GWS-K12-014: Privilegios de exportación y retención de Vault restringidos
- Plataforma
- Google Workspace
- Categoría
- K12 Baseline
- Severidad
- High
- Pilar de Zero Trust
- Identity (peso 2)
- Fixtures de referencia
- 3
- Cobertura de ramas
- Rutas de veredicto declaradas, cada una probada con un fixture
- Procedencia
- original
- Alcance
- Todo el tenant: se evalúa en todo el tenant, sin necesidad de indicar OU de estudiantes.
Línea base K12 de Guerrilla (candidata)
Esta comprobación evalúa el control K12-IDENT-004 de la Línea Base de Configuración Segura K12, versión 0.1.0, una línea base comunitaria candidata escrita por Guerrilla. Está publicada abiertamente y abierta a comentarios; no es un estándar de consenso, y este bloque está deliberadamente separado de los mapeos a marcos externos de más abajo.
Qué comprueba
Google Vault es un alcance administrativo sobre todo el inquilino. 'Manage Exports' puede descargar el buzón y el Drive de cualquier usuario en cualquier momento; 'Manage Retention Rules' puede eliminar de forma permanente registros que una regla mal configurada arrastre. Estos privilegios se apoyan en los roles de administrador y se acumulan del mismo modo que los roles de administración delegada. Esta comprobación revela las asignaciones de roles de administrador cuyos privilegios coinciden con la gestión de exportación, retención, retenciones legales, asuntos o eDiscovery de Vault; si cada titular es legítimo es una determinación del distrito, por lo que informa una lista de revisión en lugar de un fallo tajante. Las propias reglas de retención se revisan directamente en Vault.
Valor recomendado
Cada privilegio de exportación o retención de Vault corresponde a un administrador conocido y actual que lo necesita
Remediación
Consola de administración > Cuenta > Roles de administrador. Para cada rol marcado por llevar un privilegio de exportación, retención, retención legal, asunto o eDiscovery de Vault, confirme que el titular lo necesita; elimine el privilegio o la asignación cuando no sea así. Revise las reglas de retención actuales directamente en Vault (vault.google.com > Retention).
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad | WARN |
| not-assessed | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-6, AU-9
- MITRE ATT&CK
- T1114, T1530