אירועים ביומן של קבוצות Google

לראות שינויים בקבוצות, ברשימת המשתתפים בקבוצות ובהודעות בקבוצות

יש מהדורות Google Workspace שבהן אדמינים מקבלים גישה לכלי לחקירת אבטחה, שכולל תכונות מתקדמות יותר. לדוגמה, סופר-אדמינים כולים לזהות בעיות אבטחה ופרטיות, לקבוע מה הדחיפות שלהן ולטפל בהן. מידע נוסף

אדמינים בארגונים יכולים להריץ חיפושים על בעיות אבטחה שקשורות לאירועים ביומן של קבוצות Google ולטפל בהן. לדוגמה, אתם יכולים לעקוב אחרי שינויים בקבוצות, בחברויות בקבוצות ובהודעות בקבוצות של משתמשים בארגון. אתם יכולים גם לפתור בעיות כשהמשתמשים בדומיין שלכם שמים לב לפערים ולשינויים לא צפויים בפעילויות שלהם בקבוצות. רשומות מופיעות בדרך כלל תוך חצי שעה מהפעולה שהמשתמש ביצע.

הערה: כדי לראות את הפעולות שבוצעו במסוף Google Admin, במסוף Google Cloud, ב-SDK לאדמינים, ב-Cloud Identity API ובממשק המשתמש של קבוצות Google, צריך לעבור אל אירועים ביומן של קבוצות Enterprise.

לצפייה ברשימה המלאה של הפעילויות שאפשר לבדוק, כמו Google Drive או פעילות משתמש, אפשר לקרוא את המאמר בנושא הרצת חיפוש בכלי הביקורת והחקירה.

סוגי השינויים שאפשר לעקוב אחריהם

  • יצירה ומחיקה של קבוצות – אתם יכולים לוודא שהקבוצה קיימת ולא נמחקה לאחרונה.
  • הוספה, הסרה וחסימה של חברים – אם משתמש לא קיבל הודעה קבוצתית, אתם יכולים לבדוק את נתוני האירועים ביומן כדי לראות אם המשתמש חבר בקבוצה. אם המשתמש הוסר או נחסם, הנתונים מראים גם מי הסיר או חסם אותו ומתי.
  • הזמנות של משתמשים ואישורים של בקשות הצטרפות – אתם יכולים לבדוק אם משתמש קיבל הזמנה להצטרף לקבוצה, ואם ההזמנה אושרה או נדחתה. אתם יכולים גם לעקוב אחרי בקשות של משתמשים להצטרף לקבוצה ולראות אם הן אושרו או נדחו.
  • שינויים בהרשאות הפרסום בקבוצה – יכול להיות שהמשתמשים יקבלו הודעה חוזרת לא צפויה על כך שאין להם הרשאה לפרסם. בנתוני אירועי היומן מוצגים שינויים בהרשאות הפרסום שמונעים מהמשתמש לפרסם.
  • הגדרות ניהול ספאם – אם הודעות נשלחות לתור הניהול במקום להתפרסם, נתוני האירועים ביומן יראו אם ניהול ההודעות היה שינוי שבוצע לאחרונה בהגדרות.
  • הגדרות אחרות – כשמשנים הגדרות אחרות, נתוני האירועים ביומן מספקים פרטים על השינויים.

אירועים ביומן של קבוצות Google מיועדים רק לממשק של קבוצות Google. נתוני האירועים עוקבים אחרי פעולות של משתמשים ושל אדמינים שבוצעו באמצעות הממשק של קבוצות Google. פעולות בקבוצות Google שמבוצעות על ידי אדמינים באמצעות מסוף Admin או Admin SDK Directory API מתועדות באירועים ביומן Admin ובאירועים ביומן של Groups Enterprise.

היכולת שלכם להריץ חיפוש תלויה במהדורת Google שלכם, בהרשאות האדמין שיש לכם ובמקור הנתונים. אתם יכולים להריץ חיפוש על כל המשתמשים, ללא קשר למהדורת Google Workspace שלהם.

כלי הביקורת והחקירה

כדי להריץ חיפוש לאירועים ביומן, צריך קודם לבחור מקור נתונים, ואחר כך צריך לבחור מסנן אחד או יותר לחיפוש.

  1. במסוף Google Admin, נכנסים לתפריט ואז דיווח ואז ביקורת וחקירה ואז אירועים ביומן של קבוצות Google.

    כדי לעשות את זה צריך הרשאות אדמין לביקורת וחקירה.

  2. כדי לסנן אירועים שהתרחשו לפני או אחרי תאריך מסוים, בוחרים באפשרות לפני או אחרי בקטע תאריך. כברירת מחדל, מוצגים אירועים מ-7 הימים האחרונים. אפשר לבחור טווח תאריכים אחר או ללחוץ על כדי להסיר את מסנן התאריכים.

  3. לוחצים על הוספת מסנן ואז בוחרים מאפיין. לדוגמה, כדי לסנן לפי סוג אירוע ספציפי, בוחרים באפשרות אירוע.
  4. בוחרים אופרטור ואז בוחרים ערך ואז לוחצים על אישור.
    • (אופציונלי) כדי ליצור כמה מסננים לחיפוש, חוזרים על השלב הזה.
    • (אופציונלי) כדי להוסיף אופרטור חיפוש, מעל הוספת מסנן, בוחרים באפשרות AND או OR.
  5. לוחצים על חיפוש. הערה:באמצעות הכרטיסייה סינון, אפשר לכלול זוגות פשוטים של פרמטרים וערכים כדי לסנן את תוצאות החיפוש. אפשר גם להשתמש בכרטיסייה הכלי להגדרת תנאים, שבה המסננים מיוצגים כתנאים עם האופרטורים AND או OR.

הכלי לחקירת אבטחה

התכונה הזו נתמכת במהדורות הבאות: Frontline Standard ו-Frontline Plus,‏ Enterprise Standard ו-Enterprise Plus,‏ Education Standard ו-Education Plus,‏ Enterprise Essentials Plus ו-Cloud Identity Premium. השוואה בין המהדורות

כדי להריץ חיפוש בכלי לחקירת אבטחה, צריך קודם לבחור מקור נתונים. לאחר מכן צריך לבחור תנאי אחד או יותר לחיפוש. לכל תנאי, בוחרים מאפיין, אופרטור וערך.

  1. במסוף Google Admin, נכנסים לתפריט ואז אבטחה ואז מרכז האבטחה ואז כלי חקירה.

    כדי לעשות את זה צריך הרשאות אדמין למרכז האבטחה.

  2. לוחצים על מקור נתונים ובוחרים באפשרות אירועים ביומן של קבוצות Google.

  3. כדי לסנן אירועים שהתרחשו לפני או אחרי תאריך מסוים, בוחרים באפשרות לפני או אחרי בקטע תאריך. כברירת מחדל, מוצגים אירועים מ-7 הימים האחרונים. אפשר לבחור טווח תאריכים אחר או ללחוץ על כדי להסיר את מסנן התאריכים.

  4. לוחצים על הוספת תנאי.
    הערה: אפשר לכלול תנאי אחד או יותר בחיפוש, או להתאים אישית את החיפוש באמצעות שאילתות עם היררכיית כללים. מידע נוסף מופיע במאמר בנושא התאמה אישית של חיפושים באמצעות שאילתות עם היררכיית כללים.
  5. לוחצים על מאפיין ואז בוחרים אפשרות. לדוגמה, כדי לסנן לפי סוג אירוע ספציפי, בוחרים באפשרות אירוע.
    רשימה מלאה של מאפיינים מופיעה בקטע תיאורים של המאפיינים כאן בהמשך.
  6. בוחרים אופרטור.
  7. מציינים ערך או בוחרים ערך מהרשימה.
  8. (אופציונלי) כדי להוסיף עוד תנאי חיפוש, חוזרים על השלבים.
  9. לוחצים על חיפוש.
    בטבלה שבתחתית הדף אפשר לעיין בתוצאות החיפוש מכלי החקירה.
  10. (אופציונלי) כדי לשמור את החקירה, לוחצים על שמירה ואז כותבים שם ותיאור ואז לוחצים על שמירה.

הערות

  • בכרטיסייה של הכלי להגדרת תנאים, המסננים מיוצגים כתנאים עם האופרטורים AND ו-OR. אפשר גם להשתמש בכרטיסייה של המסננים כדי לכלול זוגות פשוטים של פרמטר וערך ולסנן לפיהם את תוצאות החיפוש.
  • אם תתנו למשתמש שם חדש, לא תראו תוצאות לשאילתות עם השם הישן שלו. לדוגמה, אם תשנו את השם של OldName@example.com ל-NewName@example.com, לא תראו תוצאות לאירועים שקשורים ל-OldName@example.com.
  • אתם יכולים לחפש נתונים רק בהודעות שעדיין לא נמחקו מהאשפה.

תיאורים של המאפיינים

במקור הנתונים הזה, אתם יכולים להשתמש במאפיינים הבאים כשאתם מחפשים נתונים של אירועים ביומן:

מאפיין תיאור
המשתמש כתובת האימייל של המשתמש שביצע את הפעולה
שם האפליקציה של המשתמש

צריך להוסיף את העמודה הזאת לתוצאות החיפוש. השלבים מפורטים במאמר בנושא הגדרת עמודות הנתונים של תוצאות החיפוש.

פרטים על האפליקציה שביצעה את הפעולה. בתוצאות החיפוש, לוחצים על שם האפליקציה של המשתמש כדי לראות את:

  • שם האפליקציה של המשתמש – השם של האפליקציה שביצעה את הפעולה (מאוכלס לאפליקציות צד שלישי ולחלק מהאפליקציות מבית Google, כמו Gmail)
  • מזהה לקוח OAuth של המשתמש – המזהה של אפליקציית הצד השלישי שביצעה את הפעולה
  • התחזות – אם האפליקציה התחזתה למשתמש

אם מייצאים את המידע לקובץ CSV (ערכים מופרדים בפסיק) או לגיליון אלקטרוני ב-Google Sheets, המידע נשמר כיחידת טקסט אחת בתוך תא.

שם קבוצת המשתמשים

שם הקבוצה של המשתמש. מידע נוסף מופיע במאמר בנושא סינון תוצאות לפי קבוצה ב-Google.

כדי להוסיף קבוצה לרשימת ההיתרים של קבוצות הסינון:

  1. בוחרים את שם הקבוצה של המשתמש.
  2. לוחצים על קבוצות סינון.
    מופיע הדף של קבוצות הסינון.
  3. לוחצים על הוספת קבוצות.
  4. כדי לחפש קבוצה, מזינים את התווים הראשונים של השם או כתובת האימייל של הקבוצה. אם רואים את הקבוצה שרוצים, בוחרים אותה.
  5. כדי להוסיף עוד קבוצה, מחפשים את הקבוצה ובוחרים אותה.
  6. כשמסיימים לבחור קבוצות, לוחצים על הוספה.
  7. (אופציונלי) אם רוצים להסיר קבוצה, לוחצים על סמל הסרת הקבוצה .
  8. לוחצים על שמירה.
היחידה הארגונית של המשתמש היחידה הארגונית של המשתמש
פרטי הסוכן כדי לחפש לפי פרטי סוכן AI, בוחרים פרטי סוכן ואז בוחרים עמודה מקננת: מזהה סוכן, שם סוכן או מוצר סוכן. תוצאות החיפוש מוצגות בעמודה מזהה הסוכן.

לוחצים על רשומה בתוצאות החיפוש כדי לפתוח את החלונית פרטי היומן ולראות את:

  • מזהה הסוכן – המזהה הייחודי של הסוכן.
  • שם הסוכן – השם המוצג שלו.
  • מוצר הסוכן – השירות שהסוכן השתמש בו (נתמך רק על ידי רצף פעולות ב-Google Workspace Studio).

הערה: בהמשך תהיה תמיכה בעוד סוכנים.
על ידי סוכן הפעולה בוצעה באמצעות סוכן AI (TRUE או FALSE)
תאריך התאריך והשעה שהאירוע התרחש בהם (מוצגים לפי אזור הזמן שמוגדר כברירת מחדל בדפדפן)
אירוע פעולת האירוע שנרשמה, כמו יצירת קבוצה, הזמנת משתמש או דחיית בקשת הצטרפות.
כתובת האימייל של הקבוצה כתובת האימייל של הקבוצה
הגדרת הרשאות לקבוצה הגדרת ההרשאות בקבוצה של מבצע הפעולה – לדוגמה, יכול להוסיף חברים, יכול לפרסם, יכול להזמין חברים או יכול למחוק נושאים
ערך הגדרת המידע הערך של עדכון בהגדרה "פרטי הקבוצה"

כתובת IP של ASN

צריך להוסיף את העמודה הזאת לתוצאות החיפוש. השלבים מפורטים במאמר בנושא הגדרת עמודות הנתונים של תוצאות החיפוש.

מספר המערכת האוטונומית (ASN) של כתובת ה-IP, חלוקת המשנה והאזור שמשויכים לרשומה ביומן.

כדי לבדוק את ה-ASN של כתובת ה-IP, את חלוקת המשנה ואת קוד האזור שבו התרחשה הפעילות, לוחצים על השם בתוצאות החיפוש.
מזהה ההודעה בהודעות שנשלחו על ידי הגורם, מזהה ההודעה הייחודי שנמצא בכותרת ההודעה
ניהול ההודעות הפעולה שבוצעה על ידי הגורם כדי לאשר או לדחות פוסט או הודעה
ערך חדש* הערך החדש של ההגדרה אחרי שהמשתמש ביצע פעולה
הערך הישן* ערך ההגדרה הישן אחרי שהגורם המבצע ביצע פעולה
Resources

רשימת המשאבים שמשויכים לפעולה. כדי לראות את הפרטים הבאים, לוחצים על המשאב:

  • מזהה המשאב – המזהה של המשאב
  • שם המשאב – השם של המשאב
  • סוג המשאב – הקטגוריה של המשאב (למשל פריט ב-Google Drive, אימייל או כלל)
  • יחס המשאב – הקשר שבין המשאב לאירוע
  • פרטי הבעלים – פרטים על הבעלים של המשאב, כולל סוג הבעלים וזהות הבעלים

  • תווית המשאב – רשימה של תוויות הסיווג למשאב, כולל מזהה התווית של המשאב, שם התווית של המשאב ושדה התווית של המשאב

    שדה התווית של המשאב מכיל את:

    • מזהה שדה התווית
    • שם שדה התווית
    • סוג שדה התווית – סוג הנתונים של שדה התווית, למשל:
      • טקסט
      • מספר
      • בחירה – כולל: מזהה, שם לתצוגה, אם יש תג
      • רשימת הבחירה
      • משתמש – כולל: אימייל
      • רשימת משתמשים
      • תאריך

אם מייצאים את המידע לקובץ CSV (ערכים מופרדים בפסיק) או לגיליון אלקטרוני ב-Google Sheets, המידע נשמר כיחידת טקסט אחת בתוך תא.

Role התפקיד של הגורם המבצע בקבוצה – לדוגמה, מנהל, חבר או בעלים
הגדרה* הפעולה שבוצעה על ידי המשתמש. לדוגמה, כדי לאפשר חברים חיצוניים, לאפשר פרסום באינטרנט, להגדיר את הגודל המקסימלי של ההודעה או לציין את שם הקבוצה.
סטטוס סטטוס הפעולה שבוצעה על ידי הגורם – הצליחה או נכשלה
Target כתובת האימייל של משתמש היעד
מזהה המכשיר של המשתמש

צריך להוסיף את העמודה הזאת לתוצאות החיפוש. השלבים מפורטים במאמר בנושא הגדרת עמודות הנתונים של תוצאות החיפוש.

פרטים על המכשיר שבו בוצעה הפעולה.

בתוצאות החיפוש, לוחצים על מזהה המכשיר של המשתמש כדי לראות את:

  • מזהה המכשיר של המשתמש – המזהה הייחודי של המכשיר
  • סוג המכשיר של המשתמש – סוג המכשיר שבו המשתמש משתמש (למשל DESKTOP_MAC או DESKTOP_WINDOWS)
  • גרסת מערכת ההפעלה במכשיר של המשתמש – גרסת מערכת ההפעלה שמותקנת במכשיר

אם מייצאים את המידע לקובץ CSV (ערכים מופרדים בפסיק) או לגיליון אלקטרוני ב-Google Sheets, המידע נשמר כיחידת טקסט אחת בתוך תא.

* אי אפשר ליצור כללי דיווח עם המסננים האלה. למידע נוסף על כללי דיווח לעומת כללי פעילות.

הערה: אם נתתם למשתמש שם חדש, לא יוצגו תוצאות של שאילתות עם השם הישן שלו. למשל, אם תשנו את השם של OldName@example.com ל-NewName@example.com, לא תראו תוצאות לאירועים שקשורים לשם OldName@example.com.

ניהול נתוני האירועים ביומן

איך אפשר להגדיר את עמודות הנתונים של תוצאות החיפוש

אתם יכולים לקבוע אילו עמודות נתונים יופיעו בתוצאות החיפוש.

  1. בפינה השמאלית העליונה של טבלת תוצאות החיפוש, לוחצים על הסמל לניהול העמודות .
  2. (אופציונלי) כדי להסיר עמודות שמוצגות כרגע, לוחצים על סמל ההסרה .
  3. (אופציונלי) כדי להוסיף עמודות, לצד הוספת עמודה חדשה לוחצים על החץ למטה ובוחרים את עמודת הנתונים.
    חוזרים על הפעולה לפי הצורך.
  4. (אופציונלי) כדי לשנות את סדר העמודות, גוררים את השמות של עמודות הנתונים.
  5. לוחצים על שמירה.

איך מייצאים נתונים של תוצאות חיפוש

אתם יכולים לייצא את תוצאות החיפוש ל-Sheets או לקובץ CSV.

  1. בחלק העליון של טבלת תוצאות החיפוש, לוחצים על ייצוא של הכול.
  2. מוסיפים שם ואז לוחצים על ייצוא.
    קובץ הייצוא מוצג מתחת לטבלת תוצאות החיפוש בקטע ייצוא התוצאות של פעולה.
  3. כדי לראות את הנתונים, לוחצים על שם הייצוא.
    הייצוא נפתח ב-Sheets.

מגבלות הנתונים שאפשר לייצא משתנות לפי:

  • אפשר לייצא עד 100,000 שורות.
  • אם אתם משתמשים בכלי לחקירת אבטחה, אתם יכולים לייצא עד 30 מיליון שורות.

מידע נוסף מופיע במאמר בנושא ייצוא תוצאות חיפוש.

מתי הנתונים נעשים זמינים ולמשך כמה זמן הם נשמרים?

טיפול באירועים על סמך תוצאות החיפוש

יצירת כללי פעילות והגדרת התראות

  • אפשר להגדיר התראות על סמך נתוני אירועים ביומן באמצעות כללי דיווח. הוראות מופיעות במאמר בנושא יצירה וניהול של כללי דיווח.
  • התכונה הזו נתמכת במהדורות הבאות: Frontline Standard ו-Frontline Plus,‏ Enterprise Standard ו-Enterprise Plus,‏ Education Standard ו-Education Plus,‏ Enterprise Essentials Plus ו-Cloud Identity Premium. השוואה בין המהדורות

    כדי לסייע במניעה, זיהוי ותיקון יעילים של בעיות אבטחה, אפשר להפוך פעולות לאוטומטיות בכלי חקירת האבטחה ולהגדיר התראות על ידי יצירת כללי פעילות. כדי להגדיר כלל, מגדירים תנאים לכלל ואז מציינים את הפעולות שצריך לבצע כשהתנאים מתקיימים. פרטים נוספים מופיעים במאמר בנושא יצירה וניהול של כללי פעילות.

טיפול באירועים על סמך תוצאות החיפוש

התכונה הזו נתמכת במהדורות הבאות: Frontline Standard ו-Frontline Plus,‏ Enterprise Standard ו-Enterprise Plus,‏ Education Standard ו-Education Plus,‏ Enterprise Essentials Plus ו-Cloud Identity Premium. השוואה בין המהדורות

אחרי שמריצים חיפוש בכלי לחקירת אבטחה, אפשר לבצע פעולות על סמך תוצאות החיפוש. לדוגמה, אפשר להריץ חיפוש שמבוסס על אירועים ביומן ב-Gmail, ואז להשתמש בכלי כדי למחוק הודעות ספציפיות, לשלוח הודעות להסגר או לשלוח הודעות לתיבות הדואר הנכנס של המשתמשים. פרטים נוספים מופיעים במאמר בנושא טיפול באירועים על סמך תוצאות החיפוש.

ביצוע פעולות לגבי החקירות

התכונה הזו נתמכת במהדורות הבאות: Frontline Standard ו-Frontline Plus,‏ Enterprise Standard ו-Enterprise Plus,‏ Education Standard ו-Education Plus,‏ Enterprise Essentials Plus ו-Cloud Identity Premium. השוואה בין המהדורות

צפייה ברשימת החקירות

כדי לראות את רשימת החקירות שבבעלותכם וששותפו איתכם, אתם יכולים ללחוץ על "צפייה בפרטי החקירות" . רשימת החקירות כוללת את השמות, התיאורים והבעלים של החקירות, ואת התאריך שבו בוצע השינוי האחרון.

מהרשימה הזו אפשר לבצע פעולות בחקירות שבבעלותכם, למשל למחוק חקירה. מסמנים את התיבה של החקירה ולוחצים על פעולות.

הערה: אפשר לראות את החקירות השמורות בקטע גישה מהירה, ממש מעל רשימת החקירות.

קביעת ההגדרות של החקירות

אתם יכולים להתחבר בתפקיד סופר-אדמין, וללחוץ על סמל ההגדרות כדי:

  • לשנות את אזור הזמן של החקירות. אזור הזמן חל על תנאי החיפוש ועל התוצאות.
  • להפעיל או להשבית את האפשרות דרישה לבודק פעולות. פרטים נוספים מופיעים בקטע דרישה לבודקים בשביל פעולות בכמות גדולה.
  • להפעיל או להשבית את ההגדרה צפייה בתוכן. ההגדרה הזו מאפשרת לאדמינים עם ההרשאות המתאימות לצפות בתוכן.
  • להפעיל או להשבית את ההגדרה יש להזין נימוק לפעולות לפני ביצוע.

פרטים נוספים מופיעים בקטע קביעת הגדרות של החקירות.

שמירה, שיתוף, מחיקה ושכפול של חקירות

כדי לשמור את הקריטריונים של החיפוש או לשתף אותם עם אחרים, אתם יכולים ליצור ולשמור חקירה, ואז לשתף, לשכפל או למחוק אותה.

פרטים נוספים מופיעים במאמר בנושא שמירה, שיתוף, מחיקה ושכפול של חקירות.