Drive-logghändelser

För att söka efter logghändelser, välj först en datakälla. Välj sedan ett eller flera filter för din sökning.

1. I Googles administratörskonsol, gå till Meny Rapportering Revision och utredning Händelser i Drive-loggen .

   Gå till Drive-logghändelser

   Kräver administratörsbehörighet som granskning och utredning .

2. För att filtrera händelser som inträffade före eller efter ett specifikt datum, välj Före eller Efter för Datum . Som standard visas händelser från de senaste 7 dagarna. Du kan välja ett annat datumintervall eller klicka på för att ta bort datumfiltret.

3. Klicka på Lägg till ett filter välj ett attribut. Om du till exempel vill filtrera efter en specifik händelsetyp väljer du Händelse .
4. Välj en operator välj ett värde klicka på Verkställ .
   • (Valfritt) Upprepa det här steget om du vill skapa flera filter för din sökning.
   • (Valfritt) För att lägga till en sökoperator, välj OCH eller ELLER ovanför Lägg till ett filter .
5. Klicka på Sök . Obs ! Med hjälp av fliken Filter kan du inkludera enkla parameter- och värdepar för att filtrera sökresultaten. Du kan också använda fliken Villkorsbyggare , där filtren representeras som villkor med OCH/ELLER-operatorer.

För att köra en sökning i säkerhetsutredningsverktyget, välj först en datakälla. Välj sedan ett eller flera villkor för din sökning. För varje villkor väljer du ett attribut , en operator och ett värde .

1. I Googles administratörskonsol, gå till Meny Säkerhet Säkerhetscenter Utredningsverktyg .

   Gå till utredningsverktyget

   Kräver administratörsbehörighet i säkerhetscenter .

2. Klicka på Datakälla och välj Logghändelser för Drive .

3. För att filtrera händelser som inträffade före eller efter ett specifikt datum, välj Före eller Efter för Datum . Som standard visas händelser från de senaste 7 dagarna. Du kan välja ett annat datumintervall eller klicka på för att ta bort datumfiltret.

4. Klicka på Lägg till villkor .
   Tips : Du kan inkludera ett eller flera villkor i din sökning eller anpassa din sökning med kapslade frågor . För mer information, gå till Anpassa din sökning med kapslade frågor .
5. Klickattribut Välj ett alternativ. Om du till exempel vill filtrera efter en specifik händelsetyp väljer du Händelse .
   För en komplett lista över attribut, gå till avsnittet Attributbeskrivningar .
6. Välj en operator.
7. Ange ett värde eller välj ett värde från listan.
8. (Valfritt) Upprepa stegen om du vill lägga till fler sökvillkor.
9. Klicka på Sök .
   Du kan granska sökresultaten från undersökningsverktyget i en tabell längst ner på sidan.
10. (Valfritt) För att spara din undersökning, klicka på Spara ange en titel och beskrivning klicka på Spara .

Anteckningar

• På fliken Villkorsbyggare representeras filter som villkor med OCH/ELLER-operatorer. Du kan också använda fliken Filter för att inkludera enkla parameter- och värdepar för att filtrera sökresultaten.
• Om du ger en användare ett nytt namn kommer du inte att se frågeresultat med användarens gamla namn. Om du till exempel byter namn på GammaltNamn@example.com till NyttNamn@example.com kommer du inte att se resultat för händelser relaterade till GammaltNamn@example.com .
• Du kan bara söka efter data i meddelanden som ännu inte har raderats från papperskorgen.

Obs :

• Inte alla attribut i följande lista rapporteras för alla händelser.
• Följande lista är inte uttömmande och kan komma att ändras. För mer information om Drive-logghändelser, gå till Drive Audit Activity Events på webbplatsen för Google Workspace Admin SDK .

Obs ! Om du har gett en användare ett nytt namn ser du inte frågeresultat med användarens gamla namn. Om du till exempel byter namn på GammaltNamn@example.com till NyttNamn@example.com ser du inte resultat för händelser relaterade till GammaltNamn@example.com .

1. Öppna logghändelserna enligt beskrivningen i Kör en sökning efter logghändelser .
2. Klicka på Lägg till ett filter Synlighet välj Delad externt .
3. Klicka på Sök .

Om du inaktiverar extern delning och en användare delar en resurs med en grupp som tillåter externa användare, markeras data som Delad externt i loggen. Externa användare i gruppen kan dock inte komma åt den delade resursen. Och du kommer att se detta även om gruppen inte har några externa användare.

1. I Googles administratörskonsol, gå till Meny Säkerhet Säkerhetscenter Utredningsverktyg .

   Gå till utredningsverktyget

   Kräver administratörsbehörighet i säkerhetscenter .

2. Klicka på Datakälla välj Händelser i Drive-loggen .
3. Klicka på Lägg till villkor .
4. Klickattribut välj Synlighet .
5. Klicka på Innehåller välj Är.
6. Klicksynlighet välj Delad externt .
7. Klicka på Sök .
   Du kan granska sökresultaten från undersökningsverktyget i en tabell längst ner på sidan.

Om du inaktiverar extern delning och en användare delar en resurs med en grupp som tillåter externa användare, markeras data som Delad externt i loggen. Externa användare i gruppen kan dock inte komma åt den delade resursen. Och du kommer att se detta även om gruppen inte har några externa användare.

Filer som automatiskt raderas av Drive eller töms från papperskorgen loggas.

När en fil kopieras loggas händelserna Skapa och Kopiera för den nya filen, och en källkopieringshändelse loggas för originalfilen.

När en användare utanför din organisation kopierar en fil till en extern plats loggar inte din organisation händelserna Skapa och Kopiera eftersom den nya filen är extern. Dina loggar har dock händelsen Källkopiering på originalfilen med kopieringstypen Extern . För att övervaka när data kopieras ut ur din organisation kan du granska Källkopieringshändelser som har kopieringstypen Extern .

Utskriftshändelser registreras inte när en användare skriver ut en fil som öppnats i ett Google-filformat (Dokument, Kalkylark, Presentationer, Teckningar och Formulär).

När du skriver ut filer med Drive-appen från en Apple iPhone, iPad eller Android-enhet kan utskriftshändelser loggas som nedladdningshändelser .

De flesta nedladdningar loggas, inklusive när filer kopieras mellan Drive och en lokal enhet med Google Drive för datorn.

Följande visningsåtgärder loggas som nedladdningshändelser :

• Förhandsgranska en fil i Drive-appen på en mobil enhet
• Förhandsgranska en fil, till exempel en PDF, som inte kan öppnas direkt i Dokument eller andra Google-appar
• Skicka en fil som en bilaga till ett e-postmeddelande från en Google-app, till exempel Dokument

Nedladdningar från följande källor loggas inte:

• Nedladdningar från Google Takeout (sök istället efter händelser i Takeout-loggen )
• Nedladdningar till webbläsarcacher offline
• Foton som är synkroniserade med, nedladdade från eller visade med Google Foto
• Drive-objekt som skickas via e-post från Gmail som bilagor

Händelser med synkronisering av objektinnehåll loggas i följande fall och är tillgängliga för aktivitet efter den 1 juli 2024:

• En fil synkroniseras från Drive till en lokal enhet med Drive för datorn. Dessa loggas också som nedladdningshändelser .
• En fil synkroniseras med en enhet för offlineåtkomst , inklusive pågående synkroniseringar med onlineversionen. Synkroniseringshändelser för objektinnehåll med Drive-mobilappen (Android och iOS) kan istället loggas som nedladdningshändelser .

Händelser med förhämtning av objektinnehåll indikerar att en Google-app hämtade Drive-data men inte omedelbart visade den för användaren. Till exempel kan förhandsgranskning av en fil i Drive leda till förhämtning av filer i närheten. Innehållet är tillgängligt för användaren om det behövs senare.

Du kan komma åt filer åt användares räkning via en app som använder ett Google Workspace API, till exempel Google Drive API eller Google Sheets API. Dessa åtgärder loggas inte som nedladdnings- eller visningshändelser , utan bara som åtkomst till objektinnehåll . Gemini-händelser för åtkomst till objektinnehåll loggas endast när filinnehåll åtkoms utanför en användares öppna fil i Drive för webben.

Åtkomsthändelser för objektinnehåll loggas inte när en fil visas eller öppnas av en användare i Drive för webben, Drive på mobilen eller appen Drive för datorn.

Att visa filer med /htmlview, /embed, /revisions och andra speciella URL:er loggas som visningshändelser .

URL-åtkomna händelser loggas när ett Apps Script-skript ansluter till en URL , inklusive när skriptet körs från Apps Script-instrumentpanelen , körs som ett tillägg eller körs som en anpassad funktion i Kalkylark . URL-åtkomna händelser loggas inte när en användare klickar på en länk i en fil.

Vilka attribut som rapporteras beror på hur skriptet kördes och vem som äger det:

• När ett skript körs som en anpassad funktion, återspeglar dokument-ID och andra dokumentrelaterade attribut det ark som funktionen anropades i.
• När ett skript inte körs som en anpassad funktion rapporteras inte dokumentrelaterade attribut.
• Skript-ID rapporteras om Apps Script-skriptet ägs av din organisation.

Anrop av en Sheets Import-funktion , som använder en URL, loggas som en Sheets Import URL- händelse. En händelse loggas när innehållet i arket ändras genom en automatisk uppdatering eller när en användare öppnar arket.

Vissa händelser involverar användare, delade mappar eller delade enheter utanför din organisation, till exempel när en användare i din organisation delar en fil med en extern användare. Båda organisationerna loggar en händelse när ägarskapet för objektet ändras från en organisation till en annan.

Exempel på händelser som loggas av båda:

• Ett Drive-objekt som ägs av en användare i din organisation flyttas till en extern delad enhet.
• Ett Drive-objekt som ägs av en användare utanför din organisation flyttas till en delad enhet som ägs av din organisation.
• En användare kopierar en fil till eller från din organisation. Den mottagande organisationen loggar den kopierade filens namn, inte det ursprungliga filnamnet.

Exempel på händelser som loggas av din organisation men inte av den externa domänen:

• Ett Drive-objekt som ägs av en användare i din organisation delas med en extern användare.
• Ett Drive-objekt som ägs av en användare i din organisation delas med en grupp som tillåter externa användare, även om inga externa användare ingår i gruppen.
• En extern användare visar, redigerar, laddar ner, skriver ut eller tar bort ett Drive-objekt som ägs av din organisation.
• En extern användare laddar upp en fil till en delad enhet som ägs av din organisation.

Händelser som loggas av den externa domänen men inte av din organisation är omvända jämfört med föregående avsnitt.

För anonyma användare (användare som inte är inloggade på ett Google-konto) loggas redigeringar, nedladdningar och visningar.

Åtgärder som utförs av användare utanför domänen visas som anonyma förutom när objektet uttryckligen delas med dem (som individ eller som en del av en specifik grupp).

Administratörer kan begränsa anonym och extern åtkomst genom att ställa in delningspolicyer för organisationen eller policyer för förtroenderegler.

När filer kopieras mellan Drive och en lokal enhet med Drive för datorn loggas nedladdningar och synkronisering av objektinnehåll .

När en användare utför en sökning i Drive eller i offentliga Drive API:er loggas sökningen som en händelse av typen "Objektsökning utförd " . Händelsen innehåller information om sökresultaten och användarens sökfråga.

Du kan styra vilka datakolumner som visas i dina sökresultat.

1. Klicka på Hantera kolumner längst upp till höger i sökresultatstabellen. .
2. (Valfritt) Om du vill ta bort aktuella kolumner klickar du på Ta bort .
3. (Valfritt) För att lägga till kolumner, klicka på nedåtpilen bredvid Lägg till ny kolumn och välj datakolumnen.
   Upprepa vid behov.
4. (Valfritt) Om du vill ändra ordningen på kolumnerna drar du datakolumnnamnen.
5. Klicka på Spara .

Du kan exportera sökresultat till Kalkylark eller till en CSV-fil.

1. Klicka på Exportera alla högst upp i sökresultatstabellen.
2. Ange ett namn klicka på Exportera .
   Exporten visas under sökresultatstabellen under Exportera åtgärdsresultat .
3. För att visa informationen klickar du på exportens namn.
   Exporten öppnas i Kalkylark.

Exportgränserna varierar:

• Det totala resultatet av exporten är begränsat till 100 000 rader.
• Utgåvor som stöds för den här funktionen: Frontline Standard och Frontline Plus; Enterprise Standard och Enterprise Plus; Education Standard och Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Jämför din utgåva

  Om du har verktyget för säkerhetsundersökning är det totala resultatet av exporten begränsat till 30 miljoner rader.

För mer information, gå till Exportera sökresultat .

Gå till Datalagring och fördröjningstider .

• Du kan konfigurera aviseringar baserade på logghändelsedata med hjälp av rapporteringsregler. För instruktioner, gå till Skapa och hantera rapporteringsregler .
• Utgåvor som stöds för den här funktionen: Frontline Standard och Frontline Plus; Enterprise Standard och Enterprise Plus; Education Standard och Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Jämför din utgåva

  För att effektivt förebygga, upptäcka och åtgärda säkerhetsproblem kan du automatisera åtgärder i säkerhetsundersökningsverktyget och ställa in aviseringar genom att skapa aktivitetsregler . För att konfigurera en regel, ställ in villkor för regeln och ange sedan de åtgärder som ska utföras när villkoren är uppfyllda. För mer information, gå till Skapa och hantera aktivitetsregler .

Utgåvor som stöds för den här funktionen: Frontline Standard och Frontline Plus; Enterprise Standard och Enterprise Plus; Education Standard och Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Jämför din utgåva

När du har kört en sökning i säkerhetsutredningsverktyget kan du agera utifrån dina sökresultat. Du kan till exempel köra en sökning baserat på Gmail-logghändelser och sedan använda verktyget för att ta bort specifika meddelanden, skicka meddelanden till karantän eller skicka meddelanden till användarnas inkorgar. För mer information, gå till Vidta åtgärder baserat på sökresultat .

Om du vill se en lista över de utredningar som du äger och som delats med dig klickar du på Visa utredningar Utredningslistan innehåller namn, beskrivningar och ägare till utredningarna, samt datum för senaste ändring.

Från den här listan kan du vidta åtgärder för alla utredningar som du äger, till exempel att ta bort en utredning. Markera rutan för en utredning och klicka sedan på Åtgärder .

Obs ! Du kan se dina sparade undersökningar under Snabbåtkomst , direkt ovanför din lista över undersökningar.

Som superadministratör klickar du på Inställningar till:

• Ändra tidszonen för dina undersökningar. Tidszonen gäller för sökvillkor och resultat.
• Aktivera eller inaktivera Kräv granskare . För mer information, gå till Kräv granskare för massåtgärder .
• Aktivera eller inaktivera Visa innehåll . Den här inställningen tillåter administratörer med lämpliga behörigheter att visa innehåll.
• Slå på eller av Aktivera åtgärdsjustering .

För mer information, gå till Konfigurera inställningar för dina undersökningar .

För att spara dina sökkriterier eller dela dem med andra kan du skapa och spara en undersökning och sedan dela, duplicera eller ta bort den.

För mer information, gå till Spara, dela, ta bort och duplicera undersökningar .