Как администратор, вы можете сохранять, предоставлять доступ, удалять и дублировать любые принадлежащие вам расследования. Это позволяет сохранять критерии поиска для дальнейшего использования и сотрудничать с другими сотрудниками вашей организации при управлении расследованиями.
Примечание: у вас также есть возможность создать поиск по расследованию, не сохраняя его.
Создавайте и сохраняйте расследования.
Чтобы создать и сохранить расследование:
В консоли администратора Google перейдите в меню.
Безопасность Центр безопасности Инструмент расследования .Для этого требуются права администратора центра безопасности .
- Выберите источник данных для поиска; например, события журнала устройства , устройства или события журнала Gmail .
- Нажмите «Добавить условие» .
В поиск можно включить одно или несколько условий. Также есть возможность настроить поиск с помощью вложенных запросов — запросов с 2 или 3 уровнями условий (подробнее см. раздел «Настройка поиска с помощью вложенных запросов »). - В раскрывающемся списке «Атрибут» выберите один из атрибутов, например, «Актер» или «Дата» .
Примечание: Если вы сузите диапазон дат для поиска, результаты появятся в инструменте анализа быстрее. Например, если вы сузите поиск до событий, произошедших за последнюю неделю, запрос будет выполнен быстрее, чем если бы вы искали без ограничения по более короткому периоду времени. - Выберите оператор, например, Is , Is not , Contains или Does not contain .
- Выберите или введите значение для атрибута. Для некоторых атрибутов можно выбрать значение из выпадающего списка. Для других атрибутов введите значение вручную.
- (Необязательно) Чтобы включить несколько условий поиска, повторите описанные выше шаги.
- Нажмите «Поиск» .
Результаты поиска в инструменте расследования отображаются в таблице внизу страницы. - Нажмите «Сохранить».
. - Введите заголовок и описание расследования.
- Нажмите « Сохранить ».
Примечание:
- На вкладке «Конструктор условий» фильтры представляются в виде условий с операторами И/ИЛИ. Также на вкладке «Фильтр» можно использовать простые пары параметр-значение для фильтрации результатов поиска.
- На главной странице расследования в заголовке вверху страницы можно увидеть дату и время последнего сохранения расследования. Если настройки расследования неполные или недействительные (например, если поля для ввода информации оставлены пустыми), расследование отображается как частично сохраненное . Вам потребуется найти и исправить все ошибки, прежде чем вы сможете сохранить расследование.
Поделиться расследованиями
После создания и сохранения расследования вы можете поделиться им с другими пользователями.
Чтобы поделиться результатами расследования:
- Нажмите «Просмотреть расследования».
. - Нажмите на расследование, чтобы открыть его.
Если расследование еще не сохранено, нажмите «Сохранить». . - Нажмите «Поделиться» .
- Введите имена пользователей, с которыми вы хотите поделиться результатами расследования.
- Нажмите «Сохранить изменения» .
Удалить расследования
Если вы решите, что поиск и/или результаты этого поиска не требуются для расследования, вы можете удалить этот поиск в инструменте для проведения расследований.
Чтобы удалить поисковый запрос:
- Нажмите «Удалить».
. - Для подтверждения удаления нажмите «Удалить» .
Это удалит поисковый запрос, включая все его условия и видимые результаты, и отменить это действие невозможно.
У вас также есть возможность удалить все поисковые запросы.
Повторные расследования
Если вы хотите создать новое расследование, используя те же критерии поиска, что и для существующего, вы можете его скопировать.
Для повторного проведения расследования:
- Нажмите «Дублировать расследование»
. - Введите заголовок и описание .
- Нажмите « Сохранить ».
Просмотрите список ваших расследований
Чтобы просмотреть список расследований, которые принадлежат вам и которые были предоставлены вам, нажмите «Просмотреть расследования». Список расследований включает имена, описания и ответственных за расследования, а также дату последнего изменения.
Из этого списка вы можете выполнить действия с любыми расследованиями, которые находятся в вашем ведении, например, удалить расследование. Установите флажок для нужного расследования, а затем нажмите «Действия» .
Примечание: Непосредственно над списком расследований вы также можете просмотреть список недавно сохраненных расследований в разделе «Быстрый доступ» .