Gmail-logboekgebeurtenissen

Als beheerder van uw organisatie kunt u zoekopdrachten uitvoeren die zijn gerelateerd aan Gmail-logboekgebeurtenissen en actie ondernemen op basis van zoekresultaten. U kunt acties bekijken om de gebruikers- en beheerdersactiviteit van uw organisatie in Gmail te controleren, bijvoorbeeld als e-mails zijn geclassificeerd als spam, zijn vrijgegeven uit de quarantaine of in de beheerdersquarantaine zijn geplaatst. Daarna kunt u de tool voor beveiligingsonderzoek gebruiken om acties uit te voeren, bijvoorbeeld om specifieke berichten te verwijderen, berichten te markeren als spam of phishing, berichten in de quarantaine te plaatsen of berichten naar de inbox van gebruikers te sturen.

De inhoud van Gmail-berichten bekijken

Als u de juiste rechten in de onderzoekstool en de vereiste Google Workspace-versie heeft, kunt u ook de content van een Gmail-bericht bekijken tijdens een onderzoek. Ga naar Gevoelige content bekijken via de tool voor beveiligingsonderzoek voor meer informatie.

Of u een zoekopdracht kunt uitvoeren, hangt af van uw Google-versie, uw beheerdersrechten en de gegevensbron. U kunt een zoekopdracht uitvoeren voor alle gebruikers, ongeacht hun Google Workspace-versie.

Controle- en onderzoekstool

Als u een logboekgebeurtenis wilt zoeken, kiest u eerst een gegevensbron. Kies daarna een of meer filters voor de zoekopdracht.

  1. Ga in de Google Beheerdersconsole naar Menu en dan Rapportage en dan Controle en onderzoek en dan Gmail-logboekgebeurtenissen.

    Hiervoor is het beheerdersrecht Controle en onderzoek vereist.

  2. Als u gebeurtenissen wilt filteren die vóór of na een specifieke datum hebben plaatsgevonden, selecteert u bij Datum de optie Vóór of Na. Standaard worden gebeurtenissen van de afgelopen 7 dagen getoond. U kunt een andere periode selecteren of op klikken om het datumfilter te verwijderen.

  3. Klik op Een filter toevoegen en dan selecteer een kenmerk. Als u bijvoorbeeld wilt filteren op een specifiek gebeurtenistype, selecteert u Gebeurtenis.
  4. Selecteer een operator en dan selecteer een waarde en dan klik op Toepassen.
    • (Optioneel) Herhaal deze stap om meerdere filters voor de zoekopdracht te maken.
    • (Optioneel) Als u een zoekoperator wilt toevoegen, selecteert u boven Een filter toevoegen de optie AND of OR.
  5. Klik op Zoeken. Opmerking: Op het tabblad Filter voegt u eenvoudige combinaties van parameters en waarden toe om de zoekresultaten te filteren. U kunt ook het tabblad Voorwaardenbuilder gebruiken. Hier worden de filters getoond als voorwaarden met AND- of OR-operatoren.

Tool voor beveiligingsonderzoek

Deze functie wordt ondersteund in de volgende versies: Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus en Cloud Identity Premium. Versies vergelijken

Als u een zoekopdracht wilt uitvoeren in de tool voor beveiligingsonderzoek, kiest u eerst een gegevensbron. Kies daarna een of meer voorwaarden voor de zoekopdracht. Kies voor elke voorwaarde een kenmerk, een operator en een waarde.

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Beveiligingscentrum en dan Onderzoekstool.

    Hiervoor is het beheerdersrecht Beveiligingscentrum vereist.

  2. Klik op Gegevensbron en selecteer Gmail-logboekgebeurtenissen.

  3. Als u gebeurtenissen wilt filteren die vóór of na een specifieke datum hebben plaatsgevonden, selecteert u bij Datum de optie Vóór of Na. Standaard worden gebeurtenissen van de afgelopen 7 dagen getoond. U kunt een andere periode selecteren of op klikken om het datumfilter te verwijderen.

  4. Klik op Voorwaarde toevoegen.
    Tip: U kunt een of meer voorwaarden toevoegen aan de zoekopdracht of de zoekopdracht aanpassen met geneste zoekopdrachten. Ga naar Een zoekopdracht aanpassen met geneste zoekopdrachten voor meer informatie.
  5. Klik op Kenmerk en dan selecteer een optie. Als u bijvoorbeeld wilt filteren op een specifiek gebeurtenistype, selecteert u Gebeurtenis.
    Ga naar het gedeelte Kenmerkbeschrijvingen verderop op deze pagina voor de volledige lijst met kenmerken.
  6. Selecteer een operator.
  7. Voer een waarde in of selecteer een waarde in de lijst.
  8. (Optioneel) Herhaal de stappen om meer zoekvoorwaarden toe te voegen.
  9. Klik op Zoeken.
    Onderaan de pagina staat een tabel met de zoekresultaten uit de onderzoekstool.
  10. (Optioneel) Als u het onderzoek wilt opslaan, klikt u op Opslaan en dan voert u een titel en beschrijving in en dan klikt u op Opslaan.

Opmerkingen

  • Op het tabblad Voorwaardenbuilder worden filters weergegeven als voorwaarden met AND/OR-operatoren. U kunt ook het tabblad Filter gebruiken en eenvoudige combinaties van parameters en waarden toevoegen om de zoekresultaten te filteren.
  • Als u een gebruiker een nieuwe naam geeft, ziet u geen queryresultaten met de oude naam. Als u bijvoorbeeld OudeNaam@example.com verandert in NieuweNaam@example.com, krijgt u geen resultaten voor gebeurtenissen met OudeNaam@example.com.
  • U kunt alleen zoeken naar gegevens in berichten die nog niet uit de prullenbak zijn verwijderd.

Beschrijvingen van kenmerken

Voor deze gegevensbron kunt u de volgende kenmerken gebruiken als u in gebeurtenisgegevens in een logboek zoekt.

Kenmerk Beschrijving
Informatie over handelende app

Informatie over de app die is gebruikt om de actie uit te voeren.

Als u wilt zoeken op app-specifieke gegevens, selecteert u Informatie over de handelende app in het menu en selecteert u een geneste kolom: Naam van de handelende app, OAuth-client-ID van de handelende app of Imitatie.

Zoekresultaten worden getoond in de kolom Naam van handelende app.

Opmerking: Misschien moet u deze kolom aan uw zoekresultaten toevoegen. Ga naar Kolomgegevens in de zoekresultaten beheren voor de stappen. Klik op een item in de zoekresultaten om het deelvenster Logboekgegevens te openen om het volgende te tonen:
  • Naam van handelende app: naam van de app die de actie heeft uitgevoerd
  • ID van handelende OAuth-client: De ID van de app van derden
  • Nabootsing van identiteit: Of de app een gebruiker heeft nagebootst

Als u deze informatie exporteert naar een csv-bestand of Google Spreadsheets, wordt de informatie opgeslagen als één tekstblok in een cel.

Gegevens van de agent Als u wilt zoeken op gegevens van de AI-agent, selecteert u Gegevens van de agent en daarna een geneste kolom: Agent-ID, Agentnaam of Agentproduct. Zoekresultaten worden getoond in de kolom Agent-ID.

Klik op een item in de zoekresultaten om het deelvenster Logboekgegevens te openen om het volgende te tonen:

  • Agent-ID: De unieke ID van de agent.
  • Naam van agent: De weergavenaam van de agent.
  • Product van de agent: De service die de agent heeft gebruikt (alleen ondersteund door de Google Workspace Studio-flow).

Opmerking: Ondersteuning voor extra agenten wordt later toegevoegd.
Extensie van bijlage ID van de Chrome-browser
Bijlagehash SHA256-hash van de bijlage.
Malwarefamilie bijlagen Malwarecategorie, indien gedetecteerd wanneer het bericht werd verwerkt, bijvoorbeeld Content kan schadelijk zijn, Bekend schadelijk programma of Virus/worm.
Bijlagenaam Naam van de bijlage
Door een agent De actie is uitgevoerd met een AI-agent (Waar of Onwaar).
Klanttype Gmail-clienttype, bijvoorbeeld Web, Android, iOS of POP3.
Datum De datum en tijd van de gebeurtenis (weergegeven in de standaard tijdzone van uw browser).
Delegeren E-mailadres van de gemachtigde gebruiker die de actie namens de eigenaar heeft uitgevoerd
Sessie-ID van apparaat De unieke ID die wordt gemaakt voor een gebruikerssessie van een e-mailclient
DKIM-domein Het domein dat is geverifieerd met het DKIM-mechanisme (Domain Keys Identified Mail)
Domein Het domein waar de actie heeft plaatsgevonden.
Gebeurtenis De actie in de geregistreerde gebeurtenis, zoals Bijlage downloaden, Klikken op link, Sturen of Weergeven.
Van (envelop) Envelopadres van afzender
Van (adres in koptekst) Het adres van de afzender zoals dit in de berichtkop staat, bijvoorbeeld user@example.com.
Van (naam in koptekst) Weergavenaam van de afzender zoals deze in de berichtkop staat
Geolocatie De ISO-landcode, gebaseerd op het relay-IP-adres.
Bevat een bijlage E-mail bevat een bijlage
Heeft gemachtigde Of er een gemachtigde gebruiker was die de actie namens de eigenaar heeft uitgevoerd
IP-adres Het IP-adres van de e-mailclient die het bericht heeft gestart of er interactie mee heeft gehad

IP-ASN

U moet deze kolom aan de zoekresultaten toevoegen. Ga naar Kolomgegevens in de zoekresultaten beheren voor de stappen.

IP-nummer van het autonome systeem (ASN), administratieve eenheid en regio die aan het logboekitem zijn gekoppeld.

Als u het IP-ASN, de administratieve eenheid en de regiocode wilt controleren waar de activiteit heeft plaatsgevonden, klikt u op de naam in de zoekresultaten.
Domein koppelen Domein(en) opgehaald uit URL's in de berichttekst.
Bericht-ID De unieke bericht-ID in de berichtkop
OAuth-project-ID Project-ID van de cloud-console van de ontwikkelaar die is geverifieerd met OAuth
Eigenaar Eigenaar van het e-mailbericht. Voor een inkomend bericht is dit de ontvanger. Voor een uitgaand bericht is dit de afzender.
Bronnen

Informatie over de bestanden, mappen of regels die aan de actie zijn gekoppeld.

Als u wilt zoeken op deze gegevens, selecteert u Bronnen in het menu en daarna een geneste kolom: Bron-ID, Brontitel, Brontype of Eigenaarsgegevens. De resultaten worden getoond in de kolom Bronnen.

Klik op een item om het deelvenster Logboekgegevens te openen om het volgende te tonen:

  • Bron-ID: De ID van de bron
  • Brontitel: De titel van de bron
  • Brontype: Categorie van de bron (zoals Google Drive, e-mail of regel)
  • Bronrelatie: De relatie van de bron tot de gebeurtenis
  • Eigenaarsgegevens: gegevens over de bron-eigenaar, waaronder het eigenaarstype en de eigenaarsidentiteit
  • Bronlabel: De classificatielabels die op de bron zijn toegepast
  • Labelveld voor resource: De specifieke velden en gegevenstypen binnen een label

Als u deze informatie exporteert naar een csv-bestand of Google Spreadsheets, wordt de informatie opgeslagen als één tekstblok in een cel.

Bronlabel

Informatie over de classificatielabels die aan een bron zijn toegewezen.

Als u op deze informatie wilt zoeken, selecteert u Bronlabel in het menu en selecteert u daarna een geneste kolom: ID van bronlabel of Titel van bronlabel. De resultaten worden getoond in de kolom Bronnen.

Klik op een item om het deelvenster Logboekgegevens te openen.
Labelveld voor bron

Details over de specifieke velden in een classificatielabel.

Als u wilt zoeken op deze velden, selecteert u Veld van bronlabel in het menu en selecteert u een geneste kolom: ID van labelveld, Naam van labelveld of Type labelveld. De resultaten worden getoond in de kolom Bronnen.

Klik op een item om het deelvenster Logboekgegevens te openen.
Waarde van labelveld voor bron

Details over de gegevens die in een specifiek labelveld zijn ingevoerd.

Als u op deze waarden wilt zoeken, selecteert u Waarde van veld voor resourcelabel in het menu en selecteert u een geneste kolom: Datum, Getal, Selectie, Selectielijst, Tekst, Gebruiker of Gebruikerslijst. De resultaten worden getoond in de kolom Bronnen.

Klik op een item om het deelvenster Logboekgegevens te openen.
Domein van afzender Domein van de afzender
Spamclassificatie De spamclassificatie van het e-mailbericht, bijvoorbeeld spam, malware, phishing, verdacht of opschonen (geen spam)
Reden van spamclassificatie Reden waarom het bericht is geclassificeerd als spam, bijvoorbeeld Overduidelijke spam, Aangepaste regel, Reputatie afzender of Verdachte bijlage
SPF-domein Domeinnaam gebruikt voor Sender Policy Framework-verificatie (SPF)
Subject De onderwerpregel van de e-mail
Hash van doelbijlagen Informatie over de SHA256-bijlagehash als een gebruiker interactie heeft met een berichtbijlage
Malwarefamilie doelbijlagen Informatie over de malwarefamilie van bijlagen als gebruikers interactie hebben met de bijlage van een bericht, bijvoorbeeld De content is misschien schadelijk, Bekend schadelijk programma of Virus/worm
Naam doelbijlage Informatie over de bijlagenaam als gebruikers interactie hebben met een berichtbijlage
ID doel-Drive Informatie over de Drive-ID als gebruikers interactie hebben met het Drive-item van een bericht
URL doellink Informatie over de link-URL als gebruikers interactie hebben met de link van een bericht
Aan (envelop) Envelopadres van ontvanger
Verkeersbron Geeft aan of een e-mail intern (binnen uw domein) of extern wordt gestuurd/ontvangen

Acties uitvoeren op basis van zoekresultaten

Nadat u een zoekopdracht heeft uitgevoerd in de tool voor beveiligingsonderzoek, kunt u acties uitvoeren op de zoekresultaten. U kunt bijvoorbeeld een zoekopdracht uitvoeren op Gmail-logboekgebeurtenissen en daarna de tool gebruiken om specifieke berichten te verwijderen, berichten in de quarantaine te plaatsen of berichten naar de inbox van gebruikers te sturen. Ga naar Acties uitvoeren op basis van zoekresultaten voor meer informatie over acties in de tool voor beveiligingsonderzoek.

Uw onderzoeken beheren

De lijst met onderzoeken bekijken

Klik op Onderzoeken bekijken om een lijst te bekijken van de onderzoeken waarvan u de eigenaar bent en die met u zijn gedeeld. In de lijst met onderzoeken staan de naam, beschrijving en eigenaar van de onderzoeken, en de datum waarop de onderzoeken voor het laatst zijn gewijzigd.

In deze lijst kunt u acties uitvoeren op elk onderzoek waarvan u de eigenaar bent, bijvoorbeeld een onderzoek verwijderen. Vink het vakje aan voor een onderzoek en klik op Acties.

Opmerking: Direct boven de lijst met onderzoeken kunt u onder Snelle toegang recent opgeslagen onderzoeken bekijken.

Instellingen configureren voor onderzoeken

Klik als hoofdbeheerder op Instellingen om het volgende te doen:

  • De tijdzone voor uw onderzoeken wijzigen. De tijdzone wordt toegepast op zoekvoorwaarden en resultaten.
  • Beoordeling vereisen aan- of uitzetten. Ga naar Vereisen dat bulkacties worden beoordeeld door een reviewer voor meer informatie.
  • Content bekijken aan- of uitzetten. Met deze instelling kunnen beheerders met de juiste rechten content bekijken.
  • De instelling Reden voor actie aanzetten aan- of uitzetten.

Ga naar Instellingen instellen voor onderzoeken voor instructies en meer informatie.

Kolommen in de zoekresultaten beheren

U kunt instellen welke gegevenskolommen worden getoond in de zoekresultaten.

  1. Klik rechtsboven in de tabel met zoekresultaten op Kolommen beheren .
  2. (Optioneel) Als u huidige kolommen wilt verwijderen, klikt u op Item verwijderen .
  3. (Optioneel) Als u kolommen wilt toevoegen, klikt u naast Nieuwe kolom toevoegen op de pijl-omlaag en selecteert u de gegevenskolom.
    Herhaal de stappen indien nodig.
  4. (Optioneel) Als u de volgorde van kolommen wilt wijzigen, versleept u de kolomnaam.
  5. Klik op Opslaan.

Gegevens exporteren uit zoekresultaten

U kunt zoekresultaten in de tool voor beveiligingsonderzoek exporteren naar Google Spreadsheets of naar een csv-bestand. Ga naar Zoekresultaten exporteren voor instructies.

Onderzoeken delen, verwijderen en dupliceren

Als u zoekcriteria wilt opslaan of deze met anderen wilt delen, kunt u een onderzoek maken en opslaan, en het daarna delen, dupliceren of verwijderen.

Ga naar Onderzoeken opslaan, delen, verwijderen en dupliceren voor meer informatie.

Wanneer en hoelang zijn gegevens beschikbaar?

Ga naar Bewaartijden van gegevens en vertragingstijden voor meer informatie over gegevensbronnen.