Nadat u een zoekopdracht heeft uitgevoerd in de tool voor beveiligingsonderzoek, kunt u verschillende acties uitvoeren op basis van de zoekopdracht. U kunt bijvoorbeeld een zoekopdracht uitvoeren op Gmail-logboekgebeurtenissen en vervolgens de tool voor beveiligingsonderzoek gebruiken om specifieke berichten te verwijderen, berichten te markeren als spam of phishing, berichten in de quarantaine te plaatsen of berichten te sturen naar de inbox van gebruikers.
Ga naar de volgende gedeelten voor meer informatie over de vele acties die u kunt uitvoeren in de tool voor beveiligingsonderzoek en instructies voor elke actie.
Opmerking:
- Welke gegevensbronnen beschikbaar zijn, hangt af van uw Google Workspace-versie.
- Voordat ze actie ondernemen op basis van zoekresultaten, kunnen beheerders in uw organisatie de optie hebben om een reden in te voeren voor hun actie(s). Als u hoofdbeheerder bent, kunt u deze optie aanzetten door de instellingen voor de tool voor beveiligingsonderzoek aan te passen. Ga naar Instellingen instellen voor onderzoeken voor instructies.
- Als u een kortere periode instelt voor een zoekopdracht, verschijnen de resultaten sneller in de onderzoekstool. Als u bijvoorbeeld de zoekopdracht verfijnt naar gebeurtenissen van de afgelopen week, krijgt u sneller resultaten dan als u niet zoekt binnen een bepaalde periode.
- Als er een time-out optreedt terwijl er een bulkactie wordt uitgevoerd, maakt u de periode voor de zoekopdracht korter en voert u de zoekopdracht opnieuw uit.
Typen acties in de tool voor beveiligingsonderzoek
Acties voor apparaten
Wanneer u een zoekopdracht uitvoert op 'Apparaten' of 'Gebeurtenissen in het apparaatlogboek', kunt u apparaten selecteren in de zoekresultaten en vervolgens de volgende acties uitvoeren:
- Apparaat goedkeuren: Keurt het apparaat goed. Als u Apparaatactivatie aanzetten heeft geselecteerd, moeten apparaten die worden geregistreerd nadat apparaatactivatie is aangezet, worden goedgekeurd voordat ze kunnen synchroniseren met uw domein. Als u apparaatactivering aanzet, moet de apparaatgebruiker de Device Policy-app installeren om te synchroniseren met Google Workspace.
- Apparaat blokkeren: Blokkeert de toegang tot Google Workspace-gegevens (Gmail, Agenda en contacten) op het apparaat. De gebruiker heeft nog steeds toegang tot Gmail, Agenda en Contacten via een desktop of een mobiele browser.
- Apparaat wissen via beheerdersaccount: Alleen Google Workspace-gegevens worden op afstand van het apparaat gewist. Ga naar Bedrijfsgegevens verwijderen van een mobiel apparaat voor meer informatie.
- Apparaat op afstand wissen: Hiermee worden alle gegevens op afstand gewist van het apparaat. Ga naar Bedrijfsgegevens verwijderen van een mobiel apparaat voor meer informatie.
- Wissen op afstand van apparaat annuleren: Hiermee wordt het wissen op afstand van een apparaat geannuleerd.
Acties voor Drive-logboekgebeurtenissen
Als u een zoekopdracht uitvoert op Drive-logboekgebeurtenissen, kunt u onder andere bestanden selecteren in de zoekresultaten en bekijken welke rechten deze bestanden hebben.
Doe het volgende:
- Nadat u een zoekopdracht heeft uitgevoerd in de tool voor beveiligingsonderzoek op Drive-logboekgebeurtenissen, vinkt u in de zoekresultaten de vakjes aan voor de betreffende bestanden.
- Klik op Acties
Bestandsrechten controleren om de pagina Rechten te openen.
Op het tabblad Bestanden, dat standaard wordt getoond, staan bestanden die zijn opgenomen in de zoekresultaten. Hier kunt u de toegang tot die bestanden beheren. Bestanden in gedeelde Drives zijn niet beschikbaar in deze weergave. - Klik op Mensen om te zien welke gebruikers en groepen toegang hebben tot de bestanden.
Mensen in deze lijst hebben toegang tot een of meer items uit de zoekresultaten. In deze weergave kunt u de toegang beheren van mensen (gebruikers en groepen). - Klik op Links om de instellingen voor delen te bekijken of te wijzigen voor de geselecteerde bestanden.
- Klik op Gebruikers toevoegen als je meer gebruikers toegang tot het bestand wilt geven. U kunt meerdere gebruikers toevoegen met een door komma's gescheiden lijst. U kunt het toegangsniveau selecteren voor de gebruikers die u toevoegt.
Opmerking: Voor acties op het tabblad Gedeelde Drives kunt u alleen de bewerkingsrechten bewerken voor bestanden binnen de gedeelde Drive. Bestanden buiten gedeelde Drives worden niet getoond op dit tabblad. - Klik op Wijzigingen in behandeling om de wijzigingen te controleren voordat je deze opslaat.
Acties voor gedeelde Drives
Als u het recht Drive updaten of verwijderen heeft in de beveiligingsonderzoekstool , kunt u ook gedeelde Drives en de bestanden in gedeelde Drives aanpassen:
- U kunt het toegangsniveau van een lid van een gedeelde Drive wijzigen, verwijderen of verhogen.
- U kunt de toegangsrechten die gebruikers rechtstreeks zijn gegeven tot een bestand in een gedeelde Drive wijzigen, verwijderen of verhogen.
Opmerking: Hoewel u in Google Drive het delen van mappen en het eigendom van mappen kunt wijzigen, kunnen beheerders deze acties niet uitvoeren in de tool voor beveiligingsonderzoek.
Acties voor Gmail-berichten en Gmail-logboekgebeurtenissen
Als u een zoekopdracht uitvoert op Gmail-berichten of Gmail-logboekgebeurtenissen, kunt u berichten selecteren in de zoekresultaten en de volgende acties uitvoeren (de beschikbare acties worden alleen toegepast op berichten in Gmail, niet in Google Groepen):
- Berichtkop bekijken
- Berichten weergeven
- Berichten verwijderen
- Berichten herstellen
- Bericht markeren als spam
- Bericht markeren als phishing
- Bericht naar de inbox sturen (verwijdert ook de classificatie spam of phishing)
- Bericht in quarantaine plaatsen (berichten worden in de standaardquarantaine geplaatst)
Belangrijk: Berichten die in quarantaine worden geplaatst, worden automatisch verwijderd als het Vault-bewaarbeleid wordt geactiveerd. Als deze berichten ouder zijn dan het Vault-bewaarbeleid, worden ze verwijderd in plaats van in quarantaine geplaatst. Standaard worden e-mails 30 dagen bewaard nadat ze zijn verstuurd of gekregen. U kunt Vault ook gebruiken om aangepaste bewaarregels in te stellen.
Zo stuurt u bijvoorbeeld een bericht naar de inbox van een gebruiker:
- Nadat u de zoekopdracht heeft uitgevoerd in de onderzoekstool, vinkt u in de zoekresultaten de vakjes aan voor de betreffende berichten.
- Klik op Acties.
- Kies Bericht in de inbox plaatsen.
- Klik om te bevestigen op Naar inbox sturen.
- Klik onderaan de pagina op Bekijken om het resultaat van de actie te bekijken.
In de kolom Resultaat staat de status van de actie, bijvoorbeeld: Het bericht is verstuurd naar de inbox.
Opmerking: U kunt ook de content van Gmail-berichten bekijken. Ga naar De inhoud van Gmail-berichten bekijken voor meer informatie.
Acties voor gebruikers
Als u een zoekopdracht uitvoert op gebruikers, kunt u gebruikers selecteren in de zoekresultaten en dan de volgende acties uitvoeren:
- Gebruiker herstellen
- Gebruiker opschorten
Als u bijvoorbeeld specifieke gebruikers in de zoekresultaten wilt opschorten, doet u het volgende:
- Nadat u de zoekopdracht heeft uitgevoerd in de onderzoekstool, vinkt u in de zoekresultaten de vakjes aan voor de betreffende gebruikers.
- Klik op Acties.
- Kies Gebruiker opschorten.
- Klik op Gebruikers opschorten om te bevestigen.
U kunt vergelijkbare stappen gebruiken om gebruikers te herstellen.
Acties voor logboekgebeurtenissen over gebruikers
Als u een zoekopdracht uitvoert op gebeurtenissen in het logboek Gebruikers, kunt u gebruikers selecteren in de zoekresultaten en dan de volgende acties uitvoeren:
- Wachtwoord wijzigen afdwingen
- Gebruiker herstellen
- Gebruiker opschorten
Als u bijvoorbeeld specifieke gebruikers in de zoekresultaten wilt opschorten, doet u het volgende:
- Nadat u de zoekopdracht heeft uitgevoerd in de onderzoekstool, vinkt u in de zoekresultaten de vakjes aan voor de betreffende gebruikers.
- Klik op Acties.
- Kies Gebruiker opschorten.
- Klik op Gebruikers opschorten om te bevestigen.
U kunt vergelijkbare stappen gebruiken om gebruikers te herstellen.
Gegevenstoegang voor agents onderbreken
Als je de gegevenstoegang voor de Google Workspace Studio Flow-agent onderbreekt, wordt de agent nog steeds uitgevoerd, maar is de toegang tot Google-gegevens tijdelijk geblokkeerd totdat je deze weer activeert. Het gebrek aan toegang tot Google-gegevens leidt tot fouten in het activiteitenlogboek van de Studio-stroom.
U kunt ook een activiteitsregel maken die de gegevenstoegang voor agents automatisch onderbreekt. Ga naar Een activiteitsregel maken voor meer informatie.
U moet het recht Controle en onderzoek Beheren Agent hebben om de gegevenstoegang voor agents te onderbreken.
Zo onderbreek je de gegevenstoegang voor agents in de zoekresultaten van de tool voor beveiligingsonderzoek:
- Vink de vakjes aan voor de relevante medewerkers.
- Klik op Acties of de Agent-ID Agent-ID > Gegevenstoegang voor agent onderbreken.
- Voer een beschrijving in van waarom u de gegevenstoegang wilt onderbreken klik op Gegevenstoegang onderbreken.
Ga naar De toegang van Workspace Studio-flows tot Google-gegevens beheren voor meer informatie.
Acties voor Meet-logboekgebeurtenissen
Als u een zoekopdracht uitvoert op basis van Meet-logboekgebeurtenissen, kunt u de actie Vergadering beëindigen voor iedereen gebruiken om alle gebruikers te verwijderen uit geselecteerde vergaderingen in uw organisatie. Zo kunt u bijvoorbeeld voorkomen dat gebruikers deelnemen aan vergaderingen zonder toezicht als de host van de vergadering niet aanwezig is of nadat een evenement voorbij is.
Ga naar Vergaderingen beëindigen via de tool voor beveiligingsonderzoek voor meer informatie.
Bulkacties met zoekresultaten
Je kunt niet alleen afzonderlijke items in de zoekresultaten selecteren en daar acties op uitvoeren, maar ook bulkacties uitvoeren op een hele pagina of op alle resultaten op alle pagina's.
Opmerking: Als er een time-out optreedt terwijl er een bulkactie wordt uitgevoerd, maakt u de periode voor de zoekopdracht korter en voert u de bulkactie opnieuw uit.
Zo voert u bulkacties uit op zoekresultaten op de huidige pagina die u bekijkt:
- Vink het selectievakje bovenaan de linkerkolom aan. Hiermee worden alle vakjes op de huidige pagina aangevinkt.
- Klik op Acties in de kopbalk.
Zo voert u bulkacties uit op alle zoekresultaten op alle pagina's:
- Vink het selectievakje bovenaan de meest linkse kolom aan.
- Klik op Alle resultaten selecteren. Hiermee worden alle vakjes op alle pagina's met zoekresultaten aangevinkt.
Klik op Acties in de kopbalk.
Opmerking: Als je tijdens dit proces op de volgende pagina in de zoekresultaten klikt, worden alle vakjes op alle pagina's met zoekresultaten uitgevinkt en moet je opnieuw beginnen.
De status van de bulkacties controleren
U kunt in de Google Beheerdersconsole zien of grote taken nog in uitvoering zijn of al zijn afgerond.
Als het bijvoorbeeld lang duurt voordat een bulkactie is uitgevoerd in de onderzoekstool, kunt u de Beheerdersconsole verlaten en later terugkeren om de status van de actie te controleren.
Klik bovenaan de Beheerdersconsole op Taken
om de status van uw grote taken te bekijken.
Ga naar De status van grote taken controleren voor meer informatie.
Draaien gebaseerd op kolommen in de zoekresultaten
Je kunt de kolommen draaien in de zoekresultaten van de onderzoekstool om gegevens uit een andere gegevensbron te bekijken over een item. U kunt bijvoorbeeld een zoekopdracht uitvoeren op basis van Gmail-logboekgebeurtenissen en dan op een ontvanger in de kolom Ontvanger klikken om een Drive-gebeurtenisquery te maken op basis van de eigenaar. Zo kunt u gegevens over een specifieke gebruiker analyseren uit 2 verschillende gegevensbronnen: Gmail-logboekgebeurtenissen en Drive-logboekgebeurtenissen.
Ga als volgt te werk om de zoekresultaten te draaien van een Gmail-logboekgebeurtenis naar een Drive-logboekgebeurtenis:
- Nadat u de zoekopdracht heeft uitgevoerd in de tool voor beveiligingsonderzoek, plaatst u de muisaanwijzer op de betreffende gebruiker in de kolom Ontvanger.
- Klik op het menu-icoon (3 verticale puntjes) voor die gebruiker.
- Kies Drive-logboekgebeurtenissen Eigenaar. De zoekcriteria worden automatisch ingevoerd voor een zoekopdracht naar Drive-logboekgebeurtenissen.
- Voeg extra voorwaarden toe aan je zoekopdracht, bijvoorbeeld Titel of Zichtbaarheid.
- Klik op Zoeken.
Op veel items in de zoekresultaten kunt u andere draaiacties uitvoeren. U kunt bijvoorbeeld een hele kolom draaien, of het onderwerp van een bericht, de bericht-ID, de afzender en meer.
Acties annuleren
U kunt acties in de onderzoekstool annuleren voordat ze zijn afgerond. Als u bijvoorbeeld een actie heeft gestart om meerdere gebruikers op te schorten, kunt u onderaan de pagina Onderzoek op Annuleren klikken.
Als u een bulkactie annuleert, krijgt u gedeeltelijke resultaten als de actie al wordt uitgevoerd.
Opmerking: Voor exportacties kan alleen de beheerder die de export heeft gestart, deze annuleren. Voor alle andere acties kunnen beheerders met de specifieke rechten om actie te ondernemen op de gegevens die relevant zijn voor de actie (zoals Drive, Gmail of Mobiel) de actie annuleren.
Acties opnieuw proberen
Als u een bulkactie uitvoert, kunt u soms zoekfouten tegenkomen, bijvoorbeeld als sommige gebruikers niet zijn opgenomen in de zoekresultaten. Als dit gebeurt, kun je acties opnieuw proberen:
- Nadat u een actie heeft uitgevoerd in de onderzoekstool, klikt u op DETAILS BEKIJKEN.
- Klik in het deelvenster Actiedetails op OPNIEUW PROBEREN.
- Klik in het venster Opnieuw proberen op de actie. Klik bijvoorbeeld op MARKEREN ALS SPAM.
Actieresultaten exporteren naar een Spreadsheets-bestand in de map Mijn Drive
Ga als volgt te werk om actieresultaten op te slaan in de map Mijn Drive:
- Klik bovenaan de tabel met de actieresultaten op de knop Exporteren.
- Vul een naam in voor de export.
- Klik op Exporteren.
Geëxporteerde actieresultaten bekijken
Het volgende geldt bij het bekijken van geëxporteerde actieresultaten:
- Nadat u bovenaan de tabel op de knop Exporteren heeft geklikt, wordt er een Google-spreadsheet van de actieresultaten gemaakt in de map Mijn Drive. Afhankelijk van de hoeveelheid resultaten kan de export enige tijd duren en kunnen er meerdere Google-spreadsheets worden gemaakt. De export kan in totaal niet meer dan 30 miljoen rijen bevatten.
- Tijdens de export worden er Google-spreadsheets gemaakt met een tijdelijke naam, zoals TMP-1-<titel>. Als er meerdere Google-spreadsheets worden gemaakt, krijgen aanvullende bestanden de naam TMP-2-<titel>, TMP-3-<titel>. Wanneer de export is voltooid, krijgen de bestanden automatisch de naam <titel> [1 van N], <titel> [2 van N]. Als de geëxporteerde gegevens in één Google-spreadsheet staan, krijgt dit de naam <titel>.
- Welke rechten voor delen gelden voor bestanden met de geëxporteerde actieresultaten, hangt af van uw domeinconfiguratie. Als gemaakte bestanden bijvoorbeeld standaard worden gedeeld met iedereen in het bedrijf, geldt deze zichtbaarheid ook voor de geëxporteerde gegevens.