Gebeurtenissen in het schijflogboek

Om naar logboekgebeurtenissen te zoeken, kiest u eerst een gegevensbron. Selecteer vervolgens een of meer filters voor uw zoekopdracht.

1. Ga in de Google Admin-console naar Menu. Rapportage Audit en onderzoek Gebeurtenissen in het schijflogboek .

   Ga naar Gebeurtenissen in het schijflogboek

   Hiervoor is de beheerdersbevoegdheid Audit & Onderzoek vereist.

2. Om gebeurtenissen te filteren die vóór of na een specifieke datum hebben plaatsgevonden, selecteert u bij Datum de optie Vóór of Na . Standaard worden gebeurtenissen van de afgelopen 7 dagen weergegeven. U kunt een ander datumbereik selecteren of klikken op om het datumfilter te verwijderen.

3. Klik op ' Een filter toevoegen'. Selecteer een kenmerk. Om bijvoorbeeld te filteren op een specifiek gebeurtenistype, selecteer je Gebeurtenis .
4. Selecteer een operator selecteer een waarde Klik op Toepassen .
   • (Optioneel) Om meerdere filters voor uw zoekopdracht te maken, herhaalt u deze stap.
   • (Optioneel) Om een ​​zoekoperator toe te voegen, selecteer je boven ' Een filter toevoegen ' de optie 'EN' of 'OF' .
5. Klik op Zoeken . Opmerking : Via het tabblad Filter kunt u eenvoudige parameter-waardeparen gebruiken om de zoekresultaten te filteren. U kunt ook het tabblad Voorwaarden gebruiken, waar de filters worden weergegeven als voorwaarden met AND/OR-operatoren.

Om een ​​zoekopdracht uit te voeren in de beveiligingsonderzoekstool, kiest u eerst een gegevensbron. Kies vervolgens een of meer voorwaarden voor uw zoekopdracht. Kies voor elke voorwaarde een kenmerk , een operator en een waarde .

1. Ga in de Google Admin-console naar Menu. Beveiliging Beveiligingscentrum Onderzoeksinstrument .

   Ga naar de onderzoekstool.

   Hiervoor is beheerdersrechten voor het beveiligingscentrum vereist.

2. Klik op Gegevensbron en selecteer Gebeurtenissen in het schijflogboek .

3. Om gebeurtenissen te filteren die vóór of na een specifieke datum hebben plaatsgevonden, selecteert u bij Datum de optie Vóór of Na . Standaard worden gebeurtenissen van de afgelopen 7 dagen weergegeven. U kunt een ander datumbereik selecteren of klikken op om het datumfilter te verwijderen.

4. Klik op Voorwaarde toevoegen .
   Tip : U kunt een of meer voorwaarden in uw zoekopdracht opnemen of uw zoekopdracht aanpassen met geneste query's . Zie ' Uw zoekopdracht aanpassen met geneste query's' voor meer informatie.
5. Klikkenmerk Selecteer een optie. Om bijvoorbeeld te filteren op een specifiek gebeurtenistype, selecteer je Gebeurtenis .
   Voor een volledige lijst met kenmerken, ga naar het gedeelte 'Beschrijvingen van kenmerken' .
6. Selecteer een operator.
7. Voer een waarde in of selecteer een waarde uit de lijst.
8. (Optioneel) Om meer zoekcriteria toe te voegen, herhaalt u de stappen.
9. Klik op Zoeken .
   Je kunt de zoekresultaten van de onderzoekstool in een tabel onderaan de pagina bekijken.
10. (Optioneel) Om uw onderzoek op te slaan, klikt u op Opslaan. Voer een titel en beschrijving in. Klik op Opslaan .

Notities

• In het tabblad 'Voorwaardenbouwer' worden filters weergegeven als voorwaarden met AND/OR-operatoren. U kunt ook het tabblad 'Filter' gebruiken om eenvoudige parameter-waardeparen op te nemen en zo de zoekresultaten te filteren.
• Als u een gebruiker een nieuwe naam geeft, ziet u geen zoekresultaten meer met de oude naam van de gebruiker. Als u bijvoorbeeld OldName@example.com hernoemt naar NewName@example.com , ziet u geen resultaten meer voor gebeurtenissen die gerelateerd zijn aan OldName@example.com .
• Je kunt alleen zoeken in berichten die nog niet uit de prullenbak zijn verwijderd.

Opmerking :

• Niet alle kenmerken in de volgende lijst worden voor alle gebeurtenissen gerapporteerd.
• De volgende lijst is niet volledig en kan worden gewijzigd. Ga voor meer informatie over Drive-logboekgebeurtenissen naar Drive Audit Activity Events op de website van de Google Workspace Admin SDK .

Let op : als u een gebruiker een nieuwe naam geeft, ziet u geen zoekresultaten meer met de oude naam van de gebruiker. Als u bijvoorbeeld OldName@example.com hernoemt naar NewName@example.com , ziet u geen resultaten meer voor gebeurtenissen die gerelateerd zijn aan OldName@example.com .

1. Open de logboekgebeurtenissen zoals beschreven in ' Een zoekopdracht uitvoeren naar logboekgebeurtenissen' .
2. Klik op ' Een filter toevoegen'. Zichtbaarheid Selecteer 'Extern delen' .
3. Klik op Zoeken .

Als je extern delen uitschakelt en een gebruiker een bron deelt met een groep die externe gebruikers toestaat, worden de gegevens in het logboek gemarkeerd als 'Extern gedeeld '. Externe gebruikers in de groep hebben echter geen toegang tot de gedeelde bron. Dit zie je zelfs als de groep geen externe gebruikers heeft.

1. Ga in de Google Admin-console naar Menu. Beveiliging Beveiligingscentrum Onderzoeksinstrument .

   Ga naar de onderzoekstool.

   Hiervoor is beheerdersrechten voor het beveiligingscentrum vereist.

2. Klik op Gegevensbron Selecteer 'Schijflogboekgebeurtenissen' .
3. Klik op Voorwaarde toevoegen .
4. Klikkenmerk Selecteer Zichtbaarheid .
5. Klik bevat selecteer Is.
6. Klikzichtbaarheid Selecteer 'Extern delen' .
7. Klik op Zoeken .
   Je kunt de zoekresultaten van de onderzoekstool in een tabel onderaan de pagina bekijken.

Als je extern delen uitschakelt en een gebruiker een bron deelt met een groep die externe gebruikers toestaat, worden de gegevens in het logboek gemarkeerd als 'Extern gedeeld '. Externe gebruikers in de groep hebben echter geen toegang tot de gedeelde bron. Dit zie je zelfs als de groep geen externe gebruikers heeft.

Bestanden die automatisch door Drive worden verwijderd of uit de prullenbak worden geleegd, worden geregistreerd.

Wanneer een bestand wordt gekopieerd, worden er 'Create'- en 'Copy'- gebeurtenissen geregistreerd voor het nieuwe bestand, en een 'Source Copy'- gebeurtenis voor het originele bestand.

Wanneer een gebruiker buiten uw organisatie een bestand naar een externe locatie kopieert, registreert uw organisatie de gebeurtenissen 'Aanmaken' en 'Kopiëren' niet, omdat het nieuwe bestand extern is. Uw logboeken bevatten echter wel de gebeurtenis 'Bron kopiëren ' voor het oorspronkelijke bestand met het kopieertype ' Extern' . Om te controleren wanneer gegevens buiten uw organisatie worden gekopieerd, kunt u de gebeurtenissen 'Bron kopiëren' met het kopieertype 'Extern' bekijken.

Printgebeurtenissen worden niet geregistreerd wanneer een gebruiker een bestand afdrukt dat is geopend in een Google-bestandsindeling (Docs, Sheets, Slides, Drawings en Forms).

Bij het afdrukken van bestanden met de Drive-app vanaf een Apple iPhone, iPad of Android-apparaat kunnen afdrukgebeurtenissen worden geregistreerd als downloadgebeurtenissen .

De meeste downloads worden geregistreerd, ook wanneer bestanden worden gekopieerd tussen Drive en een lokaal apparaat via Google Drive voor desktop.

De volgende weergaveacties worden geregistreerd als downloadgebeurtenissen :

• Een bestand bekijken in de Drive-app op een mobiel apparaat.
• Een bestand, zoals een PDF, bekijken dat niet rechtstreeks in Docs of andere Google-apps kan worden geopend.
• Een bestand als bijlage meesturen met een e-mail vanuit een Google-app, zoals Docs.

Downloads van de volgende bronnen worden niet geregistreerd:

• Downloads van Google Takeout (zoek in plaats daarvan naar gebeurtenissen in het Takeout-logboek )
• Downloads naar offline browsercache
• Foto's die gesynchroniseerd zijn met, gedownload zijn van of bekeken worden via Google Foto's
• Drive-items die als bijlagen vanuit Gmail worden verzonden.

Gebeurtenissen met betrekking tot de synchronisatie van iteminhoud worden in de volgende gevallen geregistreerd en zijn beschikbaar voor gebruik na 1 juli 2024:

• Een bestand wordt gesynchroniseerd van Drive naar een lokaal apparaat met behulp van Drive voor desktop. Deze synchronisaties worden ook geregistreerd als downloadgebeurtenissen .
• Een bestand wordt gesynchroniseerd met een apparaat voor offline toegang , inclusief doorlopende synchronisaties met de online versie. Gebeurtenissen met betrekking tot de synchronisatie van iteminhoud met de mobiele Drive-app (Android en iOS) kunnen in plaats daarvan als downloadgebeurtenissen worden geregistreerd.

Gebeurtenissen waarbij iteminhoud vooraf wordt opgehaald, geven aan dat een Google-app Drive-gegevens heeft opgehaald, maar deze niet direct aan de gebruiker heeft getoond. Het bekijken van een voorbeeld van een bestand in Drive kan bijvoorbeeld leiden tot het vooraf ophalen van bestanden in de buurt. De inhoud is beschikbaar voor de gebruiker als deze deze later nodig heeft.

U kunt namens gebruikers bestanden openen via een app die gebruikmaakt van een Google Workspace API, zoals de Google Drive API of de Google Sheets API. Deze acties worden niet geregistreerd als download- of weergavegebeurtenissen , maar alleen als 'Toegang tot iteminhoud' . De 'Toegang tot iteminhoud' -gebeurtenissen van Gemini worden alleen geregistreerd wanneer bestandsinhoud wordt geopend buiten het geopende bestand van een gebruiker in Drive voor web.

Gebeurtenissen met betrekking tot de toegang tot iteminhoud worden niet geregistreerd wanneer een gebruiker een bestand bekijkt of opent in Drive voor web, Drive op mobiel of de Drive-app voor desktop.

Het bekijken van bestanden via /htmlview, /embed, /revisions en andere speciale URL's wordt geregistreerd als weergavegebeurtenissen .

Gebeurtenissen met betrekking tot URL-toegang worden geregistreerd wanneer een Apps Script-script een URL opent , ook wanneer het script wordt uitgevoerd vanuit het Apps Script-dashboard , als een invoegtoepassing of als een aangepaste functie in Google Sheets . Gebeurtenissen met betrekking tot URL-toegang worden niet geregistreerd wanneer een gebruiker op een link in een bestand klikt.

De gerapporteerde kenmerken zijn afhankelijk van hoe het script is uitgevoerd en wie de eigenaar ervan is:

• Wanneer een script als aangepaste functie wordt uitgevoerd, weerspiegelen de document-ID en andere documentgerelateerde kenmerken het werkblad waarin de functie is aangeroepen.
• Als een script niet als een aangepaste functie wordt uitgevoerd, worden documentgerelateerde attributen niet gerapporteerd.
• De script-ID wordt weergegeven als het Apps Script-script eigendom is van uw organisatie.

Het aanroepen van een Sheets Import-functie , die een URL gebruikt, wordt geregistreerd als een Sheets Import URL- gebeurtenis. Een gebeurtenis wordt geregistreerd wanneer de inhoud van het spreadsheet wordt gewijzigd door een automatische vernieuwing of wanneer een gebruiker het spreadsheet opent.

Sommige gebeurtenissen hebben betrekking op gebruikers, gedeelde mappen of gedeelde schijven buiten uw organisatie, bijvoorbeeld wanneer een gebruiker binnen uw organisatie een bestand deelt met een externe gebruiker. Beide organisaties registreren een gebeurtenis wanneer het eigenaarschap van het item van de ene organisatie naar de andere overgaat.

Voorbeelden van gebeurtenissen die door beide zijn vastgelegd:

• Een Drive-item dat eigendom is van een gebruiker in uw organisatie, wordt verplaatst naar een externe gedeelde schijf.
• Een Drive-item dat eigendom is van een gebruiker buiten uw organisatie, wordt verplaatst naar een gedeelde schijf die eigendom is van uw organisatie.
• Een gebruiker kopieert een bestand naar of vanuit uw organisatie. De ontvangende organisatie registreert de naam van het gekopieerde bestand, niet de oorspronkelijke bestandsnaam.

Voorbeelden van gebeurtenissen die door uw organisatie zijn vastgelegd, maar niet door het externe domein:

• Een Drive-item dat eigendom is van een gebruiker binnen uw organisatie, wordt gedeeld met een externe gebruiker.
• Een Drive-item dat eigendom is van een gebruiker in uw organisatie, wordt gedeeld met een groep die externe gebruikers toestaat, zelfs als er geen externe gebruikers deel uitmaken van die groep.
• Een externe gebruiker kan een Drive-item dat eigendom is van uw organisatie bekijken, bewerken, downloaden, afdrukken of verwijderen.
• Een externe gebruiker uploadt een bestand naar een gedeelde schijf die eigendom is van uw organisatie.

Gebeurtenissen die door het externe domein, maar niet door uw organisatie zijn geregistreerd, zijn het tegenovergestelde van wat in de vorige sectie werd beschreven.

Voor anonieme gebruikers (gebruikers die niet zijn ingelogd op een Google-account) worden bewerkingen, downloads en weergaven geregistreerd.

Handelingen uitgevoerd door gebruikers buiten het domein worden als anoniem weergegeven, tenzij het item expliciet met hen wordt gedeeld (als individu of als onderdeel van een specifieke groep).

Beheerders kunnen anonieme en externe toegang beperken door beleid voor het delen van organisatiegegevens of vertrouwensregels in te stellen.

Wanneer bestanden tussen Drive en een lokaal apparaat worden gekopieerd met Drive voor desktop, worden de gebeurtenissen 'Downloaden' en 'Inhoud van items gesynchroniseerd' geregistreerd.

Wanneer een gebruiker een zoekopdracht uitvoert in Drive of via de openbare Drive API's, wordt deze zoekopdracht geregistreerd als een gebeurtenis ' Item zoeken uitgevoerd' . Deze gebeurtenis bevat informatie over de zoekresultaten en de zoekopdracht van de gebruiker.

Je kunt zelf bepalen welke gegevenskolommen in je zoekresultaten worden weergegeven.

1. Klik rechtsboven in de tabel met zoekresultaten op Kolommen beheren. .
2. (Optioneel) Om de huidige kolommen te verwijderen, klikt u op Verwijderen. .
3. (Optioneel) Om kolommen toe te voegen, klikt u naast 'Nieuwe kolom toevoegen ' op de pijl naar beneden. en selecteer de gegevenskolom.
   Herhaal indien nodig.
4. (Optioneel) Om de volgorde van de kolommen te wijzigen, sleept u de namen van de gegevenskolommen.
5. Klik op Opslaan .

Je kunt zoekresultaten exporteren naar Google Sheets of naar een CSV-bestand.

1. Klik bovenaan in de tabel met zoekresultaten op Alles exporteren .
2. Voer een naam in Klik op Exporteren .
   De export wordt onder de zoekresultatentabel weergegeven, onder ' Exportactieresultaten' .
3. Om de gegevens te bekijken, klikt u op de naam van uw export.
   Het exportbestand wordt geopend in Google Sheets.

Exportlimieten variëren:

• De totale resultaten van de export zijn beperkt tot 100.000 rijen.
• Ondersteunde edities voor deze functie: Frontline Standard en Frontline Plus; Enterprise Standard en Enterprise Plus; Education Standard en Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Vergelijk uw editie

  Als u de tool voor beveiligingsonderzoek hebt, zijn de totale resultaten van de export beperkt tot 30 miljoen rijen.

Ga voor meer informatie naar Zoekresultaten exporteren .

Ga naar Gegevensbewaring en vertragingstijden .

• U kunt waarschuwingen instellen op basis van logboekgebeurtenisgegevens met behulp van rapportageregels. Zie Rapportageregels maken en beheren voor instructies.
• Ondersteunde edities voor deze functie: Frontline Standard en Frontline Plus; Enterprise Standard en Enterprise Plus; Education Standard en Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Vergelijk uw editie

  Om beveiligingsproblemen efficiënt te voorkomen, op te sporen en op te lossen, kunt u acties in de tool voor beveiligingsonderzoek automatiseren en waarschuwingen instellen door activiteitsregels te maken. Om een ​​regel in te stellen, definieert u de voorwaarden voor de regel en specificeert u vervolgens de acties die moeten worden uitgevoerd wanneer aan de voorwaarden is voldaan. Ga voor meer informatie naar Activiteitsregels maken en beheren .

Ondersteunde edities voor deze functie: Frontline Standard en Frontline Plus; Enterprise Standard en Enterprise Plus; Education Standard en Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Vergelijk uw editie

Nadat u een zoekopdracht hebt uitgevoerd in de tool voor beveiligingsonderzoek, kunt u actie ondernemen op basis van de zoekresultaten. U kunt bijvoorbeeld een zoekopdracht uitvoeren op basis van gebeurtenissen in het Gmail-logboek en vervolgens de tool gebruiken om specifieke berichten te verwijderen, berichten in quarantaine te plaatsen of berichten naar de inbox van gebruikers te sturen. Ga naar Actie ondernemen op basis van zoekresultaten voor meer informatie.

Om een ​​lijst te bekijken van de onderzoeken die u bezit en die met u zijn gedeeld, klikt u op 'Onderzoeken bekijken'. De lijst met onderzoeken bevat de namen, beschrijvingen en eigenaren van de onderzoeken, en de datum van de laatste wijziging.

Vanuit deze lijst kunt u acties uitvoeren op alle onderzoeken die u beheert, bijvoorbeeld een onderzoek verwijderen. Vink het vakje van een onderzoek aan en klik vervolgens op Acties .

Opmerking : U kunt uw opgeslagen onderzoeken bekijken onder Snelle toegang , direct boven uw lijst met onderzoeken.

Als superbeheerder klikt u op Instellingen. naar:

• Wijzig de tijdzone voor uw zoekopdrachten. De tijdzone is van invloed op de zoekvoorwaarden en -resultaten.
• Schakel de optie 'Reviewer vereisen' in of uit. Ga naar 'Reviewers vereisen voor bulkacties' voor meer informatie.
• Schakel 'Inhoud weergeven' in of uit. Met deze instelling kunnen beheerders met de juiste rechten de inhoud bekijken.
• Schakel de actierechtvaardiging in of uit.

Ga voor meer informatie naar Instellingen configureren voor uw onderzoeken .

Om je zoekcriteria op te slaan of met anderen te delen, kun je een zoekopdracht aanmaken en opslaan, en deze vervolgens delen, dupliceren of verwijderen.

Ga voor meer informatie naar Onderzoeken opslaan, delen, verwijderen en dupliceren .