Как администратор, вы можете настраивать правила активности в консоли администратора Google, чтобы при определенных событиях в домене отправлялись уведомления или выполнялись нужные действия. Правила активности помогают быстрее и эффективнее предотвращать, обнаруживать и исправлять проблемы с безопасностью.
Для каждого правила нужно задать условия и указать, какие уведомления нужно отправлять или какие действия следует выполнять при соблюдении этих условий. Проще говоря, правило представляет собой инструкцию: если произошло событие А, нужно автоматически выполнить действие Б.
Системы Google выполняют операцию поиска, указанную в правиле активности. Если количество результатов поиска превысит настроенное пороговое значение, то будут выполнены заданные вами действия и отправлены уведомления. Например, можно настроить правило, чтобы отправлять уведомления по электронной почте конкретным администраторам, когда доступ к документам на Google Диске предоставляется кому-либо не из числа сотрудников компании.
Подготовка
Возможность создания и просмотра правил действий зависит от используемой версии Google Workspace, прав администратора и источника данных. Подробную информацию можно найти в статье Доступ с правами администратора к правилам создания отчетов и правилам активности.
Функции для всех версий
- Доступ к правилам активности на странице "Правила" или в инструменте "Аудит и анализ".
- Фильтры "И" или "ИЛИ", включающие до 7 условий (в том числе вложенных, до 3 уровней).
Расширенные функции
Эта функция доступна в версиях Frontline Plus, Enterprise Standard, Enterprise Plus, Education Plus, Enterprise Essentials Plus, Cloud Identity Premium и Chrome Enterprise Premium. Сравнение версий- Доступ к правилам активности в инструменте "Анализ безопасности".
- Настройка действий в триггерах.
- Настройка пороговых значений для триггеров.
- Более семи условий в правиле. Примечание. В Cloud Identity Premium и Chrome Enterprise Premium поддерживается неограниченное количество условий.
- Получение уведомлений о каждом событии.
Важное руководство по созданию правил активности
- Правила активности можно создавать только на основе данных о событиях из журналов, например данных о событиях журнала Gmail или данных о событиях журнала устройства. Создавать правила активности на основе источников данных с меняющимся состоянием, например браузеров Chrome, устройств, сообщений из Gmail и пользователей, нельзя.
- Доступные источники данных зависят от версии Google Workspace. Подробнее о том, как выполнить поиск в инструменте "Анализ безопасности"…
- В каждый запрос необходимо добавить хотя бы один атрибут события.
- Вы можете применить оператор ИЛИ на верхнем уровне, только если в каждой последовательности условий указано "Событие".
- Для каждого атрибута можно добавить только одно значение. Например, атрибут "Исполнитель" может обозначать только одного пользователя. Указать несколько значений можно с помощью конструктора условий: добавьте оператор ИЛИ, а затем тот же атрибут с дополнительным значением.
- К правилам действий нельзя применять фильтры по дате (из-за постоянной проверки выполнения их условий).
- Правило должно предусматривать по крайней мере одно действие или оповещение.
- Поскольку правила действий основаны на событиях журнала, они срабатывают после того, как события произошли. По этой причине правила активности не подходят для таких действий, как блокировка, предоставление общего доступа к документу или отправка электронных сообщений.
Уведомления по электронной почте
Если настроить для правила активности уведомления по электронной почте, в течение периода срабатывания такое уведомление будет отправляться только при первом срабатывании правила. В течение периода срабатывания письмо будет отправляться только при первом срабатывании правила. В таком уведомлении содержится сводная информация о правиле, которое отправило оповещение, с указанием названия, сведений о пороговом значении, данных источника и прочего. Администраторы, получившие уведомление по электронной почте, могут нажать в письме Посмотреть оповещение, чтобы перейти на страницу Сведения об оповещении в Центре оповещений.
Пороговые значения для правил и уведомления
Чтобы уменьшить количество уведомлений, вы можете создавать правила с пороговыми значениями, при которых уведомления отправляются только в том случае, если событие происходит больше определенного количества раз за заданный период времени. Например, в первый раз, когда событие активирует правило, в Центр оповещений добавляется новое уведомление и отправляется электронное письмо (если настроено для правила). Если для правила задано пороговое значение длительностью 1 час, последующие события в течение этого периода будут добавлены в то же уведомление. Пока заданное время не пройдет, дополнительные уведомления по электронной почте отправляться не будут.
Когда вы задаете пороговое значение для правила, это значение рассчитывается на основе действий всех пользователей, а не каждого по отдельности. Например, если вы создали правило, согласно которому аккаунты блокируются после пяти неудачных попыток входа в течение часа, пороговое значение достигается, когда один или несколько пользователей совершают в сумме пять неудачных попыток входа в течение часа. После этого будут заблокированы все пользователи, которые совершили по меньшей мере одну неудачную попытку.
Примечания
- Электронные письма и оповещения, активированные правилом с пороговым значением, не содержат описание события.
- Правила активности можно настроить только для отправки электронных писем пользователям в домене. Однако администраторы могут настроить оповещения по электронной почте для внешних адресов с помощью Google Групп.
- Чтобы не получать слишком много уведомлений, можно настроить их так, чтобы они приходили не чаще одного раза в час.
Как создать правило активности
- Создайте правило (в любой версии Google Workspace) одним из следующих способов:
- На главной странице консоли администратора выберите Правила и нажмите Создать правило активности.
- Или выберите Отчеты
Аудит и анализ
выберите источник данных Создать правило активности. - Если у вас есть инструмент "Анализ безопасности", выберите Безопасность
Центр безопасности Инструмент "Анализ безопасности" и нажмите Создать правило активности.
- Введите сведения о правиле и нажмите Продолжить:
- Название правила – например, Распространение данных вне организации.
- Описание – например, Уведомлять, когда доступ к документам предоставляется пользователям, не являющимся сотрудниками компании.
На странице Условия настройте условия срабатывания правила:
Выберите Источник данных для правила. Например: Журнал аудита администратора.
Примечание. Доступные источники данных зависят от версии Google Workspace и прав администратора. Добавлять действия для событий журнала Диска нельзя. Подробнее о доступе с правами администратора к правилам активности и об источниках данных для инструмента "Анализ безопасности"…
Перейдите на вкладку Фильтр, чтобы отфильтровать результаты поиска с помощью параметров, например Содержит, Не содержит, Является или Не является.
Перейдите на вкладку Конструктор условий, чтобы отфильтровать результаты поиска с помощью операторов И/ИЛИ. Для каждого условия выберите атрибут, оператор и значение.
Например, чтобы задать условие, которое будет указывать, что событие – это передача права собственности на документ, выберите в качестве атрибута Событие, в качестве оператора Является и в качестве значения Настройки документа > Передача права собственности на документ.
Примечание. Событие – это обязательное условие. Условия, которые можно применять к отдельным источникам данных, подробно описаны на странице Источники данных для инструмента "Анализ безопасности".
Нажмите Добавить условие, чтобы задать ещё одно условие, или выберите Продолжить.
(Расширенная функция) Выберите один из вариантов:
- Каждый раз – отправлять уведомления или выполнять действия каждый раз, когда происходит событие.
- При определенной частоте – настройте параметры для активации уведомлений или действий, если событие происходит больше определенного количества раз за заданный период времени (например, если событие происходит больше 10 раз за 1 час).
(Расширенная функция) Нажмите Добавить действие, чтобы выполнить действие, когда происходит событие или достигается пороговое значение.
- Например, можно временно заблокировать аккаунт пользователя или инициировать смену пароля.
- Если нужно создать другие действия, нажмите Добавить действие.
В разделе Уведомление выберите следующие варианты:
- Центр оповещений (рекомендуется) – отправить оповещение в Центр оповещений. В оповещениях есть дополнительные данные, которые помогают вам устранять различные проблемы совместно с другими администраторами в вашей организации.
- Электронная почта – отправлять уведомления по электронной почте следующим адресатам:
- Все суперадминистраторы – отправлять электронные письма всем суперадминистраторам.
- Добавить получателей эл. почты – отправлять электронные письма отдельным администраторам.
- Периодичность уведомлений – количество уведомлений (оповещений и электронных писем), отправляемых каждый час для одного и того же события. Вы можете получать уведомления о каждом событии или с интервалом в час. Используя этот параметр, вы можете не допустить отправки чрезмерного количества уведомлений для одного события. Выберите нужный вариант:
- До 5 в час (по умолчанию) – уведомления будут приходить каждые 12 минут.
- До 2 в час – уведомления будут приходить каждые 30 минут.
- До 10 в час – уведомления будут приходить каждые 6 минут.
- Каждый раз (если доступно в вашей версии).
- Серьезность – степень серьезности, которая будет назначена событию.
Выберите статус правила.
- Активно (по умолчанию) – система собирает данные для журналов и применяет правило.
- Проверяется – система собирает данные для журналов, но не применяет правило. Это значение позволяет проверять журналы перед применением правила.
- Неактивно – журналы не собираются, правило не применяется.
Нажмите Продолжить. Проверьте правило. Если понадобится внести изменения, нажмите Назад.
Нажмите Создать правило.
Как просматривать и изменять правила активности
После создания правила активности вы можете перейти на страницу Правила, чтобы посмотреть сведения о правиле и его область действия, условия правила, а также действия, которые выполняются при достижении пороговых значений.
На странице "Правила" вы также можете найти список всех правил, которые были созданы администраторами в вашем домене. Откройте главную страницу консоли администратора и нажмите Правила.
На странице "Правила" администраторы домена могут просматривать правила, созданные другими администраторами, в зависимости от источника данных для правила и прав, которые есть у каждого из администраторов. Например, у одного из администраторов может быть право на просмотр событий журналов Диска, но не событий журналов Gmail, из-за чего он не сможет видеть правила, основанные на событиях журналов Gmail.
На странице "Правила" можно выполнять следующие действия:
- Фильтровать список правил, нажимая Добавить фильтр.
- Просматривать и изменять информацию о правилах, нажимая на них.
- Удалять правила.
- Создавать новые правила.
- Нажмите Анализ, чтобы открыть инструмент исследования для просмотра данных из событий журнала правил.