Как администратор вашей организации, вы можете выполнять поиск и реагировать на события журнала Gemini Notebook. Например, вы можете просмотреть, как пользователи взаимодействуют с Gemini Notebook для создания и обобщения контента.
Выполните поиск событий журнала.
Возможность выполнения поиска зависит от вашей версии Google, ваших административных прав и источника данных. Вы можете выполнить поиск для всех пользователей, независимо от их версии Google Workspace.
Инструмент аудита и расследования
Для выполнения поиска событий в журнале сначала выберите источник данных. Затем выберите один или несколько фильтров для поиска.
- В консоли администратора перейдите в меню.
Отчетность Аудит и расследование Журнал событий Gemini Notebook .
Для этого необходимы права администратора по аудиту и расследованиям . Чтобы отфильтровать события, произошедшие до или после определенной даты, в поле «Дата» выберите «До» или «После» . По умолчанию отображаются события за последние 7 дней. Вы можете выбрать другой диапазон дат или щелкнуть по соответствующему пункту.
чтобы удалить фильтр по дате.- Нажмите « Добавить фильтр». Выберите атрибут. Например, чтобы отфильтровать события по определенному типу, выберите «Событие» .
- Выберите оператора выберите значение Нажмите «Применить» .
- (Необязательно) Чтобы создать несколько фильтров для поиска, повторите этот шаг.
- (Необязательно) Чтобы добавить оператор поиска, выше в разделе «Добавить фильтр» выберите «И» или «ИЛИ» .
- Нажмите «Поиск» .
Примечание: На вкладке «Фильтр» можно использовать простые пары параметр-значение для фильтрации результатов поиска. Также можно использовать вкладку «Конструктор условий» , где фильтры представлены в виде условий с операторами И или ИЛИ.
Инструмент для проведения расследований в сфере безопасности
Для выполнения поиска в инструменте анализа безопасности сначала выберите источник данных. Затем выберите одно или несколько условий для поиска. Для каждого условия выберите атрибут , оператор и значение .
В консоли администратора Google перейдите в меню.
Безопасность Центр безопасности Инструмент расследования .Для этого требуются права администратора центра безопасности .
- Щелкните «Источник данных» и выберите «События журнала Gemini Notebook» .
- Нажмите «Добавить условие» .
Совет : Вы можете включить в поиск одно или несколько условий или настроить поиск с помощью вложенных запросов . Подробнее см. раздел «Настройка поиска с помощью вложенных запросов» . - Атрибут клика Выберите нужный вариант. Например, чтобы отфильтровать события по определенному типу, выберите «Событие» .
Полный список атрибутов см. в разделе «Описание атрибутов» далее на этой странице. - Выберите оператора.
- Введите значение или выберите значение из списка.
- (Необязательно) Чтобы добавить дополнительные условия поиска, повторите шаги.
- Нажмите «Поиск» .
Результаты поиска, полученные с помощью инструмента расследования, можно просмотреть в таблице внизу страницы. - (Необязательно) Чтобы сохранить результаты расследования, нажмите «Сохранить».
Введите заголовок и описание. Нажмите « Сохранить ».
Примечания
- На вкладке «Конструктор условий» фильтры представлены в виде условий с операторами И/ИЛИ. Вы также можете использовать вкладку «Фильтр» для добавления простых пар параметр-значение для фильтрации результатов поиска.
- Если вы присвоите пользователю новое имя, вы не увидите результаты запросов со старым именем пользователя. Например, если вы переименуете OldName@example.com в NewName@example.com , вы не увидите результаты для событий, связанных с OldName@example.com .
- Поиск данных возможен только в сообщениях, которые еще не были удалены из Корзины.
Описание атрибутов
Для этого источника данных при поиске данных о событиях журнала можно использовать следующие атрибуты. Не все атрибуты отображаются для всех событий. Список не является исчерпывающим и может изменяться.
| Атрибут | Описание |
|---|---|
| Актер | Адрес электронной почты пользователя, выполнившего действие. |
Название приложения актёра Необходимо добавить этот столбец в результаты поиска. Инструкции см. в разделе «Управление данными столбца 0 в результатах поиска» . | Подробная информация о приложении, выполнившем действие. В результатах поиска щелкните по названию приложения-исполнителя, чтобы отобразить:
Если вы экспортируете эту информацию в файл с разделителями-запятыми (CSV) или в Google Таблицы, информация сохраняется как единый блок текста в ячейке. |
| Уровень плана ИИ | Подписка пользователя (например, тарифный план Standard AI). |
| Дата | Дата и время мероприятия (отображаются в часовом поясе по умолчанию вашего браузера). |
| Описание | Описание события. |
| Событие | Название зарегистрированного события (например, «Обновлены права доступа»). |
| IP-адрес | IP-адрес, связанный с зарегистрированным действием. Обычно отражает физическое местоположение пользователя, но может также являться адресом прокси-сервера или виртуальной частной сети (VPN). |
IP ASN Необходимо добавить этот столбец в результаты поиска. Инструкции см. в разделе «Управление данными столбца 0 в результатах поиска» . | Номер автономной системы (ASN), подразделение и регион IP-адреса, связанные с записью в журнале. Чтобы просмотреть IP-адрес автономных систем (ASN), а также код подразделения и региона, где произошла активность, щелкните по названию в результатах поиска. |
| Предварительная видимость | Отображение статуса видимости ресурса до наступления события. |
| Ресурсы | Список ресурсов, связанных с данной акцией. Для просмотра подробной информации щелкните по соответствующему ресурсу:
|
| Идентификатор источника | Идентификатор исходного материала, на который дана ссылка в блокноте. |
| Название источника | Название исходного материала, на который дана ссылка в блокноте. |
| Тип источника | Тип исходного материала, на который даны ссылки в блокноте. |
| Исходный URL | URL-адрес исходного материала, на который дана ссылка в блокноте. |
| Идентификатор студийного артефакта | Идентификатор объекта Google Workspace Studio (например, «Обзор аудио»). |
| Название артефакта Workspace Studio | Название артефакта Workspace Studio. |
| Тип артефакта Workspace Studio | Тип артефакта Workspace Studio. |
| Видимость | Текущий статус видимости ресурса для совместного доступа. |
Управление данными событий журнала
Управление данными столбца результатов поиска
Вы можете управлять тем, какие столбцы данных будут отображаться в результатах поиска.
- В правом верхнем углу таблицы результатов поиска нажмите «Управление столбцами».
. - (Необязательно) Чтобы удалить текущие столбцы, нажмите «Удалить». .
- (Необязательно) Чтобы добавить столбцы, рядом с кнопкой «Добавить новый столбец » нажмите стрелку вниз.
и выберите столбец с данными.
Повторять по мере необходимости. - (Необязательно) Чтобы изменить порядок столбцов, перетащите названия столбцов данных.
- Нажмите « Сохранить ».
Экспорт данных результатов поиска
Результаты поиска можно экспортировать в Google Sheets или в CSV-файл.
- В верхней части таблицы результатов поиска нажмите кнопку «Экспорт всех» .
- Введите имя Нажмите «Экспорт» .
Результаты экспорта отображаются под таблицей результатов поиска в разделе «Результаты действия экспорта» . - Для просмотра данных щелкните по названию экспортируемого файла.
Экспорт открывается в Google Sheets.
Ограничения на экспорт различаются:
- Общий объем результатов экспорта ограничен 100 000 строками.
- Поддерживаемые версии для этой функции: Frontline Standard и Frontline Plus; Enterprise Standard и Enterprise Plus; Education Standard и Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Сравните вашу версию.
Если у вас установлен инструмент для проведения анализа безопасности, общий объем результатов экспорта ограничен 30 миллионами строк.
Для получения более подробной информации перейдите в раздел «Экспорт результатов поиска» .
Когда и как долго доступны данные?
Перейдите в раздел «Сохранение данных и задержки» .
Принимайте меры на основе результатов поиска.
Создавайте правила действий и настраивайте оповещения.
- Вы можете настроить оповещения на основе данных событий журнала с помощью правил формирования отчетов. Инструкции см. в разделе «Создание и управление правилами формирования отчетов» .
- Поддерживаемые версии для этой функции: Frontline Standard и Frontline Plus; Enterprise Standard и Enterprise Plus; Education Standard и Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Сравните вашу версию.
Для эффективного предотвращения, обнаружения и устранения проблем безопасности вы можете автоматизировать действия в инструменте расследования инцидентов безопасности и настроить оповещения, создав правила действий . Чтобы настроить правило, задайте для него условия, а затем укажите действия, которые должны быть выполнены при выполнении этих условий. Для получения более подробной информации перейдите в раздел «Создание и управление правилами действий» .
Принимайте меры на основе результатов поиска.
Поддерживаемые версии для этой функции: Frontline Standard и Frontline Plus; Enterprise Standard и Enterprise Plus; Education Standard и Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Сравните вашу версию.
После выполнения поиска в инструменте расследования инцидентов безопасности вы можете предпринять действия на основе результатов поиска. Например, вы можете выполнить поиск на основе событий журнала Gmail, а затем использовать инструмент для удаления определенных сообщений, отправки сообщений в карантин или отправки сообщений в почтовые ящики пользователей. Для получения более подробной информации перейдите в раздел «Действия на основе результатов поиска» .
Управляйте своими расследованиями
Поддерживаемые версии для этой функции: Frontline Standard и Frontline Plus; Enterprise Standard и Enterprise Plus; Education Standard и Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Сравните вашу версию.
Просмотрите список ваших расследований
Чтобы просмотреть список расследований, которые принадлежат вам и которые были предоставлены вам, нажмите «Просмотреть расследования». 
Список расследований включает имена, описания и ответственных за расследования, а также дату последнего изменения.
Из этого списка вы можете выполнить действия с любыми принадлежащими вам расследованиями, например, удалить расследование. Установите флажок напротив нужного расследования, а затем нажмите «Действия» .
Примечание : Вы можете просмотреть сохраненные расследования в разделе «Быстрый доступ» , непосредственно над списком расследований.
Настройте параметры для ваших расследований.
От имени суперадминистратора нажмите «Настройки». 
к:
- Измените часовой пояс для ваших исследований. Часовой пояс применяется к условиям поиска и результатам.
- Включите или выключите параметр «Требовать рецензентов» . Для получения более подробной информации перейдите в раздел «Требовать рецензентов для массовых действий» .
- Включить или выключить отображение содержимого . Этот параметр позволяет администраторам с соответствующими правами просматривать содержимое.
- Включить или выключить обоснование действий .
Для получения более подробной информации перейдите в раздел «Настройка параметров расследования» .
Сохраняйте, делитесь, удаляйте и дублируйте расследования.
Чтобы сохранить критерии поиска или поделиться ими с другими, вы можете создать и сохранить расследование, а затем поделиться им, скопировать или удалить его.
Для получения более подробной информации перейдите в раздел «Сохранение, предоставление доступа, удаление и дублирование расследований» .
Связанные темы
- Начните расследование на основе диаграммы на панели управления.
- Создайте пользовательскую диаграмму на основе проведенного исследования.
- Начните расследование из центра оповещения.
- Расследуйте сообщения о вредоносных электронных письмах.
- Изучите вопрос обмена файлами.
- Проведите исследование пользователей по различным источникам данных.