Logboekgebeurtenissen over gebruikers

De inlogactiviteit van gebruikers controleren

Afhankelijk van uw Google Workspace-versie heeft u misschien toegang tot de tool voor beveiligingsonderzoek, die geavanceerdere functies heeft. Hoofdbeheerders kunnen bijvoorbeeld beveiligings- en privacyproblemen opsporen, analyseren en acties ondernemen. Meer informatie

Als beheerder van uw organisatie kunt u zoekopdrachten uitvoeren en actie ondernemen bij gebeurtenissen in het logboek Gebruikers. U kunt bijvoorbeeld controleren welke belangrijke acties gebruikers hebben uitgevoerd in hun eigen account. U kunt bijvoorbeeld wijzigingen aan wachtwoorden en accountherstelgegevens (telefoonnummers, e-mailadressen) tonen en of gebruikers zijn ingeschreven voor tweestapsverificatie. Inlogpogingen van e-mailclients of apps die niet in de browser worden gebruikt, worden niet vastgelegd in dit rapport, tenzij het een programmatische inlogpoging is vanuit een sessie die als verdacht wordt beschouwd.

Gebeurtenisgegevens in het logboek worden per sessie verzameld. Als er binnen korte tijd meerdere pogingen zijn om dezelfde actie uit te voeren, kunnen deze dus worden gecombineerd in één logboekitem. Als een gebruiker bijvoorbeeld 5 keer een onjuist wachtwoord en daarna het juiste wachtwoord invoert, bevat het logboek misschien maar 2 vermeldingen: 1 voor alle mislukte pogingen en 1 voor de geslaagde poging.

Opmerking: Als er in de afgelopen 6 maanden geen gebeurtenisgegevens over gebruikers zijn in het logboek, staat Logboekgebeurtenissen over gebruikers mogelijk niet in het linkernavigatiemenu.

Logboekgebeurtenisgegevens doorsturen naar Google Cloud

U kunt ervoor kiezen informatie over logboekgebeurtenissen te delen met Google Cloud. Als u delen aanzet, worden gegevens doorgestuurd naar Cloud Logging. Hier kunt u logboeken bekijken en erin zoeken. Ook kunt u bepalen hoe logboeken worden gerouteerd en opgeslagen.

Het type gegevens over logboekgebeurtenissen dat u kunt delen met Google Cloud hangt af van uw Google Workspace-, Cloud Identity- of Essentials-account.

Of u een zoekopdracht kunt uitvoeren, hangt af van uw Google-versie, uw beheerdersrechten en de gegevensbron. U kunt een zoekopdracht uitvoeren voor alle gebruikers, ongeacht hun Google Workspace-versie.

Controle- en onderzoekstool

Als u logboekgebeurtenissen wilt zoeken, kiest u eerst een gegevensbron. Kies daarna een of meer filters voor de zoekopdracht.

  1. Ga in de Google Beheerdersconsole naar Menu en dan Rapportage en dan Controle en onderzoek en dan Gebeurtenissen in het logboek Gebruiker.

    Hiervoor is het beheerdersrecht Controle en onderzoek vereist.

  2. Als u gebeurtenissen wilt filteren die vóór of na een specifieke datum hebben plaatsgevonden, selecteert u bij Datum de optie Vóór of Na. Standaard worden gebeurtenissen van de afgelopen 7 dagen getoond. U kunt een andere periode selecteren of op klikken om het datumfilter te verwijderen.

  3. Klik op Een filter toevoegen en dan selecteer een kenmerk. Als u bijvoorbeeld wilt filteren op een specifiek gebeurtenistype, selecteert u Gebeurtenis.
  4. Selecteer een operator en dan selecteer een waarde en dan klik op Toepassen.
    • (Optioneel) Herhaal deze stap om meerdere filters voor de zoekopdracht te maken.
    • (Optioneel) Als u een zoekoperator wilt toevoegen, selecteert u boven Een filter toevoegen de optie AND of OR.
  5. Klik op Zoeken. Opmerking: Op het tabblad Filter voegt u eenvoudige combinaties van parameters en waarden toe om de zoekresultaten te filteren. U kunt ook het tabblad Voorwaardenbuilder gebruiken. Hier worden de filters getoond als voorwaarden met AND- of OR-operatoren.

Tool voor beveiligingsonderzoek

Deze functie wordt ondersteund in de volgende versies: Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus en Cloud Identity Premium. Versies vergelijken

Als u een zoekopdracht wilt uitvoeren in de tool voor beveiligingsonderzoek, kiest u eerst een gegevensbron. Kies daarna een of meer voorwaarden voor de zoekopdracht. Kies voor elke voorwaarde een kenmerk, een operator en een waarde.

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Beveiligingscentrum en dan Onderzoekstool.

    Hiervoor is het beheerdersrecht Beveiligingscentrum vereist.

  2. Klik op Gegevensbron en selecteer Gebeurtenissen in het logboek Gebruikers.

  3. Als u gebeurtenissen wilt filteren die vóór of na een specifieke datum hebben plaatsgevonden, selecteert u bij Datum de optie Vóór of Na. Standaard worden gebeurtenissen van de afgelopen 7 dagen getoond. U kunt een andere periode selecteren of op klikken om het datumfilter te verwijderen.

  4. Klik op Voorwaarde toevoegen.
    Tip: U kunt een of meer voorwaarden toevoegen aan de zoekopdracht of de zoekopdracht aanpassen met geneste zoekopdrachten. Ga naar Een zoekopdracht aanpassen met geneste zoekopdrachten voor meer informatie.
  5. Klik op Kenmerk en dan selecteer een optie. Als u bijvoorbeeld wilt filteren op een specifiek gebeurtenistype, selecteert u Gebeurtenis.
    Ga naar het gedeelte Kenmerkbeschrijvingen verderop op deze pagina voor de volledige lijst met kenmerken.
  6. Selecteer een operator.
  7. Voer een waarde in of selecteer een waarde in de lijst.
  8. (Optioneel) Herhaal de stappen om meer zoekvoorwaarden toe te voegen.
  9. Klik op Zoeken.
    Onderaan de pagina staat een tabel met de zoekresultaten uit de onderzoekstool.
  10. (Optioneel) Als u het onderzoek wilt opslaan, klikt u op Opslaan en dan voert u een titel en beschrijving in en dan klikt u op Opslaan.

Opmerkingen

  • Op het tabblad Voorwaardenbuilder worden filters weergegeven als voorwaarden met AND/OR-operatoren. U kunt ook het tabblad Filter gebruiken en eenvoudige combinaties van parameters en waarden toevoegen om de zoekresultaten te filteren.
  • Als u een gebruiker een nieuwe naam geeft, ziet u geen queryresultaten met de oude naam. Als u bijvoorbeeld OudeNaam@example.com de naam NieuweNaam@example.com geeft, ziet u geen gebeurtenissen gerelateerd aan OudeNaam@example.com.
  • U kunt alleen zoeken naar gegevens in berichten die nog niet uit de prullenbak zijn verwijderd.

Beschrijvingen van kenmerken

Voor deze gegevensbron kunt u de volgende kenmerken gebruiken als u in gebeurtenisgegevens in een logboek zoekt.

Kenmerk Beschrijving
Naam van handelende groep

De groepsnaam van de handelende gebruiker. Ga naar Resultaten filteren op Google-groep voor meer informatie.

Zo voegt u een groep toe aan de toelatingslijst voor filtergroepen:

  1. Selecteer Naam van handelende groep.
  2. Klik op Filtergroepen.
    De pagina Filtergroepen verschijnt.
  3. Klik op Groepen toevoegen.
  4. Zoek een groep door de eerste tekens van de naam of het e-mailadres in te voeren. Selecteer de juiste groep wanneer deze verschijnt.
  5. (Optioneel) Als u nog een groep wilt toevoegen, zoekt u deze groep en selecteert u deze.
  6. Klik op Toevoegen als u de juiste groepen heeft geselecteerd.
  7. (Optioneel) Als u een groep wilt verwijderen, klikt u op Groep verwijderen .
  8. Klik op Opslaan.
Handelende organisatie-eenheid Organisatie-eenheid van de handelende gebruiker
Getroffen gebruiker E-mailadres van de getroffen gebruiker
Gegevens van de agent Als u wilt zoeken op gegevens van de AI-agent, selecteert u Gegevens van de agent en daarna een geneste kolom: Agent-ID, Naam van agent of Type agent. Zoekresultaten worden getoond in de kolom Agent-ID.

Klik op een item in de zoekresultaten om het deelvenster Logboekgegevens te openen om het volgende te tonen:

  • Agent-ID: De unieke ID van de agent.
  • Naam van agent: De weergavenaam van de agent.
  • Type agent: De service die de agent heeft gebruikt (alleen ondersteund door de Google Workspace Studio-flow).

Opmerking: Ondersteuning voor extra agenten wordt later toegevoegd.
Door een agent De actie is uitgevoerd met een AI-agent (Waar of Onwaar).
Challenge-type*

Het type challenge dat wordt gebruikt om de gebruiker te verifiëren, zoals wachtwoord of beveiligingssleutel

Opmerking: Nieuwe typen challenges, zoals toegangssleutel, kunnen leiden tot inconsistenties met het bestaande type challenge overig voor controlelogboeken die vóór 30 september 2024 zijn gemaakt.
Datum De datum en tijd van de gebeurtenis (weergegeven in de standaard tijdzone van uw browser).
Domein* Het domein waar de actie heeft plaatsgevonden.
Doorstuuradres voor e-mails E-mailadres waarnaar Gmail-berichten moeten worden doorgestuurd

Gebeurtenis

De actie in de geregistreerde gebeurtenis, zoals ingeschreven voor tweestapsverificatie of Verdachte inlogpoging.

Opmerking: Zelfs als een gebruiker bij de gebeurtenis Uitloggen is ingelogd met een ander inlogtype dan een Google-wachtwoord (zoals Exchange, Reauth SAML of Onbekend), wordt bij Soort login bij de gebeurtenis Uitloggen de optie Google-wachtwoord weergegeven.

Gebeurtenisstatus

Status van de gebeurtenis. Bijvoorbeeld Geslaagd of Mislukt. Klik op de status voor aanvullende informatie, zoals een foutcode.
IP-adres Het IP-adres waarmee de gebruiker is ingelogd. Dit is meestal het adres van de fysieke locatie van de gebruiker, maar het kan ook het adres van een proxyserver of een Virtual Private Network (VPN) zijn.

IP-ASN

U moet deze kolom aan de zoekresultaten toevoegen. Ga naar Kolomgegevens in de zoekresultaten beheren voor de stappen.

IP-nummer van het autonome systeem (ASN), administratieve eenheid en regio die aan het logboekitem zijn gekoppeld.

Als u het IP-nummer van het autonome systeem (ASN), de onderafdeling en de regiocode wilt controleren waar de activiteit heeft plaatsgevonden, klikt u op de naam in de zoekresultaten.
Is tweede factor* True als de gebruiker is ingelogd met tweestapsverificatie
False als de gebruiker niet is ingelogd met tweestapsverificatie
Is verdacht* Waar als de inlogpoging verdacht en geslaagd was, anders onwaar. Alleen van toepassing op de gebeurtenissen login_success, gevoelige acties die zijn toegestaan en gevoelige acties die zijn geblokkeerd.
Inlogtijd Als een gebeurtenis voor verdachte inlogpogingen wordt geblokkeerd, toont dit veld de datum en tijd waarop de gebruiker probeerde in te loggen.
Inlogtype

De verificatiemethode die de gebruiker heeft gebruikt:

  • Exchange: Een gebruiker is geverifieerd door een tokenuitwisseling, bijvoorbeeld door in te loggen via OAuth. Het kan ook betekenen dat de gebruiker al was ingelogd bij een sessie toen deze bij een andere inlogde en dat de 2 sessies zijn samengevoegd.
  • Google-wachtwoord: Er is een Google-wachtwoord gebruikt. Inclusief inlogpogingen bij minder goed beveiligde apps (indien toegestaan).
  • OIDC: Verificatie met Single sign-on via OpenID Connect (OIDC).
  • Reauth: De gebruiker is geverifieerd via een verzoek om het wachtwoord opnieuw te verifiëren.
  • SAML: De gebruiker is geverifieerd via Single sign-on Security Assertion Markup Language (SAML).**
  • Onbekend: De gebruiker is ingelogd via een onbekende methode.
Gebruiker Het e-mailadres van de gebruiker die de actie heeft uitgevoerd.
User-agent Informatie over het apparaat van de gebruiker, zoals de webbrowser, het OS of andere apparaatgegevens, bijvoorbeeld Mozilla/5.0 (Windows NT 6.3; Win64; x64). Dit kenmerk is specifiek voor de logboekgebeurtenissen van inloggegevens voor apparaatgebonden sessie (DBSC).

*U kunt geen rapportageregels maken met deze filters. Meer informatie over rapportregels versus activiteitsregels.

** Opmerking voor SAML-gebruikers die het SSO-profiel voor uw organisatie (verouderde SAML) gebruiken: Als de SAML-inlogpoging afkomstig is van een onbekend apparaat of IP-adres, of als er een hogere risicobeoordeling is, wordt een mislukte inlogpoging met het type Google-wachtwoord geregistreerd in de logboekgebeurtenis. Dit gebeurt zelfs als uw SAML-inlogpoging slaagt, omdat het systeem de eerste poging markeert als verdacht. De registratie van deze mislukte inlogpoging wordt daarna gevolgd door een geslaagde SAML-inloggebeurtenis. In verouderde SAML worden 2 inloginstanties gemaakt voor 1 SAML-inlog. De eerste, vaak irrelevante sessie, wordt alleen weggefilterd als deze niet verdacht wordt geacht.

Opmerking: Als u een gebruiker een nieuwe naam heeft gegeven, krijgt u geen zoekresultaten met de oude naam. Als u bijvoorbeeld OudeNaam@example.com verandert in NieuweNaam@example.com, krijgt u geen resultaten voor gebeurtenissen met OudeNaam@example.com.

Logboekgebeurtenisgegevens beheren

Kolomgegevens in de zoekresultaten beheren

U kunt instellen welke gegevenskolommen worden getoond in de zoekresultaten.

  1. Klik rechtsboven in de tabel met zoekresultaten op Kolommen beheren .
  2. (Optioneel) Als u huidige kolommen wilt verwijderen, klikt u op Verwijderen .
  3. (Optioneel) Als u kolommen wilt toevoegen, klikt u naast Nieuwe kolom toevoegen op de pijl-omlaag en selecteert u de gegevenskolom.
    Herhaal de stappen indien nodig.
  4. (Optioneel) Als u de volgorde van kolommen wilt wijzigen, versleept u de kolomnaam.
  5. Klik op Opslaan.

Zoekresultaten exporteren

U kunt zoekresultaten exporteren naar Spreadsheets of naar een csv-bestand.

  1. Klik bovenaan de tabel met zoekresultaten op Alles exporteren.
  2. Voer een naam in en dan klik op Exporteren.
    De export wordt onder de tabel met zoekresultaten weergegeven, onder Actieresultaten exporteren.
  3. Klik op de naam van de export om de gegevens te bekijken.
    De export wordt geopend in Spreadsheets.

De exportlimieten zijn verschillend:

  • U kunt maximaal 100.000 rijen exporteren.
  • Als u de tool voor beveiligingsonderzoek gebruikt, kunt u maximaal 30 miljoen rijen exporteren.

Ga naar Zoekresultaten exporteren voor meer informatie.

Wanneer en hoelang zijn gegevens beschikbaar?

Acties uitvoeren op basis van zoekresultaten

Activiteitsregels maken en meldingen instellen

  • U kunt met rapportregels meldingen instellen op basis van logboekgebeurtenisgegevens. Ga naar Rapportregels maken en beheren voor instructies.
  • Deze functie wordt ondersteund in de volgende versies: Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus en Cloud Identity Premium. Versies vergelijken

    U kunt acties in de tool voor beveiligingsonderzoek automatiseren en meldingen instellen door activiteitsregels te maken. Zo kunt u beveiligingsproblemen efficiënter voorkomen, opsporen en oplossen. Als u een regel wilt maken, stelt u voorwaarden in voor de regel en voert u in welke acties er moeten worden uitgevoerd als aan de voorwaarden wordt voldaan. Ga naar Activiteitsregels maken en beheren voor meer informatie.

Acties uitvoeren op basis van zoekresultaten

Deze functie wordt ondersteund in de volgende versies: Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus en Cloud Identity Premium. Versies vergelijken

Nadat u een zoekopdracht heeft uitgevoerd in de tool voor beveiligingsonderzoek, kunt u acties uitvoeren op de zoekresultaten. U kunt bijvoorbeeld een zoekopdracht uitvoeren op Gmail-logboekgebeurtenissen en daarna de tool gebruiken om specifieke berichten te verwijderen, berichten in de quarantaine te plaatsen of berichten naar de inbox van gebruikers te sturen. Ga naar Acties uitvoeren op basis van zoekresultaten voor meer informatie.

Uw onderzoeken beheren

Deze functie wordt ondersteund in de volgende versies: Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus en Cloud Identity Premium. Versies vergelijken

De lijst met onderzoeken bekijken

Klik op Onderzoeken bekijken om een lijst te bekijken van de onderzoeken waarvan u de eigenaar bent en die met u zijn gedeeld. In de lijst met onderzoeken staan de naam, beschrijving en eigenaar van de onderzoeken, en de datum waarop de onderzoeken voor het laatst zijn gewijzigd.

In deze lijst kunt u acties uitvoeren op elk onderzoek waarvan u de eigenaar bent, bijvoorbeeld een onderzoek verwijderen. Vink het vakje aan voor een onderzoek en klik op Acties.

Opmerking: U kunt uw opgeslagen onderzoeken bekijken onder Snelle toegang, direct boven de lijst met onderzoeken.

Instellingen configureren voor onderzoeken

Klik als hoofdbeheerder op Instellingen om het volgende te doen:

  • De tijdzone voor uw onderzoeken wijzigen. De tijdzone wordt toegepast op zoekvoorwaarden en resultaten.
  • Beoordeling vereisen aan- of uitzetten. Ga naar Vereisen dat bulkacties worden beoordeeld door een reviewer voor meer informatie.
  • Content bekijken aan- of uitzetten. Met deze instelling kunnen beheerders met de juiste rechten content bekijken.
  • De instelling Reden voor actie aanzetten aan- of uitzetten.

Ga naar Instellingen instellen voor onderzoeken voor meer informatie.

Onderzoeken opslaan, delen, verwijderen en dupliceren

Als u zoekcriteria wilt opslaan of deze met anderen wilt delen, kunt u een onderzoek maken en opslaan, en het daarna delen, dupliceren of verwijderen.

Ga naar Onderzoeken opslaan, delen, verwijderen en dupliceren voor meer informatie.


Google, Google Workspace en gerelateerde merken en logo's zijn handelsmerken van Google LLC. Alle andere bedrijfs- en productnamen zijn handelsmerken van de bedrijven waarmee ze in verband worden gebracht.