Logghändelser för Drive

Om du vill söka efter logghändelser väljer du först en datakälla. Välj sedan ett eller flera villkor för sökningen.

1. I Googles administratörskonsol går du till menyn Rapportering Granskning och utredning Logghändelser för Drive.

   Gå till logghändelser för Drive

   Kräver administratörsbehörighet för Granskning och utredning.

2. Om du vill filtrera händelser som inträffade före eller efter ett specifikt datum väljer du Före eller Efter för Datum. Som standard visas händelser från de senaste sju dagarna. Du kan välja ett annat datumintervall eller klicka på för att ta bort datumfiltret.

3. Klicka på Lägg till ett filter välj ett attribut. Välj Händelse om du till exempel vill filtrera efter en specifik händelsetyp.
4. Välj en operator välj ett värde klicka på Tillämpa.
   • (Valfritt) Upprepa det här steget om du vill skapa flera filter för sökningen.
   • (Valfritt) Om du vill lägga till en sökoperator väljer du AND eller OR ovanför Lägg till ett filter.
5. Klicka på Sök. Obs! På fliken Filter kan du filtrera sökresultaten genom att inkludera enkla parameter- och värdepar. Du kan även använda fliken Villkorsverktyg där filter återges som villkor med AND- eller OR-operatorer.

Om du vill köra en sökning i verktyget för säkerhetsutredningar väljer du först en datakälla. Välj sedan ett eller flera villkor för sökningen. För varje villkor väljer du ett attribut, en operator och ett värde.

1. I Googles administratörskonsol går du till menyn Säkerhet Säkerhetscenter Utredningsverktyg.

   Gå till Utredningsverktyg

   Administratörsbehörighet för Säkerhetscenter krävs.

2. Klicka på Datakälla och välj Drive-logghändelser.

3. Om du vill filtrera händelser som inträffade före eller efter ett specifikt datum väljer du Före eller Efter för Datum. Som standard visas händelser från de senaste sju dagarna. Du kan välja ett annat datumintervall eller klicka på för att ta bort datumfiltret.

4. Klicka på Lägg till villkor.
   Tips! Du kan inkludera ett eller flera villkor i din sökning eller anpassa sökningen med kapslade frågor. Mer information finns i Anpassa sökningen med kapslade frågor.
5. Klicka på Attribut välj ett alternativ. Välj Händelse om du till exempel vill filtrera efter en specifik händelsetyp.
   En fullständig lista över attribut finns i avsnittet Attributbeskrivningar längre ned på den här sidan.
6. Välj en operator.
7. Ange ett värde eller välj ett värde i listan.
8. (Valfritt) Upprepa stegen om du vill lägga till fler sökvillkor.
9. Klicka på Sök.
   Du kan granska sökresultaten från utredningsverktyget i en tabell längst ner på sidan.
10. (Valfritt) Om du vill spara utredningen klickar du på Spara anger en titel och beskrivning klickar på Spara.

Anmärkningar

• På fliken Villkorsverktyg visas filter som villkor med AND/OR-operatorer. Du kan även använda fliken Filter för att inkludera enkla parameter- och värdepar för att filtrera sökresultaten.
• Om du ger en användare ett nytt namn ser du inte sökresultat med användarens gamla namn. Om du exempelvis byter namn på GammaltNamn@exempel.com till NyttNamn@exempel.com ser du inga resultat för händelser som rör GammaltNamn@exempel.com.
• Du kan bara söka efter data i meddelanden som ännu inte har raderats från papperskorgen.

Obs!

• Alla attribut i följande lista rapporteras inte för alla händelser.
• Följande lista är inte fullständig och kan komma att ändras. Mer information om Drive-logghändelser finns i Aktivitetshändelser för Drive-granskning på webbplatsen för Google Workspace Admin SDK.

Obs! Om du har gett en användare ett nytt namn ser du inte sökresultat med användarens gamla namn. Om du exempelvis byter namn på GammaltNamn@exempel.com till NyttNamn@exempel.com ser du inga resultat för händelser som rör GammaltNamn@exempel.com.

1. Öppna logghändelserna enligt beskrivningen i Söka efter logghändelser.
2. Klicka på Lägg till ett filter Synlighet välj Delas externt.
3. Klicka på Sök.

Om du stänger av extern delning och en användare delar en resurs med en grupp som tillåter externa användare markeras data som Delas externt i loggen. Externa användare i gruppen kan dock inte komma åt den delade resursen. Du ser detta även om gruppen inte har några externa användare.

1. I Googles administratörskonsol går du till menyn Säkerhet Säkerhetscenter Utredningsverktyg.

   Gå till Utredningsverktyg

   Administratörsbehörighet för Säkerhetscenter krävs.

2. Klicka på Datakälla välj Logghändelser för Drive.
3. Klicka på Lägg till villkor.
4. Klicka på Attribut välj Synlighet.
5. Klicka på Innehåller välj Är.
6. Klicka på Synlighet välj Delas externt.
7. Klicka på Sök.
   Du kan granska sökresultaten från utredningsverktyget i en tabell längst ner på sidan.

Om du stänger av extern delning och en användare delar en resurs med en grupp som tillåter externa användare markeras data som Delas externt i loggen. Externa användare i gruppen kan dock inte komma åt den delade resursen. Du ser detta även om gruppen inte har några externa användare.

Filer som automatiskt tas bort av Google Drive eller töms från papperskorgen loggas.

När en fil kopieras loggas händelserna Skapa och Kopiera för den nya filen och händelsen Källkopia loggas för originalfilen.

När en användare utanför organisationen kopierar en fil till en extern plats loggar organisationen inte händelserna Skapa och Kopiera eftersom den nya filen är extern. Loggarna har dock händelsen Källkopia i originalfilen med Kopieringstyp Extern. Om du vill övervaka när data kopieras från organisationen kan du granska händelser av typen Källkopia som har kopieringstypen Extern.

Utskriftshändelser registreras inte när en användare skriver ut en fil som har öppnats i Google-format (Dokument, Kalkylark, Presentationer, Teckningar och Formulär).

När du skriver ut filer med Drive-appen från en Apple iPhone, Apple iPad eller Android-enhet kan utskriftshändelser loggas som nedladdningshändelser.

De flesta nedladdningar loggas, inklusive när filer kopieras mellan Drive och en lokal enhet med Google Drive för datorn.

Följande visningsåtgärder loggas som nedladdningshändelser:

• förhandsgranska en fil i Drive-appen på en mobil enhet
• förhandsgranskning av en fil, till exempel en PDF-fil, som inte kan öppnas direkt i Dokument eller andra Google-appar
• Skicka en fil som bilaga till ett e-postmeddelande från en Google-app, till exempel Dokument

Nedladdningar från följande källor loggas inte:

• Google Takeout-nedladdningar (sök efter Takeout-logghändelser i stället)
• Hämtningar till offline-cacheminnen för webbläsare
• Foton som synkroniseras till, hämtas från eller visas i Google Foto
• Drive-objekt som skickas via e-post från Gmail som bilagor

Händelser för synkronisering av objektinnehåll loggas i följande fall och är tillgängliga för aktivitet efter den 1 juli 2024:

• En fil synkroniseras från Drive till en lokal enhet med Drive för datorn. De loggas även som nedladdningshändelser.
• En fil synkroniseras med en enhet för offlineåtkomst, inklusive pågående synkroniseringar med onlineversionen. Synkroniserade objektinnehåll i Drive-mobilappen (Android och iOS) kan loggas som Ladda ned-händelser i stället.

Händelser av typen Objektinnehållet har hämtats i förväg indikerar att en Google-app har hämtat Drive-data men inte visat den för användaren direkt. Om du till exempel förhandsgranskar en fil i Drive kan det leda till att närliggande filer hämtas i förväg. Innehållet är tillgängligt för användaren om det behövs senare.

Du kan få åtkomst till filer för användarnas räkning via en app som använder ett Google Workspace API, till exempel Google Drive API eller Google Sheets API. Dessa åtgärder loggas inte som nedladdnings- eller visningshändelser, utan endast som objektinnehåll som har öppnats. Geminis händelser för Objektinnehållet har öppnats loggas enbart när filinnehållet nås utanför en användares öppna fil i Drive för webben.

Händelser av typen Objektinnehållet har öppnats loggas inte när en fil visas eller öppnas av en användare i Drive för webben, Drive på mobila enheter eller Drive för datorn-appen.

Visning av filer med /htmlview, /embed, /revisions och andra specialwebbadresser loggas nu som visningshändelser.

Webbadressen har öppnats-händelser loggas när ett Apps Script-skript kommer åt en webbadress, inklusive när skriptet körs från Apps Script-översikt, körs som Tillägg eller körs som en anpassad funktion i Kalkylark. Händelser av typen Webbadressen har öppnats loggas inte när en användare klickar på en länk i en fil.

Vilka attribut som rapporteras beror på hur skriptet kördes och vem som äger det:

• När ett skript körs som en anpassad funktion återspeglar dokument-id:t och andra dokumentrelaterade attribut arbetsbladet som funktionen anropades i.
• När ett skript inte körs som en anpassad funktion rapporteras inte dokumentrelaterade attribut.
• Skript-id rapporteras om Apps Script-skriptet ägs av organisationen.

Anrop till en importfunktion i Kalkylark som får åtkomst till en webbadress loggas som en import av webbadress för Kalkylark. En händelse loggas när innehållet i arbetsbladet ändras genom en automatisk uppdatering eller när en användare öppnar arbetsbladet.

Vissa händelser omfattar användare, delade mappar eller delade enheter utanför organisationen, till exempel när en användare i organisationen delar en fil med en extern användare. Båda organisationerna loggar en händelse när äganderätten till objektet ändras från en organisation till en annan.

Exempel på händelser som loggas av båda:

• Ett Drive-objekt som ägs av en användare i organisationen flyttas till en extern delad enhet.
• Ett Drive-objekt som ägs av en användare utanför organisationen flyttas till en delad enhet som ägs av organisationen.
• En användare kopierar en fil till eller från organisationen. Den mottagande organisationen loggar den kopierade filens namn, inte den ursprungliga filens namn.

Exempel på händelser som loggas av organisationen men inte av den externa domänen:

• Ett Drive-objekt som ägs av en användare i organisationen delas med en extern användare.
• Ett Drive-objekt som ägs av en användare i organisationen delas med en grupp som tillåter externa användare, även om inga externa användare finns i gruppen.
• En extern användare visar, redigerar, laddar ned, skriver ut eller tar bort ett Drive-objekt som ägs av organisationen.
• En extern användare laddar upp en fil till en delad enhet som ägs av organisationen.

Händelser som loggas av den externa domänen men inte av organisationen är motsatsen till föregående avsnitt.

För anonyma användare (användare som inte är inloggade på ett Google-konto) loggas redigeringar, nedladdningar och visningar.

Åtgärder som utförs av användare utanför domänen visas som anonyma förutom när objektet uttryckligen delas med dem (som individ eller som del av en viss grupp).

Administratörer kan begränsa anonym och extern åtkomst genom att ange policyer för organisationsdelning eller förtroenderegler.

När filer kopieras mellan Drive och en lokal enhet med Drive för datorn loggas händelserna Nedladdning och Objektinnehållet har synkroniserats.

När en användare gör en sökning i Drive eller i offentliga Drive API:er loggas sökningen som en händelse av typen Objektsökning har utförts. Händelsen innehåller information om sökresultaten och användarens sökfråga.

Du kan styra vilka datakolumner som visas i sökresultaten.

1. Klicka på Hantera kolumner uppe till höger i sökresultattabellen.
2. (Valfritt) Om du vill ta bort aktuella kolumner klickar du på Ta bort .
3. (Valfritt) Om du vill lägga till kolumner klickar du på nedåtpilen bredvid Lägg till ny kolumn och väljer datakolumnen.
   Upprepa vid behov.
4. (Valfritt) Om du vill ändra ordningen på kolumnerna drar du datakolumnnamnen.
5. Klicka på Spara.

Du kan exportera sökresultat till Kalkylark eller till en CSV-fil.

1. Klicka på Exportera alla högst upp i sökresultattabellen.
2. Ange ett namn klicka på Exportera.
   Exporten visas nedanför sökresultattabellen under Exportera åtgärdsresultat.
3. Klicka på exportens namn om du vill visa informationen.
   Exporten öppnas i Kalkylark.

Exportgränserna varierar:

• Du kan exportera upp till 100 000 rader.
• Om du har verktyget för säkerhetsutredningar kan du exportera upp till 30 miljoner rader.

Mer information finns i Exportera sökresultat.

Öppna Datalagring och fördröjning.

• Du kan ställa in varningar baserat på logghändelsedata med hjälp av rapporteringsregler. Anvisningar finns i Skapa och hantera rapporteringsregler.
• Utgåvor som stöds för den här funktionen: Frontline Standard och Frontline Plus, Enterprise Standard och Enterprise Plus, Education Standard och Education Plus, Enterprise Essentials Plus, Cloud Identity-premiumversion. Jämför utgåvor

  Förebygg, identifiera och åtgärda säkerhetsproblem effektivt genom att automatisera åtgärder i verktyget för säkerhetsutredningar och konfigurera varningar genom att skapa aktivitetsregler. Konfigurera en regel, ange villkor för regeln och ange vilka åtgärder som ska utföras när villkoren är uppfyllda. Mer information finns i Skapa och hantera aktivitetsregler.

Utgåvor som stöds för den här funktionen: Frontline Standard och Frontline Plus, Enterprise Standard och Enterprise Plus, Education Standard och Education Plus, Enterprise Essentials Plus, Cloud Identity-premiumversion. Jämför utgåvor

När du har gjort en sökning i verktyget för säkerhetsutredningar kan du agera på sökresultaten. Du kan till exempel köra en sökning baserat på logghändelser i Gmail och använda verktyget för att radera specifika meddelanden, sätta meddelanden i karantän eller skicka meddelanden till användarnas inkorgar. Mer information finns i Vidta åtgärder baserat på sökresultat.

Visa en lista över utredningar som du äger och som har delats med dig genom att klicka på Visa utredningar . Utredningslistan innehåller utredningarnas namn, beskrivningar och ägare samt det datum då de senast ändrades.

I den här listan kan du vidta åtgärder för utredningar du äger. Du kan till exempel radera en utredning. Markera kryssrutan för en utredning och klicka sedan på Åtgärder.

Obs! Du kan se dina sparade utredningar under Snabbåtkomst direkt ovanför listan över utredningar.

Som avancerad administratör klickar du på Inställningar för att:

• Ändra tidszon för dina undersökningar. Tidszonen tillämpas på sökvillkoren och resultaten.
• Aktivera eller inaktivera Kräv granskare. Mer information finns i Kräv granskare för massåtgärder.
• Aktivera eller inaktivera Visa innehåll. Med den här inställningen kan administratörer med relevant behörighet visa innehåll.
• Slå på eller av Aktivera åtgärdsanpassning.

Mer information finns i Konfigurera inställningar för utredningar.

Om du vill spara dina sökkriterier eller dela dem med andra kan du skapa och spara en utredning och sedan dela, duplicera eller radera den.

Mer information finns i Spara, dela, radera och duplicera utredningar.