Eventos de registro de acceso adaptado al contexto

Para buscar los eventos de registro, primero debes elegir una fuente de datos. Luego, elige uno o más filtros para la búsqueda.

1. En la Consola del administrador de Google, ve a Menú Informes Investigación y auditoría Eventos de registro de Context Aware Access.

   Ir a Eventos de registro de acceso adaptado al contexto

   Es necesario tener el privilegio de administrador de Auditoría e investigación.

2. Para filtrar los eventos que ocurrieron antes o después de una fecha específica, en Fecha, selecciona Antes de o Después de. De forma predeterminada, se muestran los eventos de los últimos 7 días. Puedes seleccionar otro período o hacer clic en para quitar el filtro de fecha.

3. Haz clic en Agregar un filtro selecciona un atributo. Por ejemplo, para filtrar por un tipo de evento específico, selecciona Evento.
4. Selecciona un operador selecciona un valor haz clic en Aplicar.
   • Si quieres crear varios filtros para la búsqueda, repite este paso (opcional).
   • Para agregar un operador de búsqueda, arriba de Agregar un filtro, selecciona Y o O (opcional).
5. Haz clic en Buscar. Nota: En la pestaña Filtro, puedes incluir pares de parámetros y valores simples para filtrar los resultados de la búsqueda. También puedes usar la pestaña Creador de condiciones, en la que los filtros se representan como condiciones con operadores Y/O.

Para realizar una búsqueda en la herramienta de investigación de seguridad, primero elige una fuente de datos. Luego, elige una o más condiciones para tu búsqueda. Para cada condición, elige un atributo, un operador y un valor.

1. En la Consola del administrador de Google, ve a Menú Seguridad Centro de seguridad Herramienta de investigación.

   Ir a la Herramienta de investigación

   Es necesario tener el privilegio de administrador del Centro de seguridad.

2. Haz clic en Fuente de datos y selecciona Eventos de registro de acceso adaptado al contexto.
3. Haga clic en Agregar condición.
   Sugerencia: Puedes incluir una o más condiciones en tu búsqueda, o bien personalizarla con consultas anidadas. Para obtener más información, consulta Cómo personalizar tu búsqueda con consultas anidadas.
4. Haz clic en Atributo selecciona una opción. Por ejemplo, para filtrar por un tipo de evento específico, selecciona Evento.
   Para obtener una lista completa de los atributos, consulta la sección Descripciones de los atributos.
5. Selecciona un operador.
6. Ingresa un valor o selecciona uno de la lista.
7. (Opcional) Para agregar más condiciones de búsqueda, repite los pasos.
8. Haz clic en Buscar.
   Puedes revisar los resultados de la búsqueda de la herramienta de investigación en una tabla que se encuentra en la parte inferior de la página.
9. Para guardar tu investigación, haz clic en Guardar ingresa un título y una descripción haz clic en Guardar.

Notas

• En la pestaña Creador de condiciones, los filtros se representan como condiciones con operadores Y/O. También puedes usar la pestaña Filtro para incluir pares sencillos de parámetros y valores para filtrar los resultados de la búsqueda.
• Si le asignas un nombre nuevo a un usuario, no verás los resultados de consultas con el nombre anterior del usuario. Por ejemplo, si cambias el nombre de NombreAnterior@example.com a NombreNuevo@example.com, no verás los resultados de eventos relacionados con NombreAnterior@example.com.
• Solo puedes buscar datos en los mensajes que aún no se hayan borrado de la papelera.

A veces, es posible que veas una entrada de Acceso denegado en los eventos de registro de acceso adaptado al contexto para un usuario, aunque no haya informado que recibió una página de Acceso denegado.

Por qué sucede esto

• Acceso a la cuenta en varios dispositivos: Este problema puede surgir cuando un usuario accede a su cuenta en varios dispositivos. Esto es especialmente probable si uno de estos dispositivos no tiene verificación de extremo a extremo o está asociado a otra cuenta. Por ejemplo, es posible que hayan accedido a un dispositivo personal o a un perfil diferente del navegador Chrome.
• Acceso a cuentas secundarias: Otro caso involucra a usuarios que accedieron a su cuenta corporativa como cuenta secundaria en otro dispositivo. En este caso, es posible que la página Acceso denegado no aparezca en su dispositivo principal. Sin embargo, los eventos de registro capturarán el intento de acceso que se rechazó en el dispositivo secundario. Para obtener más detalles, consulta Cómo acceder a varias cuentas a la vez.

Qué hacer

• Verifica si el usuario accedió a su cuenta corporativa en otro dispositivo.
• Asegúrate de que la verificación de extremos esté instalada y configurada correctamente en todos los dispositivos en los que el usuario accede a su cuenta corporativa.
• Revisa el evento de registro para obtener información del dispositivo y direcciones IP que te ayuden a identificar la fuente del intento de acceso denegado.

• Puedes configurar alertas basadas en datos de eventos de registro con reglas de informes. Para obtener instrucciones, consulta Cómo crear y administrar reglas de informes.
• Ediciones admitidas para esta función: Frontline Standard y Frontline Plus, Enterprise Standard y Enterprise Plus, Education Standard y Education Plus, Enterprise Essentials Plus y Cloud Identity Premium. Comparar tu edición

  Para ayudar a prevenir, detectar y corregir problemas de seguridad de manera eficiente, puedes automatizar acciones en la herramienta de investigación de seguridad y configurar alertas creando reglas de actividad. Para configurar una regla, establece las condiciones de la regla y, luego, especifica las acciones que se realizarán cuando se cumplan las condiciones. Para obtener más detalles, consulta Crea y administra reglas de actividad.

Ediciones admitidas para esta función: Frontline Standard y Frontline Plus, Enterprise Standard y Enterprise Plus, Education Standard y Education Plus, Enterprise Essentials Plus y Cloud Identity Premium. Comparar tu edición

Después de realizar una búsqueda en la herramienta de investigación de seguridad, puedes tomar medidas en función de los resultados. Por ejemplo, puedes realizar una búsqueda basada en eventos de registro de Gmail y, luego, usar la herramienta para borrar mensajes específicos, colocarlos en cuarentena o enviarlos a las carpetas Recibidos de los usuarios. Para obtener más detalles, consulta Cómo tomar medidas en función de los resultados de la búsqueda.

Para ver una lista de las investigaciones que te pertenecen y las que se compartieron contigo, haz clic en Ver investigaciones . La lista de investigaciones incluye los nombres, las descripciones y los propietarios de las investigaciones, así como la fecha de la última modificación.

En esta lista, puedes tomar medidas en relación con las investigaciones que te pertenecen, por ejemplo, borrar una investigación. Marca la casilla de una investigación y, luego, haz clic en Acciones.

Nota: Puedes ver las investigaciones guardadas en Acceso rápido, justo arriba de la lista de investigaciones.

Como administrador avanzado, haz clic en Configuración para realizar las siguientes acciones:

• Cambiar la zona horaria de tus investigaciones La zona horaria se aplica a las condiciones y los resultados de la búsqueda.
• Activa o desactiva la opción Require reviewer. Para obtener más detalles, consulta Cómo solicitar revisores para acciones masivas.
• Activa o desactiva la opción Ver contenido. Este parámetro de configuración permite que los administradores con los privilegios adecuados vean el contenido.
• Activa o desactiva la opción Habilitar la justificación de la acción.

Para obtener más detalles, consulta Cómo configurar los parámetros de configuración de tus investigaciones.

Para guardar tus criterios de búsqueda o compartirlos con otras personas, puedes crear y guardar una investigación, y, luego, compartirla, duplicarla o borrarla.

Para obtener más información, consulta Cómo guardar, compartir, borrar y duplicar investigaciones.