Implementando Segurança no Google Workspace Admin

Quando Usar

• Ao implantar ou fortalecer um ambiente Google Workspace para uso corporativo
• Para avaliação de conformidade com o benchmark CIS na configuração do Google Workspace
• Para proteção contra comprometimento de e-mail comercial (BEC) e ataques de phishing direcionados a contas Google
• Para implementar controles de Prevenção contra Perda de Dados (DLP) para Gmail e Google Drive
• Para restringir o acesso a aplicativos OAuth e integrações de terceiros
• Para configurar a segurança de contas de administrador com a inscrição no Programa de Proteção Avançada

Não use para ambientes Microsoft 365; o Google Workspace possui configurações de console de administrador e configurações de API distintas que diferem dos controles do Azure AD/Entra ID.

Pré-requisitos

• Licença do Google Workspace Business Plus, Enterprise Standard ou Enterprise Plus
• Acesso de Super Administrador ao Google Admin Console (admin.google.com)
• Acesso de gerenciamento de DNS para configuração de registros SPF, DKIM e DMARC
• Google Cloud Identity ou Cloud Identity Premium para recursos de segurança avançados
• Chaves de segurança FIDO2 para contas de super administrador (série YubiKey 5 recomendada)

Fluxo de Trabalho

Etapa 1: Fortalecer Contas de Super Administrador

Proteja as contas com o maior privilégio no tenant do Google Workspace:

# Google Workspace Admin SDK - configure admin account security
# Using gam (Google Apps Manager) CLI tool

# List all super admin accounts for audit
gam print admins role "Super Admin" > super_admins.csv
echo "Review and minimize super admin count (recommended: 2-3 maximum)"

# Enforce Advanced Protection Program for super admins
# APP provides strongest account protections:
# - Requires FIDO2 security key for sign-in
# - Blocks third-party app access to Gmail and Drive
# - Enhanced account recovery verification
gam update user superadmin@corp.com \
    advanced_protection true

# Create dedicated break-glass admin account
gam create user breakglass-admin@corp.com \
    firstname "Break" lastname "Glass Admin" \
    password "$(openssl rand -base64 32)" \
    changepassword true \
    org "/Emergency Accounts"

# Assign super admin role to break-glass account
gam create admin breakglass-admin@corp.com "Super Admin"

# Configure admin activity alerts
# Alert Center API - create alert for admin actions
cat > admin_alert_policy.json << 'EOF'
{
  "alertPolicies": [
    {
      "name": "Super Admin Sign-In Alert",
      "conditions": {
        "eventType": "login",
        "filterCriteria": "actor.adminRole=SUPER_ADMIN"
      },
      "notifications": {
        "email": ["security-team@corp.com"],
        "webhook": "https://siem.corp.com/webhook/google-admin"
      }
    },
    {
      "name": "Admin Role Change Alert",
      "conditions": {
        "eventType": "admin_role_change"
      },
      "notifications": {
        "email": ["security-team@corp.com"]
      }
    }
  ]
}
EOF

Etapa 2: Exigir Autenticação Multifator Resistente a Phishing

Configure políticas de MFA que eliminem fatores de autenticação passíveis de phishing:

# Exigir Verificação em Duas Etapas para todas as unidades organizacionais
# Usando a API Directory do Admin SDK

# Ativar a aplicação da Verificação em Duas Etapas para toda a organização
gam update org "/" settings \
    2sv_enforcement true \
    2sv_enrollment_grace_period 14 \
    2sv_new_user_enrollment_period 1

# Configurar métodos permitidos de Verificação em Duas Etapas - restringir apenas aos resistentes a phishing
# Para OUs de alta segurança: Apenas chaves de segurança
gam update org "/Executive" settings \
    2sv_allowed_methods "SECURITY_KEY_ONLY"

# Para funcionários em geral: Chaves de segurança ou prompts de telefone (sem SMS/chamada de voz)
gam update org "/" settings \
    2sv_allowed_methods "SECURITY_KEY,PHONE_PROMPT" \
    2sv_disallowed_methods "SMS,VOICE_CALL,BACKUP_CODES"

# Verificar em massa o status de inscrição na Verificação em Duas Etapas
gam print users \
    fields primaryEmail,isEnrolledIn2Sv,isEnforcedIn2Sv \
    query "isEnrolledIn2Sv=false" > users_without_2sv.csv

# Contar usuários sem Verificação em Duas Etapas
echo "Usuários sem Verificação em Duas Etapas inscritos:"
wc -l < users_without_2sv.csv

# Configurar políticas de acesso com reconhecimento de contexto
# Exigir Verificação em Duas Etapas + dispositivo gerenciado para aplicativos sensíveis
cat > context_aware_policy.json << 'EOF'
{
  "accessLevels": [
    {
      "name": "Managed Device Required",
      "conditions": {
        "devicePolicy": {
          "requireScreenLock": true,
          "requireAdminApproval": true,
          "allowedEncryptionStatuses": ["ENCRYPTED"],
          "requireCorpOwned": false
        },
        "requiredAccessLevels": ["VERIFIED_2SV"]
      }
    }
  ],
  "applicationPolicies": [
    {

…