När du har gjort en sökning i verktyget för säkerhetsutredningar har du möjlighet att vidta flera åtgärder baserat på din sökning. Du kan till exempel göra en sökning baserat på logghändelser i Gmail och använda verktyget för att radera specifika meddelanden, markera meddelanden som skräppost eller nätfiske, sätta meddelanden i karantän eller skicka meddelanden till användarnas inkorgar.
Mer information och anvisningar om åtgärderna du kan vidta i verktyget för säkerhetsutredningar hittar du i följande avsnitt.
Obs!
- Vilka datakällor som är tillgängliga varierar beroende på Google Workspace-utgåvan.
- Innan administratörer i organisationen vidtar åtgärder för sökresultat kan de ha möjlighet att ange en motiveringstext för att registrera skälen till åtgärderna. Om du är avancerad administratör kan du aktivera det här alternativet genom att justera inställningarna för verktyget för säkerhetsutredningar. Anvisningar finns i Konfigurera inställningar för utredningar.
- Om du begränsar datumintervallet för sökningen visas resultaten snabbare i utredningsverktyget. Om du till exempel begränsar sökningen till händelser från den senaste veckan visas resultatet snabbare än om du söker utan att begränsa frågan till en kortare tidsperiod.
- Om tidsgränsen nås när du utför en massåtgärd minskar du datumintervallet för sökningen och försöker sedan igen.
Typer av åtgärder i verktyget för säkerhetsutredningar
Åtgärder för enheter
När du söker baserat på Enheter eller Logghändelser för enhet kan du välja enheter i sökresultaten och sedan vidta följande åtgärder:
- Godkänn enhet – godkänner enheten. Om du har valt Aktivera enhetsaktivering måste enheter som registreras efter aktiveringen godkännas innan de kan synkroniseras med domänen. När du aktiverar enhetsaktivering måste enhetsanvändaren installera Device Policy-appen för att synkronisera med Google Workspace.
- Blockera enhet – blockerar åtkomsten till Google Workspace-data (Gmail, Kalender och kontakter) på enheten. Användaren har fortfarande åtkomst till Gmail, Kalender och kontakter via webbläsaren på en dator eller mobil enhet.
- Rensa enhet från administratörskonto – rensar endast Google Workspace-data från enheten på distans. Mer information finns i Ta bort företagsdata från en mobil enhet.
- Fjärrensa enhet – Fjärrensar all data på enheten. Mer information finns i Ta bort företagsdata från en mobil enhet.
- Avbryt fjärrensningen av enheten – Avbryter en fjärrensning av enheten.
Åtgärder för logghändelser för Drive
När du söker baserat på Logghändelser för Drive kan du välja filer i sökresultaten och granska behörigheterna för dessa filer.
Gör så här:
- När du har sökt i verktyget för säkerhetsutredningar utifrån Logghändelser för Drive markerar du rutorna för de relevanta filerna i sökresultaten.
- Klicka på Åtgärder
Granska filbehörigheter för att öppna sidan Behörigheter.
Som standard visas fliken Filer och på den visas filer som inkluderades i dina sökresultat. Därifrån kan du hantera åtkomsten till dessa filer. Filer på delade enheter är inte tillgängliga i den här vyn. - Klicka på Personer för att visa användare och grupper som har åtkomst till filerna.
Personerna på den här listan har åtkomst till en eller flera av objekten från dina sökresultat. Använd den här vyn för att hantera åtkomsten för personer (användare och grupper). - Klicka på Länkar för att visa eller ändra inställningarna för länkdelning för de valda filerna.
- Klicka på Lägg till användare om du vill ge fler användare filåtkomst. Du kan lägga till flera användare med en kommaavgränsad lista och du kan välja åtkomstnivå för de användare du lägger till.
Obs! För åtgärder på fliken Delad enhet kan du bara redigera åtkomst för filer inom den delade enheten. Filer utanför en delad enhet visas inte på den här fliken. - Klicka på Väntande ändringar för att granska ändringarna innan du sparar.
Åtgärder för delade enheter
Om du har behörigheten Säkerhetsutredningsverktyg Uppdatera eller radera Drive kan du även ändra delade enheter och filerna på delade enheter:
- Du kan ändra, ta bort eller lägga till åtkomstnivån för en medlem på en delad enhet.
- Du kan ändra, ta bort eller lägga till åtkomst som användare har beviljats direkt för en eller flera filer på en delad enhet.
Obs! Med Google Drive kan du ändra delningen av mappar och ändra äganderätten för mappar, men med verktyget för säkerhetsutredningar kan administratörer inte vidta dessa åtgärder.
Åtgärder för Gmail-meddelanden och logghändelser för Gmail
När du söker baserat på Gmail-meddelanden eller logghändelser för Gmail kan du välja meddelanden i sökresultaten och sedan vidta följande åtgärder (de tillgängliga åtgärderna gäller endast meddelanden i Gmail och omfattar inte meddelanden i Google Grupper):
- Visa rubrik
- Visa meddelanden
- Radera meddelanden
- Återställ meddelanden
- Markera meddelande som spam
- Markera meddelandet som nätfiske
- Skicka meddelandet till inkorgen (tar även bort klassificeringen som skräppost eller nätfiske)
- Skicka meddelande till karantän (meddelanden skickas till standardkarantänen)
Viktigt! Meddelanden som skickas till karantän raderas automatiskt när lagringspolicyn i Arkiv aktiveras. Om dessa meddelanden är äldre än lagringspolicyn i Arkiv raderas de i stället för att skickas till karantän. Standardlagringen är inställd på 30 dagar efter att e-postmeddelandet ursprungligen skickades eller togs emot. Du kan även använda Arkiv för att ange anpassade lagringsregler.
Om du till exempel vill skicka ett meddelande till en användares inkorg:
- När du gjort en sökning i undersökningsverktyget markerar du rutorna för de relevanta meddelandena i sökresultaten.
- Klicka på Åtgärder.
- Välj Skicka meddelandet till inkorgen.
- Bekräfta genom att klicka på Skicka till inkorg.
- Visa resultaten för åtgärderna genom att klicka på Visa längst ned på sidan.
I kolumnen Resultat kan du visa statusen för åtgärden, t.ex. Meddelandet har skickats till inkorgen.
Obs! Du kan även visa innehållet i Gmail-meddelanden. Mer information finns i Visa innehåll i Gmail-meddelanden.
Åtgärder för användare
När du söker baserat på användare kan du välja användare i sökresultaten och sedan vidta följande åtgärder:
- Återställ användare
- Stäng av användare
Om du till exempel vill stänga av specifika användare i sökresultaten gör du följande:
- När du är klar med sökningen i undersökningsverktyget markerar du rutorna för relevanta användare i sökresultaten.
- Klicka på Åtgärder.
- Välj Stäng av användare.
- Bekräfta genom att klicka på Stäng av användare.
Du kan använda liknande steg för att återställa användare.
Åtgärder för händelser i användarlogg
När du söker baserat på användarlogghändelser kan du välja användare i sökresultaten och sedan vidta följande åtgärder:
- Tvinga fram en lösenordsändring
- Återställ användare
- Stäng av användare
Om du till exempel vill stänga av specifika användare i sökresultaten gör du följande:
- När du är klar med sökningen i undersökningsverktyget markerar du rutorna för relevanta användare i sökresultaten.
- Klicka på Åtgärder.
- Välj Stäng av användare.
- Bekräfta genom att klicka på Stäng av användare.
Du kan använda liknande steg för att återställa användare.
Pausa dataåtkomst för agenter
När du pausar dataåtkomsten för Google Workspace Studio-flödesagenten körs agenten fortfarande, men dess åtkomst till Google-data blockeras tillfälligt tills du aktiverar den igen. Bristen på åtkomst till Google-data leder till fel i aktivitetsloggen för Studio-flödet.
Du kan även skapa en aktivitetsregel som automatiskt pausar dataåtkomst för agenter. Mer information finns i Skapa en aktivitetsregel.
Du måste ha behörigheten Granskning och utredning Hantera Agent för att pausa dataåtkomst för agenter.
Så här pausar du dataåtkomsten för agenter i sökresultaten i verktyget för säkerhetsutredningar:
- Markera rutorna för de relevanta agenterna.
- Klicka på Åtgärder eller Agent-id Agent-id > Pausa dataåtkomst för agent.
- Ange en beskrivning av varför du vill pausa dataåtkomsten klicka på Pausa dataåtkomst.
Mer information finns i Hantera Workspace Studio-flödens åtkomst till Google-data.
Åtgärder för logghändelser i Meet
När du gör en sökning baserad på logghändelser i Meet kan du använda åtgärden Avsluta möte för alla för att ta bort alla användare från valda möten i organisationen. Du kanske till exempel vill förhindra att användarna har möten som inte kontrolleras när mötesvärden inte är närvarande när en händelse har slutförts.
Mer information finns i Använda verktyget för säkerhetsutredningar för att avsluta möten.
Massåtgärder med sökresultat
Utöver att välja enskilda objekt i sökresultaten och vidta åtgärder för dem kan du vidta massåtgärder på en hel sida eller på alla resultat på alla sidor.
Obs! Om tidsgränsen nås när du utför en massåtgärd minskar du datumintervallet för sökningen och försöker sedan igen.
Så här vidtar du massåtgärder för sökresultat på den aktuella sidan som du visar:
- Markera kryssrutan högst upp i kolumnen längst till vänster. Då markeras alla rutor på den aktuella sidan.
- Klicka på Åtgärder i rubrikfältet.
Så här vidtar du massåtgärder för alla sökresultat på alla sidor:
- Markera kryssrutan högst upp i kolumnen längst till vänster.
- Klicka på Markera alla resultat. Då markeras alla rutor på alla sidor i sökresultaten.
Klicka på Åtgärder i rubrikfältet.
Obs! Om du klickar på nästa sida i sökresultaten under den här processen avmarkeras alla rutor på alla sidor i sökresultaten och du måste börja om.
Kontrollera statusen för dina massåtgärder
Du kan kontrollera statusen för stora uppgifter på Googles administratörskonsol om du vill se om de är klara eller fortfarande pågår.
Om till exempel en av dina massåtgärder i utredningsverktyget tar lång tid att slutföra kan du lämna administratörskonsolen och komma tillbaka och kontrollera statusen för åtgärden senare.
Klicka på Uppgifter
högst upp i administratörskonsolen för att se statusen för dina stora uppgifter.
Mer information finns i Kontrollera status för stora uppgifter.
Kolumnbaserad pivotering i sökresultat
Du kan använda kolumnbaserad pivotering i sökresultaten för utredningsverktyget för att visa data om ett objekt som är relaterat till en annan datakälla. Du kan till exempel köra en sökning baserat på logghändelser i Gmail och sedan klicka på en mottagare i kolumnen Mottagare för att skapa en sökfråga för Drive-händelser efter ägare. På så sätt kan du analysera data om en specifik användare från två olika datakällor – både Gmail-logghändelser och Drive-logghändelser.
Om du vill pivotera sökresultaten från en logghändelse för Gmail till en logghändelse för Drive gör du följande:
- När du har gjort en sökning i verktyget för säkerhetsutredningar håller du muspekaren över den relevanta användaren i kolumnen Mottagare.
- Klicka på menyikonen (tre vertikala punkter) för den användaren.
- Välj Logghändelser för Drive Ägare. Sökkriterierna anges automatiskt för en sökning efter logghändelser för Drive.
- Inkludera ytterligare villkor i sökningen, till exempel Titel eller Synlighet.
- Klicka på Sök.
Du kan vidta andra pivoteringsåtgärder för många objekt i sökresultaten. Du kan till exempel pivotera en hel kolumn eller pivotera ämnet för ett meddelande, meddelande-id:t, avsändaren med mera.
Avbryt åtgärder
Du kan avbryta åtgärder i undersökningsverktyget innan de är slutförda. Om du till exempel har initierat en åtgärd för att stänga av flera användare kan du klicka på Avbryt längst ned på sidan Utredning.
Om du avbryter en massåtgärd får du partiella resultat om åtgärden redan pågår.
Obs! För exportåtgärder kan endast administratören som initierade exporten avbryta den. För alla andra åtgärder kan administratörer som har de specifika behörigheterna att vidta åtgärder för den data som är relevant för åtgärden, till exempel Drive, Gmail eller Mobil, avbryta åtgärden.
Testa åtgärderna igen
När du vidtar en massåtgärd kan du ibland stöta på sökfel, till exempel om vissa användare inte ingår i sökresultaten. Om detta händer kan du försöka igen:
- När du har slutfört en åtgärd i utredningsverktyget klickar du på VISA DETALJER.
- Från rutan Åtgärdsdetaljer klickar du på FÖRSÖK IGEN.
- Klicka på åtgärden i fönstret för nytt försök, klicka till exempel på MARKERA SOM SKRÄPPOST.
Exportera åtgärdsresultat till en Kalkylark-fil i mappen Min enhet
Så här sparar du åtgärdsresultat i mappen Min enhet:
- Klicka på knappen Exportera högst upp i tabellen med åtgärdsresultaten.
- Ange ett namn på exporten.
- Klicka på Exportera.
Visa exporterade åtgärdsresultat
Följ de här riktlinjerna när du visar exporterade åtgärdsresultat:
- När du har klickat på knappen Exportera högst upp i tabellen skapas ett Google-kalkylark med sökresultaten i mappen Min enhet. Beroende på resultatens storlek kan exportprocessen ta lite tid och flera Google-kalkylark kan skapas. Det totala resultatet av exporten är begränsat till 30 miljoner rader.
- Medan exportprocessen pågår skapas Google-kalkylarken med tillfälliga namn, till exempel TMP-1-<titel>. Om flera Google-kalkylark skapas får de ytterligare filerna namn som TMP-2-<titel>, TMP-3-<titel>. När exportprocessen är klar ändras filnamnen automatiskt till: <titel> [1 av N], <titel> [2 av N]. Om du bara har ett Google-kalkylark med exporterad data får filen namnet <titel>.
- Delningsbehörigheterna för filer med de exporterade åtgärdsresultaten följer konfigurationen på domänen. Om standardinställningen till exempel är att alla filer som skapas delas med alla på företaget får även filerna med exporterad data den här synligheten.