Como auditar as permissões de apps OAuth de terceiros no Google Workspace

Úteis e práticas, as integrações de apps de terceiros via OAuth no Google Workspace também podem trazer riscos de segurança quando ficam sem controle. Fazer uma auditoria de permissões OAuth com regularidade é essencial para manter os dados da sua organização e dos clientes seguros e protegidos.

Auditar periodicamente quais aplicativos têm acesso ao Google Workspace evita acessos não autorizados a dados e movimentação lateral. Também revela aplicativos sem uso que ainda mantêm permissões amplas e arriscadas, e garante que a organização siga protocolos de segurança como HIPAA, SOC 2, ISO 27001 e outros.

Prefere um guia visual para entender melhor o assunto? Assista ao vídeo: Como auditar as permissões de apps OAuth de terceiros no Google Workspace.

Formas de criar um log de auditoria de tokens OAuth

O jeito mais eficiente de auditar e remover tokens de apps de terceiros do Google é pelo Google Admin Console. Os administradores também podem exportar detalhes de acesso dos apps com ferramentas de linha de comando e PowerShell.

📌 Pré-requisitos:

• É necessária uma conta de administrador ou superadministrador do Google Workspace.
• É preciso ter acesso ao Google Admin Console ou ao Google Workspace Admin SDK.
• PowerShell 7+ com as APIs do Google ativadas, principalmente se for exportar dados.
• Opcional: projeto do Google Cloud com revisão de tokens OAuth ativada
• Opcional: NinjaOne ou outras ferramentas de RMM para marcar, monitorar e gerar relatórios sobre o uso de apps por dispositivo e usuário

📌 Estratégias de implantação recomendadas:

Clique para escolher um método	💻 Melhor para usuários individuais	💻💻💻 Melhor para empresas
Método 1: auditar apps OAuth pelo Google Admin Console		✓
Método 2: exportar detalhes de acesso dos apps com a Google Workspace Reports API		✓
Método 3: identificar e remover apps arriscados ou inativos		✓
Método 4: marcar ou registrar os achados sobre apps OAuth no Registro (para visibilidade no RMM)		✓

Método 1: auditar apps OAuth pelo Google Admin Console

1. Abra o navegador de sua preferência.
2. Acesse admin.google.com.
3. Vá até: Segurança > Controle de acesso e dados > Controles de API > Controle de acesso a apps.
4. Veja a lista de apps de terceiros com acesso aos dados do seu Google Workspace.
5. Revise a lista de escopos OAuth solicitados.
6. Identifique os aplicativos com escopos sensíveis. Fique atento a:
   • aplicativos com acesso total ao Gmail (gmail.modify, gmail.compose)
   • aplicativos com permissão de gravação ou compartilhamento no Drive
   • aplicativos que usam APIs de nível administrativo, como admin.directory.user.readonly

Método 2: exportar detalhes de acesso dos apps com a Google Workspace Reports API

Opção 1: usar o Google Apps Manager

Google Apps Manager é uma ferramenta de linha de comando que dá acesso às ferramentas do Google Workspace.

💡Observação: o Google Apps Manager precisa de acesso às APIs do Google para funcionar. Para garantir isso, vá ao console de administração do Google apps > Segurança > Referência de API e clique em Ativar acesso à API > Salvar alterações.

1. Abra o Menu Iniciar e pesquise por Prompt de Comando.
2. Clique com o botão direito em Prompt de Comando > Executar como administrador.
3. Digite gam e pressione Enter. Isso executa o Google Apps Manager. Na primeira vez, o Prompt de Comando orienta você a conceder as permissões e credenciais necessárias.
4. Digite gam report tokens e pressione Enter. Isso gera as seguintes informações:
   • nome do app
   • Client ID
   • usuário sob o qual está autorizado
   • escopos OAuth
   • data e hora do último uso
5. Para exportar os dados para um arquivo CSV, digite gam report tokens > oauth_tokens.csv e pressione Enter.

Opção 2: usar o Windows PowerShell com o cliente da API do Google

📌 Pré-requisito: as bibliotecas de cliente .NET da API do Google já devem estar instaladas no Windows PowerShell.

1. Abra o Menu Iniciar e pesquise por Windows PowerShell.
2. Clique com o botão direito em Windows PowerShell > Executar como administrador.
3. Este é um exemplo de script que pode ser executado:

Invoke-RestMethod -Uri "https://admin.googleapis.com/admin/reports/v1/activity/users/all/applications/token" -Headers @{ Authorization = "Bearer <access_token>" }

Substitua <access_token> pelo token de acesso da sua conta.

Método 3: identificar e remover apps arriscados ou inativos

1. Abra o navegador de sua preferência.
2. Acesse admin.google.com.
3. Vá até: Segurança > Controle de acesso e dados > Controles de API > Controle de acesso a apps.
4. Clique em cada aplicativo de terceiros e revise o uso de escopos e quais usuários o autorizaram.
5. Bloqueie os aplicativos que não atendem às políticas de segurança da organização. Para bloquear, clique em Alterar acesso > Bloquear acesso.

Método 4: marcar ou registrar os achados sobre apps OAuth no Registro (para visibilidade no RMM)

Você pode registrar as informações da auditoria de permissões dos apps no Registro do Windows e usar sua ferramenta de RMM para acompanhar, verificar e atualizar esses dados.

1. Abra o Menu Iniciar e pesquise por Windows PowerShell.
2. Clique com o botão direito em Windows PowerShell > Executar como administrador.
3. Digite este comando e pressione Enter:
   

New-Item -Path "HKLM:\SOFTWARE\Org\OAuthAudit" -Force Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\OAuthAudit" -Name "LastAuditDate" -Value (Get-Date).ToString("u") Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\OAuthAudit" -Name "FlaggedApps" -Value "Dropbox, SlackBot"

4. Para conferir as informações nas chaves do Registro, abra o Prompt de Comando com permissões elevadas.
5. Digite este comando e pressione Enter:

reg query HKLM\SOFTWARE\Org\OAuthAudit

⚠️ Solução de problemas e pontos de atenção

Problemas	Possíveis consequências	Soluções
O aplicativo reaparece mesmo depois de bloquear o acesso.	O aplicativo continuará com acesso a dados que você não quer liberar.	Os usuários ainda podem ter tokens em cache. Revogue esses tokens em Google Admin Console > Segurança > Gerenciar acesso de terceiros.
Faltam dados no Google Apps Manager.	Você não terá dados precisos para a auditoria de permissões dos apps de terceiros.	Confirme que a Reports API está ativada e que o Google Apps Manager tem direitos de administrador delegados.
Não há logs de OAuth.	Não será possível realizar a auditoria dos apps de terceiros.	Verifique se a retenção de logs de auditoria está ativa no Google Admin Console. Os logs só começam a ser gerados depois de ativar esse recurso.
Não é possível localizar o cache de tokens.	Não será possível realizar a auditoria dos apps de terceiros.	O cache de tokens pode estar armazenado em sessões do navegador ou gerenciado na nuvem. Confirme essa informação na Reports API.

Outros pontos a considerar ao criar um log de auditoria de tokens OAuth

• Muitos tokens OAuth de terceiros não expiram enquanto não forem revogados. Se não quiser mais que o aplicativo acesse o Google Workspace, revogue as permissões de forma ativa.
• Os escopos OAuth podem ser ampliados após a autenticação, sem nenhum aviso. Faça auditorias regulares para garantir que os aplicativos tenham apenas as permissões permitidas pelos protocolos de segurança da organização.
• Os usuários finais podem aceitar escopos e permissões sem entender os riscos. Auditar escopos e permissões com regularidade previne violações de segurança.
• Apps com permissões baseadas no dispositivo podem se autenticar de novo sem aviso. É preciso bloqueá-los no nível administrativo.

Serviços NinjaOne para auditar as permissões de apps de terceiros do Google

NinjaOne ajuda os administradores de TI a auditar as permissões de apps de terceiros no Google Workspace ao:

• marcar dispositivos com tokens OAuth ou chaves de Registro relacionadas
• implantar scripts que identificam artefatos de tokens do Google nos endpoints
• alertar os administradores quando aplicativos de alto risco são encontrados em perfis de usuário ou repositórios de credenciais
• fazer varredura no Registro e informar a presença de aplicativos em cada dispositivo e usuário
• automatizar a remediação, como remover clientes locais de aplicativos ou limpar tokens armazenados quando necessário

Proteja os dados da sua organização auditando as permissões OAuth de terceiros com regularidade

Auditar as permissões OAuth de terceiros no Google Workspace é parte essencial da higiene de segurança na nuvem. Garante que nenhum aplicativo tenha mais permissões do que o necessário e protege os dados da organização e dos clientes contra violações de segurança.

Links relacionados:

• Como configurar um token OAuth de API
• O que é OAuth?
• O que é OAuth? [Vídeo]