אירועים ביומן של קבוצות Google

צפייה בשינויים בקבוצות, בחברות בקבוצות ובהודעות בקבוצות

בהתאם למהדורת Google Workspace שיש לכם, יכול להיות שתהיה לכם גישה לכלי לחקירת אבטחה, שכולל תכונות מתקדמות יותר. לדוגמה, סופר-אדמינים יכולים לזהות ולתעדף בעיות אבטחה ופרטיות ולטפל בהן. מידע נוסף

אדמינים בארגונים יכולים להריץ חיפושים על בעיות אבטחה שקשורות לאירועים ביומן של קבוצות Google ולטפל בהן. לדוגמה, אתם יכולים לעקוב אחרי שינויים בקבוצות, בחברות בקבוצות ובהודעות בקבוצות של משתמשים בארגון. אפשר גם לפתור בעיות כשמשתמשים בדומיין שמים לב לפערים ולשינויים לא צפויים בפעילות הקבוצתית שלהם. רשומות מופיעות בדרך כלל תוך חצי שעה מהפעולה שהמשתמש ביצע.

הערה: כדי לראות פעולות שבוצעו במסוף Google Admin, ב-Google Cloud Console, ב-Admin SDK API, ב-Cloud Identity API ובממשק המשתמש של קבוצות Google, עוברים אל אירועים ביומן של קבוצות Enterprise.

לצפייה ברשימה המלאה של הפעילויות שאפשר לבדוק, כמו Google Drive או פעילות משתמש, אפשר לעיין במאמר בנושא הרצת חיפוש בדף הביקורת והחקירה.

סוגי השינויים שאפשר לעקוב אחריהם

  • יצירה ומחיקה של קבוצות – אפשר לוודא שקבוצה קיימת ולא נמחקה לאחרונה.
  • הוספה, הסרה והרחקה של חברים – אם משתמש לא קיבל הודעה קבוצתית, אפשר לבדוק את נתוני האירועים ביומן כדי לראות אם המשתמש הוא חבר בקבוצה. אם המשתמש הוסר או נחסם, בנתונים יופיע גם מי הסיר או חסם אותו ומתי.
  • הזמנות משתמשים ואישורים של בקשות הצטרפות – אפשר לבדוק אם משתמש קיבל הזמנה להצטרף לקבוצה, ואם הוא אישר או דחה את ההזמנה. אפשר גם לעקוב אחרי בקשות של משתמשים להצטרף לקבוצה, ולראות אם הבקשות אושרו או נדחו.
  • שינויים בהרשאות הפרסום בקבוצה – יכול להיות שמשתמשים יקבלו באופן לא צפוי הודעה על החזרת אימייל (bounce) שבה נאמר שאין להם הרשאה לפרסם. נתוני אירועים ביומן מציגים שינויים בהרשאות הפרסום שמונעים מהמשתמש לפרסם.
  • הגדרות ניהול ספאם – אם הודעות נשלחות לתור הניהול במקום להתפרסם, בנתוני האירועים ביומן יופיע אם ניהול ההודעות היה שינוי בהגדרות שבוצע לאחרונה.
  • הגדרות אחרות – כשמשנים הגדרות אחרות, נתוני האירועים ביומן מספקים פרטים על השינויים.

אירועים ביומן של קבוצות Google מיועדים רק לממשק של קבוצות Google. נתוני האירועים עוקבים אחרי פעולות של משתמשים ושל אדמינים שבוצעו באמצעות הממשק של קבוצות Google. פעולות שבוצעו בקבוצות Google על ידי אדמינים באמצעות מסוף Admin או Directory API של Admin SDK מתועדות באירועים ביומן Admin ובאירועים ביומן של Groups Enterprise.

העברת נתוני אירועים ביומן אל Google Cloud

אתם יכולים להביע הסכמה לשיתוף נתוני אירועים ביומן עם Google Cloud. אם מפעילים את השיתוף, הנתונים מועברים אל Cloud Logging, שם אפשר לשלוח שאילתות ליומנים, להציג אותם ולקבוע איך לנתב ולאחסן אותם.

סוג הנתונים של אירועי היומן שאפשר לשתף עם Google Cloud תלוי בחשבון Google Workspace,‏ Cloud Identity או Essentials שלכם.

היכולת שלכם להריץ חיפוש תלויה במהדורת Google שלכם, בהרשאות האדמין ובמקור הנתונים. אתם יכולים להריץ חיפוש על כל המשתמשים, ללא קשר למהדורת Google Workspace שלהם.

כלי הביקורת והחקירה

כדי להריץ חיפוש לאירועים ביומן, צריך קודם לבחור מקור נתונים. ואז בוחרים מסנן אחד או יותר לחיפוש.

  1. במסוף Google Admin, נכנסים לתפריט ואז דיווח and thenביקורת וחקירה ואזאירועים ביומן של קבוצות Google.

    כדי לעשות את זה צריך הרשאות אדמין לביקורת וחקירה.

  2. כדי לסנן אירועים שהתרחשו לפני או אחרי תאריך מסוים, בוחרים באפשרות לפני או אחרי בקטע תאריך. כברירת מחדל, מוצגים אירועים מ-7 הימים האחרונים. אפשר לבחור טווח תאריכים אחר או ללחוץ על כדי להסיר את מסנן התאריכים.

  3. לוחצים על הוספת מסנן ואזבוחרים מאפיין. לדוגמה, כדי לסנן לפי סוג אירוע ספציפי, בוחרים באפשרות אירוע.
  4. בוחרים אופרטור ואזבוחרים ערך ואזלוחצים על אישור.
    • (אופציונלי) כדי ליצור כמה מסננים לחיפוש, חוזרים על השלב הזה.
    • (אופציונלי) כדי להוסיף סימן או מילה למיקוד החיפוש, מעל הוספת מסנן, בוחרים באפשרות וגם או או.
  5. לוחצים על חיפוש. הערה: אפשר להשתמש בכרטיסייה מסנן כדי לכלול זוגות פשוטים של פרמטר וערך ולסנן לפיהם את תוצאות החיפוש. אפשר גם להשתמש בכרטיסייה הכלי להגדרת תנאים, שבה המסננים מיוצגים כתנאים עם האופרטורים AND ו-OR.

הכלי לחקירת אבטחה

התכונה הזו נתמכת במהדורות הבאות: Frontline Standard ו-Frontline Plus,‏ Enterprise Standard ו-Enterprise Plus,‏ Education Standard ו-Education Plus,‏ Enterprise Essentials Plus,‏ Cloud Identity Premium. השוואה בין מהדורות

כדי להריץ חיפוש בכלי לחקירת אבטחה, צריך קודם לבחור מקור נתונים. ואז בוחרים תנאי אחד או יותר לחיפוש. לכל תנאי, בוחרים מאפיין, אופרטור וערך.

  1. במסוף Google Admin, נכנסים לתפריט ואז אבטחה and thenמרכז האבטחה ואזכלי חקירה.

    כדי לעשות את זה צריך הרשאות אדמין למרכז האבטחה.

  2. לוחצים על מקור נתונים ובוחרים באפשרות אירועים ביומן של Groups.

  3. כדי לסנן אירועים שהתרחשו לפני או אחרי תאריך מסוים, בוחרים באפשרות לפני או אחרי בקטע תאריך. כברירת מחדל, מוצגים אירועים מ-7 הימים האחרונים. אפשר לבחור טווח תאריכים אחר או ללחוץ על כדי להסיר את מסנן התאריכים.

  4. לוחצים על Add Condition.
    טיפ: אפשר לכלול תנאי אחד או יותר בחיפוש, או להתאים אישית את החיפוש באמצעות שאילתות עם היררכיית כללים. פרטים נוספים מופיעים במאמר בנושא התאמה אישית של חיפושים באמצעות שאילתות עם היררכיית כללים.
  5. לוחצים על מאפיין ואז בוחרים באחת מהאפשרויות. לדוגמה, כדי לסנן לפי סוג אירוע ספציפי, בוחרים באפשרות אירוע.
    רשימה מלאה של המאפיינים מופיעה בקטע תיאורי מאפיינים.
  6. בוחרים אופרטור.
  7. מזינים ערך או בוחרים ערך מהרשימה.
  8. (אופציונלי) כדי להוסיף עוד תנאי חיפוש, חוזרים על השלבים.
  9. לוחצים על חיפוש.
    בטבלה שבתחתית הדף אפשר לעיין בתוצאות החיפוש מכלי החקירה.
  10. (אופציונלי) כדי לשמור את החקירה, לוחצים על סמל השמירה ואזמזינים שם ותיאור ואזלוחצים על שמירה.

הערות

  • בכרטיסייה של הכלי להגדרת תנאים, המסננים מיוצגים כתנאים עם האופרטורים AND ו-OR. אפשר גם להשתמש בכרטיסייה של המסננים כדי לכלול זוגות פשוטים של פרמטר וערך ולסנן לפיהם את תוצאות החיפוש.
  • אם תתנו למשתמש שם חדש, לא תראו תוצאות לשאילתות עם השם הישן שלו. לדוגמה, אם אתם משנים את השם של OldName@example.com ל-NewName@example.com, לא תראו תוצאות לאירועים שקשורים ל-OldName@example.com.
  • אתם יכולים לחפש נתונים רק בהודעות שעדיין לא נמחקו מהאשפה.

תיאורים של המאפיינים

במקור הנתונים הזה, אתם יכולים להשתמש במאפיינים הבאים כשאתם מחפשים נתונים של אירועים ביומן:

מאפיין תיאור
המשתמש/ת כתובת האימייל של המשתמש שביצע את הפעולה
שם קבוצת המשתמשים

שם הקבוצה של המשתמש. מידע נוסף זמין במאמר בנושא סינון תוצאות לפי קבוצה ב-Google.

כדי להוסיף קבוצה לרשימת ההיתרים של קבוצות הסינון:

  1. בוחרים באפשרות שם הקבוצה של המשתמש.
  2. לוחצים על קבוצות סינון.
    מופיע הדף של קבוצות הסינון.
  3. לוחצים על הוספת קבוצות.
  4. כדי לחפש קבוצה, מזינים את התווים הראשונים של השם או כתובת האימייל של הקבוצה. אם רואים את הקבוצה שרוצים, בוחרים אותה.
  5. (אופציונלי) כדי להוסיף עוד קבוצה, מחפשים את הקבוצה ובוחרים אותה.
  6. כשמסיימים לבחור קבוצות, לוחצים על הוספה.
  7. (אופציונלי) כדי להסיר קבוצה, לוחצים על סמל הסרת הקבוצה .
  8. לוחצים על שמירה.
היחידה הארגונית של המשתמש היחידה הארגונית של המשתמש
‫תאריך התאריך והשעה שהאירוע התרחש בהם (מוצגים לפי אזור הזמן שמוגדר כברירת מחדל בדפדפן)
אירוע פעולת האירוע שנרשמה, כמו יצירת קבוצה, הזמנת משתמש או דחיית בקשת הצטרפות.
קיבוץ אימיילים כתובת האימייל של הקבוצה
הגדרת הרשאה של קבוצה הגדרת ההרשאה של הקבוצה עבור השחקן – לדוגמה, Can add members,‏ Can post,‏ Can invite members או Can delete topics
ערך הגדרת המידע הערך של עדכון בהגדרה 'פרטי הקבוצה'

כתובת IP של ASN

צריך להוסיף את העמודה הזו לתוצאות החיפוש. ההוראות מפורטות במאמר בנושא ניהול עמודות הנתונים של תוצאות החיפוש.

מספר מערכת אוטונומית (ASN) של כתובת ה-IP, חלוקת המשנה והאזור שמשויכים לרשומה ביומן.

כדי לבדוק את ה-ASN של כתובת ה-IP, את חלוקת המשנה ואת קוד האזור שבו התרחשה הפעילות, לוחצים על השם בתוצאות החיפוש.
מזהה ההודעה לגבי הודעות שנשלחו על ידי השחקן, מזהה ההודעה הייחודי שנמצא בכותרת ההודעה
ניהול ההודעות הפעולה שננקטה על ידי הגורם כדי לאשר או לדחות פוסט או הודעה
ערך חדש* הערך החדש של ההגדרה אחרי שהמשתמש ביצע פעולה
הערך הקודם* הערך הישן של ההגדרה אחרי שהשחקן ביצע פעולה
מקורות מידע

רשימת המשאבים שמשויכים לפעולה. לוחצים על משאב כדי לצפות בפרטים הבאים:

  • מזהה המשאב – המזהה של המשאב
  • שם המשאב – השם של המשאב
  • סוג המשאב – פריט ב-Google Drive, אימייל, התראה, כלל וכו'
  • יחס המשאב – הקשר שבין המשאב לאירוע

  • תווית המשאב – רשימה של תוויות סיווג למשאב, כולל מזהה התווית של המשאב, שם התווית של המשאב ושדה התווית של המשאב.

    שדה התווית של המשאב מכיל את:

    • מזהה שדה התווית
    • שם שדה התווית
    • סוג שדה התווית – סוג הנתונים של שדה התווית, למשל:
      • טקסט
      • מספר
      • בחירה – כולל: מזהה, שם לתצוגה, אם יש תג
      • רשימת הבחירה
      • משתמש – כולל: אימייל
      • רשימת משתמשים
      • ‫תאריך

אם מייצאים את המידע לקובץ CSV (ערכים מופרדים בפסיק) או לגיליון אלקטרוני ב-Google Sheets, המידע נשמר כתבנית טקסט אחת בתוך תא.
תפקיד התפקיד של השחקן בקבוצה – לדוגמה, מנהל, חבר או בעלים
הגדרה* הפעולה שבוצעה על ידי המשתמש. לדוגמה, כדי לאפשר לחברים חיצוניים להצטרף לקבוצה, לאפשר פרסום באינטרנט, להגדיר את הגודל המקסימלי של ההודעה או לציין את שם הקבוצה.
סטטוס הסטטוס של הפעולה שבוצעה על ידי המחבר – הצלחה או כישלון
Target כתובת האימייל של משתמש היעד
* אי אפשר ליצור כללי דיווח עם המסננים האלה. מידע נוסף על כללי דיווח לעומת כללי פעילות

הערה: אם נתתם למשתמש שם חדש, לא יוצגו תוצאות של שאילתות עם השם הישן שלו. לדוגמה, אם אתם משנים את השם של OldName@example.com ל-NewName@example.com, לא תראו תוצאות לאירועים שקשורים ל-OldName@example.com.

ניהול נתוני האירועים ביומן

ניהול עמודות הנתונים של תוצאות החיפוש

אתם יכולים לקבוע אילו עמודות נתונים יופיעו בתוצאות החיפוש.

  1. בפינה השמאלית העליונה של טבלת תוצאות החיפוש, לוחצים על הסמל לניהול העמודות .
  2. (אופציונלי) כדי להסיר עמודות שמוצגות כרגע, לוחצים על סמל ההסרה .
  3. (אופציונלי) כדי להוסיף עמודות, לצד הוספת עמודה חדשה לוחצים על החץ למטה ובוחרים את עמודת הנתונים.
    חוזרים על הפעולה לפי הצורך.
  4. (אופציונלי) כדי לשנות את סדר העמודות, גוררים את השמות של עמודות הנתונים.
  5. לוחצים על שמירה.

ייצוא נתונים של תוצאות חיפוש

אתם יכולים לייצא את תוצאות החיפוש ל-Sheets או לקובץ CSV.

  1. בחלק העליון של טבלת תוצאות החיפוש, לוחצים על ייצוא של הכול.
  2. מזינים שם ואז לוחצים על ייצוא.
    קובץ הייצוא מוצג מתחת לטבלת תוצאות החיפוש בקטע ייצוא התוצאות של פעולה.
  3. כדי להציג את הנתונים, לוחצים על שם הייצוא.
    קובץ הייצוא נפתח ב-Sheets.

מגבלות הייצוא משתנות לפי:

  • מספר השורות הכולל של התוצאות שאתם יכולים לייצא מוגבל ל-100,000 שורות.
  • התכונה הזו נתמכת במהדורות הבאות: Frontline Standard ו-Frontline Plus,‏ Enterprise Standard ו-Enterprise Plus,‏ Education Standard ו-Education Plus,‏ Enterprise Essentials Plus,‏ Cloud Identity Premium. השוואה בין מהדורות

    אם אתם משתמשים בכלי לחקירת אבטחה, אתם יכולים לייצא עד 30 מיליון שורות של תוצאות סה"כ.

מידע נוסף זמין במאמר בנושא ייצוא תוצאות חיפוש.

מתי הנתונים נעשים זמינים ולמשך כמה זמן הם נשמרים?

טיפול באירועים על סמך תוצאות החיפוש

יצירת כללי פעילות והגדרת התראות

  • אפשר להגדיר התראות על סמך נתוני אירועים ביומן באמצעות כללי דיווח. הוראות מפורטות זמינות במאמר יצירה וניהול של כללי דיווח.
  • התכונה הזו נתמכת במהדורות הבאות: Frontline Standard ו-Frontline Plus,‏ Enterprise Standard ו-Enterprise Plus,‏ Education Standard ו-Education Plus,‏ Enterprise Essentials Plus,‏ Cloud Identity Premium. השוואה בין מהדורות

    כדי למנוע בעיות אבטחה, לזהות אותן ולתקן אותן ביעילות, אתם יכולים להגדיר כללי פעילות להפעלה אוטומטית של פעולות בכלי לחקירת אבטחה, ולקבל התראות. כדי להגדיר כלל, צריך להגדיר את התנאים של הכלל ואז לציין את הפעולות שיש לבצע כשהתנאים מתקיימים. פרטים נוספים זמינים במאמר יצירה וניהול של כללי פעילות.

טיפול באירועים על סמך תוצאות החיפוש

התכונה הזו נתמכת במהדורות הבאות: Frontline Standard ו-Frontline Plus,‏ Enterprise Standard ו-Enterprise Plus,‏ Education Standard ו-Education Plus,‏ Enterprise Essentials Plus,‏ Cloud Identity Premium. השוואה בין מהדורות

אחרי שמריצים חיפוש בכלי לחקירת אבטחה, אפשר לבצע פעולות על תוצאות החיפוש. לדוגמה, אפשר להריץ חיפוש על סמך אירועים ביומן של Gmail, ואז להשתמש בכלי כדי למחוק הודעות ספציפיות, לשלוח הודעות להסגר או לשלוח הודעות לתיבות הדואר הנכנס של המשתמשים. פרטים נוספים זמינים במאמר טיפול באירועים על סמך תוצאות החיפוש.

ניהול החקירות

התכונה הזו נתמכת במהדורות הבאות: Frontline Standard ו-Frontline Plus,‏ Enterprise Standard ו-Enterprise Plus,‏ Education Standard ו-Education Plus,‏ Enterprise Essentials Plus,‏ Cloud Identity Premium. השוואה בין מהדורות

צפייה ברשימת החקירות

כדי לראות רשימה של החקירות שבבעלותכם ושל החקירות ששותפו איתכם, לוחצים על סמל הצגת החקירות . רשימת החקירות כוללת את השמות, התיאורים והבעלים של החקירות, ואת התאריך שבו בוצע השינוי האחרון.

מהרשימה הזו אפשר לבצע פעולות בחקירות שבבעלותכם, למשל למחוק חקירה. מסמנים את התיבה של החקירה ולוחצים על פעולות.

הערה: אפשר לראות את החקירות השמורות בקטע גישה מהירה, ממש מעל רשימת החקירות.

הגדרת ההגדרות של החקירות

בתור סופר-אדמין, לוחצים על סמל ההגדרות כדי:

  • שינוי אזור הזמן של החקירות. אזור הזמן חל על תנאי החיפוש ועל התוצאות.
  • מפעילים או משביתים את האפשרות דרוש בודק. פרטים נוספים זמינים במאמר דרישת בודקים לפעולות בכמות גדולה.
  • מפעילים או משביתים את האפשרות View content (הצגת תוכן). ההגדרה הזו מאפשרת לאדמינים עם ההרשאות המתאימות לצפות בתוכן.
  • מפעילים או משביתים את ההגדרה יש להזין נימוק לפעולות לפני ביצוע.

פרטים נוספים זמינים במאמר בנושא הגדרת ההגדרות של החקירות.

שמירה, שיתוף, מחיקה ושכפול של חקירות

כדי לשמור את קריטריוני החיפוש או לשתף אותם עם אחרים, אתם יכולים ליצור ולשמור חקירה, ואז לשתף, לשכפל או למחוק אותה.

פרטים נוספים זמינים במאמר בנושא שמירה, שיתוף, מחיקה ושכפול של חקירות.