Logboekgebeurtenissen van de beheerder

Bekijk de beheerdersactiviteit in de beheerdersconsole.

Afhankelijk van uw Google Workspace-editie hebt u mogelijk toegang tot de tool voor beveiligingsonderzoek, die geavanceerdere functies biedt. Superbeheerders kunnen bijvoorbeeld beveiligings- en privacyproblemen identificeren, prioriteren en oplossen. Lees meer

Belangrijk: Google Workspace werkt het schema en de gebeurtenismodellering voor verschillende logboekgebeurtenissen bij. De verbeteringen zijn bedoeld om de logboeken begrijpelijker, gedetailleerder en nauwkeuriger te maken.

Als u gebruikmaakt van oudere gebeurtenissen, vereisen sommige updates mogelijk wijzigingen in uw bestaande query's, waarschuwingen en rapporten. Zowel de nieuwe als de oude gebeurtenissen blijven beschikbaar, zodat u de nodige wijzigingen kunt aanbrengen. Ga voor meer informatie naar Wijzigingen in beheerderslogboekgebeurtenissen .

Als beheerder van uw organisatie kunt u zoekopdrachten uitvoeren en actie ondernemen op beveiligingsproblemen die verband houden met gebeurtenissen in het beheerderslogboek. U kunt bijvoorbeeld een overzicht bekijken van acties die zijn uitgevoerd in uw Google Admin-console, zoals wanneer een beheerder een gebruiker heeft toegevoegd of een Google Workspace-service heeft ingeschakeld.

Logboekgebeurtenisgegevens doorsturen naar Google Cloud

U kunt ervoor kiezen om logboekgegevens te delen met Google Cloud. Als u delen inschakelt, worden de gegevens doorgestuurd naar Cloud Logging, waar u uw logboeken kunt opvragen en bekijken en kunt bepalen hoe uw logboeken worden gerouteerd en opgeslagen.

Het type logboekgebeurtenisgegevens dat u met Google Cloud kunt delen, is afhankelijk van uw Google Workspace-, Cloud Identity- of Essentials-account.

Of u een zoekopdracht kunt uitvoeren, hangt af van uw Google-editie, uw beheerdersrechten en de gegevensbron. U kunt een zoekopdracht uitvoeren voor alle gebruikers, ongeacht hun Google Workspace-editie.

Audit- en onderzoekstool

Om naar logboekgebeurtenissen te zoeken, kiest u eerst een gegevensbron. Selecteer vervolgens een of meer filters voor uw zoekopdracht.

  1. Ga in de Google Admin-console naar Menu. en dan Rapportage en dan Audit en onderzoek en dan Logboekgebeurtenissen van de beheerder .

    Hiervoor is de beheerdersbevoegdheid Audit & Onderzoek vereist.

  2. Om gebeurtenissen te filteren die vóór of na een specifieke datum hebben plaatsgevonden, selecteert u bij Datum de optie Vóór of Na . Standaard worden gebeurtenissen van de afgelopen 7 dagen weergegeven. U kunt een ander datumbereik selecteren of klikken op om het datumfilter te verwijderen.

  3. Klik op ' Een filter toevoegen'. en dan Selecteer een kenmerk. Om bijvoorbeeld te filteren op een specifiek gebeurtenistype, selecteer je Gebeurtenis .
  4. Selecteer een operator en dan selecteer een waarde en dan Klik op Toepassen .
    • (Optioneel) Om meerdere filters voor uw zoekopdracht te maken, herhaalt u deze stap.
    • (Optioneel) Om een ​​zoekoperator toe te voegen, selecteer je boven ' Een filter toevoegen ' de optie 'EN' of 'OF' .
  5. Klik op Zoeken . Opmerking : Via het tabblad Filter kunt u eenvoudige parameter-waardeparen gebruiken om de zoekresultaten te filteren. U kunt ook het tabblad Voorwaarden gebruiken, waar de filters worden weergegeven als voorwaarden met AND/OR-operatoren.

Beveiligingsonderzoekstool

Ondersteunde edities voor deze functie: Frontline Standard en Frontline Plus; Enterprise Standard en Enterprise Plus; Education Standard en Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Vergelijk uw editie

Om een ​​zoekopdracht uit te voeren in de beveiligingsonderzoekstool, kiest u eerst een gegevensbron. Kies vervolgens een of meer voorwaarden voor uw zoekopdracht. Kies voor elke voorwaarde een kenmerk , een operator en een waarde .

  1. Ga in de Google Admin-console naar Menu. en dan Beveiliging en dan Beveiligingscentrum en dan Onderzoeksinstrument .

    Hiervoor is beheerdersrechten voor het beveiligingscentrum vereist.

  2. Klik op Gegevensbron en selecteer Beheerderslogboekgebeurtenissen .

  3. Om gebeurtenissen te filteren die vóór of na een specifieke datum hebben plaatsgevonden, selecteert u bij Datum de optie Vóór of Na . Standaard worden gebeurtenissen van de afgelopen 7 dagen weergegeven. U kunt een ander datumbereik selecteren of klikken op om het datumfilter te verwijderen.

  4. Klik op Voorwaarde toevoegen .
    Tip : U kunt een of meer voorwaarden in uw zoekopdracht opnemen of uw zoekopdracht aanpassen met geneste query's . Zie ' Uw zoekopdracht aanpassen met geneste query's' voor meer informatie.
  5. Klikkenmerk en dan Selecteer een optie. Om bijvoorbeeld te filteren op een specifiek gebeurtenistype, selecteer je Gebeurtenis .
    Voor een volledige lijst met kenmerken, ga naar het gedeelte 'Beschrijvingen van kenmerken' .
  6. Selecteer een operator.
  7. Voer een waarde in of selecteer een waarde uit de lijst.
  8. (Optioneel) Om meer zoekcriteria toe te voegen, herhaalt u de stappen.
  9. Klik op Zoeken .
    Je kunt de zoekresultaten van de onderzoekstool in een tabel onderaan de pagina bekijken.
  10. (Optioneel) Om uw onderzoek op te slaan, klikt u op Opslaan. en dan Voer een titel en beschrijving in. en dan Klik op Opslaan .

Notities

  • In het tabblad 'Voorwaardenbouwer' worden filters weergegeven als voorwaarden met AND/OR-operatoren. U kunt ook het tabblad 'Filter' gebruiken om eenvoudige parameter-waardeparen op te nemen en zo de zoekresultaten te filteren.
  • Als u een gebruiker een nieuwe naam geeft, ziet u geen zoekresultaten meer met de oude naam van de gebruiker. Als u bijvoorbeeld OldName@example.com hernoemt naar NewName@example.com , ziet u geen resultaten meer voor gebeurtenissen die gerelateerd zijn aan OldName@example.com .
  • Je kunt alleen zoeken in berichten die nog niet uit de prullenbak zijn verwijderd.

Attribuutbeschrijvingen

Voor deze gegevensbron kunt u de volgende kenmerken gebruiken bij het zoeken naar logboekgebeurtenisgegevens.

Attribuut Beschrijving
Actie(s)* Acties die de beheerder onderneemt met behulp van de beveiligingsonderzoekstool of een activiteitsregel. Zie 'Actie ondernemen op basis van zoekresultaten' voor meer informatie over de acties die een beheerder kan uitvoeren.
Acteur

Het e-mailadres van de gebruiker die de actie heeft uitgevoerd. In plaats van een e-mailadres ziet u mogelijk het volgende:

  • Licentiebeheerder — Als een beheerdersactie een wijziging in de licentie van een gebruiker teweegbrengt
  • Serviceaccount — Als de actie is uitgevoerd door een serviceaccountbeheerder
  • Anoniem — Als de actie is uitgevoerd door een serviceaccountbeheerder

Naam van de acteursapplicatie

Je moet deze kolom toevoegen aan de zoekresultaten. Zie 'Kolomgegevens van zoekresultaten beheren' voor de stappen .

Details over de applicatie die de actie heeft uitgevoerd. Klik in de zoekresultaten op de naam van de betreffende applicatie om de volgende informatie weer te geven:

  • Naam van de uitvoerende applicatie — Naam van de applicatie die de actie heeft uitgevoerd (ingevuld voor apps van derden en voor sommige apps van Microsoft zelf, zoals Gmail)
  • Actor OAuth-client-ID — Identificatiecode voor de app van derden die de actie heeft uitgevoerd.
  • Identiteitsvervalsing — Of de app zich voordeed als een andere gebruiker.

Als u deze informatie exporteert naar een CSV-bestand (comma-separated values) of Google Sheets, wordt de informatie opgeslagen als één tekstblok in een cel.

Naam van de acteursgroep

De groepsnaam van de acteur. Ga voor meer informatie naar Resultaten filteren op Google Groep .

Om een ​​groep toe te voegen aan uw lijst met toegestane groepen voor filters:

  1. Selecteer de naam van de actorgroep .
  2. Klik op Groepen filteren .
    De pagina 'Groepen filteren' verschijnt.
  3. Klik op Groepen toevoegen .
  4. Zoek een groep door de eerste paar tekens van de naam of het e-mailadres in te voeren. Selecteer de gewenste groep zodra je deze hebt gevonden.
  5. (Optioneel) Om nog een groep toe te voegen, zoek en selecteer de groep.
  6. Klik op Toevoegen zodra je klaar bent met het selecteren van groepen.
  7. (Optioneel) Om een ​​groep te verwijderen, klikt u op Groep verwijderen. .
  8. Klik op Opslaan .
Organisatorische eenheid van de actor Organisatorische eenheid van de actor
Aanvullende informatie Aanvullende contextuele informatie voor het evenement
Begindatum* Gebruik de begindatum en de einddatum om gebeurtenissen te filteren die een specifiek begin- en einddatumbereik omvatten, zoals bijvoorbeeld gebeurtenissen in een grafiek. Opmerking: Gebruik het kenmerk Datum om te zoeken naar gebeurtenissen binnen een datumbereik.
Gegevensbron* De gegevensbron in de onderzoekstool of de waarschuwingsbron in het waarschuwingscentrum.
Datum Datum en tijd van het evenement (weergegeven in de standaard tijdzone van uw browser)
Apparaat-ID* ID van het apparaat dat door deze auditgebeurtenis wordt beïnvloed. Als een beheerder bijvoorbeeld een apparaat wist dat eigendom is van het bedrijf, dan wordt in dit veld de apparaat-ID vastgelegd.
Apparaattype Het type apparaat dat door deze auditgebeurtenis wordt beïnvloed. Als een beheerder bijvoorbeeld een apparaat wist dat eigendom is van het bedrijf, dan registreert dit veld het type apparaat.
Domeinnaam Het domein waar de actie plaatsvond
Einddatum* Gebruik de begindatum en de einddatum om gebeurtenissen te filteren die een specifiek begin- en einddatumbereik omvatten, zoals bijvoorbeeld gebeurtenissen in een grafiek. Opmerking: Gebruik het kenmerk Datum om te zoeken naar gebeurtenissen binnen een datumbereik.
Evenement

De geregistreerde gebeurtenisactie, zoals een onderzoeksquery of het aanmaken van een activiteitsregel .

Onder Gebeurteniswaarde worden de gebeurtenissen gegroepeerd op type, zoals Gebruikersinstellingen of Domeininstellingen . De meeste gebeurteniswaarden spreken voor zich. Zo is 'Applicatie toevoegen ' onder Domeininstellingen een zoekwaarde voor een applicatie die aan uw domein is toegevoegd. U kunt naar gebeurtenissen zoeken in het zoekvak.

Tip : Als u gebeurteniswaarden hebt die u vaak gebruikt, kunt u deze bovenaan het vervolgkeuzemenu vastzetten.

Google Workspace-editie* Google Workspace-editie voor de beheerder (uitvoerder) die de actie heeft uitgevoerd.

Groeps-e-mail

 E-mailadres van de Google-groep die door deze activiteit wordt getroffen
IP-adres Het internetprotocoladres (IP-adres) dat is gekoppeld aan de geregistreerde actie. Dit adres geeft meestal de fysieke locatie van de gebruiker weer, maar kan ook een proxyserver of een virtueel particulier netwerk (VPN)-adres zijn.

IP ASN

Je moet deze kolom toevoegen aan de zoekresultaten. Zie 'Kolomgegevens van zoekresultaten beheren' voor de stappen .

Het IP-autonoom systeemnummer (ASN), de onderverdeling en de regio die aan de logboekvermelding zijn gekoppeld.

Om het IP-adres, het ASN en de regiocode (subdivisie en regio) te bekijken waar de activiteit plaatsvond, klikt u op de naam in de zoekresultaten.

Rechtvaardiging* Indien een toelichtingstekst voor de actie vereist was, dient de beheerder een verklaring te verstrekken.
Bericht-ID* Bericht-ID van het e-mailbericht waarop deze auditgebeurtenis betrekking heeft.
Nieuwe waarde* De nieuwe waarde van de instelling voor het geval deze wordt bijgewerkt.
Oude waarde* De oude waarde van de instelling voor het geval deze wordt bijgewerkt.
Resource-ID('s)* ID('s) van een of meer resources die door de auditgebeurtenis worden beïnvloed
Naam van de bron* Naam van de bron die door de auditgebeurtenis wordt beïnvloed
Brontype* Type van de bron waarop de auditgebeurtenis betrekking heeft
Bronnen

De lijst met resources die aan de actie zijn gekoppeld. Klik op de resource om de volgende details te bekijken:

  • Resource-ID — De resource-identificatiecode
  • Titel van de bron —Titel van de bron
  • Brontype —Categorie van de bron (zoals Google Drive, e-mail of regel)
  • Resource-relatie — De relatie tussen de resource en de gebeurtenis
  • Eigenaarsgegevens — Details over de eigenaar van de bron, inclusief eigenaarstype en eigenaarsidentiteit

  • Bronlabel — Lijst met classificatielabels voor een bron, inclusief bronlabel-ID , bronlabeltitel en bronlabelveld .

    Het veld 'Resource label' bevat de volgende informatie:

    • Label veld-ID
    • Label veldnaam
    • Labelveldtype —Het gegevenstype van het labelveld, bijvoorbeeld:
      • Tekst
      • Nummer
      • Selectie — Inbegrepen: ID, Weergavenaam, Is voorzien van badge
      • Selectielijst
      • Gebruiker — Inbegrepen: E-mail
      • Gebruikerslijst
      • Datum

Als u deze informatie exporteert naar een CSV-bestand (comma-separated values) of Google Sheets, wordt de informatie opgeslagen als één tekstblok in een cel.

Zoekopdrachten Een query die wordt gebruikt om gegevens op te halen of te verwerken. Bijvoorbeeld de query die wordt gebruikt bij het zoeken in een onderzoekstool, bij het aanmaken van activiteitsregels of bij het genereren van een e-maildump.
Instellingscategorie Categorie van de bijgewerkte instelling
Instellingsnaam Naam van de bijgewerkte instelling
De naam van de organisatie-eenheid instellen Instellingen in de beheerdersconsole kunnen worden gekoppeld aan een organisatie-eenheid. Wanneer een instelling wordt bijgewerkt en deze is gekoppeld aan een organisatie-eenheid, wordt de naam van de organisatie-eenheid in dit veld weergegeven.
Doel* Doel-e-mailadres voor de gebeurtenis. Bijvoorbeeld het e-mailadres van de ontvanger bij het aanmaken van een e-mailmonitor, of het e-mailadres van de verificator bij het uitvoeren van een bulkactie in de onderzoekstool.
Totaal aantal getroffen* Het totale aantal entiteiten dat door de auditgebeurtenis is beïnvloed. Bijvoorbeeld het aantal gebruikers dat is geüpload bij het批量 uploaden van gebruikers naar een groep, of het aantal acties dat is geactiveerd als onderdeel van een trigger van een activiteitsregel. Dit is een contextueel veld dat afhankelijk is van de gebeurtenis.
Volledig mislukt* Totaal aantal mislukte bewerkingen. Bijvoorbeeld het aantal gebruikers dat niet kon worden geüpload bij het批量 uploaden van gebruikers naar een groep, of het aantal acties dat mislukte als onderdeel van een trigger van een activiteitsregel. Dit is een contextueel veld dat afhankelijk is van de gebeurtenis.
E-mailadres van de gebruiker E-mailadres van de gebruiker die de actie heeft uitgevoerd

* Met deze filters kunt u geen rapportageregels maken. Lees meer over rapportageregels versus activiteitsregels .

Let op : als u een gebruiker een nieuwe naam geeft, ziet u geen zoekresultaten meer met de oude naam van de gebruiker. Als u bijvoorbeeld OldName@example.com hernoemt naar NewName@example.com , ziet u geen resultaten meer voor gebeurtenissen die gerelateerd zijn aan OldName@example.com .

Beheer logboekgebeurtenisgegevens

Gegevens van de kolom met zoekresultaten beheren

Je kunt zelf bepalen welke gegevenskolommen in je zoekresultaten worden weergegeven.

  1. Klik rechtsboven in de tabel met zoekresultaten op Kolommen beheren. .
  2. (Optioneel) Om de huidige kolommen te verwijderen, klikt u op Verwijderen. .
  3. (Optioneel) Om kolommen toe te voegen, klikt u naast 'Nieuwe kolom toevoegen ' op de pijl naar beneden. en selecteer de gegevenskolom.
    Herhaal indien nodig.
  4. (Optioneel) Om de volgorde van de kolommen te wijzigen, sleept u de namen van de gegevenskolommen.
  5. Klik op Opslaan .

Exporteer zoekresultatengegevens

Je kunt zoekresultaten exporteren naar Google Sheets of naar een CSV-bestand.

  1. Klik bovenaan in de tabel met zoekresultaten op Alles exporteren .
  2. Voer een naam in en dan Klik op Exporteren .
    De export wordt onder de zoekresultatentabel weergegeven, onder ' Exportactieresultaten' .
  3. Om de gegevens te bekijken, klikt u op de naam van uw export.
    Het exportbestand wordt geopend in Google Sheets.

Exportlimieten variëren:

  • De totale resultaten van de export zijn beperkt tot 100.000 rijen.
  • Ondersteunde edities voor deze functie: Frontline Standard en Frontline Plus; Enterprise Standard en Enterprise Plus; Education Standard en Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Vergelijk uw editie

    Als u de tool voor beveiligingsonderzoek hebt, zijn de totale resultaten van de export beperkt tot 30 miljoen rijen.

Ga voor meer informatie naar Zoekresultaten exporteren .

Wanneer en hoe lang zijn de gegevens beschikbaar?

Onderneem actie op basis van de zoekresultaten.

Maak activiteitsregels aan en stel waarschuwingen in.

  • U kunt waarschuwingen instellen op basis van logboekgebeurtenisgegevens met behulp van rapportageregels. Zie Rapportageregels maken en beheren voor instructies.
  • Ondersteunde edities voor deze functie: Frontline Standard en Frontline Plus; Enterprise Standard en Enterprise Plus; Education Standard en Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Vergelijk uw editie

    Om beveiligingsproblemen efficiënt te voorkomen, op te sporen en op te lossen, kunt u acties in de tool voor beveiligingsonderzoek automatiseren en waarschuwingen instellen door activiteitsregels te maken. Om een ​​regel in te stellen, definieert u de voorwaarden voor de regel en specificeert u vervolgens de acties die moeten worden uitgevoerd wanneer aan de voorwaarden is voldaan. Ga voor meer informatie naar Activiteitsregels maken en beheren .

Onderneem actie op basis van de zoekresultaten.

Ondersteunde edities voor deze functie: Frontline Standard en Frontline Plus; Enterprise Standard en Enterprise Plus; Education Standard en Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Vergelijk uw editie

Nadat u een zoekopdracht hebt uitgevoerd in de tool voor beveiligingsonderzoek, kunt u actie ondernemen op basis van de zoekresultaten. U kunt bijvoorbeeld een zoekopdracht uitvoeren op basis van gebeurtenissen in het Gmail-logboek en vervolgens de tool gebruiken om specifieke berichten te verwijderen, berichten in quarantaine te plaatsen of berichten naar de inbox van gebruikers te sturen. Ga naar Actie ondernemen op basis van zoekresultaten voor meer informatie.

Beheer uw onderzoeken

Ondersteunde edities voor deze functie: Frontline Standard en Frontline Plus; Enterprise Standard en Enterprise Plus; Education Standard en Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Vergelijk uw editie

Bekijk uw lijst met onderzoeken

Om een ​​lijst te bekijken van de onderzoeken die u bezit en die met u zijn gedeeld, klikt u op 'Onderzoeken bekijken'. De lijst met onderzoeken bevat de namen, beschrijvingen en eigenaren van de onderzoeken, en de datum van de laatste wijziging.

Vanuit deze lijst kunt u acties uitvoeren op alle onderzoeken die u beheert, bijvoorbeeld een onderzoek verwijderen. Vink het vakje van een onderzoek aan en klik vervolgens op Acties .

Opmerking : U kunt uw opgeslagen onderzoeken bekijken onder Snelle toegang , direct boven uw lijst met onderzoeken.

Configureer de instellingen voor uw onderzoeken.

Als superbeheerder klikt u op Instellingen. naar:

  • Wijzig de tijdzone voor uw zoekopdrachten. De tijdzone is van invloed op de zoekvoorwaarden en -resultaten.
  • Schakel de optie 'Reviewer vereisen' in of uit. Ga naar 'Reviewers vereisen voor bulkacties' voor meer informatie.
  • Schakel 'Inhoud weergeven' in of uit. Met deze instelling kunnen beheerders met de juiste rechten de inhoud bekijken.
  • Schakel de actierechtvaardiging in of uit.

Ga voor meer informatie naar Instellingen configureren voor uw onderzoeken .

Onderzoeken opslaan, delen, verwijderen en dupliceren

Om je zoekcriteria op te slaan of met anderen te delen, kun je een zoekopdracht aanmaken en opslaan, en deze vervolgens delen, dupliceren of verwijderen.

Ga voor meer informatie naar Onderzoeken opslaan, delen, verwijderen en dupliceren .