Användarlogghändelser

Granska användarinloggningsaktivitet

Beroende på vilken Google Workspace-utgåva du har kan du ha tillgång till säkerhetsutredningsverktyget, som har mer avancerade funktioner. Till exempel kan avancerade administratörer identifiera, prioritera och vidta åtgärder mot säkerhets- och integritetsproblem. Läs mer

Som administratör för din organisation kan du köra sökningar och vidta åtgärder mot användarlogghändelser. Du kan till exempel kontrollera kritiska åtgärder som utförs av användare på deras egna konton. Dessa åtgärder inkluderar ändringar av lösenord, kontoåterställningsuppgifter (telefonnummer, e-postadresser) och registrering för tvåstegsverifiering. En inloggning från en e-postklient eller ett program som inte är en webbläsare loggas inte i den här rapporten såvida det inte är en programmatisk inloggning från en session som ansågs misstänkt.

Logghändelsedata samlas in per session. Det innebär att flera försök att utföra samma åtgärd inom en kort tid kan kombineras och visas som en enda loggpost. Om en användare till exempel anger ett felaktigt lösenord 5 gånger och sedan anger rätt lösenord, kan loggarna bara visa två poster: en för alla misslyckade försök och en för det lyckade försöket.

Obs ! Om det inte finns några data för användarlogghändelser under de föregående 6 månaderna kanske användarlogghändelser inte visas i den vänstra navigeringsmenyn.

Vidarebefordra logghändelsedata till Google Cloud

Du kan välja att dela logghändelsedata med Google Cloud. Om du aktiverar delning vidarebefordras data till Cloud Logging där du kan söka efter och visa dina loggar och styra hur du dirigerar och lagrar dina loggar.

Vilken typ av logghändelsedata du kan dela med Google Cloud beror på ditt Google Workspace-, Cloud Identity- eller Essentials-konto.

Din möjlighet att köra en sökning beror på din Google-utgåva, dina administratörsbehörigheter och datakällan. Du kan köra en sökning på alla användare, oavsett deras Google Workspace-utgåva.

Revisions- och utredningsverktyg

För att söka efter logghändelser, välj först en datakälla. Välj sedan ett eller flera filter för din sökning.

  1. I Googles administratörskonsol, gå till Meny och sedan Rapportering och sedan Revision och utredning och sedan Händelser i användarloggen .

    Kräver administratörsbehörighet som granskning och utredning .

  2. För att filtrera händelser som inträffade före eller efter ett specifikt datum, välj Före eller Efter för Datum . Som standard visas händelser från de senaste 7 dagarna. Du kan välja ett annat datumintervall eller klicka på för att ta bort datumfiltret.

  3. Klicka på Lägg till ett filter och sedan välj ett attribut. Om du till exempel vill filtrera efter en specifik händelsetyp väljer du Händelse .
  4. Välj en operator och sedan välj ett värde och sedan klicka på Verkställ .
    • (Valfritt) Upprepa det här steget om du vill skapa flera filter för din sökning.
    • (Valfritt) För att lägga till en sökoperator, välj OCH eller ELLER ovanför Lägg till ett filter .
  5. Klicka på Sök . Obs ! Med hjälp av fliken Filter kan du inkludera enkla parameter- och värdepar för att filtrera sökresultaten. Du kan också använda fliken Villkorsbyggare , där filtren representeras som villkor med OCH/ELLER-operatorer.

Verktyg för säkerhetsutredning

Utgåvor som stöds för den här funktionen: Frontline Standard och Frontline Plus; Enterprise Standard och Enterprise Plus; Education Standard och Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Jämför din utgåva

För att köra en sökning i säkerhetsutredningsverktyget, välj först en datakälla. Välj sedan ett eller flera villkor för din sökning. För varje villkor väljer du ett attribut , en operator och ett värde .

  1. I Googles administratörskonsol, gå till Meny och sedan Säkerhet och sedan Säkerhetscenter och sedan Utredningsverktyg .

    Kräver administratörsbehörighet i säkerhetscenter .

  2. Klicka på Datakälla och välj Användarlogghändelser .

  3. För att filtrera händelser som inträffade före eller efter ett specifikt datum, välj Före eller Efter för Datum . Som standard visas händelser från de senaste 7 dagarna. Du kan välja ett annat datumintervall eller klicka på för att ta bort datumfiltret.

  4. Klicka på Lägg till villkor .
    Tips : Du kan inkludera ett eller flera villkor i din sökning eller anpassa din sökning med kapslade frågor . För mer information, gå till Anpassa din sökning med kapslade frågor .
  5. Klickattribut och sedan Välj ett alternativ. Om du till exempel vill filtrera efter en specifik händelsetyp väljer du Händelse .
    För en komplett lista över attribut, gå till avsnittet Attributbeskrivningar .
  6. Välj en operator.
  7. Ange ett värde eller välj ett värde från listan.
  8. (Valfritt) Upprepa stegen om du vill lägga till fler sökvillkor.
  9. Klicka på Sök .
    Du kan granska sökresultaten från undersökningsverktyget i en tabell längst ner på sidan.
  10. (Valfritt) För att spara din undersökning, klicka på Spara och sedan ange en titel och beskrivning och sedan klicka på Spara .

Anteckningar

  • På fliken Villkorsbyggare representeras filter som villkor med OCH/ELLER-operatorer. Du kan också använda fliken Filter för att inkludera enkla parameter- och värdepar för att filtrera sökresultaten.
  • Om du ger en användare ett nytt namn kommer du inte att se frågeresultat med användarens gamla namn. Om du till exempel byter namn på GammaltNamn@example.com till NyttNamn@example.com kommer du inte att se resultat för händelser relaterade till GammaltNamn@example.com .
  • Du kan bara söka efter data i meddelanden som ännu inte har raderats från papperskorgen.

Attributbeskrivningar

För den här datakällan kan du använda följande attribut när du söker efter logghändelsedata.

Attribut Beskrivning
Skådespelarens gruppnamn

Aktörens gruppnamn. För mer information, gå till Filtrera resultat efter Google-grupp .

Så här lägger du till en grupp i din tillåtelselista för filtreringsgrupper:

  1. Välj aktörsgruppens namn .
  2. Klicka på Filtrera grupper .
    Sidan Filtrering av grupper visas.
  3. Klicka på Lägg till grupper .
  4. Sök efter en grupp genom att ange de första tecknen i dess namn eller e-postadress. När du ser önskad grupp markerar du den.
  5. (Valfritt) För att lägga till en annan grupp, sök efter och välj gruppen.
  6. När du är klar med att välja grupper klickar du på Lägg till .
  7. (Valfritt) För att ta bort en grupp, klicka på Ta bort grupp .
  8. Klicka på Spara .
Aktörens organisatoriska enhet Aktörens organisatoriska enhet
Berörd användare E-postadress till den berörda användaren
Utmaningstyp*

Den typ av utmaning som används för att verifiera användaren, till exempel lösenord eller säkerhetsnyckel

Obs ! Nyligen tillagda utmaningstyper, till exempel lösenordsnyckel, kan orsaka inkonsekvenser med befintlig utmaningstyp som kallas annan för granskningsloggar som skapats före den 30 september 2024.

Datum Datum och tid för händelsen (visas i din webbläsares standardtidszon)
Domän* Domänen där åtgärden inträffade
E-postadress för vidarebefordran E-postadress att vidarebefordra Gmail-meddelandena till

Händelse

Den loggade händelseåtgärden, såsom registrering med tvåstegsverifiering eller misstänkt inloggning

Obs ! För händelsen Logout , även om användaren loggade in med andra inloggningstyper än Google Password (t.ex. Exchange , Reauth , SAML eller Unknown ), visas inloggningstypen för Logout- händelser som Google Password .

Händelsestatus (beta)

Händelsens status. Till exempel Lyckades eller Misslyckades . Klicka på statusen för att få ytterligare information, till exempel en felkod.

IP-adress IP-adressen som användaren använde för att logga in. Vanligtvis är adressen användarens fysiska plats, men det kan vara en proxyserver eller en VPN-adress (Virtual Private Network).

IP-ASN

Du måste lägga till den här kolumnen i sökresultaten. För stegen, gå till Hantera kolumndata för sökresultat .

IP-nummer för autonomt system (ASN), underavdelning och region som är associerad med loggposten.

För att granska IP-ASN och underavdelnings- och regionkod där aktiviteten inträffade klickar du på namnet i sökresultaten.

Är en andra faktor* Sant om användaren loggade in med tvåfaktorsautentisering
Falskt om användaren inte loggade in med tvåfaktorsautentisering
Är misstänksam* Sant om inloggningsförsöket var misstänkt och lyckades, annars falskt . Gäller endast för händelserna login_success, händelserna tillåtna känsliga åtgärder och händelserna blockerade känsliga åtgärder.
Inloggningstid Om en misstänkt inloggningshändelse blockeras visar det här fältet datum och tid då användaren försökte logga in.
Inloggningstyp

Autentiseringsmetod som användaren använde:

  • Utbyte — När en användare autentiseras via tokenutbyte, till exempel via en OAuth-inloggning. Det kan också indikera att användaren redan var inloggad på en session när de loggade in på en annan, och att de två sessionerna slogs samman.
  • Google-lösenord — Använde ett Google-lösenord. Inkluderar inloggningar till mindre säkra appar (om det är tillåtet)
  • OIDC — Autentisering med enkel inloggning med OpenID Connect (OIDC).
  • Omautentisering — Användaren autentiserats med en begäran om lösenordsautentisering.
  • SAML — Autentisering med enkel inloggning Security Assertion Markup Language (SAML)**
  • Okänd — Användaren är inloggad med en okänd metod
Användare E-postadressen till användaren som utförde åtgärden
Användaragent (beta) Information om användarens enhet, till exempel webbläsare, operativsystem eller annan enhetsinformation, till exempel Mozilla/5.0 (Windows NT 6.3; Win64; x64). Detta attribut är specifikt för logghändelserna för Device Bound Session Credentials (DBSC).

* Du kan inte skapa rapporteringsregler med dessa filter. Läs mer om rapporteringsregler kontra aktivitetsregler .

** Anmärkning för SAML-användare som använder SSO-profilen för din organisation (äldre SAML): Om SAML-inloggningsförsöket kommer från en okänd enhet eller IP-adress, eller om det finns en högre riskbedömning, registreras en misslyckad inloggning av typen Google-lösenord i logghändelsen. Detta inträffar även om din SAML-inloggning lyckas, eftersom systemet flaggar det första försöket som misstänkt. Denna misslyckade inloggningspost följs sedan av en lyckad SAML-inloggningshändelse. I äldre SAML genereras två inloggningssessioner för en enda SAML-inloggning. Den första, ofta irrelevanta sessionen, filtreras endast bort om den anses vara icke-misstänkt.

Obs ! Om du har gett en användare ett nytt namn kommer du inte att se frågeresultat med användarens gamla namn. Om du till exempel byter namn på GammaltNamn@example.com till NyttNamn@example.com kommer du inte att se resultat för händelser relaterade till GammaltNamn@example.com .

Hantera logghändelsedata

Hantera data i sökresultatskolumnen

Du kan styra vilka datakolumner som visas i dina sökresultat.

  1. Klicka på Hantera kolumner längst upp till höger i sökresultatstabellen. .
  2. (Valfritt) Om du vill ta bort aktuella kolumner klickar du på Ta bort .
  3. (Valfritt) För att lägga till kolumner, klicka på nedåtpilen bredvid Lägg till ny kolumn och välj datakolumnen.
    Upprepa vid behov.
  4. (Valfritt) Om du vill ändra ordningen på kolumnerna drar du datakolumnnamnen.
  5. Klicka på Spara .

Exportera sökresultatdata

Du kan exportera sökresultat till Kalkylark eller till en CSV-fil.

  1. Klicka på Exportera alla högst upp i sökresultatstabellen.
  2. Ange ett namn och sedan klicka på Exportera .
    Exporten visas under sökresultatstabellen under Exportera åtgärdsresultat .
  3. För att visa informationen klickar du på exportens namn.
    Exporten öppnas i Kalkylark.

Exportgränserna varierar:

  • Det totala resultatet av exporten är begränsat till 100 000 rader.
  • Utgåvor som stöds för den här funktionen: Frontline Standard och Frontline Plus; Enterprise Standard och Enterprise Plus; Education Standard och Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Jämför din utgåva

    Om du har verktyget för säkerhetsundersökning är det totala resultatet av exporten begränsat till 30 miljoner rader.

För mer information, gå till Exportera sökresultat .

När och hur länge är data tillgängliga?

Vidta åtgärder baserat på sökresultat

Skapa aktivitetsregler och konfigurera aviseringar

  • Du kan konfigurera aviseringar baserade på logghändelsedata med hjälp av rapporteringsregler. För instruktioner, gå till Skapa och hantera rapporteringsregler .
  • Utgåvor som stöds för den här funktionen: Frontline Standard och Frontline Plus; Enterprise Standard och Enterprise Plus; Education Standard och Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Jämför din utgåva

    För att effektivt förebygga, upptäcka och åtgärda säkerhetsproblem kan du automatisera åtgärder i säkerhetsundersökningsverktyget och ställa in aviseringar genom att skapa aktivitetsregler . För att konfigurera en regel, ställ in villkor för regeln och ange sedan de åtgärder som ska utföras när villkoren är uppfyllda. För mer information, gå till Skapa och hantera aktivitetsregler .

Vidta åtgärder baserat på sökresultat

Utgåvor som stöds för den här funktionen: Frontline Standard och Frontline Plus; Enterprise Standard och Enterprise Plus; Education Standard och Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Jämför din utgåva

När du har kört en sökning i säkerhetsutredningsverktyget kan du agera utifrån dina sökresultat. Du kan till exempel köra en sökning baserat på Gmail-logghändelser och sedan använda verktyget för att ta bort specifika meddelanden, skicka meddelanden till karantän eller skicka meddelanden till användarnas inkorgar. För mer information, gå till Vidta åtgärder baserat på sökresultat .

Hantera dina utredningar

Utgåvor som stöds för den här funktionen: Frontline Standard och Frontline Plus; Enterprise Standard och Enterprise Plus; Education Standard och Education Plus; Enterprise Essentials Plus; Cloud Identity Premium. Jämför din utgåva

Visa din lista över utredningar

Om du vill se en lista över de utredningar som du äger och som delats med dig klickar du på Visa utredningar Utredningslistan innehåller namn, beskrivningar och ägare till utredningarna, samt datum för senaste ändring.

Från den här listan kan du vidta åtgärder för alla utredningar som du äger, till exempel att ta bort en utredning. Markera rutan för en utredning och klicka sedan på Åtgärder .

Obs ! Du kan se dina sparade undersökningar under Snabbåtkomst , direkt ovanför din lista över undersökningar.

Konfigurera inställningar för dina undersökningar

Som superadministratör klickar du på Inställningar till:

  • Ändra tidszonen för dina undersökningar. Tidszonen gäller för sökvillkor och resultat.
  • Aktivera eller inaktivera Kräv granskare . För mer information, gå till Kräv granskare för massåtgärder .
  • Aktivera eller inaktivera Visa innehåll . Den här inställningen tillåter administratörer med lämpliga behörigheter att visa innehåll.
  • Slå på eller av Aktivera åtgärdsjustering .

För mer information, gå till Konfigurera inställningar för dina undersökningar .

Spara, dela, radera och duplicera undersökningar

För att spara dina sökkriterier eller dela dem med andra kan du skapa och spara en undersökning och sedan dela, duplicera eller ta bort den.

För mer information, gå till Spara, dela, ta bort och duplicera undersökningar .


Google, Google Workspace och relaterade varumärken och logotyper är varumärken som tillhör Google LLC. Alla andra företags- och produktnamn är varumärken som tillhör de företag som de är associerade med.