Gebeurtenissen in het logboek Contextbewuste toegang

Wanneer de toegang van een gebruiker tot een app wordt beoordeeld

Afhankelijk van uw Google Workspace-versie heeft u misschien toegang tot de tool voor beveiligingsonderzoek, die geavanceerdere functies heeft. Hoofdbeheerders kunnen bijvoorbeeld beveiligings- en privacyproblemen opsporen, analyseren en acties ondernemen. Meer informatie

Als beheerder van uw organisatie kunt u zoekopdrachten uitvoeren in gebeurtenissen in het logboek Contextbewuste toegang en actie ondernemen op basis van de resultaten. U kunt bijvoorbeeld een overzicht van acties bekijken om te achterhalen wat het probleem is als een gebruiker wel of geen toegang heeft tot een app. Gebeurtenissen verschijnen meestal binnen een uur nadat de toegang van de gebruiker is geweigerd.

Ga naar Overzicht van contextbewuste toegang voor meer informatie.

Of u een zoekopdracht kunt uitvoeren, hangt af van uw Google-versie, uw beheerdersrechten en de gegevensbron. U kunt een zoekopdracht uitvoeren voor alle gebruikers, ongeacht hun Google Workspace-versie.

Controle- en onderzoekstool

Als u een logboekgebeurtenis wilt zoeken, kiest u eerst een gegevensbron. Kies daarna een of meer filters voor de zoekopdracht.

  1. Ga in de Google Beheerdersconsole naar Menu en dan Rapportage en dan Controle en onderzoek en dan Gebeurtenissen in het logboek Contextbewuste toegang.

    Hiervoor is het beheerdersrecht Controle en onderzoek vereist.

  2. Als u gebeurtenissen wilt filteren die vóór of na een specifieke datum hebben plaatsgevonden, selecteert u bij Datum de optie Vóór of Na. Standaard worden gebeurtenissen van de afgelopen 7 dagen getoond. U kunt een andere periode selecteren of op klikken om het datumfilter te verwijderen.

  3. Klik op Een filter toevoegen en dan selecteer een kenmerk. Als u bijvoorbeeld wilt filteren op een specifiek gebeurtenistype, selecteert u Gebeurtenis.
  4. Selecteer een operator en dan selecteer een waarde en dan klik op Toepassen.
    • (Optioneel) Herhaal deze stap om meerdere filters voor de zoekopdracht te maken.
    • (Optioneel) Als u een zoekoperator wilt toevoegen, selecteert u boven Een filter toevoegen de optie AND of OR.
  5. Klik op Zoeken. Opmerking: Op het tabblad Filter voegt u eenvoudige combinaties van parameters en waarden toe om de zoekresultaten te filteren. U kunt ook het tabblad Voorwaardenbuilder gebruiken. Hier worden de filters getoond als voorwaarden met AND- of OR-operatoren.

Tool voor beveiligingsonderzoek

Deze functie wordt ondersteund in de volgende versies: Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus en Cloud Identity Premium. Versies vergelijken

Als u een zoekopdracht wilt uitvoeren in de tool voor beveiligingsonderzoek, kiest u eerst een gegevensbron. Kies daarna een of meer voorwaarden voor de zoekopdracht. Kies voor elke voorwaarde een kenmerk, een operator en een waarde.

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Beveiligingscentrum en dan Onderzoekstool.

    Hiervoor is het beheerdersrecht Beveiligingscentrum vereist.

  2. Klik op Gegevensbron en selecteer Gebeurtenissen in het logboek Contextbewuste toegang.
  3. Klik op Voorwaarde toevoegen.
    Tip: U kunt een of meer voorwaarden toevoegen aan de zoekopdracht of de zoekopdracht aanpassen met geneste zoekopdrachten. Ga naar Een zoekopdracht aanpassen met geneste zoekopdrachten voor meer informatie.
  4. Klik op Kenmerk en dan selecteer een optie. Als u bijvoorbeeld wilt filteren op een specifiek gebeurtenistype, selecteert u Gebeurtenis.
    Ga naar het gedeelte Kenmerkbeschrijvingen verderop op deze pagina voor de volledige lijst met kenmerken.
  5. Selecteer een operator.
  6. Voer een waarde in of selecteer een waarde in de lijst.
  7. (Optioneel) Herhaal de stappen om meer zoekvoorwaarden toe te voegen.
  8. Klik op Zoeken.
    Onderaan de pagina staat een tabel met de zoekresultaten uit de onderzoekstool.
  9. (Optioneel) Als u het onderzoek wilt opslaan, klikt u op Opslaan en dan voert u een titel en beschrijving in en dan klikt u op Opslaan.

Opmerkingen

  • Op het tabblad Voorwaardenbuilder worden filters weergegeven als voorwaarden met AND/OR-operatoren. U kunt ook het tabblad Filter gebruiken en eenvoudige combinaties van parameters en waarden toevoegen om de zoekresultaten te filteren.
  • Als u een gebruiker een nieuwe naam geeft, ziet u geen queryresultaten met de oude naam. Als u bijvoorbeeld OudeNaam@example.com verandert in NieuweNaam@example.com, krijgt u geen resultaten voor gebeurtenissen met OudeNaam@example.com.
  • U kunt alleen zoeken naar gegevens in berichten die nog niet uit de prullenbak zijn verwijderd.

Beschrijvingen van kenmerken

Voor deze gegevensbron kunt u de volgende kenmerken gebruiken als u in gebeurtenisgegevens in een logboek zoekt.

Kenmerk Beschrijving
Toegangsniveau toegepast De toegangsniveaus die de beheerders hebben toegepast voor de specifieke app. Als aan een van deze niveaus wordt voldaan, krijgt de gebruiker toegang.
Voldaan aan toegangsniveau

Alle toegepaste toegangsniveaus waar de gebruiker tijdens de toegangsbeoordeling aan voldeed. Als deze lijst leeg is, wordt de toegang niet verleend.

Als minstens één van de toegangsniveaus van het toegepaste kenmerk onder Voldaan aan toegangsniveau valt, is dit een gebeurtenis Toegangsverlening. Deze gebeurtenis wordt getoond als Toegang beoordeeld in controlelogboeken voor contextbewuste toegang.
Niet voldaan aan toegangsniveau

Alle toegepaste toegangsniveaus waar de gebruiker tijdens de toegangsbeoordeling niet aan voldeed. Als elk toegangsniveau van het kenmerk Toegangsniveau toegepast in deze lijst staat, wordt de gebruiker de toegang geweigerd.

Opmerking: In deze lijst staan alleen toegepaste toegangsniveaus. Andere toegangsniveaus die zijn gedefinieerd in de Beheerdersconsole maar niet zijn toegepast, worden niet getoond.
Handelende gebruiker Het e-mailadres van de gebruiker die de actie heeft uitgevoerd.
Naam van handelende groep

De groepsnaam van de handelende gebruiker. Ga naar Resultaten filteren op Google-groep voor meer informatie.

Zo voegt u een groep toe aan de toelatingslijst voor filtergroepen:

  1. Selecteer Naam van handelende groep.
  2. Klik op Filtergroepen.
    De pagina Filtergroepen verschijnt.
  3. Klik op Groepen toevoegen.
  4. Zoek een groep door de eerste tekens van de naam of het e-mailadres in te voeren. Selecteer de juiste groep wanneer deze verschijnt.
  5. (Optioneel) Als u nog een groep wilt toevoegen, zoekt u deze groep en selecteert u deze.
  6. Klik op Toevoegen als u de juiste groepen heeft geselecteerd.
  7. (Optioneel) Als u een groep wilt verwijderen, klikt u op Groep verwijderen .
  8. Klik op Opslaan.
Handelende organisatie-eenheid Organisatie-eenheid van de handelende gebruiker
Gegevens van de agent Als u wilt zoeken op gegevens van de AI-agent, selecteert u Gegevens van de agent en daarna een geneste kolom: Agent-ID, Agentnaam of Agentproduct. Zoekresultaten worden getoond in de kolom Agent-ID.

Klik op een item in de zoekresultaten om het deelvenster Logboekgegevens te openen om het volgende te tonen:

  • Agent-ID: De unieke ID van de agent.
  • Naam van agent: De weergavenaam van de agent.
  • Product van de agent: De service die de agent heeft gebruikt (alleen ondersteund door de Google Workspace Studio-flow).

Opmerking: Ondersteuning voor extra agenten wordt later toegevoegd.
App Dit kan een van de volgende zijn:
  • De app waartoe de gebruiker de toegang is geweigerd
  • De app waartoe de gebr‫uiker de toegang heeft gekregen
  • (Voor API-toegang) De aanroepende app die heeft geprobeerd toegang te krijgen tot een geblokkeerde API
  • (Voor API-toegang) De aanroepende app die toegang heeft gekregen tot een niet-geblokkeerde API
Geblokkeerde API-toegang

De API van de app waartoe de gebruiker de toegang is geweigerd. Voor API-toegang is dit de API waarvoor de aanroepende app de toegang is geweigerd.

(Alleen van toepassing op weigeringsaudits in de actieve en controlemodus)
Door een agent De actie is uitgevoerd met een AI-agent (Waar of Onwaar).
Datum De datum en tijd van de gebeurtenis (weergegeven in de standaard tijdzone van uw browser).
Apparaat-ID

Apparaat-ID, zoals getoond op de homepage van de Beheerdersconsole en dan Apparaten en dan Mobiel en eindpunten en dan Apparaten.

Als het apparaat niet kan worden gevonden, kan deze waarde onbekend zijn.
Apparaatstatus

De status van het apparaat waarmee deze toegang wordt uitgevoerd, bijvoorbeeld Normaal, Niet gesynchroniseerd (verouderd of oud), Meerdere organisaties (apparaat is niet van uw organisatie) of Geen apparaatsignalen (apparaat kan niet worden gevonden).

Als de apparaat-ID onbekend is en het kenmerk Apparaatstatus Geen apparaatsignalen aangeeft, heeft het apparaat van de gebruiker geen rapportage-agents, zoals eindpuntverificatie of beheer van mobiele apparaten (MDM).
Apparaatrisico's De beveiligingsrisico's op het apparaat waardoor de gebruiker een waarschuwing heeft gekregen of is geblokkeerd, vanwege een beleidsregel van Beveiligingsadvies voor app-toegangsbeveiliging.
Gebeurtenis De geregistreerde gebeurtenisactie:
  • Toegang geweigerd: Aan de vermelde gebruiker (handelende gebruiker) is de toegang geweigerd voor de vermelde app.
  • Toegang geweigerd (Controlemodus): Geeft aan wanneer de toegang zou worden geweigerd als het toegangsniveau in de modus Actief zou zijn. Ga naar Contextbewuste toegang implementeren voor meer informatie.
  • Toegang geweigerd/Gebruiker gewaarschuwd (beveiligingsadvies): De toegang is geweigerd of een gebruiker is gewaarschuwd vanwege een beleidsregel van Beveiligingsadvies voor app-toegangsbeveiliging.
  • Toegang geweigerd vanwege interne fout: Beleidshandhaving mislukt (toegang is geweigerd) vanwege een probleem met de handhavingsserver.
  • Toegang beoordeeld: Contextbewuste toegang heeft toegang verleend aan de vermelde gebruiker (handelende gebruiker) voor de vermelde app.
  • Toegang beoordeeld (Controlemodus): Geeft aan wanneer contextbewuste toegang toegang zou verlenen als het toegangsniveau in de actieve modus zou zijn. Ga naar Contextbewuste toegang implementeren voor meer informatie.
IP-adres IP-adres van de handelende gebruiker

IP-ASN

U moet deze kolom aan de zoekresultaten toevoegen. Ga naar Kolomgegevens in de zoekresultaten beheren voor de stappen.

IP-nummer van het autonome systeem (ASN), administratieve eenheid en regio die aan het logboekitem zijn gekoppeld.

Als u het IP-ASN, de administratieve eenheid en de regiocode wilt controleren waar de activiteit heeft plaatsgevonden, klikt u op de naam in de zoekresultaten.
Beveiligde API-toegang

De API van de app waartoe de gebruiker toegang heeft gekregen via contextbewuste toegang.

Voor API-toegang is dit de API waartoe de aanroepende app toegang heeft gekregen via contextbewuste toegang.

Logboekgebeurtenisgegevens beheren

Inzicht in gebeurtenissen in het logboek voor geweigerde toegang

Soms staat er Toegang geweigerd in de logboekgebeurtenissen voor contextbewuste toegang van een gebruiker, ook al heeft de gebruiker niet gemeld dat er een pagina Toegang geweigerd werd getoond.

Waarom dit gebeurt

  • Inloggen op meerdere apparaten: Dit probleem kan ontstaan als een gebruiker op meerdere apparaten is ingelogd op hun account. Die kans is vooral groot als een van deze apparaten geen eindpuntverificatie heeft of aan een ander account is gekoppeld. De gebruiker kan bijvoorbeeld ingelogd zijn op een persoonlijk apparaat of een ander Chrome-browserprofiel.
  • Inloggen op een secundair account: Een andere mogelijk oorzaak is dat de gebruiker een apparaat heeft gebruikt om met een bedrijfsaccount in te loggen als secundair account. In dit geval wordt de pagina Toegang geweigerd misschien niet getoond op het primaire apparaat. In logboekgebeurtenissen wordt wel de toegangspoging vastgelegd die op het secundaire apparaat is geweigerd. Ga naar Inloggen op meerdere accounts tegelijk voor meer informatie.

Wat u kunt doen

  • Controleer of de gebruiker op een ander apparaat is ingelogd op het bedrijfsaccount.
  • Zorg dat eindpuntverificatie correct is geïnstalleerd en ingesteld op alle apparaten waarmee de gebruiker toegang heeft tot het bedrijfsaccount.
  • Neem de logboekgebeurtenis voor apparaatgegevens en IP-adressen door om de reden van de geweigerde toegangspoging te achterhalen.

Acties uitvoeren op basis van zoekresultaten

Activiteitsregels maken en meldingen instellen

  • U kunt met rapportregels meldingen instellen op basis van logboekgebeurtenisgegevens. Ga naar Rapportregels maken en beheren voor instructies.
  • Deze functie wordt ondersteund in de volgende versies: Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus en Cloud Identity Premium. Versies vergelijken

    U kunt acties in de tool voor beveiligingsonderzoek automatiseren en meldingen instellen door activiteitsregels te maken. Zo kunt u beveiligingsproblemen efficiënter voorkomen, opsporen en oplossen. Als u een regel wilt maken, stelt u voorwaarden in voor de regel en voert u in welke acties er moeten worden uitgevoerd als aan de voorwaarden wordt voldaan. Ga naar Activiteitsregels maken en beheren voor meer informatie.

Acties uitvoeren op basis van zoekresultaten

Deze functie wordt ondersteund in de volgende versies: Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus en Cloud Identity Premium. Versies vergelijken

Nadat u een zoekopdracht heeft uitgevoerd in de tool voor beveiligingsonderzoek, kunt u acties uitvoeren op de zoekresultaten. U kunt bijvoorbeeld een zoekopdracht uitvoeren op Gmail-logboekgebeurtenissen en daarna de tool gebruiken om specifieke berichten te verwijderen, berichten in de quarantaine te plaatsen of berichten naar de inbox van gebruikers te sturen. Ga naar Acties uitvoeren op basis van zoekresultaten voor meer informatie.

Uw onderzoeken beheren

Deze functie wordt ondersteund in de volgende versies: Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus en Cloud Identity Premium. Versies vergelijken

De lijst met onderzoeken bekijken

Klik op Onderzoeken bekijken om een lijst te bekijken van de onderzoeken waarvan u de eigenaar bent en die met u zijn gedeeld. In de lijst met onderzoeken staan de naam, beschrijving en eigenaar van de onderzoeken, en de datum waarop de onderzoeken voor het laatst zijn gewijzigd.

In deze lijst kunt u acties uitvoeren op elk onderzoek waarvan u de eigenaar bent, bijvoorbeeld een onderzoek verwijderen. Vink het vakje aan voor een onderzoek en klik op Acties.

Opmerking: U kunt uw opgeslagen onderzoeken bekijken onder Snelle toegang, direct boven de lijst met onderzoeken.

Instellingen configureren voor onderzoeken

Klik als hoofdbeheerder op Instellingen om het volgende te doen:

  • De tijdzone voor uw onderzoeken wijzigen. De tijdzone wordt toegepast op zoekvoorwaarden en resultaten.
  • Beoordeling vereisen aan- of uitzetten. Ga naar Vereisen dat bulkacties worden beoordeeld door een reviewer voor meer informatie.
  • Content bekijken aan- of uitzetten. Met deze instelling kunnen beheerders met de juiste rechten content bekijken.
  • De instelling Reden voor actie aanzetten aan- of uitzetten.

Ga naar Instellingen instellen voor onderzoeken voor meer informatie.

Onderzoeken opslaan, delen, verwijderen en dupliceren

Als u zoekcriteria wilt opslaan of deze met anderen wilt delen, kunt u een onderzoek maken en opslaan, en het daarna delen, dupliceren of verwijderen.

Ga naar Onderzoeken opslaan, delen, verwijderen en dupliceren voor meer informatie.