Após fazer uma pesquisa na ferramenta de investigação de segurança, você pode realizar diferentes ações. Por exemplo, você pode fazer uma pesquisa com base nos eventos de registro do Gmail e usar a ferramenta para excluir mensagens específicas, marcá-las como spam ou phishing, enviá-las para a quarentena ou para as caixas de entrada dos usuários.
Leia as seções abaixo para ver mais detalhes e instruções sobre os recursos da ferramenta de investigação de segurança.
Observação:
- As fontes de dados disponíveis variam de acordo com a edição do Google Workspace.
- Antes de realizar ações nos resultados da pesquisa, os administradores da sua organização podem inserir um texto de justificativa para registrar os motivos das ações. Se você for um superadministrador, poderá ativar essa opção ajustando as configurações da ferramenta de investigação de segurança. Para instruções, acesse Configurar as investigações.
- Se você restringir o período da sua pesquisa, os resultados vão aparecer na ferramenta de investigação mais rapidamente. Por exemplo, uma pesquisa restrita aos eventos da última semana retorna resultados em menos tempo do que uma pesquisa sem restrições.
- Se um tempo limite for atingido ao fazer uma ação em massa, reduza o período da pesquisa e tente novamente.
Tipos de ações na ferramenta de investigação de segurança
Ações para dispositivos
Quando você faz uma pesquisa com base em dispositivos ou em eventos de registro do dispositivo, pode selecionar os dispositivos nos resultados da pesquisa e escolher uma destas ações:
- Aprovar dispositivo: aprova o dispositivo. Se você tiver selecionado Permitir a ativação do dispositivo, os dispositivos registrados após a ativação dessa opção precisarão ser aprovados para começar a sincronizar com seu domínio. Ao ativar a ativação do dispositivo, o usuário precisa instalar o app Device Policy para sincronizar com o Google Workspace.
- Bloquear dispositivo: bloqueia o acesso aos dados do Google Workspace (Gmail, Agenda e contatos) no dispositivo. O usuário ainda pode acessar o Gmail, o Agenda e os contatos em um computador desktop ou navegador para dispositivos móveis.
- Excluir permanentemente a conta de administrador do dispositivo: exclui remotamente apenas os dados do Google Workspace do dispositivo. Para mais detalhes, acesse Remover dados corporativos de um dispositivo móvel.
- Apagamento remoto do dispositivo: exclui permanentemente de maneira remota todos os dados do dispositivo. Para mais detalhes, acesse Remover dados corporativos de um dispositivo móvel.
- Cancelar apagamento remoto do dispositivo: cancela uma exclusão permanente no dispositivo.
Ações em eventos de registro do Drive
Quando você faz uma pesquisa com base nos eventos de registro do Drive, pode selecionar arquivos nos resultados da pesquisa, auditar as permissões desses arquivos e muito mais.
Faça o seguinte:
- Após fazer uma pesquisa na ferramenta de investigação de segurança com base nos eventos de registro do Drive, marque as caixas dos arquivos relevantes nos resultados da pesquisa.
- Clique em Ações
Permissões do arquivo de auditoria para abrir a página Permissões.
A guia Arquivos, que é exibida por padrão, mostra os arquivos incluídos nos resultados da pesquisa. Nessa guia, você gerencia o acesso a esses arquivos. Os arquivos do drive compartilhado não estão disponíveis nessa visualização. - Clique em Pessoas para ver os usuários e grupos com acesso aos arquivos.
As pessoas nessa lista têm acesso a um ou mais itens nos resultados da pesquisa. Use essa visualização para gerenciar o acesso de pessoas (usuários e grupos). - Clique em Links para acessar ou modificar as configurações de compartilhamento de link nos arquivos selecionados.
- Clique em Adicionar usuários se quiser conceder acesso a arquivos para mais pessoas. Com uma lista separada por vírgulas, você adiciona vários usuários e seleciona o nível de acesso deles.
Observação:para ações na guia "Drive compartilhado", você só pode editar o acesso a arquivos no drive compartilhado. Os arquivos fora de um drive compartilhado não aparecem nessa guia. - Clique em Alterações pendentes para revisar as mudanças antes de salvar.
Ações para drives compartilhados
Se você tiver o privilégio Ferramenta de investigação de segurança Atualizar ou excluir do Drive, também poderá modificar drives compartilhados e os arquivos neles:
- É possível alterar, remover ou adicionar o nível de acesso de um membro do drive compartilhado.
- Também é possível alterar, remover ou adicionar o acesso que os usuários receberam a um ou mais arquivos em um drive compartilhado.
Observação:embora o Google Drive permita mudar o compartilhamento e a propriedade de pastas, a ferramenta de investigação de segurança não permite que os administradores realizem essas ações.
Ações para mensagens e eventos de registro do Gmail
Quando você faz uma pesquisa com base nas mensagens ou nos eventos do registro do Gmail, pode selecionar mensagens nos resultados da pesquisa e depois escolher uma das ações abaixo. As opções disponíveis só se aplicam a mensagens no Gmail e não incluem mensagens no Grupos do Google.
- Ver cabeçalho
- Visualizar mensagens
- Excluir mensagens
- Restaurar mensagens
- Marcar a mensagem como spam
- Marcar a mensagem como phishing
- Enviar mensagem para a caixa de entrada (também remove uma classificação de spam ou phishing)
- Enviar mensagem para a quarentena (as mensagens são enviadas para a quarentena padrão)
Importante:as mensagens enviadas para a quarentena são excluídas automaticamente quando sua política de retenção do Vault é acionada. Portanto, se essas mensagens forem mais antigas do que sua política de retenção do Vault, elas serão excluídas em vez de serem enviadas para a quarentena. A retenção padrão é definida como 30 dias após o envio ou o recebimento do e-mail original. Você também pode usar o Vault para definir regras de retenção personalizadas.
Por exemplo, para enviar uma mensagem à caixa de entrada de um usuário:
- Após fazer sua pesquisa na ferramenta de investigação, marque as caixas das mensagens relevantes nos resultados da pesquisa.
- Clique em Ações.
- Escolha Enviar mensagem para a Caixa de entrada.
- Para confirmar, clique em Enviar para a Caixa de entrada.
- Para ver o resultado da ação, clique em Visualizar na parte inferior da página.
Na coluna "Resultado", você pode ver o status da ação, como A mensagem foi enviada para a Caixa de entrada.
Observação:também é possível ver o conteúdo das mensagens do Gmail. Para mais detalhes, acesse Ver o conteúdo das mensagens do Gmail.
Ações para usuários
Quando você faz uma pesquisa com base em usuários, pode selecionar os usuários nos resultados da pesquisa e escolher uma destas ações:
- Restaurar usuário
- Suspender usuário
Por exemplo, para suspender usuários específicos nos resultados da pesquisa, faça o seguinte:
- Após fazer sua pesquisa na ferramenta de investigação, marque as caixas dos usuários relevantes nos resultados da pesquisa.
- Clique em Ações.
- Escolha Suspender usuário.
- Para confirmar, clique em Suspender usuários.
Você pode seguir etapas semelhantes para restaurar usuários.
Ações para eventos de registro do usuário
Quando você faz uma pesquisa com base em eventos de registro do usuário, pode selecionar os usuários nos resultados da pesquisa e escolher uma destas ações:
- Forçar alteração de senha
- Restaurar usuário
- Suspender usuário
Por exemplo, para suspender usuários específicos nos resultados da pesquisa, faça o seguinte:
- Após fazer sua pesquisa na ferramenta de investigação, marque as caixas dos usuários relevantes nos resultados da pesquisa.
- Clique em Ações.
- Escolha Suspender usuário.
- Para confirmar, clique em Suspender usuários.
Você pode seguir etapas semelhantes para restaurar usuários.
Pausar o acesso dos agentes aos dados
Quando você pausa o acesso aos dados do agente de fluxo do Google Workspace Studio, ele continua sendo executado, mas o acesso aos dados do Google é bloqueado temporariamente até que você o ative novamente. A falta de acesso aos dados do Google resulta em erros no registro de atividades do fluxo do Studio.
Você também pode criar uma regra de atividade que pausa automaticamente o acesso aos dados para os agentes. Para mais detalhes, acesse Criar uma regra de atividade.
Você precisa ter o privilégio Auditoria e investigação Gerenciar Agente para pausar o acesso aos dados dos agentes.
Para pausar o acesso dos agentes aos dados nos resultados da pesquisa da ferramenta de investigação de segurança:
- Marque as caixas dos agentes relevantes.
- Clique em Ações ou no ID do agente ID do agente > Pausar o acesso do agente aos dados.
- Insira uma descrição do motivo da suspensão do acesso aos dados clique em Pausar acesso aos dados.
Para mais detalhes, acesse Gerenciar o acesso dos fluxos do Workspace Studio aos dados do Google.
Ações em eventos de registro do Meet
Ao fazer uma pesquisa com base nos eventos de registro do Meet, você pode usar a ação Encerrar a reunião para todos para remover todos os usuários das reuniões selecionadas na sua organização. Por exemplo, você pode impedir que os usuários participem de reuniões não supervisionadas quando o organizador não estiver presente ou após a conclusão de um evento.
Para mais detalhes, acesse Usar a ferramenta de investigação de segurança para encerrar reuniões.
Ações em massa com resultados da pesquisa
Além de selecionar itens individuais nos resultados da pesquisa e realizar ações neles, você pode fazer ações em massa em uma página inteira ou em todos os resultados de todas as páginas.
Observação:se um tempo limite for atingido ao fazer uma ação em massa, reduza o período da pesquisa e tente de novo.
Para realizar ações em massa nos resultados da pesquisa na página atual que você está visualizando:
- Marque a caixa de seleção na parte de cima da coluna mais à esquerda. Isso marca todas as caixas na página atual.
- Clique em Ações na barra de cabeçalho.
Para realizar ações em massa em todos os resultados da pesquisa em todas as páginas:
- Clique na caixa de seleção na parte de cima da coluna mais à esquerda.
- Clique em Selecionar todos os resultados. Isso marca todas as caixas em todas as páginas dos resultados da pesquisa.
Clique em Ações na barra de cabeçalho.
Observação:se você clicar na próxima página dos resultados da pesquisa durante esse processo, todas as caixas em todas as páginas dos resultados da pesquisa serão desmarcadas, e você precisará começar de novo.
Verificar o status das ações em massa
Você pode verificar o status das suas tarefas grandes no Google Admin Console para saber se elas ainda estão em andamento ou foram concluídas.
Por exemplo, se uma das suas ações em massa na ferramenta de investigação levar muito tempo para ser concluída, você pode sair do Admin Console e voltar depois para verificar o status da ação.
Na parte de cima do Admin Console, clique em Tarefas
para conferir o status das suas tarefas grandes.
Para mais detalhes, acesse Verificar o status de tarefas grandes.
Rotação das colunas nos resultados da pesquisa
Na ferramenta de investigação, você pode fazer uma rotação das colunas nos resultados da pesquisa para ver dados sobre itens relacionados a outra fonte de dados. Por exemplo, você pode fazer uma pesquisa com base em eventos de registro do Gmail e clicar em qualquer destinatário na coluna "Destinatário" para criar uma consulta de evento do Drive por proprietário. Isso permite analisar dados sobre um usuário específico de duas fontes diferentes: eventos de registro do Gmail e do Drive.
Para fazer uma rotação entre um evento de registro do Gmail e um evento de registro do Drive nos resultados da pesquisa, faça o seguinte:
- Depois de fazer uma pesquisa na ferramenta de investigação de segurança, passe o cursor sobre o usuário relevante na coluna "Destinatário".
- Clique no ícone do menu (três pontos verticais) do usuário.
- Escolha Eventos de registro do Drive Proprietário. Os critérios de pesquisa são inseridos automaticamente para uma pesquisa de eventos de registro do Drive.
- Inclua outras condições na sua pesquisa, por exemplo, Título ou Visibilidade.
- Clique em Pesquisar.
Você pode fazer rotações de muitos itens nos resultados da pesquisa. Por exemplo, é possível fazer uma rotação em uma coluna inteira ou no assunto de uma mensagem, no ID da mensagem, no remetente e muito mais.
Cancelar ações
Você pode cancelar ações na ferramenta de investigação antes que elas sejam concluídas. Por exemplo, se você iniciou uma ação para suspender vários usuários, clique em Cancelar na parte de baixo da página "Investigação".
Se você cancelar uma ação em massa, vai receber resultados parciais se ela já estiver em andamento.
Observação:uma exportação só pode ser cancelada pelo administrador que a iniciou. Para todas as outras ações, os administradores que têm os privilégios específicos para realizar ações nos dados relevantes para a ação, como Drive, Gmail ou dispositivos móveis, podem cancelar a ação.
Tentar ações de novo
Ao realizar uma ação em massa, você pode encontrar erros de pesquisa, por exemplo, se alguns usuários não estiverem incluídos nos resultados. Se isso acontecer, tente novamente:
- Depois de concluir uma ação na ferramenta de investigação, clique em VER DETALHES.
- No painel Detalhes da ação, clique em REPETIR.
- Clique na ação na janela de novas tentativas. Por exemplo, clique em MARCAR COMO SPAM.
Exportar os resultados da ação para um arquivo das Planilhas na pasta "Meu Drive"
Para salvar os resultados da ação na pasta "Meu Drive", faça o seguinte:
- Clique no botão Exportar, na parte superior da tabela, para conferir os resultados da ação.
- Digite um nome para a exportação.
- Clique em Exportar.
Ver os resultados exportados
Observe o seguinte nos resultados da ação exportados:
- Quando você clica no botão "Exportar" na parte de cima da tabela, uma planilha Google com os resultados da ação é criada na sua pasta "Meu Drive". Dependendo do tamanho dos resultados, o processo de exportação pode levar algum tempo, e vários arquivos do Planilhas Google podem ser criados. O total de resultados da exportação é limitado a 30 milhões de linhas.
- Enquanto a exportação está em andamento, as Planilhas Google são criadas com um nome temporário, por exemplo, TMP-1-<título>. Se várias Planilhas Google forem criadas, os arquivos adicionais serão chamados TMP-2-<título>, TMP-3-<título>. Quando o processo de exportação for concluído, os arquivos serão renomeados automaticamente para: <título> [1 de N], <título> [2 de N]. Se apenas uma planilha Google tiver os dados exportados, o arquivo será renomeado como <título>.
- As permissões de compartilhamento de arquivos com os resultados da ação exportada seguem a configuração do seu domínio. Por exemplo, se por padrão os arquivos criados forem compartilhados com todos na empresa, os dados exportados também terão essa visibilidade.