Événements de journaux Drive

Pour exécuter une recherche portant sur les événements de journaux, choisissez d'abord une source de données. Sélectionnez ensuite un ou plusieurs filtres pour votre recherche.

1. Dans la console d'administration Google, accédez à Menu  Création de rapports Audit et enquête Événements de journaux Drive.

   Accéder aux événements de journaux Drive

   Vous devez disposer du droit d'administrateur Audit et enquête.

2. Pour filtrer les événements qui se sont produits avant ou après une date spécifique, sélectionnez Avant ou Après dans Date. Par défaut, les événements des sept derniers jours sont affichés. Vous pouvez sélectionner une autre plage de dates ou cliquer sur  pour supprimer le filtre de date.

3. Cliquez sur Ajouter un filtre sélectionnez un attribut. Par exemple, pour filtrer par type d'événement spécifique, sélectionnez Événement.
4. Sélectionnez un opérateur sélectionnez une valeur cliquez sur Appliquer.
   • (Facultatif) Pour créer plusieurs filtres pour votre recherche, répétez cette étape.
   • (Facultatif) Pour ajouter un opérateur de recherche, sélectionnez ET ou OU au-dessus de Ajouter un filtre.
5. Cliquez sur Rechercher. Remarque : L'onglet Filtre vous permet d'inclure des paires paramètres/valeurs simples pour filtrer les résultats de la recherche. Vous pouvez également utiliser l'onglet Générateur de conditions, dans lequel les filtres sont représentés par des conditions associées à des opérateurs AND/OR.

Pour lancer une recherche dans l'outil d'investigation de sécurité, choisissez d'abord une source de données. Sélectionnez ensuite une ou plusieurs conditions pour votre recherche. Pour chaque condition, sélectionnez un attribut, un opérateur et une valeur.

1. Dans la console d'administration Google, accédez à Menu  Sécurité Centre de sécurité Outil d'investigation.

   Accéder à l'outil d'investigation

   Vous devez disposer du droit d'administrateur Centre de sécurité.

2. Cliquez sur Source de données, puis sélectionnez Événements de journaux Drive.

3. Pour filtrer les événements qui se sont produits avant ou après une date spécifique, sélectionnez Avant ou Après dans Date. Par défaut, les événements des sept derniers jours sont affichés. Vous pouvez sélectionner une autre plage de dates ou cliquer sur  pour supprimer le filtre de date.

4. Cliquez sur Ajouter une condition.
   Conseil : Vous pouvez inclure une ou plusieurs conditions dans votre recherche ou la personnaliser avec des requêtes imbriquées. Pour en savoir plus, consultez Personnaliser votre recherche avec des requêtes imbriquées.
5. Cliquez sur Attribut sélectionnez une option. Par exemple, pour filtrer par type d'événement spécifique, sélectionnez Événement.
   Pour obtenir la liste complète des attributs, consultez la section Descriptions des attributs.
6. Sélectionnez un opérateur.
7. Saisissez une valeur ou sélectionnez-en une dans la liste.
8. (Facultatif) Pour ajouter d'autres critères de recherche, répétez la procédure.
9. Cliquez sur Rechercher.
   Vous pouvez consulter les résultats de recherche de l'outil d'investigation dans un tableau en bas de la page.
10. (Facultatif) Pour enregistrer votre investigation, cliquez sur Enregistrer  saisissez un titre et une description cliquez sur Enregistrer.

Remarques

• Dans l'onglet Générateur de conditions, les filtres sont représentés par des conditions avec des opérateurs AND/OR. L'onglet Filtre vous permet d'inclure des paires de paramètres et de valeurs simples afin de filtrer les résultats de la recherche.
• Si vous avez donné un nouveau nom à un utilisateur, vous n'obtiendrez aucun résultat si vous lancez des requêtes avec son ancien nom. Par exemple, si vous remplacez AncienNom@exemple.com par NouveauNom@exemple.com, vous n'obtiendrez aucun résultat pour les événements liés à AncienNom@exemple.com.
• Vous ne pouvez rechercher des données que dans les messages qui n'ont pas encore été supprimés de la corbeille.

Remarque :

• Tous les attributs de la liste suivante ne sont pas indiqués pour tous les événements.
• La liste suivante n'est pas exhaustive et peut être modifiée. Pour en savoir plus sur les événements de journaux Drive, consultez Événements d'activités d'audit Drive sur le site Web du SDK Admin Google Workspace.

Remarque : Si vous avez donné un nouveau nom à un utilisateur, vous n'obtiendrez aucun résultat si vous lancez des requêtes avec son ancien nom. Par exemple, si vous remplacez AncienNom@exemple.com par NouveauNom@exemple.com, vous n'obtiendrez aucun résultat pour les événements liés à AncienNom@exemple.com.

Les fichiers supprimés automatiquement par Drive ou supprimés de la corbeille sont consignés.

Lorsqu'un fichier est copié, des événements Créer et Copier sont enregistrés pour le nouveau fichier, et un événement Texte source est enregistré pour le fichier d'origine.

Lorsqu'un utilisateur en dehors de votre organisation copie un fichier dans un emplacement externe, votre organisation n'enregistre pas d'événements Créer et Copier, car le nouveau fichier est externe. Toutefois, vos journaux comportent l'événement Texte source pour le fichier d'origine avec le champ Type de copie défini sur Externe. Pour savoir quand des données sont copiées en dehors de votre organisation, vous pouvez examiner les événements Texte source associés au type de copie Externe.

Les événements Imprimer ne sont pas enregistrés lorsqu'un utilisateur imprime un fichier ouvert dans un format de fichier Google (Docs, Sheets, Slides, Drawings et Forms).

Lorsque vous imprimez des fichiers avec l'application Drive à partir d'un iPhone, d'un iPad ou d'un appareil Android, les événements Imprimer peuvent être consignés en tant qu'événements Télécharger.

La plupart des téléchargements sont consignés, y compris lorsque les fichiers sont copiés entre Drive et un appareil local à l'aide de Google Drive pour ordinateur.

Les actions Afficher suivantes sont consignées en tant qu'événements de téléchargement :

• Prévisualiser un fichier dans l'application Drive sur un appareil mobile
• Prévisualiser un fichier (PDF, par exemple) qui ne peut pas être ouvert directement dans Docs ni dans aucune autre application Google
• Envoyer un fichier en pièce jointe dans un e-mail depuis une application Google, comme Docs

Les téléchargements provenant des sources suivantes ne sont pas consignés :

• Téléchargements Google Takeout (recherchez plutôt Événements de journaux Takeout)
• Téléchargements dans la mémoire cache des navigateurs pour un accès hors connexion
• Photos synchronisées avec Google Photos, ou téléchargées ou affichées via cette application
• Éléments Drive joints à des e-mails depuis Gmail

Les événements de synchronisation du contenu d'un élément sont consignés dans les cas suivants et disponibles pour les activités après le 1er juillet 2024 :

• Un fichier est synchronisé depuis Drive vers un appareil local à l'aide de Drive pour ordinateur. Ces événements sont également consignés en tant qu'événements de téléchargement.
• Un fichier est synchronisé avec un appareil pour un accès hors connexion. Cela vaut pour les synchronisations en cours avec la version en ligne. Les événements de synchronisation du contenu d'un élément avec l'application mobile Drive (Android et iOS) peuvent aussi être consignés en tant qu'événements de téléchargement.

Les événements de préchargement du contenu d'un élément indiquent qu'une application Google a récupéré des données Drive, mais ne les a pas immédiatement affichées à l'utilisateur. Par exemple, la prévisualisation d'un fichier dans Drive peut entraîner le préchargement des fichiers à proximité. Le contenu est disponible pour l'utilisateur s'il en a besoin plus tard.

Vous pouvez accéder aux fichiers au nom des utilisateurs via une application qui utilise une API Google Workspace, comme l'API Google Drive ou l'API Google Sheets. Ces actions ne sont pas consignées en tant qu'événements de téléchargement ou d'affichage, mais uniquement en tant qu'accès au contenu d'un élément. Les événements Accès au contenu d'un élément de Gemini ne sont consignés que lorsque le contenu d'un fichier est consulté en dehors du fichier ouvert d'un utilisateur dans Drive pour le Web.

Les événements d'accès au contenu d'un élément ne sont pas consignés lorsqu'un utilisateur consulte ou ouvre un fichier dans Drive pour le Web, dans Drive sur mobile ou dans l'application Drive pour ordinateur.

Un événement Afficher est désormais consigné lorsque vous consultez des fichiers à l'aide de /htmlview, /embed, /revisions et d'autres URL spéciales.

Les événements URL consultée sont consignés lorsqu'un script Apps Script accède à une URL, y compris lorsque le script est exécuté depuis le tableau de bord Apps Script, exécuté en tant que module complémentaire ou exécuté en tant que fonction personnalisée dans Sheets. Les événements URL consultée ne sont pas consignés lorsqu'un utilisateur clique sur un lien dans un fichier.

Les attributs indiqués dépendent de la manière dont le script a été exécuté et du propriétaire du script :

• Lorsqu'un script est exécuté en tant que fonction personnalisée, l'ID du document et les autres attributs liés au document reflètent la feuille dans laquelle la fonction a été appelée.
• Lorsqu'un script n'est pas exécuté en tant que fonction personnalisée, les attributs liés aux documents ne sont pas indiqués.
• L'ID de script est indiqué si le script Apps Script appartient à votre organisation.

L'appel d'une fonction d'importation Sheets, qui accède à une URL, est consigné en tant qu'événement URL d'importation Sheets. Un événement est consigné lorsque le contenu de la feuille est modifié par une actualisation automatique ou lorsqu'un utilisateur ouvre la feuille.

Certains événements concernent des utilisateurs, des dossiers partagés ou des Drive partagés externes à votre organisation, par exemple lorsqu'un utilisateur de votre organisation partage un fichier avec un utilisateur externe. Les deux organisations consignent un événement lorsque la propriété de l'élément passe d'une organisation à une autre.

Exemples d'événements enregistrés par les deux :

• Un élément Drive appartenant à un utilisateur de votre organisation est déplacé vers un Drive partagé externe.
• Un élément Drive appartenant à un utilisateur externe à votre organisation est déplacé vers un Drive partagé appartenant à votre organisation.
• Un utilisateur copie un fichier dans votre organisation ou en dehors. L'organisation qui reçoit le fichier enregistre le nom du fichier copié, et non celui du fichier d'origine.

Exemples d'événements enregistrés par votre organisation, mais pas par le domaine externe :

• Un élément Drive appartenant à un utilisateur de votre organisation est partagé avec un utilisateur externe.
• Un élément Drive appartenant à un utilisateur de votre organisation est partagé avec un groupe qui autorise les utilisateurs externes, même si aucun utilisateur externe n'en fait partie.
• Un utilisateur externe affiche, modifie, télécharge, imprime ou supprime un élément Drive appartenant à votre organisation.
• Un utilisateur externe importe un fichier dans un Drive partagé appartenant à votre organisation.

Les événements enregistrés par le domaine externe, mais pas par votre organisation, sont l'inverse de la section précédente.

Pour les utilisateurs anonymes (c'est-à-dire ceux qui ne sont pas connectés à un compte Google), les modifications et les téléchargements sont enregistrés, mais pas les consultations.

Les actions effectuées par des utilisateurs externes au domaine sont affichées comme anonymes, sauf si l'élément est explicitement partagé avec eux (à titre individuel ou dans un groupe spécifique).

Les administrateurs peuvent limiter l'accès anonyme et externe en définissant des règles de partage pour l'organisation ou des règles de confiance.

Lorsque des fichiers sont copiés entre Drive et un appareil local à l'aide de Drive pour ordinateur, les événements Télécharger et Contenu de l'élément synchronisé sont consignés.

Lorsqu'un utilisateur effectue une recherche dans Drive ou dans les API Drive publiques, la recherche est enregistrée en tant qu'événement Recherche d'élément effectuée. L'événement inclut des informations sur les résultats de recherche et la requête de recherche de l'utilisateur.

Vous pouvez contrôler l'affichage des colonnes de données dans les résultats de recherche.

1. En haut à droite du tableau des résultats de recherche, cliquez sur Gérer les colonnes  .
2. (Facultatif) Pour supprimer les colonnes actuelles, cliquez sur Supprimer .
3. (Facultatif) Pour ajouter des colonnes, à côté de Ajouter une colonne, cliquez sur la flèche vers le bas , puis sélectionnez la colonne de données.
   Répétez l'opération autant de fois que nécessaire.
4. (Facultatif) Pour modifier l'ordre des colonnes, faites glisser leur nom.
5. Cliquez sur Enregistrer.

Vous pouvez exporter les résultats de recherche dans Sheets ou un fichier CSV.

1. En haut du tableau des résultats de recherche, cliquez sur Tout exporter.
2. Saisissez un nom cliquez sur Exporter.
   L'exportation s'affiche sous le tableau des résultats de recherche sous Exporter les résultats de l'action.
3. Pour afficher les données, cliquez sur le nom de votre exportation.
   L'exportation s'ouvre dans Sheets.

Les limites d'exportation varient :

• Le total des résultats de l'exportation est limité à 100 000 lignes.
• Éditions compatibles avec cette fonctionnalité : Frontline Standard et Frontline Plus ; Enterprise Standard et Enterprise Plus ; Education Standard et Education Plus ; Enterprise Essentials Plus ; Cloud Identity Premium. Comparer votre édition

  Si vous disposez de l'outil d'investigation sur la sécurité, le total des résultats de l'exportation est limité à 30 millions de lignes.

Pour en savoir plus, consultez Exporter les résultats de recherche.

Accédez à Conservation des données et temps de latence.

• Vous pouvez configurer des alertes en fonction des données des événements de journaux à l'aide de règles de reporting. Pour savoir comment procéder, consultez Créer et gérer des règles de reporting.
• Éditions compatibles avec cette fonctionnalité : Frontline Standard et Frontline Plus ; Enterprise Standard et Enterprise Plus ; Education Standard et Education Plus ; Enterprise Essentials Plus ; Cloud Identity Premium. Comparer votre édition

  Afin de prévenir, de détecter et de résoudre les problèmes de sécurité de façon efficace, vous pouvez automatiser les actions de l'outil d'investigation de sécurité et configurer des alertes en créant des règles d'activité. Pour définir une règle, vous devez configurer ses conditions, puis spécifier les actions à effectuer lorsque les conditions sont remplies. Pour en savoir plus, consultez Créer et gérer des règles d'activité.

Éditions compatibles avec cette fonctionnalité : Frontline Standard et Frontline Plus ; Enterprise Standard et Enterprise Plus ; Education Standard et Education Plus ; Enterprise Essentials Plus ; Cloud Identity Premium. Comparer votre édition

Après avoir effectué une recherche dans l'outil d'investigation de sécurité, vous pouvez agir sur les résultats. Vous pouvez par exemple effectuer une recherche basée sur des événements de journaux Gmail, puis, à l'aide de l'outil, supprimer des messages spécifiques, envoyer des messages en zone de quarantaine, ou envoyer des messages vers la boîte de réception de certains utilisateurs. Pour en savoir plus, consultez Effectuer des actions en fonction des résultats de recherche.

Pour afficher la liste des investigations dont vous êtes le propriétaire et qui ont été partagées avec vous, cliquez sur Afficher les investigations . La liste des investigations inclut leur nom, leur description et leur propriétaire, ainsi que la date de la dernière modification.

Cette liste vous permet d'intervenir sur les investigations dont vous êtes le propriétaire, par exemple pour en supprimer une. Cochez la case correspondant à une investigation, puis cliquez sur Actions.

Remarque : Vous pouvez afficher vos enquêtes enregistrées sous Accès rapide, juste au-dessus de votre liste d'enquêtes.

En tant que super-administrateur, cliquez sur Paramètres  pour effectuer les actions suivantes :

• Modifier le fuseau horaire de vos investigations. Le fuseau horaire s'applique aux conditions de recherche et aux résultats.
• Activez ou désactivez l'option Exiger une validation. Pour en savoir plus, consultez Exiger une validation pour les actions groupées.
• Activez ou désactivez Afficher le contenu. Ce paramètre permet aux administrateurs disposant des droits d'accès appropriés d'afficher le contenu.
• Activez ou désactivez l'option Activer la justification des actions.

Pour en savoir plus, consultez Configurer les paramètres de vos investigations.

Pour enregistrer vos critères de recherche ou les partager avec d'autres utilisateurs, vous pouvez créer et enregistrer une enquête, puis la partager, la dupliquer ou la supprimer.

Pour en savoir plus, consultez Enregistrer, partager, supprimer et dupliquer des enquêtes.