אדמינים יכולים להגדיר כללי פעילות במסוף Google Admin כדי לשלוח התראות או לבצע פעולות בתגובה לפעילות בדומיין. כללי פעילות עוזרים למנוע, לזהות ולתקן בעיות אבטחה במהירות וביעילות.
כדי להגדיר כלל, קובעים את התנאים שלו ומציינים אילו התראות או פעולות יבוצעו כשהתנאים יתקיימו. כלל הוא דרך להגדיר שאם קורה x, צריך לבצע באופן אוטומטי את y.
Google מבצעת את החיפוש שצוין בכלל הפעילות. אם מספר התוצאות שמוחזרות על ידי החיפוש הזה חורג מהסף שהגדרתם, Google תבצע את ההתראות והפעולות שציינתם. לדוגמה, אתם יכולים להגדיר כלל לשליחת התראות באימייל לאדמינים מסוימים אם מסמכים ב-Google Drive משותפים עם גורמים מחוץ לחברה.
לפני שמתחילים
היכולת שלכם ליצור כללי פעילות ולראות אותם תלויה במהדורת Google Workspace, בהרשאות האדמין ובמקור הנתונים. פרטים נוספים זמינים במאמר בנושא גישת אדמין לכללי דיווח ולכללי פעילות.
תכונות בכל המהדורות
- גישה לכללי הפעילות מדף הכללים או מכלי הביקורת והחקירה
- מסנני AND או OR עם עד 7 תנאים (כולל תנאים בתצוגת עץ עד 3 רמות עומק)
תכונות מתקדמות
התכונה הזו נתמכת במהדורות הבאות: Frontline Plus, Enterprise Standard ו-Enterprise Plus, Education Plus, Enterprise Essentials Plus, Cloud Identity Premium, Chrome Enterprise Premium. השוואה בין המהדורות- גישה לכללי פעילות מהכלי לחקירת אבטחה
- הגדרת פעולות בטריגרים
- הגדרת ערכי סף לטריגרים
- להגדיר יותר מ-7 תנאים בכלל הערה: ב-Cloud Identity Premium וב-Chrome Enterprise Premium אפשר להגדיר מספר בלתי מוגבל של תנאים.
- קבלת התראה בכל פעם שאירוע מתרחש
הנחיות חשובות ליצירת כללי פעילות
- אפשר ליצור כללי פעילות רק על סמך מקורות נתונים של אירועים ביומן, לדוגמה, אירועים ביומן של Gmail או קובצי יומן במכשיר. אי אפשר ליצור כללי פעילות שמבוססים על מקורות נתונים במצב פעיל, כמו דפדפני Chrome, מכשירים, הודעות Gmail ומשתמשים.
- מקורות הנתונים הזמינים משתנים בהתאם למהדורת Google Workspace. פרטים נוספים מופיעים במאמר הרצת חיפוש בכלי לחקירת אבטחה.
- צריך להוסיף לחיפוש לפחות מאפיין אירוע אחד.
- אפשר לכלול אופרטור OR ברמה העליונה רק אם כוללים תנאי אירוע בכל נתיב מותנה.
- אפשר להוסיף רק ערך אחד למאפיין. לדוגמה, השדה "מבצע הפעולה" יכול לכלול רק משתמש אחד. כדי לכלול כמה ערכים, משתמשים בכלי להגדרת תנאים כדי להוסיף אופרטור OR, ואז מוסיפים את אותו מאפיין עם ערך נוסף.
- אי אפשר להשתמש במסנני תאריכים בכללי פעילות (כי הכללים נבדקים באופן רציף).
- צריך להוסיף לכלל לפחות פעולה אחת או התראה אחת.
- כללי פעילות מבוססים על אירועים ביומן, ולכן הם מופעלים אחרי שהאירוע מתרחש. לכן, כללי פעילות לא מתאימים לפעולות כמו חסימה או שיתוף של מסמך או שליחת אימיילים.
התראות באימייל
אם הגדרתם התראות באימייל לכלל, כלל הפעילות ישלח התראה אחת באימייל לכל חלון סף כשהכלל יופעל בפעם הראשונה. הכלל לא ישלח התראות בפעמים האחרות שהוא יופעל. ההתראה באימייל מכילה סיכום של הכלל שהפעיל את ההתראה, כולל שם הכלל, פרטי הסף, נתוני המקור ועוד. אדמינים שמקבלים את ההתראה באימייל יכולים ללחוץ על הצגת ההתראה כדי לעבור לדף פרטי ההתראה במרכז ההתראות.
התראות וערכי סף של כללים
כדי לצמצם את מספר ההתראות, אפשר ליצור כללים עם ערכי סף שמפעילים התראות רק כשהאירוע מתרחש יותר ממספר מסוים של פעמים במסגרת זמן נתונה. לדוגמה, בפעם הראשונה שאירוע מפעיל כלל, התראה חדשה נוספת למרכז ההתראות ונשלח אימייל (אם הוגדר לכלל). אם לכלל יש סף של שעה, אירועים נוספים שיתרחשו במהלך השעה הזו יתווספו לאותה התראה. התראות נוספות באימייל לא נשלחות עד שחולף פרק הזמן שהוגדר.
כשמגדירים סף לכלל, הוא חל באופן מצטבר על כל פעולות המשתמשים, ולא על כל משתמש בנפרד. לדוגמה, אם יוצרים כלל להשעיית משתמשים אחרי 5 ניסיונות כניסה כושלים תוך שעה, הסף יושג כשיהיו 5 ניסיונות כניסה כושלים של משתמש אחד או יותר תוך שעה. במקרה כזה, כל המשתמשים עם ניסיון כושל אחד לפחות יושעו.
הערות:
- אימיילים והתראות שמופעלים על ידי כלל עם סף לא כוללים תיאור של האירוע.
- אפשר להגדיר כללי פעילות רק כדי לשלוח אימיילים למשתמשים בדומיין הפנימי. עם זאת, אדמינים עדיין יכולים להגדיר התראות באימייל מחוץ לארגון באמצעות קבוצות Google.
- כדי למנוע התראות מרובות, אפשר להגדיר מרווח של שעה בין ההתראות.
יצירת כלל פעילות
- יוצרים כלל (בכל המהדורות של Google Workspace) באחת מהשיטות הבאות:
- בדף הבית של מסוף Admin, נכנסים אל כללים ולוחצים על יצירת כלל פעילות.
- אפשר גם לעבור אל דיווח
ביקורת וחקירה
לבחור מקור נתונים יצירת כלל פעילות. - לחלופין, אם יש לכם את הכלי לחקירת אבטחה, אתם יכולים לעבור אל אבטחה מרכז האבטחה כלי החקירה, ואז ללחוץ על יצירת כלל פעילות.
- מזינים את פרטי הכלל ולוחצים על המשך:
- שם הכלל – לדוגמה, שיתוף נתונים חיצוני.
- תיאור – לדוגמה, התראה אם מסמכים משותפים מחוץ לחברה
בדף תנאים, מגדירים מתי הכלל יופעל:
בוחרים מקור נתונים לכלל, לדוגמה, אירועים ביומן של Admin.
הערה: הזמינות של מקורות הנתונים משתנה בהתאם למהדורת Google Workspace ולהרשאות האדמין שלכם. אי אפשר להוסיף פעולות לאירועים ביומן של Drive. פרטים נוספים זמינים במאמרים גישת אדמין לכללי פעילות ומקורות נתונים לכלי לחקירת אבטחה.
לוחצים על הכרטיסייה Filter כדי לסנן את תוצאות החיפוש באמצעות פרמטרים כמו Contains, Does not contain, Is או Is not.
לוחצים על הכרטיסייה הכלי להגדרת תנאים כדי לסנן את תוצאות החיפוש באמצעות האופרטורים AND או OR. לכל תנאי, בוחרים מאפיין, אופרטור וערך.
לדוגמה, כדי להגדיר תנאי שמציין שהאירוע הוא העברת בעלות על מסמך, בוחרים באפשרות אירוע כמאפיין, באפשרות Is כאופרטור ובאפשרות הגדרות מסמך > העברת בעלות על מסמך כערך.
הערה: אירוע הוא תנאי חובה. פרטים על התנאים שזמינים לכל מקור נתונים מופיעים במאמר מקורות נתונים לכלי החקירה.
לוחצים על Add Condition כדי להוסיף עוד תנאים, או על Continue.
(תכונה מתקדמת) בוחרים אפשרות:
- בכל פעם שהאירוע מתרחש – שליחת התראות או ביצוע פעולות בכל פעם שהאירוע מתרחש.
- If the event frequency meets a specific threshold – בוחרים באפשרויות להפעלת התראות או פעולות כשהאירוע מתרחש יותר ממספר מסוים של פעמים בפרק זמן נתון. לדוגמה, אם האירוע מתרחש יותר מ-10 פעמים בשעה.
(תכונה מתקדמת) לוחצים על Add Action כדי לבצע פעולה כשהאירוע מתרחש או כשהסף נחצה.
- לדוגמה, להשעות משתמשים או לאלץ שינוי סיסמה כשהאירוע מתרחש.
- כדי ליצור פעולות נוספות, לוחצים על הוספת פעולה.
בקטע Notification, בוחרים את האפשרויות הבאות:
- מרכז ההתראות – (מומלץ) שליחת התראה למרכז ההתראות. ההתראות כוללות פרטים נרחבים שמאפשרים לכם לטפל בבעיות ולשתף פעולה עם אדמינים אחרים בארגון כדי לפתור אותן.
- אימייל – שליחת התראות באימייל אל:
- כל הסופר-אדמינים – שליחת אימיילים לכל הסופר-אדמינים.
- הוספת נמענים לאימייל – שליחת אימיילים לאדמינים נבחרים.
- תדירות ההתראות – מספר ההתראות (התראות ואימיילים) שנשלחות בכל שעה לאותו אירוע. אתם יכולים להגדיר שההתראות יישלחו במרווחים של שעה או בכל פעם שהאירוע מתרחש. ההגדרה הזו מאפשרת למנוע התראות מיותרות לאותו אירוע. בוחרים אפשרות:
- עד 5 בשעה (ברירת מחדל) – מקבלים התראה כל 12 דקות בכל שעה.
- עד 2 בשעה – קבלת התראה כל 30 דקות בכל שעה.
- עד 10 בשעה – התראה כל 6 דקות בכל שעה.
- בכל פעם שהאירוע מתרחש (אם האפשרות זמינה במהדורה שלכם).
- חומרה – רמת החומרה שמוצגת לאירוע.
בוחרים את סטטוס הכלל.
- פעיל (ברירת המחדל) – המערכת אוספת יומנים והכללים נאכפים.
- מעקב – המערכת אוספת יומנים, אבל הכללים לא נאכפים. האפשרות הזו מאפשרת לכם לבדוק את היומנים לפני אכיפת הכלל.
- לא פעיל – היומנים לא נאספים והכלל לא נאכף.
לוחצים על המשך. בודקים את פרטי הכלל. אם צריך לבצע שינויים, לוחצים על הקודם.
לוחצים על יצירת כלל.
הצגה ועריכה של כללי הפעילות
אחרי שיוצרים כלל פעילות, אפשר להיכנס לדף כללים כדי לראות את הפרטים וההיקף של הכלל, את התנאים שלו ואת הפעולות שמופעלות כשהתנאים מתקיימים.
בדף "כללים" אפשר גם לראות רשימה של כל הכללים שיצרו אדמינים בדומיין שלכם. נכנסים לדף הבית של מסוף Google Admin ולוחצים על כללים.
בדף "כללים", אדמינים בדומיין יכולים לראות כללים שנוצרו על ידי אדמינים אחרים, בהתאם למקור הנתונים של הכלל ולהרשאות של כל אדמין. לדוגמה, יכול להיות שלאדמין יש הרשאות צפייה באירועים ביומן של Drive, אבל לא באירועים ביומן של Gmail, ולכן הוא לא יכול לראות כללים שמבוססים על אירועים ביומן של Gmail.
בדף "כללים" אתם יכולים לבצע את הפעולות הבאות:
- כדי לסנן את רשימת הכללים, לוחצים על הוספת מסנן.
- כדי לראות ולערוך את פרטי הכלל, לוחצים על אחד מהכללים.
- למחוק כללים.
- ליצור כללים חדשים.
- לוחצים על חקירה כדי לפתוח את כלי החקירה ולראות נתונים מאירועים ביומן של Rules.