В некоторых версиях Google Workspace вы можете получить доступ к инструменту "Анализ безопасности" с расширенными функциями. Например, суперадминистраторы могут идентифицировать, сортировать и устранять проблемы, связанные с конфиденциальностью и безопасностью. Подробнее…
Важно! Google Workspace обновляет схему и моделирование событий для нескольких журналов событий. Мы сделали журналы более понятными, подробными и точными.
Если вы используете устаревшие события, некоторые изменения могут потребовать корректировки существующих запросов, оповещений и отчетов. Вам будут доступны как новые, так и старые события, чтобы вы могли внести необходимые изменения. Подробнее об изменениях в событиях журнала аудита администратора…
Как администратор организации, вы можете искать и устранять проблемы с безопасностью, связанные с событиями журнала администратора. Например, вы можете проверять записи о действиях, выполненных в консоли администратора Google, в том числе о случаях, когда администратор добавил пользователя или включил сервис Google Workspace.
Как пересылать данные о событиях в Google Cloud
Вы можете предоставить Google Cloud доступ к данным о событиях. В этом случае данные будут пересылаться в Cloud Logging, где можно просматривать журналы, выполнять по ним поиск, а также управлять их маршрутизацией и хранением.
Тип данных о событиях, которые можно передавать в Google Cloud, зависит от вашего аккаунта Google Workspace, Cloud Identity или Essentials.
Как искать события журнала
Возможность поиска в инструменте "Анализ безопасности" зависит от версии сервиса Google, назначенных прав администратора и источника данных. Вы можете искать действия всех пользователей, независимо от того, какая у них версия Google Workspace.
Инструмент "Аудит и анализ"
Чтобы искать события в журнале, сначала выберите источник данных. Затем добавьте один или несколько фильтров.
-
В консоли администратора Google нажмите на значок меню
Отчеты
Аудит и анализ
Журнал аудита администратора.Требуется право администратора Аудит и анализ.
-
Чтобы отфильтровать события, произошедшие до или после определенной даты, для параметра Дата выберите значение До или После. По умолчанию отображаются события за последние семь дней. Можно выбрать другую дату или нажать
, чтобы удалить фильтр дат. -
Нажмите Добавить фильтр выберите атрибут. Например, чтобы отфильтровать события по определенному типу, выберите Событие.
-
Выберите оператор выберите значение нажмите Применить.
- Если нужно создать несколько фильтров результатов поиска, повторите этот шаг.
- Если нужно добавить оператор поиска, над элементом Добавить фильтр выберите И или ИЛИ.
- Нажмите Поиск. Примечание. С помощью вкладки Фильтр можно включить простые пары параметров и значений, чтобы отфильтровать результаты поиска. Кроме того, вы можете использовать вкладку Конструктор условий, на которой фильтры представлены в виде условий с операторами И/ИЛИ.
Инструмент "Анализ безопасности"
Чтобы выполнить поиск в инструменте "Анализ безопасности", сначала выберите источник данных. Затем добавьте одно или несколько условий поиска. Для каждого условия выберите атрибут, оператор и значение.
-
В консоли администратора Google нажмите на значок меню
Безопасность
Центр безопасности
Инструмент "Анализ безопасности".У вас должны быть права администратора с доступом к центру безопасности.
- Нажмите Источник данных и выберите События журнала администратора.
-
Чтобы отфильтровать события, произошедшие до или после определенной даты, для параметра Дата выберите значение До или После. По умолчанию отображаются события за последние семь дней. Можно выбрать другую дату или нажать
, чтобы удалить фильтр дат. -
Нажмите Добавить условие.
Совет. Вы можете указать одно или несколько условий или использовать вложенные запросы. Подробнее о том, как использовать вложенные запросы при поиске… -
Нажмите Атрибут выберите нужный вариант. Например, чтобы отфильтровать события по определенному типу, выберите Событие.
Полный список атрибутов приведен в разделе Описания атрибутов ниже. - Выберите оператор.
- Введите значение или выберите его в списке.
- Если вы хотите добавить другие условия поиска, повторите описанные выше действия.
-
Нажмите Поиск.
Результаты поиска в инструменте "Анализ безопасности" показываются в таблице в нижней части страницы. -
Если вам нужно сохранить анализ, нажмите "Сохранить"
введите название и описание нажмите Сохранить.
Примечания
- На вкладке Конструктор условий фильтры представлены в виде условий с операторами И/ИЛИ. На вкладке Фильтр можно выбрать простые пары параметров и значений, чтобы отфильтровать результаты поиска.
- Если пользователь был переименован, поиск не даст результатов для его прежнего имени. Например, если OldName@example.com заменили на NewName@example.com, в результатах поиска не будет событий, связанных с пользователем OldName@example.com.
- Поиск выполняется только по письмам, которые ещё не были удалены из корзины.
Описания атрибутов
При поиске данных о событиях в этом источнике вы можете использовать указанные ниже атрибуты.
| Атрибут | Описание |
|---|---|
| Действие(действия)* | Действия администратора, при которых он использовал инструмент "Анализ безопасности" или правило действий. Более подробные сведения о том, что он может в таких случаях предпринимать, вы найдете в статье Какие действия можно выполнять с результатами поиска. |
| Исполнитель |
Адрес электронной почты пользователя, совершившего действие. Вместо такого адреса может быть указана следующая информация:
|
|
Название приложения исполнителя Добавьте этот столбец в результаты поиска. Подробнее о том, как управлять столбцами данных в результатах поиска… |
Сведения о приложении, которое выполнило действие. В результатах поиска нажмите на название приложения исполнителя, чтобы посмотреть:
При экспорте в CSV-файл или Google Таблицы подробная информация из этого столбца сохраняется в ячейке в виде блока текста. |
| Название группы |
Название группы пользователя. Подробнее о том, как фильтровать результаты по группе Google… Чтобы добавить группу в белый список групп фильтрации, выполните следующие действия:
|
| Организационное подразделение пользователя | Организационное подразделение, к которому относится исполнитель. |
| Дополнительная информация | Дополнительные данные, относящиеся к контексту события. |
| Информация об агенте | Чтобы выполнить поиск по информации об агенте ИИ, выберите Информация об агенте, а затем вложенный столбец: Идентификатор агента, Название агента или Продукт агента. Результаты поиска будут показаны в столбце Идентификатор агента.
Нажмите на запись в результатах поиска, чтобы открыть панель Сведения в журнале, на которой можно посмотреть:
Примечание. Поддержка других агентов будет добавлена позже. |
| Дата начала* | Укажите дату начала и дату окончания, чтобы увидеть события, которые произошли в заданное время, например события "Детализированный анализ диаграммы". Примечание. Чтобы выполнить поиск событий в определенном диапазоне дат, используйте атрибут Дата. |
| Выполняется агентом | Действие было выполнено с помощью ИИ-агента (Истина или Ложь). |
| Источник данных* | Источник данных в инструменте "Анализ безопасности" или источник оповещения в Центре оповещений. |
| Дата | Дата и время, когда произошло событие (указывается в часовом поясе, установленном в вашем браузере по умолчанию). |
| Идентификатор устройства* | Идентификатор устройства, затронутого этим событием аудита. Например, если администратор стирает данные с корпоративного устройства, то в этом поле сохраняется идентификатор устройства. |
| Тип устройства | Тип устройства, затронутого этим событием аудита. Например, если администратор стирает данные с корпоративного устройства, то в этом поле сохраняется тип устройства. |
| Доменное имя | Домен, в котором было выполнено действие. |
| Дата окончания* | Укажите дату начала и дату окончания, чтобы увидеть события, которые произошли в заданное время, например события "Детализированный анализ диаграммы". Примечание. Чтобы выполнить поиск событий в определенном диапазоне дат, используйте атрибут Дата. |
| Событие |
Действие в зарегистрированном событии, например Запрос анализа или Создание правила активности. В разделе Значение события приведен список событий, объединенных в группы, например по категориям Настройки пользователя или Настройки домена. Большинство значений имеют понятные названия, разъясняющие их суть. Например, Добавление приложения в разделе Настройки домена – это значение, позволяющее найти приложение, которое было добавлено в ваш домен. Вы можете искать события при помощи окна поиска. Совет. Если вы часто используете некоторые значения событий, закрепите эти события в верхней части раскрывающегося меню. |
| Версия Google Workspace* | Версия Google Workspace для администратора, который выполняет действия и указан в атрибуте "Исполнитель". |
|
Адрес электронной почты группы |
Адрес электронной почты группы Google, затронутой этим действием. |
| IP-адрес | IP-адрес, с которого было совершено зарегистрированное действие. Обычно соответствует местоположению администратора, но это может быть и адрес прокси-сервера или виртуальной частной сети (VPN). |
|
IP ASN Добавьте этот столбец в результаты поиска. Подробнее о том, как управлять столбцами данных в результатах поиска… |
Номер автономной системы (ASN) IP, подразделение и регион, связанные с записью журнала. Чтобы посмотреть ASN IP, а также подразделение и код региона, где было выполнено действие, нажмите на название в результатах поиска. |
| Идентификатор ключа API SCIM для входящих данных | Уникальный идентификатор долгосрочного ключа аутентификации SCIM, который генерируется для каталога SCIM. |
| Идентификатор каталога SCIM для входящих данных | Уникальный идентификатор, назначенный каталогу SCIM. |
| Название каталога SCIM для входящих данных | Отображаемое имя каталога SCIM, заданное пользователем. |
| Причина* | Если для выполнения действия необходимо предоставить обоснование, то его текст составляется администратором. |
| Идентификатор сообщения* | Идентификатор сообщения электронного письма, затронутого событием аудита. |
| Новое значение* | Новое значение настройки в случае ее изменения. |
| Старое значение* | Старое значение измененной настройки. |
| Идентификаторы ресурса* | Идентификаторы одного или нескольких ресурсов, затронутых событием аудита. |
| Название ресурса* | Название ресурса, затронутого событием аудита. |
| Тип ресурса* | Тип ресурса, затронутого событием аудита. |
| Ресурсы |
Список ресурсов, связанных с действием. Чтобы посмотреть подробную информацию о ресурсе, нажмите на следующие элементы:
При экспорте в CSV-файл или Google Таблицы подробная информация из этого столбца сохраняется в ячейке в виде блока текста. |
| Поисковый запрос | Запрос, который осуществляется для получения и обработки данных. Например, к этой категории относятся запросы, которые используются при поиске с помощью инструмента "Анализ безопасности", при создании правил активности или при создании пакета разгрузки памяти электронной почты. |
| Категория настройки | Категория измененной настройки. |
| Название настройки | Название измененной настройки. |
| Название организационного подразделения, к которому относится параметр | Настройки в консоли администратора можно ограничить организационным подразделением. Когда обновление настроек распространяется на организационное подразделение, в этом поле отображается название такого подразделения. |
| Цель* | Электронный адрес пользователя, имеющего отношение к событию. Например, адрес, добавленный для отслеживания электронной почты, или адрес электронной почты проверяющего при выполнении массового действия в инструменте "Анализ безопасности". |
| Всего затронутых объектов* | Общее количество объектов, затронутых событием аудита. Например, это может быть количество пользователей, которые были загружены при массовой загрузке пользователей в группу, или количество действий, которые были запущены в рамках активации правила активности. Это поле является контекстным и зависит от события. |
| Всего сбоев* | Общее количество невыполненных операций. Например, это может быть количество пользователей, которых не удалось добавить при массовой загрузке пользователей в группу, или количество действий, которые не были выполнены в рамках активации правила активности. Это поле является контекстным и зависит от события. |
| Адрес электронной почты пользователя | Адрес электронной почты пользователя, совершившего действие. |
* С помощью этих фильтров нельзя добавлять правила создания отчетов. Подробнее о различиях между правилами создания отчетов и правилами активности…
Примечание. Если пользователь был переименован, поиск по его прежнему имени не даст результатов. Например, если OldName@example.com заменить на NewName@example.com, в результатах поиска не будет событий, связанных с пользователем OldName@example.com.
Как настроить показ данных о событиях
Как управлять столбцами данных в результатах поиска
Вы можете выбрать, какие столбцы данных будут отображаться в результатах поиска.
- В правой верхней части таблицы с результатами поиска нажмите на значок "Управление столбцами"
. - Если нужно удалить отображаемые столбцы, нажмите "Удалить" .
- Если нужно добавить столбцы, рядом с надписью Добавить столбец нажмите на стрелку вниз
и выберите вариант в списке.
При необходимости повторите действия. - Чтобы изменить порядок столбцов, перетащите их названия.
- Нажмите Сохранить.
Как экспортировать результаты поиска
Результаты поиска можно экспортировать в таблицу Google или CSV-файл.
- В верхней части таблицы результатов поиска нажмите Экспортировать все.
- Введите название нажмите Экспорт.
Экспортированные данные будут показаны под таблицей с результатами поиска в разделе Результаты выполнения действия "Экспорт". - Чтобы посмотреть экспортированные данные, нажмите на название файла.
Эти данные откроются в Таблицах.
На экспорт накладываются различные ограничения:
- Ограничение на объем экспорта результатов: 100 000 строк.
-
Эта функция доступна в версиях Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus и Cloud Identity Premium. Сравнение версий
Если у вас есть инструмент "Анализ безопасности", всего можно экспортировать не более 30 млн строк.
Подробнее о том, как экспортировать результаты поиска…
Когда данные становятся доступны и как долго они хранятся
Подробная информация приведена в статье Задержки при обновлении отчетов и сроки хранения данных.
Действия с результатами поиска
Как создавать правила активности и настраивать оповещения
- Вы можете настроить оповещения на основе данных о событиях журнала, используя правила создания отчетов. Подробнее о том, как создавать и настраивать правила оповещения.
-
Эта функция доступна в версиях Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus и Cloud Identity Premium. Сравнение версий
Чтобы эффективнее предотвращать, выявлять и исправлять проблемы с безопасностью, вы можете автоматизировать действия в инструменте "Анализ безопасности" и настроить оповещения с помощью правил активности. Для каждого правила нужно задать условия и указать действия, которые следует выполнять при соблюдении этих условий. Подробнее о том, как создавать правила активности…
Действия с результатами поиска
Эта функция доступна в версиях Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus и Cloud Identity Premium. Сравнение версий
Результаты поиска, полученные с помощью инструмента "Анализ безопасности", можно использовать для разных целей. Например, сообщения, найденные при поиске по событиям журнала Gmail, можно удалять, отправлять в карантин или помещать в папки "Входящие" пользователей. Подробнее о том, какие действия можно выполнять с результатами поиска…
Как управлять процессом анализа
Эта функция доступна в версиях Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus и Cloud Identity Premium. Сравнение версий
Как посмотреть список операций анализа
Чтобы посмотреть список операций анализа, которые вам принадлежат или к которым вам предоставили доступ, нажмите на значок "Посмотреть список операций анализа" 
. В списке указаны названия, описания и владельцы анализов, а также дата их последнего изменения.
На странице со списком можно выполнять действия с любыми вашими операциями анализа, например удалять их. Для этого установите флажок рядом с нужной операцией и нажмите Действия.
Примечание. Вы можете просматривать сохраненные конфигурации анализа в разделе Быстрый доступ над списком операций.
Как задавать настройки анализа
Войдите в систему как суперадминистратор и нажмите на значок "Настройки" 
. В этом меню можно выполнить следующие действия:
- Изменить часовой пояс для анализов. Он применяется ко всем условиям и результатам поиска.
- Включить или отключить параметр Запросить проверку. Подробные сведения о нем можно найти в статье Как включить обязательную проверку массовых действий.
- Включить или отключить параметр Просмотр контента. С его помощью вы можете предоставить администраторам право просматривать содержимое.
- Включить или отключить параметр Включить обоснование действия.
Подробнее о том, как задавать настройки анализа…
Как сохранять, копировать и удалять результаты анализа, а также предоставлять к ним доступ
Чтобы сохранить параметры поиска или поделиться ими с другими пользователями, вы можете создать и сохранить анализ, а затем предоставить к нему доступ, копировать или удалить его.
Подробнее о том, как сохранять результаты анализа и предоставлять к ним доступ…