Als beheerder kunt u activiteitsregels instellen in de Google Beheerdersconsole om meldingen te sturen of acties uit te voeren in reactie op activiteit binnen uw domein. Gebruik activiteitsregels om beveiligingsproblemen sneller en efficiënter te voorkomen, te herkennen en te verhelpen.
Als u een regel wilt instellen, stelt u voorwaarden in voor de regel en geeft u op welke meldingen of acties er moeten worden uitgevoerd als aan de voorwaarden wordt voldaan. Een regel is een manier om te zeggen: als x gebeurt, moet y automatisch worden gedaan.
Google voert de zoekopdracht uit die is opgegeven in de activiteitsregel. Als het aantal resultaten dat door die zoekopdracht wordt geretourneerd hoger is dan de drempelwaarde die u heeft ingesteld, activeert Google de meldingen en acties die u opgeeft. U kunt bijvoorbeeld een regel instellen om e-mailmeldingen naar bepaalde beheerders te sturen als Google Drive-documenten buiten het bedrijf worden gedeeld.
Voordat u begint
Of u activiteitsregels kunt maken en bekijken, hangt af van uw Google Workspace-versie, uw beheerdersrechten en de gegevensbron. Ga naar Beheerderstoegang tot rapportregels en activiteitsregels voor meer informatie.
Functies voor alle versies
- Activiteitsregels weergeven via de pagina Regels of de controle- en onderzoekstool
- AND- of OR-filters met maximaal 7 voorwaarden (waaronder geneste voorwaarden tot 3 niveaus diep)
Geavanceerde functies
Deze functie wordt ondersteund in de volgende versies: Frontline Plus, Enterprise Standard, Enterprise Plus, Education Plus, Enterprise Essentials Plus, Cloud Identity Premium en Chrome Enterprise Premium. Versies vergelijken- Activiteitsregels openen via de tool voor beveiligingsonderzoek
- Acties instellen voor triggers
- Drempelwaarden instellen voor triggers
- Meer dan 7 voorwaarden instellen in een regel Opmerking: Cloud Identity Premium en Chrome Enterprise Premium ondersteunen een onbeperkt aantal voorwaarden.
- Krijg een melding elke keer dat een gebeurtenis plaatsvindt
Belangrijke richtlijnen voor het maken van activiteitsregels
- U kunt alleen activiteitsregels maken op basis van gegevensbronnen van logboekgebeurtenissen, bijvoorbeeld Gmail-logboekgebeurtenissen of gebeurtenissen in het apparaatlogboek. U kunt geen activiteitsregels maken op basis van live gegevensbronnen, zoals Chrome-browsers, apparaten, Gmail-berichten en gebruikers.
- Welke gegevensbronnen beschikbaar zijn, hangt af van uw Google Workspace-versie. Ga naar Een zoekopdracht uitvoeren in de tool voor beveiligingsonderzoek voor meer informatie.
- U moet minstens één gebeurteniskenmerk aan de zoekopdracht toevoegen.
- U kunt alleen een OR-operator op het hoogste niveau toevoegen als u een gebeurtenisvoorwaarde opneemt langs elk voorwaardenpad.
- U kunt maar één waarde voor het kenmerk toevoegen. Het veld Handelende gebruiker kan bijvoorbeeld maar één gebruiker bevatten. Als u meerdere waarden wilt toevoegen, gebruikt u de voorwaardenbuilder om een OR-operator toe te voegen en voegt u hetzelfde kenmerk toe met een extra waarde.
- U kunt geen datumfilters gebruiken voor activiteitsregels (omdat de regels voortdurend worden gecontroleerd).
- U moet minstens één actie of melding aan de regel toevoegen.
- Omdat activiteitsregels zijn gebaseerd op logboekgebeurtenissen, worden ze getriggerd nadat de gebeurtenis heeft plaatsgevonden. Daarom zijn activiteitsregels niet geschikt om bijvoorbeeld te voorkomen dat mensen documenten delen of e-mails sturen.
E-mailmeldingen
Als u e-mailmeldingen instelt voor uw regel, stuurt de activiteitsregel één e-mailmelding per drempelperiode als de regel voor het eerst wordt getriggerd. De regel stuurt geen meldingen voor de andere keren dat deze wordt getriggerd. De e-mailmelding bevat een samenvatting van de regel die de melding heeft getriggerd, waaronder de regelnaam, de drempelgegevens en de brongegevens. Beheerders die de e-mailmelding krijgen, kunnen op Melding bekijken klikken om naar de pagina Meldingsgegevens in het Meldingencentrum te gaan.
Drempelwaarden en meldingen voor regels
Als je het aantal meldingen wilt beperken, kun je regels met drempelwaarden maken die alleen meldingen activeren als de gebeurtenis vaker dan een bepaald aantal keer in een bepaalde periode plaatsvindt. De eerste keer dat een gebeurtenis een regel activeert, wordt er bijvoorbeeld een nieuwe melding toegevoegd aan het Meldingencentrum en wordt er een e-mail gestuurd (als dit is ingesteld voor de regel). Als de regel een drempelwaarde van één uur heeft, worden extra gebeurtenissen binnen die tijd toegevoegd aan dezelfde melding. Er worden pas extra e-mailmeldingen gestuurd als de periode voor de drempelwaarde is verstreken.
Als u een drempelwaarde voor een regel instelt, wordt deze cumulatief toegepast op gebruikersacties, niet per gebruiker. Als u bijvoorbeeld een regel maakt om gebruikers op te schorten na 5 mislukte inlogpogingen binnen één uur, wordt de drempelwaarde bereikt als er 5 mislukte inlogpogingen zijn voor één of meer gebruikers binnen één uur. In dat geval worden alle gebruikers met minstens 1 mislukte inlogpoging opgeschort.
Opmerkingen:
- E-mails en meldingen die worden getriggerd door een regel met een drempelwaarde, bevatten geen gebeurtenisbeschrijving.
- U kunt activiteitsregels alleen instellen om e-mails te sturen naar interne domeingebruikers. Beheerders kunnen nog steeds externe e-mailmeldingen instellen via Google Groepen.
- U kunt te veel meldingen voorkomen door ze binnen een periode van 1 uur te spreiden.
Een activiteitsregel maken
- Maak een regel (alle Google Workspace-versies) met een van de volgende methoden:
- Ga op de homepage van de Beheerdersconsole naar Regels en klik op Activiteitsregel maken.
- Of ga naar Rapportage
Controle en onderzoek
selecteer een gegevensbron Activiteitsregel maken. - Als u de tool voor beveiligingsonderzoek heeft, gaat u naar Beveiliging
Beveiligingscentrum Onderzoekstool en
klikt u op Activiteits regel maken.
- Voer de regelgegevens in en klik op Doorgaan:
- Naam regel, bijvoorbeeld: Gegevens extern delen.
- Beschrijving, bijvoorbeeld: Waarschuwen als documenten buiten het bedrijf worden gedeeld.
Definieer op de pagina Voorwaarden wanneer de regel wordt getriggerd:
Kies een Gegevensbron voor de regel, bijvoorbeeld Gebeurtenissen in het beheerderslogboek.
Opmerking: Welke gegevensbronnen er zijn, hangt af van uw Google Workspace-versie en uw beheerdersrechten. U kunt geen acties toevoegen voor Drive-logboekgebeurtenissen. Ga naar Beheerderstoegang tot activiteitsregels en Gegevensbronnen voor de tool voor beveiligingsonderzoek voor meer informatie.
Klik op het tabblad Filter om de zoekresultaten te filteren met parameters zoals Bevat, Bevat niet, Is of Is niet.
Klik op het tabblad Voorwaardenbuilder om de zoekresultaten te filteren met de operatoren AND of OR. Kies voor elke voorwaarde een kenmerk, een operator en een waarde.
Als u bijvoorbeeld een voorwaarde wilt instellen die aangeeft dat de gebeurtenis een eigendomsoverdracht van een document is, kiest u Gebeurtenis als kenmerk, kiest u Is als operator en kiest u Documentinstellingen > Eigendom van document overgezet als de waarde.
Opmerking: Gebeurtenis is een vereiste voorwaarde. Ga naar Gegevensbronnen voor de tool voor beveiligingsonderzoek voor meer informatie over welke voorwaarden er beschikbaar zijn voor elke gegevensbron.
Klik op Voorwaarde toevoegen om aanvullende voorwaarden toe te voegen of klik op Doorgaan.
(Geavanceerde functie) Selecteer een optie:
- Elke keer dat de gebeurtenis plaatsvindt: Stuurt meldingen of voer acties uit elke keer dat de gebeurtenis plaatsvindt.
- Als de frequentie van de gebeurtenissen een bepaalde drempelwaarde bereikt: Selecteer de opties om meldingen of acties te activeren als de gebeurtenis vaker dan een bepaald aantal keer in een bepaalde periode plaatsvindt. Bijvoorbeeld als de gebeurtenis in 1 uur meer dan 10 keer plaatsvindt.
(Geavanceerde functie) Klik op Actie toevoegen om een actie uit te voeren als de gebeurtenis plaatsvindt of de drempelwaarde wordt overschreden.
- Schort bijvoorbeeld gebruikers op of dwing een wachtwoordwijziging af als de gebeurtenis plaatsvindt.
- Klik op Actie toevoegen om aanvullende acties te maken.
Selecteer de volgende opties voor Melding:
- Meldingscentrum: (Aanbevolen) Stuurt een melding naar het Meldingscentrum. Meldingen bevatten uitgebreide informatie, zodat u actie kunt ondernemen tegen problemen en samen kunt werken aan oplossingen met andere beheerders in uw organisatie.
- E-mail: Stuurt e-mailmeldingen naar:
- Alle hoofdbeheerders: Stuurt e-mails naar alle hoofdbeheerders.
- E-mailontvangers toevoegen: Stuurt e-mails naar bepaalde beheerders.
- Meldingsfrequentie: Het aantal meldingen (meldingen en e-mails) dat elk uur wordt gestuurd voor dezelfde gebeurtenis. U kunt meldingen spreiden binnen een periode van 1 uur of een melding krijgen elke keer dat de gebeurtenis plaatsvindt. Gebruik deze instelling om te voorkomen dat er te veel meldingen voor dezelfde gebeurtenis worden gestuurd. Kies een optie:
- Maximaal 5 per uur (standaard): Krijg elk uur elke 12 minuten een melding.
- Maximaal 2 per uur: Krijg elk uur elke 30 minuten een melding.
- Maximaal 10 per uur: Krijg elk uur elke 6 minuten een melding.
- Elke keer dat de gebeurtenis plaatsvindt (indien beschikbaar in uw versie).
- Ernst: Het ernstniveau dat voor de gebeurtenis wordt getoond.
Selecteer de regelstatus.
- Actief (standaard): Het systeem verzamelt logboeken en de regels worden afgedwongen.
- Controleren: Het systeem verzamelt logboeken, maar de regels worden niet afgedwongen. Gebruik deze optie om logboeken te controleren voordat u de regel afdwingt.
- Inactief: Er worden geen logboeken verzameld en de regel wordt niet afgedwongen.
Klik op Doorgaan. Neem de regelgegevens door. Klik op Terug om zo nodig wijzigingen aan te brengen.
Klik op Regel maken.
Uw activiteitsregels bekijken en bewerken
Nadat u een activiteitsregel heeft gemaakt, kunt u op de pagina Regels de gegevens en het bereik van de regel bekijken, evenals de voorwaarden voor de regel en de acties die worden getriggerd als drempels worden bereikt.
Op de pagina Regels staat ook een lijst met alle regels die zijn gemaakt door beheerders in uw domein. Ga naar de homepage van de Google Beheerdersconsole en klik op Regels.
Op de pagina Regels kunnen beheerders in uw domein regels bekijken die door andere beheerders zijn gemaakt, afhankelijk van de gegevensbron voor de regel en de rechten van elke beheerder. Als een beheerder bijvoorbeeld het recht heeft om Drive-logboekgebeurtenissen te bekijken, maar geen recht om Gmail-logboekgebeurtenissen te bekijken, kan de beheerder geen regels bekijken die zijn gebaseerd op Gmail-logboekgebeurtenissen.
Op de pagina Regels kunt u het volgende doen:
- De lijst met regels filteren door op Een filter toevoegen te klikken.
- Regelgegevens bekijken en bewerken door op een van de regels te klikken.
- Regels verwijderen.
- Nieuwe regels maken.
- Klik op Onderzoeken om de onderzoekstool te openen en gebeurtenisgegevens uit het logboek Regels te bekijken.