Come controllare le autorizzazioni delle app OAuth di terze parti in Google Workspace

Per quanto utili e comode, le integrazioni di app di terze parti basate su OAuth nel tuo Google Workspace possono rappresentare un rischio per la sicurezza se non vengono controllate. Eseguire regolarmente una verifica delle autorizzazioni OAuth di Google è fondamentale per garantire che i dati della tua organizzazione e dei tuoi clienti restino al sicuro.

Controllare con regolarità quali applicazioni hanno accesso al tuo Google Workspace permette di prevenire accessi non autorizzati ai dati e movimenti laterali. Questa attività consente inoltre di individuare le applicazioni inutilizzate che mantengono autorizzazioni rischiose e molto ampie, e di verificare che l’organizzazione rispetti i protocolli di sicurezza come HIPAA, SOC 2, ISO 27001 e così via.

Ti serve una guida visiva per comprendere meglio l’argomento? Per maggiori dettagli, guarda il nostro video: Come controllare le autorizzazioni delle app OAuth di terze parti in Google Workspace.

Modi diversi per creare un registro di audit dei token OAuth

Il modo più efficiente per controllare e rimuovere i token delle app Google di terze parti è la Console di amministrazione Google. Gli amministratori possono anche esportare i dettagli sugli accessi delle app utilizzando strumenti da riga di comando e PowerShell.

📌 Prerequisiti:

• Ti serve un account Amministratore o Super amministratore di Google Workspace.
• È necessario l’accesso alla Console di amministrazione Google o all’Admin SDK di Google Workspace.
• È necessario PowerShell 7+ con le API Google abilitate, soprattutto se devi esportare dati.
• Facoltativo: un progetto Google Cloud con la verifica dei token OAuth abilitata
• Facoltativo: NinjaOne o altri strumenti RMM per assegnare tag, monitorare e creare report sull’utilizzo delle app da parte di dispositivi e utenti

📌 Strategie di implementazione consigliate:

Metodo 1: controllare le app OAuth con la Console di amministrazione Google

1. Apri il browser che preferisci.
2. Vai su admin.google.com.
3. Spostati in questo percorso: Sicurezza > Controllo di accessi e dati > Controlli API > Controllo accesso alle app.
4. Visualizza l’elenco delle app di terze parti che hanno accesso ai dati del tuo Google Workspace.
5. Esamina l’elenco degli ambiti OAuth richiesti.
6. Individua le applicazioni con ambiti sensibili. Ecco alcuni aspetti a cui prestare attenzione:
   • Applicazioni con accesso completo a Gmail (gmail.modify, gmail.compose)
   • Applicazioni con autorizzazioni di scrittura o condivisione su Drive
   • Applicazioni che utilizzano API di livello amministrativo come admin.directory.user.readonly

Metodo 2: esportare i dettagli sugli accessi delle app con la Reports API di Google Workspace

Opzione 1: utilizzare Google Apps Manager

Google Apps Manager è uno strumento da riga di comando che permette di accedere agli strumenti di Google Workspace.

💡Nota: per funzionare, Google Apps Manager deve poter accedere alle API di Google. Per verificarlo, vai nella console di amministrazione delle app Google > Sicurezza > Riferimento API e fai clic su Attiva accesso API > Salva modifiche.

1. Apri il menu Start e cerca Prompt dei comandi.
2. Fai clic con il tasto destro su Prompt dei comandi > Esegui come amministratore.
3. Digita gam e premi Invio. Questo avvierà Google Apps Manager. Se è la prima volta che lo utilizzi, il Prompt dei comandi ti guiderà nell’assegnazione delle autorizzazioni e delle credenziali necessarie.
4. Digita gam report tokens e premi Invio. Verranno generate le seguenti informazioni:
   • Nome dell’app
   • Client ID
   • Utente con cui è autorizzata
   • Ambiti OAuth
   • Data e ora dell’ultimo utilizzo
5. Per esportare i dati in un file CSV, digita gam report tokens > oauth_tokens.csv e premi Invio.

Opzione 2: utilizzare Windows PowerShell con il client delle API di Google

📌 Prerequisito: le librerie client .NET delle API di Google devono essere già installate in Windows PowerShell.

1. Apri il menu Start e cerca Windows PowerShell.
2. Fai clic con il tasto destro su Windows PowerShell > Esegui come amministratore.
3. Questo è uno script di esempio che puoi eseguire:

Sostituisci <access_token> con il token di accesso del tuo account.

Metodo 3: individuare e rimuovere le app rischiose o inattive

1. Apri il browser che preferisci.
2. Vai su admin.google.com.
3. Spostati in questo percorso: Sicurezza > Controllo di accessi e dati > Controlli API > Controllo accesso alle app.
4. Fai clic su ogni applicazione di terze parti ed esamina l’uso degli ambiti e quali utenti hanno autorizzato l’applicazione.
5. Blocca le applicazioni che non rispettano le politiche di sicurezza della tua organizzazione. Per bloccare un’applicazione, fai clic su Modifica accesso > Blocca accesso.

Metodo 4: registrare i risultati sulle app OAuth nel Registro di sistema (per la visibilità RMM)

Puoi annotare le informazioni relative alla verifica delle autorizzazioni delle app nel Registro di sistema di Windows e utilizzare il tuo strumento RMM per monitorare, verificare e aggiornare i dati.

1. Apri il menu Start e cerca Windows PowerShell.
2. Fai clic con il tasto destro su Windows PowerShell > Esegui come amministratore.
3. Digita questo comando e premi Invio:
   

4. Per verificare le informazioni nelle chiavi del Registro di sistema, apri il Prompt dei comandi con autorizzazioni elevate.
5. Digita questo comando e premi Invio:

reg query HKLM\SOFTWARE\Org\OAuthAudit

⚠️ Risoluzione dei problemi e aspetti a cui prestare attenzione

Altri aspetti da considerare quando crei un registro di audit dei token OAuth

• Molti token OAuth di terze parti non scadono se non vengono revocati. Se non vuoi più che un’applicazione acceda a Google Workspace, devi revocarne attivamente le autorizzazioni.
• Gli ambiti OAuth possono essere ampliati dopo l’autenticazione senza alcuna notifica. Esegui verifiche regolari per assicurarti che le applicazioni abbiano solo le autorizzazioni consentite dai protocolli di sicurezza della tua organizzazione.
• Gli utenti finali possono accettare ambiti e autorizzazioni delle app senza comprenderne i rischi. Controllare regolarmente ambiti e autorizzazioni delle applicazioni aiuta a prevenire violazioni della sicurezza.
• Le app con autorizzazioni legate al dispositivo possono autenticarsi di nuovo senza notifica. Devi bloccarle a livello di amministratore.

Servizi NinjaOne per controllare le autorizzazioni delle app Google di terze parti

NinjaOne supporta gli amministratori IT nel controllo delle autorizzazioni delle app Google di terze parti in Google Workspace grazie a queste possibilità:

• Assegnare tag ai dispositivi con token OAuth o chiavi del Registro di sistema correlate
• Distribuire script in grado di individuare gli artefatti dei token Google sui tuoi endpoint
• Avvisare gli amministratori quando vengono rilevate applicazioni ad alto rischio nei profili utente o negli archivi di credenziali
• Eseguire una scansione del Registro di sistema e creare report sull’impronta applicativa di ciascun dispositivo e utente
• Automatizzare la remediation, ad esempio rimuovendo i client applicativi locali o cancellando i token memorizzati quando necessario

Proteggi i dati della tua organizzazione controllando regolarmente le autorizzazioni OAuth di terze parti

Controllare le autorizzazioni OAuth di terze parti in Google Workspace è una parte essenziale di una buona igiene della sicurezza nel cloud. In questo modo nessuna applicazione avrà più autorizzazioni del necessario e i dati della tua organizzazione e dei tuoi clienti saranno protetti dalle violazioni della sicurezza.

Link correlati:

• Come configurare un token OAuth per le API
• Che cos’è OAuth?
• Che cos’è OAuth? [Video]