В зависимости от версии Google Workspace у вас может быть доступ к инструменту расследования инцидентов безопасности, который обладает более расширенными функциями. Например, суперадминистраторы могут выявлять, анализировать и принимать меры по проблемам безопасности и конфиденциальности. Подробнее
События журнала миграции данных будут постепенно внедряться начиная с 26 мая 2025 года. Данные журнала событий, произошедших до этой даты, могут быть неточными.Как администратор вашей организации, вы можете выполнять поиск и исследовать проблемы, связанные с новой службой миграции данных. Это означает, что вы можете отслеживать процессы миграции данных в вашей организации, устранять неполадки и обеспечивать бесперебойную работу. Вы можете видеть, кто начал миграцию, какие данные перемещаются и статус каждого события. Это помогает вам сохранять контроль и точно понимать, что происходит с вашими данными.
Выполните поиск событий журнала.
Возможность выполнения поиска зависит от вашей версии Google, ваших административных прав и источника данных. Вы можете выполнить поиск для всех пользователей, независимо от их версии Google Workspace.
Инструмент аудита и расследования
Для выполнения поиска событий в журнале сначала выберите источник данных. Затем выберите один или несколько фильтров для поиска.
В консоли администратора Google перейдите в меню.
Отчетность Аудит и расследование События журнала миграции данных .Для этого необходимы права администратора по аудиту и расследованиям .
Чтобы отфильтровать события, произошедшие до или после определенной даты, в поле «Дата» выберите «До» или «После» . По умолчанию отображаются события за последние 7 дней. Вы можете выбрать другой диапазон дат или щелкнуть по соответствующему пункту.
чтобы удалить фильтр по дате.- Нажмите « Добавить фильтр». Выберите атрибут. Например, чтобы отфильтровать события по определенному типу, выберите «Событие» .
- Выберите оператора выберите значение Нажмите «Применить» .
- (Необязательно) Чтобы создать несколько фильтров для поиска, повторите этот шаг.
- (Необязательно) Чтобы добавить оператор поиска, выше в разделе «Добавить фильтр» выберите «И» или «ИЛИ» .
- Нажмите «Поиск» .Примечание : На вкладке «Фильтр» можно использовать простые пары параметр-значение для фильтрации результатов поиска. Также можно использовать вкладку «Конструктор условий» , где фильтры представлены в виде условий с операторами И/ИЛИ.
Инструмент для проведения расследований в сфере безопасности
Для выполнения поиска в инструменте анализа безопасности сначала выберите источник данных. Затем выберите одно или несколько условий для поиска. Для каждого условия выберите атрибут , оператор и значение .
В консоли администратора Google перейдите в меню.
Безопасность Центр безопасности Инструмент расследования .Для этого требуются права администратора центра безопасности .
- Щелкните «Источник данных» и выберите «События журнала миграции данных» .
Чтобы отфильтровать события, произошедшие до или после определенной даты, в поле «Дата» выберите «До» или «После» . По умолчанию отображаются события за последние 7 дней. Вы можете выбрать другой диапазон дат или щелкнуть по соответствующему пункту.
чтобы удалить фильтр по дате.- Нажмите «Добавить условие» .
Совет : Вы можете включить в поиск одно или несколько условий или настроить поиск с помощью вложенных запросов . Подробнее см. раздел «Настройка поиска с помощью вложенных запросов» . - Атрибут клика Выберите нужный вариант. Например, чтобы отфильтровать события по определенному типу, выберите «Событие» .
Полный список атрибутов см. в разделе «Описание атрибутов» . - Выберите оператора.
- Введите значение или выберите значение из списка.
- (Необязательно) Чтобы добавить дополнительные условия поиска, повторите шаги.
- Нажмите «Поиск» .
Результаты поиска, полученные с помощью инструмента расследования, можно просмотреть в таблице внизу страницы. - (Необязательно) Чтобы сохранить результаты расследования, нажмите «Сохранить».
Введите заголовок и описание. Нажмите « Сохранить ».
Примечания
- На вкладке «Конструктор условий» фильтры представлены в виде условий с операторами И/ИЛИ. Вы также можете использовать вкладку «Фильтр» для добавления простых пар параметр-значение для фильтрации результатов поиска.
- Если вы присвоите пользователю новое имя, вы не увидите результаты запросов со старым именем пользователя. Например, если вы переименуете OldName@example.com в NewName@example.com , вы не увидите результаты для событий, связанных с OldName@example.com .
- Поиск данных возможен только в сообщениях, которые еще не были удалены из Корзины.
Описание атрибутов
Для этого источника данных при поиске данных о событиях журнала можно использовать следующие атрибуты.
| Атрибут | Описание |
|---|---|
Название приложения актёра Необходимо добавить этот столбец в результаты поиска. Инструкции см. в разделе «Управление данными столбцов результатов поиска» . | Подробная информация о приложении, использованном для выполнения действия. Чтобы просмотреть следующую информацию, щелкните по названию в результатах поиска:
Если вы экспортируете информацию в файл с разделителями-запятыми (CSV) или в Google Таблицы, информация сохраняется как единый блок текста в ячейке. |
| Событие | Зарегистрированное событие — это действие, которое администратор выполняет в новой службе миграции данных, например, создание подключения, запуск миграции или завершение миграции. Это также может быть действие, выполняемое инструментом миграции во время её выполнения, например, создание метки Gmail или файла Google Drive. Чтобы узнать больше о событиях миграции данных, перейдите в раздел «Проверка событий для новой службы миграции данных» . |
| Описание | Описание события. Например:
|
| Тип миграции | Тип миграции — например, миграция чата, миграция Gmail, миграция Exchange Online или миграция OneDrive. |
| Тип события | Тип события, выполняемого в новой службе миграции данных.
|
| Статус события | Статус события — например, «Успех», «Пропущено», «Неудачно» или «Успех с предупреждениями». |
| Идентификатор выполнения | Идентификатор выполнения, связанного с миграцией. При каждом запуске миграции присваивается идентификатор выполнения. Вы можете использовать этот идентификатор для сопоставления событий журнала с миграциями и прошлыми отчетами. |
IP ASN Необходимо добавить этот столбец в результаты поиска. Инструкции см. в разделе «Управление данными столбцов результатов поиска» . | Номер автономной системы (ASN), подразделение и регион IP-адреса, связанные с записью в журнале. Чтобы просмотреть IP-адрес автономных систем (ASN), а также код подразделения и региона, где произошла активность, щелкните по названию в результатах поиска. |
| Ресурсы | Список ресурсов, связанных с действием. Щелкните по ресурсу, чтобы просмотреть следующие сведения:
Если вы экспортируете информацию в файл с разделителями-запятыми (CSV) или в Google Таблицы, информация сохраняется как единый блок текста в ячейке. |
| Тип источника | Доступно только для событий миграции. Тип источника данных, подлежащих миграции, — например, сообщение Microsoft Teams, файл Microsoft OneDrive или сообщение IMAP. |
| Тип цели | Доступно только для событий миграции. Целевой тип переносимых данных — например, сообщение Gmail, пространство чата Google, файл Google Диска. |
| Идентификатор источника | Доступно только для событий миграции. Идентификатор объекта-источника, подлежащего миграции, — например, идентификатор канала, сообщения в пространстве или сообщения Gmail. Полный список идентификаторов источников см. в разделе «Описание идентификаторов» . |
| Исходный URI | Доступно только для событий миграции. Метаданные исходного объекта, подлежащего миграции, — например, LabelName, Rfc822Id или имя файла. Полный список см. в разделе «Описание идентификаторов» . |
| Целевой идентификатор | Событие миграции — идентификатор целевого объекта, в который переносятся данные. Событие «Настройка миграции» — идентификатор ресурса. Например, ConnectionId, MigrationMapId, SettingsId или ExecutionId. Полный список см. в разделе «Описание идентификаторов» . |
| Целевой URI | Событие миграции — метаданные целевого объекта, который подвергается миграции. Событие «Настройка миграции» — метаданные ресурса. Например, имя подключения, имя параметра или имя карты миграции. |
| код состояния HTTP | HTTP-код, отображающий статус события. Подробнее о HTTP-кодах можно узнать в разделе «HTTP-коды состояния» . |
| Сообщение об ошибке | Сообщение об ошибке или предупреждение в случае сбоя или предупреждающего статуса. |
| Актер | Адрес электронной почты администратора, инициировавшего миграцию. |
| Дата | Дата и время мероприятия (отображаются в часовом поясе по умолчанию вашего браузера). |
Управление данными событий журнала
Управление данными столбца результатов поиска
Вы можете управлять тем, какие столбцы данных будут отображаться в результатах поиска.
- В правом верхнем углу таблицы результатов поиска нажмите «Управление столбцами».
. - (Необязательно) Чтобы удалить текущие столбцы, нажмите «Удалить». .
- (Необязательно) Чтобы добавить столбцы, рядом с кнопкой «Добавить новый столбец » нажмите стрелку вниз.
и выберите столбец с данными.
Повторять по мере необходимости. - (Необязательно) Чтобы изменить порядок столбцов, перетащите названия столбцов данных.
- Нажмите « Сохранить ».
Экспорт данных результатов поиска
Результаты поиска можно экспортировать в Google Sheets или в CSV-файл.
- В верхней части таблицы результатов поиска нажмите кнопку «Экспорт всех» .
- Введите имя Нажмите «Экспорт» .
Результаты экспорта отображаются под таблицей результатов поиска в разделе «Результаты действия экспорта» . - Для просмотра данных щелкните по названию экспортируемого файла.
Экспорт открывается в Google Sheets.
Ограничения на экспорт различаются:
- Общий объем результатов экспорта ограничен 100 000 строками.
- Если у вас установлен инструмент для проведения анализа безопасности, общий объем результатов экспорта ограничен 30 миллионами строк.
Для получения более подробной информации перейдите в раздел «Экспорт результатов поиска» .
Когда и как долго доступны данные?
Перейдите в раздел «Сохранение данных и задержки» .
Принимайте меры на основе результатов поиска.
Создавайте правила действий и настраивайте оповещения.
- Вы можете настроить оповещения на основе данных событий журнала с помощью правил формирования отчетов. Инструкции см. в разделе «Создание и управление правилами формирования отчетов» .
- Поддерживаемые версии для этой функции: Frontline Standard и Frontline Plus; Enterprise Standard и Enterprise Plus; Education Standard и Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Сравните вашу версию.
Для эффективного предотвращения, обнаружения и устранения проблем безопасности вы можете автоматизировать действия в инструменте расследования инцидентов безопасности и настроить оповещения, создав правила действий . Чтобы настроить правило, задайте для него условия, а затем укажите действия, которые должны быть выполнены при выполнении этих условий. Для получения более подробной информации перейдите в раздел «Создание и управление правилами действий» .
Принимайте меры на основе результатов поиска.
Поддерживаемые версии для этой функции: Frontline Standard и Frontline Plus; Enterprise Standard и Enterprise Plus; Education Standard и Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Сравните вашу версию.
После выполнения поиска в инструменте расследования инцидентов безопасности вы можете предпринять действия на основе результатов поиска. Например, вы можете выполнить поиск на основе событий журнала Gmail, а затем использовать инструмент для удаления определенных сообщений, отправки сообщений в карантин или отправки сообщений в почтовые ящики пользователей. Для получения более подробной информации перейдите в раздел «Действия на основе результатов поиска» .
Управляйте своими расследованиями
Поддерживаемые версии для этой функции: Frontline Standard и Frontline Plus; Enterprise Standard и Enterprise Plus; Education Standard и Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Сравните вашу версию.
Просмотрите список ваших расследований
Чтобы просмотреть список расследований, которые принадлежат вам и которые были предоставлены вам, нажмите «Просмотреть расследования». 
Список расследований включает имена, описания и ответственных за расследования, а также дату последнего изменения.
Из этого списка вы можете выполнить действия с любыми принадлежащими вам расследованиями, например, удалить расследование. Установите флажок напротив нужного расследования, а затем нажмите «Действия» .
Примечание : Вы можете просмотреть сохраненные расследования в разделе «Быстрый доступ» , непосредственно над списком расследований.
Настройте параметры для ваших расследований.
От имени суперадминистратора нажмите «Настройки». 
к:
- Измените часовой пояс для ваших исследований. Часовой пояс применяется к условиям поиска и результатам.
- Включите или выключите параметр «Требовать рецензентов» . Для получения более подробной информации перейдите в раздел «Требовать рецензентов для массовых действий» .
- Включить или выключить отображение содержимого . Этот параметр позволяет администраторам с соответствующими правами просматривать содержимое.
- Включить или выключить обоснование действий .
Для получения более подробной информации перейдите в раздел «Настройка параметров расследования» .
Сохраняйте, делитесь, удаляйте и дублируйте расследования.
Чтобы сохранить критерии поиска или поделиться ими с другими, вы можете создать и сохранить расследование, а затем поделиться им, скопировать или удалить его.
Для получения более подробной информации перейдите в раздел «Сохранение, предоставление доступа, удаление и дублирование расследований» .
Связанные темы
- Начните расследование на основе диаграммы на панели управления.
- Создайте пользовательскую диаграмму на основе проведенного исследования.
- Начните расследование из центра оповещения.
- Расследуйте сообщения о вредоносных электронных письмах.
- Изучите вопрос обмена файлами.
- Проведите исследование пользователей по различным источникам данных.
Google, Google Workspace, а также связанные с ними знаки и логотипы являются товарными знаками Google LLC. Все остальные названия компаний и продуктов являются товарными знаками компаний, с которыми они связаны.