События журнала Сейфа

Как посмотреть действия пользователей в Сейфе

В некоторых версиях Google Workspace вы можете получить доступ к инструменту "Анализ безопасности" с расширенными функциями. Например, суперадминистраторы могут идентифицировать, сортировать и устранять проблемы, связанные с конфиденциальностью и безопасностью. Подробнее…

Чтобы использовать эту возможность, вам понадобится дополнительная лицензия на Сейф. Подробнее о том, как приобрести лицензии на Сейф для организации…

Как администратор организации, вы можете искать события в журнале Сейфа и устранять связанные с ними проблемы. Например, вы можете просматривать записи о действиях, выполненных в консоли Сейфа, например о том, какие пользователи изменили правила хранения или скачали экспортированные файлы.

Возможность поиска в инструменте "Анализ безопасности" зависит от версии сервиса Google, назначенных прав администратора и источника данных. Вы можете искать действия всех пользователей, независимо от того, какая у них версия Google Workspace.

Инструмент "Аудит и анализ"

Чтобы искать события в журнале, сначала выберите источник данных. Затем добавьте один или несколько фильтров.

  1. В консоли администратора Google нажмите на значок меню > Отчеты > Аудит и анализ > События журнала Сейфа.

    Требуется право администратора Аудит и анализ.

  2. Чтобы отфильтровать события, произошедшие до или после определенной даты, для параметра Дата выберите значение До или После. По умолчанию отображаются события за последние семь дней. Можно выбрать другую дату или нажать , чтобы удалить фильтр дат.

  3. Нажмите Добавить фильтр > выберите атрибут. Например, чтобы отфильтровать события по определенному типу, выберите Событие.
  4. Выберите оператор > выберите значение > нажмите Применить.
    • Если нужно создать несколько фильтров результатов поиска, повторите этот шаг.
    • Если нужно добавить оператор поиска, над элементом Добавить фильтр выберите И или ИЛИ.
  5. Нажмите Поиск. Примечание. С помощью вкладки Фильтр можно включить простые пары параметров и значений, чтобы отфильтровать результаты поиска. Кроме того, вы можете использовать вкладку Конструктор условий, на которой фильтры представлены в виде условий с операторами И/ИЛИ.

Инструмент "Анализ безопасности"

Эта функция доступна в версиях Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus и Cloud Identity Premium. Сравнение версий

Чтобы выполнить поиск в инструменте "Анализ безопасности", сначала выберите источник данных. Затем добавьте одно или несколько условий поиска. Для каждого условия выберите атрибут, оператор и значение.

  1. В консоли администратора Google нажмите на значок меню > Безопасность > Центр безопасности > Инструмент "Анализ безопасности".

    У вас должны быть права администратора с доступом к центру безопасности.

  2. Нажмите Источник данных и выберите События журнала Сейфа.

  3. Чтобы отфильтровать события, произошедшие до или после определенной даты, для параметра Дата выберите значение До или После. По умолчанию отображаются события за последние семь дней. Можно выбрать другую дату или нажать , чтобы удалить фильтр дат.

  4. Нажмите Добавить условие.
    Совет. Вы можете указать одно или несколько условий или использовать вложенные запросы. Подробнее о том, как использовать вложенные запросы при поиске…
  5. Нажмите Атрибут > выберите нужный вариант. Например, чтобы отфильтровать события по определенному типу, выберите Событие.
    Полный список атрибутов приведен в разделе Описания атрибутов ниже.
  6. Выберите оператор.
  7. Введите значение или выберите его в списке.
  8. Если вы хотите добавить другие условия поиска, повторите описанные выше действия.
  9. Нажмите Поиск.
    Результаты поиска в инструменте "Анализ безопасности" показываются в таблице в нижней части страницы.
  10. Если вам нужно сохранить анализ, нажмите "Сохранить" > введите название и описание > нажмите Сохранить.

Примечания

  • На вкладке Конструктор условий фильтры представлены в виде условий с операторами И/ИЛИ. На вкладке Фильтр можно выбрать простые пары параметров и значений, чтобы отфильтровать результаты поиска.
  • Если пользователь был переименован, поиск не даст результатов для его прежнего имени. Например, если OldName@example.com заменили на NewName@example.com, в результатах поиска не будет событий, связанных с пользователем OldName@example.com.
  • Поиск выполняется только по письмам, которые ещё не были удалены из корзины.

Как выполнить поиск в консоли Сейфа

Как найти события из журнала Сейфа

  1. Войдите в аккаунт на сайте vault.google.com.
  2. Нажмите Отчеты.
  3. При необходимости выберите диапазон дат.
  4. Если вы хотите проверить действия определенных пользователей Сейфа, введите их адреса электронной почты. Чтобы проверить действия всех пользователей Сейфа, оставьте это поле пустым.
  5. Выберите типы действий, которые вы хотите проверить:
    • Для аудита всех действий нажмите Выбрать все.
    • Чтобы проверить определенные действия, установите флажок рядом с каждым из них.
  6. Нажмите Скачать CSV-файл.

    Результаты аудита будут загружены на компьютер. Если вы выполнили поиск для нескольких пользователей, в результатах может быть несколько журналов.

  7. Откройте CSV-файл в редакторе таблиц, например в Google Таблицах. Определения значений в CSV-файле приведены в разделе Описания атрибутов.

Как отслеживать действия в деле

  1. Войдите в аккаунт на сайте vault.google.com.
  2. Нажмите Дела.
  3. Выберите нужное дело в списке.
  4. Нажмите Аудит.
    Примечание. Чтобы посмотреть журналы аудита дела в консоли администратора Google, нажмите Попробовать. Идентификатор выбранного дела автоматически загружается на страницу "Аудит и анализ". Вы также можете скопировать этот идентификатор в URL:
  5. При необходимости выберите диапазон дат.
  6. Если вы хотите проверить действия определенных пользователей Сейфа, введите их адреса электронной почты. Чтобы проверить действия всех пользователей Сейфа, оставьте это поле пустым.
  7. Выберите типы действий, которые вы хотите проверить:
    • Для аудита всех действий нажмите Выбрать все.
    • Чтобы проверить определенные действия, установите флажок рядом с каждым из них.

      Примечание. При выполнении аудита по выбранному делу вы не получите отчет о действиях, связанных с правилами хранения, поскольку управление этими правилами не относится к уровню отдельных дел.

  8. Нажмите Скачать CSV-файл.

    Результаты аудита будут загружены на компьютер. Если вы выполнили аудит для нескольких пользователей, в файле может быть несколько журналов.

  9. Откройте CSV-файл в редакторе таблиц, например в Google Таблицах. Определения значений в CSV-файле приведены в разделе Описания атрибутов.

Описания атрибутов

При поиске данных о событиях в этом источнике вы можете использовать указанные ниже атрибуты.

Атрибут Описание
Исполнитель Адрес электронной почты пользователя, совершившего действие.
Название приложения исполнителя

Добавьте этот столбец в результаты поиска. Подробнее о том, как управлять столбцами данных в результатах поиска…

Сведения о приложении, которое выполнило действие. В результатах поиска нажмите на название приложения исполнителя, чтобы посмотреть:

  • Название приложения исполнителя – название приложения, использованного для выполнения действия (указывается для сторонних приложений, а также для некоторых собственных приложений, таких как Gmail).
  • Идентификатор клиента OAuth исполнителя – идентификатор стороннего приложения, выполнившего действие.
  • Выдача себя за другое лицо – выполняло ли приложение действия от имени пользователя.

При экспорте в CSV-файл или Google Таблицы подробная информация из этого столбца сохраняется в ячейке в виде блока текста.

Информация об агенте Чтобы выполнить поиск по информации об агенте ИИ, выберите Информация об агенте, а затем вложенный столбец: Идентификатор агента, Название агента или Продукт агента. Результаты поиска будут показаны в столбце Идентификатор агента.

Нажмите на запись в результатах поиска, чтобы открыть панель Сведения в журнале, на которой можно посмотреть:

  • Идентификатор агента — уникальный идентификатор агента.
  • Название агента — отображаемое название агента.
  • Продукт агента — сервис, который использовал агент (поддерживается только в процессе Google Workspace Studio).

Примечание. Поддержка других агентов будет добавлена позже.
Дополнительные сведения Содержит дополнительные сведения, например срок хранения и условия.
Выполняется агентом Действие было выполнено с помощью ИИ-агента (Истина или Ложь).
Дата Дата и время события (указываются в часовом поясе, используемом по умолчанию в браузере).
Событие Действие в зарегистрированном событии, например Просмотр анализа, Просмотр документа внешнего пользователя или Начало события "Добавление соавтора".

IP ASN

Добавьте этот столбец в результаты поиска. Подробнее о том, как управлять столбцами данных в результатах поиска…

Номер автономной системы (ASN) IP, подразделение и регион, связанные с записью журнала.

Чтобы посмотреть ASN IP, а также подразделение и код региона, где было выполнено действие, нажмите на название в результатах поиска.
Идентификатор дела

Идентификатор дела. Доступен только для тех событий, которые относятся к делу.
Название организационного подразделения Название организационного подразделения, к которому было применено действие.
Запрос

Параметры поиска, заданные для определенного поискового запроса.
Ресурсы

Список ресурсов, связанных с действием. Чтобы посмотреть подробную информацию о ресурсе, нажмите на следующие элементы:

  • Идентификатор ресурса
  • Название ресурса
  • Тип ресурса – категория ресурса (например, объект на Google Диске, электронное письмо или правило).
  • Отношение к ресурсу – связь ресурса с событием.
  • Информация о владельце – сведения о владельце ресурса, в том числе тип и идентификатор владельца.

  • Ярлык ресурса – список ярлыков классификации для ресурса, включая Идентификатор ярлыка ресурса, Название ярлыка ресурса и Поле ярлыка ресурса.

    Поле ярлыка ресурса содержит:

    • Идентификатор поля "Ярлык"
    • Название поля ярлыка
    • Тип поля ярлыка – тип данных поля ярлыка, например:
      • Текст
      • Число
      • Выбор – включает: "Идентификатор", "Отображаемое название", "Есть значок"
      • Список выбора
      • Пользователь – включает адрес электронной почты
      • Список пользователей
      • Дата

При экспорте в CSV-файл или Google Таблицы подробная информация из этого столбца сохраняется в ячейке в виде блока текста.

Название ресурса Название ресурса, связанного с действием, например название запрета на удаление или сохраненного запроса.
URL ресурса URL документа, который просмотрел пользователь.
Целевой пользователь

Адрес электронной почты пользователя, к которому было применено действие, например пользователь, к аккаунту которого был применен запрет на удаление.

Примечание. Если пользователь был переименован, поиск по его прежнему имени не даст результатов. Например, если OldName@example.com заменить на NewName@example.com, в результатах поиска не будет событий, связанных с пользователем OldName@example.com.

Как настроить показ данных о событиях

Как управлять столбцами данных в результатах поиска

Вы можете выбрать, какие столбцы данных будут отображаться в результатах поиска.

  1. В правой верхней части таблицы с результатами поиска нажмите на значок "Управление столбцами" .
  2. Если нужно удалить отображаемые столбцы, нажмите "Удалить" .
  3. Если нужно добавить столбцы, рядом с надписью Добавить столбец нажмите на стрелку вниз и выберите вариант в списке.
    При необходимости повторите действия.
  4. Чтобы изменить порядок столбцов, перетащите их названия.
  5. Нажмите Сохранить.

Как экспортировать результаты поиска

Результаты поиска можно экспортировать в таблицу Google или CSV-файл.

  1. В верхней части таблицы результатов поиска нажмите Экспортировать все.
  2. Введите название > нажмите Экспорт.
    Экспортированные данные будут показаны под таблицей с результатами поиска в разделе Результаты выполнения действия "Экспорт".
  3. Чтобы посмотреть экспортированные данные, нажмите на название файла.
    Эти данные откроются в Таблицах.

На экспорт накладываются различные ограничения:

  • Ограничение на объем экспорта результатов: 100 000 строк.
  • Эта функция доступна в версиях Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus и Cloud Identity Premium. Сравнение версий

    Если у вас есть инструмент "Анализ безопасности", всего можно экспортировать не более 30 млн строк.

Подробнее о том, как экспортировать результаты поиска…

Когда данные становятся доступны и как долго они хранятся

Подробная информация приведена в статье Задержки при обновлении отчетов и сроки хранения данных.

Как управлять процессом анализа

Эта функция доступна в версиях Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus и Cloud Identity Premium. Сравнение версий

Как посмотреть список операций анализа

Чтобы посмотреть список операций анализа, которые вам принадлежат или к которым вам предоставили доступ, нажмите на значок "Посмотреть список операций анализа" . В списке указаны названия, описания и владельцы анализов, а также дата их последнего изменения.

На странице со списком можно выполнять действия с любыми вашими операциями анализа, например удалять их. Для этого установите флажок рядом с нужной операцией и нажмите Действия.

Примечание. Вы можете просматривать сохраненные конфигурации анализа в разделе Быстрый доступ над списком операций.

Как задавать настройки анализа

Войдите в систему как суперадминистратор и нажмите на значок "Настройки" . В этом меню можно выполнить следующие действия:

  • Изменить часовой пояс для анализов. Он применяется ко всем условиям и результатам поиска.
  • Включить или отключить параметр Запросить проверку. Подробные сведения о нем можно найти в статье Как включить обязательную проверку массовых действий.
  • Включить или отключить параметр Просмотр контента. С его помощью вы можете предоставить администраторам право просматривать содержимое.
  • Включить или отключить параметр Включить обоснование действия.

Подробнее о том, как задавать настройки анализа…

Как сохранять, копировать и удалять результаты анализа, а также предоставлять к ним доступ

Чтобы сохранить параметры поиска или поделиться ими с другими пользователями, вы можете создать и сохранить анализ, а затем предоставить к нему доступ, копировать или удалить его.

Подробнее о том, как сохранять результаты анализа и предоставлять к ним доступ…