GWS-K12-015: Cobertura de licencias para el registro de auditoría
- Plataforma
- Google Workspace
- Categoría
- K12 Baseline
- Severidad
- Medium
- Pilar de Zero Trust
- Visibility & Analytics (peso 2)
- Fixtures de referencia
- 1
- Cobertura de ramas
- Rutas de veredicto declaradas, cada una probada con un fixture
- Procedencia
- original
- Alcance
- Todo el tenant: se evalúa en todo el tenant, sin necesidad de indicar OU de estudiantes.
Línea base K12 de Guerrilla (candidata)
Esta comprobación evalúa el control K12-AUDIT-001 de la Línea Base de Configuración Segura K12, versión 0.1.0, una línea base comunitaria candidata escrita por Guerrilla. Está publicada abiertamente y abierta a comentarios; no es un estándar de consenso, y este bloque está deliberadamente separado de los mapeos a marcos externos de más abajo.
Qué comprueba
Los registros de auditoría de Workspace responden a las preguntas que plantea cada incidente de cuenta, pero los investigadores descubrieron que, sin una licencia de pago asignada a un usuario, las acciones en el Drive privado de ese usuario pueden no generar ningún registro, dejando a la organización ciega ante la exfiltración. Google lo calificó de comportamiento previsto, lo que convierte la asignación de una licencia en un control de seguridad. Evaluarlo requiere la edición/SKU de Workspace de cada usuario, que el recopilador aún no rellena, por lo que este control es un elemento documentado de revisión manual: la comprobación informa Not Assessed y dirige a una confirmación manual.
Valor recomendado
Cada usuario activo tiene una licencia de pago para que las acciones en el Drive privado queden registradas (verifique manualmente; la edición/SKU aún no se recopila)
Remediación
Consola de administración > Facturación > Licencias. Confirme que cada usuario activo tiene asignada una licencia de pago de Workspace para que las acciones en el Drive privado generen registros de auditoría. La evaluación necesita la edición/SKU de cada usuario, que el recopilador aún no rellena, así que verifique la cobertura a mano.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| manual-review | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AU-12
- MITRE ATT&CK
- T1562.008