerinin riskli olduğuna nasıl karar vereceğiniz ve bunları nasıl güvenli bir şekilde temizleyeceğiniz.

Bir OAuth izni gerçekte nedir

Bir kullanıcı bir uygulamayı "Google ile" yetkilendirdiğinde, şifresini teslim etmez. Uygulamaya, Google API'lerini kullanıcı (veya kuruluş) adına çağırmasına izin veren belirli izinlere — *scope'lara* — kapsamlandırılmış bir jeton (token) verir. Bir scope, "e-posta adresinizi görün" kadar dar olabileceği gibi, "tüm Google Drive dosyalarınızı görün, düzenleyin, oluşturun ve silin" kadar geniş de olabilir.

Bu izinleri denetlemeye değer kılan iki özellik vardır:

• Kalıcıdırlar. Bir jeton, açıkça iptal edilene, uygulama kaldırılana veya hesap devre dışı bırakılana kadar çalışmaya devam eder. "O aracı bir yıldır kullanmıyorum" hiçbir şeyi iptal etmez.
• Kullanıcı tarafından başlatılırlar. Erişim, "İzin Ver"e tıklayan kişi tarafından verilir, BT tarafından sağlanmaz. Bu, ders kitabı tanımıyla shadow IT'dir ve erişim envanterinizin varsayılan olarak eksik olduğu anlamına gelir.

Envanteri nerede bulacaksınız

İki bakış açısı vardır.

Kullanıcı görünümü, her kişinin Google Hesabında, *Güvenlik → Üçüncü taraf uygulamalar ve hizmetler* (eski adıyla "Hesabınıza erişimi olan uygulamalar") altında bulunur. Bir kullanıcının neleri yetkilendirdiğini gösterir. Nokta kontrolleri için kullanışlıdır, ölçekte pratik değildir.

Yönetici görünümü, Google Admin konsolunda, *Güvenlik → API kontrolleri → Uygulama erişim kontrolü* altında bulunur (ve yanındaki bağlı uygulama raporlamasında). Bu, kuruluş genelindeki tabloyu verir: hangi uygulamaların bağlı olduğu, hangi scope'lara sahip oldukları ve her birini kaç kullanıcının yetkilendirdiği. Denetim için çalışacağınız yer burasıdır.

Uygun yönetici ayrıcalıklarına sahipseniz, Admin SDK'nın jeton raporlaması aynı verileri programatik olarak listeleyebilir; bu da yılda bir kez yapılan manuel bir angarya yerine sürekli, otomatikleştirilmiş bir incelemeyi mümkün kılan şeydir.

Riski nasıl değerlendirirsiniz

Bağlı her uygulama bir sorun değildir. Boş/meşgul saatleri okuyabilen bir takvim planlama aracı düşük risklidir; tek bir kişi tarafından kullanılan ve tam Drive erişimine sahip bir not alma uygulaması ise farklı bir hikayedir. Her uygulamayı birkaç boyutta puanlayın:

• Scope genişliği. Tam Drive erişimi, Gmail okuma/gönderme ve yönetici dizini erişimi yüksek riskli scope'lardır. Her dosyayı okuyup dışarı sızdırabilen bir uygulama, ne kadar güvenilir görünse de bir numaralı önceliğinizdir.
• Erişebildiği verinin hassasiyeti. Drive içeriği ve posta kutusu erişimi, profil veya takvim meta verilerinden daha önceliklidir.
• Kullanıcı sayısı ve kapsamı. Bir kişinin kullandığı ama geniş erişime sahip bir uygulama, sessiz ve yoğunlaşmış bir risktir. Tüm şirketin kullandığı bir uygulama, etki alanı geniş olduğu için incelemeyi hak eder.
• Yayıncı güveni. Doğrulanmış yayıncılar ve iyi bilinen tedarikçiler, doğrulanmamış veya anonim uygulamalardan daha güvenli bahislerdir. Google'ın uygulama doğrulama durumu yararlı bir sinyaldir, bir garanti değil.
• Etkinlik. Aylardır kimsenin kullanmadığı bir uygulama tamamen dezavantajdır: tüm risk, hiç değer yok.

Bunları birleştirmenin basit bir yolu: yüksek riskli bir scope'a sahip *ve* düşük güvenilirlikte *veya* yakın zamanda kullanılmamış her şey, temizlik listesinin en üstüne gider.

Adım adım tekrarlanabilir bir denetim

1. Listeleyin. Bağlı uygulamaların ve scope'larının tam listesini Admin konsolundan (veya API üzerinden) çekin.
2. Scope'ları sınıflandırın. Tehlikeli olanları işaretleyin — tam Drive, Gmail gönderme/okuma, dizin ve tüm yönetici scope'ları.
3. Kullanımla çapraz referans yapın. Yakın zamanda etkinliği olmayan uygulamaları ve çok az kullanıcı tarafından tutulan uygulamaları belirleyin.
4. Yayıncıyı kontrol edin. Doğrulanmamış veya bilinmeyen yayıncıları not edin.
5. Karar verin. Her uygulama için: koruyun, kısıtlayın veya iptal edin. Nedenini belgeleyin — karar günlüğü, bir sonraki denetimi hızlandıran şeydir.
6. Güvenli bir şekilde iptal edin. Emekliye ayırmaya karar verdiğiniz uygulamalar için erişimi kaldırın ve kaldırdığınız bir araca güvenen az sayıdaki kullanıcıyla iletişim kurun.
7. Koruma önlemleri belirleyin. Temizlikten önlemeye geçin: Marketplace kurulumlarını yönetici onaylı uygulamalarla sınırlayın ve yüksek riskli scope'lara erişimi engelleyin veya izin listesine alın, böylece yayılma yeniden büyümez.

Bir şeyleri bozmadan iptal etme

Çoğu temizliği durduran korku şudur: "ya insanların ihtiyaç duyduğu bir şeyi iptal edersem?" Bunu azaltın:

• Belirsizliği olmayan kazançlarla başlayın: geniş scope'lara sahip, doğrulanmamış ve yakın zamanda hiç kullanılmamış uygulamalar.
• Küçük bir kullanıcı tabanına sahip uygulamalar için, iptal etmeden önce bir uyarı gönderin; kimse itiraz etmezse devam edin.
• Neyi ne zaman iptal ettiğinizin bir kaydını tutun, böylece bir şey bozulursa hızlı ve bilinçli bir şekilde geri yükleyebilirsiniz.

Google'ın araçlarında iptal işlemi anında ve geri alınabilirdir — bir kullanıcı gerçekten ihtiyaç duyduğu bir uygulamayı her zaman yeniden yetkilendirebilir, bu sefer sizin koruma önlemleriniz devrede olarak.

Sürekli hale getirin

Tek seferlik bir denetim harika hissettirir ve hemen bozulmaya başlar. Siz işinizi bitirdikten bir gün sonra yeni uygulamalar bağlanır. Kalıcı çözüm sürekli keşiftir: bağlı uygulamaları ve scope'larını otomatik olarak listeleyin, her birini puanlayın ve yeni bir yüksek riskli izin ortaya çıktığında veya hareketsiz bir uygulama geniş erişime sahip olduğunda uyarı verin.

Bu değişim — periyodik bir elektronik tablodan her zaman güncel bir envantere geçiş — bugünkü OAuth maruziyetinizi bilmekle onu tahmin etmek arasındaki farktır. Bu aynı zamanda, kimlik, paylaşım ve yapılandırmanın yanı sıra daha geniş Google Workspace güvenliğinin temel taşlarından biridir.

Sizi durdurması gereken scope'lar

Scope genişliği tek başına en büyük risk faktörü olduğundan, gerçek ağırlık taşıyan OAuth scope'larını bilmek yardımcı olur. Bir uygulamanın izin listesini okurken tanınmaya değer birkaç kalıp:

• `drive` (tam Drive) — bir kullanıcının *tüm* Drive dosyalarını okuma, oluşturma, değiştirme ve silme. Bu, bir uygulamanın sahip olabileceği en geniş veri scope'udur ve olması gerekenden çok daha yaygındır; birçok uygulama, dosya bazlı daha dar bir scope yeterli olacakken bunu talep eder.
• `gmail.send` / `gmail.modify` / `mail.google.com` — kullanıcı adına posta gönderme veya posta kutusunu okuma ve değiştirme yeteneği. Posta kutusu erişimine sahip bir uygulama hem yazışmaları dışarı sızdırabilir hem de kullanıcıyı başkalarına taklit edebilir.
• **admin.directory.*** — kullanıcı ve grup dizininizi okuma veya yönetme. Bu izne sahip bir uygulama, yalnızca bir kullanıcıya değil, tüm kuruluşa erişir.
• `spreadsheets` / `documents` — Sheets ve Docs'a içerik erişimi; bunlar sıklıkla tam olarak korumak istediğiniz hassas verileri (finansal bilgiler, planlar, "geçici olarak" yapıştırılmış kimlik bilgileri) barındırır.

Dar, salt okunur scope'lar — userinfo.email, calendar.readonly, drive.file (yalnızca uygulamanın kendisinin oluşturduğu dosyalara erişim) — teşvik edilmesi gerekenlerdir. Yeni bir araç değerlendirirken, en azını talep eden sürümü tercih edin.

Denetimi bir politikaya dönüştürmek

Temiz bir denetim, tek seferlik bir tasfiye yerine kalıcı bir politikayla sonuçlandığında çok daha değerlidir. Üç politika, yayılmanın çoğunun yeniden büyümesini önler:

• Yönetici onaylı Marketplace kurulumları. Kullanıcıların Marketplace uygulamalarını yükleyebilmesi için önce yönetici onayı gerektirin, böylece yeni bağlantılar bir varsayılan değil bir karar olur.
• Scope tabanlı erişim kontrolü. Yüksek riskli scope'ları (tam Drive, Gmail, dizin) engelleyin veya açıkça izin listesine alın. Tam Drive erişimi isteyen bir uygulama bir eşiği geçmelidir; yalnızca bir e-posta adresi isteyen bir uygulama ise geçmemelidir.
• Tekrarlanan bir inceleme sahibi. Yeni ve yüksek riskli izinleri düzenli bir programda inceleme görevini birine kalıcı olarak atayın. Sahipsiz incelemeler gerçekleşmez.

Bu koruma önlemleri, varsayılanı "herhangi bir kullanıcı herhangi bir uygulamaya herhangi bir erişim verebilir"den "geniş erişim, bilinçli ve incelenmiş bir seçimdir"e dönüştürür — insanların gerçekten ihtiyaç duyduğu meşru araçları engellemeden.

8200.dev, Workspace'inize bağlı üçüncü taraf uygulamaları keşfeder, bunları scope, yayıncı güveni ve kullanıma göre puanlar ve riskli olanları önce gösterir — salt okunur ve sürekli olarak. Tüm tabloyu görmek için neleri kontrol ettiğimize bakın.

Şu anda hangi uygulamaların verilerinize erişebildiğini görmek ister misiniz? Ücretsiz güvenlik denetiminizi başlatın ve Google Workspace'iniz genelinde risklerine göre sıralanmış bağlı OAuth uygulamalarının bir envanterini edinin.