Na podstawie wyników wyszukiwania w narzędziu do analizy zagrożeń możesz wykonywać różne działania. Na przykład po przeprowadzeniu wyszukiwania zdarzeń z dziennika Gmaila za pomocą narzędzia do analizy zagrożeń można usunąć określone wiadomości, oznaczyć je jako spam lub wiadomości wyłudzające informacje albo wysłać je do kwarantanny bądź skrzynek odbiorczych użytkowników.
Poniższe sekcje zawierają szczegółowe informacje i instrukcje na temat wielu działań, które możesz wykonać w narzędziu do analizy zagrożeń.
Uwaga:
- Dostępne źródła danych są zróżnicowane w zależności od wersji Google Workspace.
- Przed podjęciem działań na podstawie wyników wyszukiwania administratorzy w Twojej organizacji mogą mieć możliwość wpisania tekstu uzasadnienia, aby zarejestrować powody swoich działań. Jeśli jesteś superadministratorem, możesz włączyć tę opcję, dostosowując ustawienia narzędzia do analizy zagrożeń. Odpowiednie instrukcje znajdziesz w artykule Konfigurowanie ustawień analizy zagrożeń.
- Jeśli zawęzisz zakres dat wyszukiwania, wyniki w narzędziu do analizy zagrożeń pojawią się szybciej. Na przykład wyszukiwanie zdarzeń z ostatniego tygodnia potrwa krócej niż wyświetlenie wyników wyszukiwania bez ograniczania okresu.
- Jeśli podczas wykonywania działania zbiorczego limit czasu zostanie przekroczony, zmniejsz zakres dat wyszukiwania i spróbuj ponownie.
Rodzaje działań w narzędziu do analizy zagrożeń
Działania na urządzeniach
Po przeprowadzeniu wyszukiwania urządzeń lub zdarzeń z dziennika urządzenia możesz wybrać urządzenia w wynikach wyszukiwania, a następnie wykonać takie działania:
- Zatwierdź urządzenie – zatwierdza urządzenie. W przypadku wybrania ustawienia Włącz aktywację urządzeń urządzenia zarejestrowane po włączeniu aktywacji muszą zostać zatwierdzone, aby można je było synchronizować z domeną. Włączenie aktywacji urządzenia wymusza na użytkowniku urządzenia zainstalowanie aplikacji Device Policy w celu synchronizacji z Google Workspace.
- Zablokuj urządzenie – blokuje dostęp do danych Google Workspace (Gmaila, Kalendarza i kontaktów) na urządzeniu. Użytkownik takiego urządzenia może korzystać ze swoich danych na komputerze lub w przeglądarce mobilnej.
- Czyszczenie pamięci urządzenia przez administratora – zdalnie usuwa z urządzenia tylko dane Google Workspace. Więcej informacji znajdziesz w artykule Usuwanie danych firmowych z urządzenia mobilnego.
- Zdalnie wyczyść pamięć urządzenia – zdalnie usuwa wszystkie dane z urządzenia. Więcej informacji znajdziesz w artykule Usuwanie danych firmowych z urządzenia mobilnego.
- Anuluj zdalne wyczyszczenie urządzenia – anuluje zdalne wyczyszczenie urządzenia.
Działania na zdarzeniach z dziennika Dysku
Po przeprowadzeniu wyszukiwania zdarzeń z dziennika Dysku możesz wybrać pliki w wynikach wyszukiwania, sprawdzić uprawnienia do tych plików oraz wykonać inne czynności.
Wykonaj te czynności:
- Po uruchomieniu wyszukiwania zdarzeń z dziennika Dysku w narzędziu do analizy zagrożeń zaznacz pola obok odpowiednich plików w wynikach wyszukiwania.
- Kliknij Czynności
Sprawdź uprawnienia do plików, aby otworzyć stronę Uprawnienia.
Na wyświetlanej domyślnie karcie Pliki widać pliki z wyników wyszukiwania. Tutaj możesz zarządzać uprawnieniami dostępu do tych plików. Pliki na dysku współdzielonym są niedostępne w tym widoku. - Kliknij Osoby, aby wyświetlić użytkowników i grupy z dostępem do tych plików.
Osoby z tej listy mają dostęp do co najmniej jednego elementu z wyników wyszukiwania. W tym widoku możesz zarządzać uprawnieniami dostępu użytkowników i grup. - Kliknij Linki, aby wyświetlić lub zmienić ustawienia udostępniania wybranych plików za pomocą linków.
- Jeśli chcesz przyznać dostęp do pliku większej liczbie użytkowników, kliknij Dodaj użytkowników. Wpisz nazwy użytkowników, rozdzielając je przecinkami. Możesz wybrać poziom dostępu dodawanych osób.
Uwaga: w przypadku działań dostępnych na karcie Dysk współdzielony możesz edytować dostęp tylko do plików na dysku współdzielonym. Pliki spoza dysku współdzielonego nie są pokazywane na tej karcie. - Kliknij Zmiany oczekujące, aby przejrzeć zmiany przed ich zapisaniem.
Działania na dyskach współdzielonych
Jeśli masz uprawnienia narzędzia do analizy zagrożeń Aktualizowanie lub usuwanie na Dysku, możesz też modyfikować dyski współdzielone i pliki na nich:
- Możesz zmienić, usunąć lub dodać poziom dostępu użytkownika dysku współdzielonego.
- Możesz zmieniać, usuwać i dodawać uprawnienia dostępu do poszczególnych plików na dysku współdzielonym, które użytkownicy otrzymali bezpośrednio.
Uwaga: Dysk Google umożliwia zmianę ustawień udostępniania folderów i zmianę ich własności, ale narzędzie do analizy zagrożeń nie pozwala administratorom na wykonywanie takich czynności.
Działania na wiadomościach z Gmaila i zdarzeniach z dziennika Gmaila
Po wyszukaniu wiadomości w Gmailu lub zdarzeń z dziennika Gmaila możesz wybrać wiadomości w wynikach wyszukiwania, a następnie wykonać te czynności (dostępne działania dotyczą tylko wiadomości w Gmailu, a nie wiadomości w Grupach dyskusyjnych Google):
- Wyświetl nagłówek
- Wyświetl wiadomości
- Usuń wiadomości
- Przywróć wiadomości
- Oznacz wiadomość jako spam
- Oznacz wiadomość jako phishing
- Wysyłanie wiadomości do skrzynki odbiorczej (powoduje też usunięcie klasyfikacji jako spamu lub próby wyłudzenia informacji)
- Wyślij wiadomość do kwarantanny (wiadomości są wysyłane do kwarantanny domyślnej)
Ważne: wiadomości wysłane do kwarantanny są automatycznie usuwane, gdy zostanie aktywowana zasada przechowywania Vault. Jeśli więc te wiadomości są starsze niż zasada przechowywania Vault, zostaną usunięte, a nie wysłane do kwarantanny. Domyślny okres przechowywania to 30 dni od daty pierwotnego wysłania lub odebrania e-maila. Możesz też użyć Vault do ustawienia niestandardowych reguł przechowywania.
Aby na przykład wysłać wiadomość do skrzynki odbiorczej użytkownika:
- Po uruchomieniu wyszukiwania w narzędziu do analizy zagrożeń zaznacz pola obok odpowiednich wiadomości w wynikach wyszukiwania.
- Kliknij Czynności.
- Wybierz Wyślij wiadomość do skrzynki odbiorczej.
- Kliknij Wyślij do skrzynki odbiorczej, by potwierdzić.
- Aby zobaczyć efekt wykonania czynności, kliknij Widok na dole strony.
Kolumna Wynik zawiera informację o stanie czynności – na przykład Wiadomość została wysłana do skrzynki odbiorczej.
Uwaga: możesz też wyświetlać treść wiadomości w Gmailu. Szczegółowe informacje znajdziesz w artykule Wyświetlanie treści wiadomości w Gmailu.
Działania na kontach użytkowników
Po przeprowadzeniu wyszukiwania użytkowników możesz wybrać użytkowników w wynikach wyszukiwania, a następnie wykonać takie działania:
- Przywróć konto użytkownika
- Zawieś konto użytkownika
Aby na przykład zawiesić określonych użytkowników w wynikach wyszukiwania, wykonaj te czynności:
- Po uruchomieniu wyszukiwania w narzędziu do analizy zagrożeń zaznacz pola obok odpowiednich kont użytkowników w wynikach wyszukiwania.
- Kliknij Czynności.
- Wybierz Zawieś konto użytkownika.
- Kliknij Zawieś konta użytkowników, by potwierdzić tę czynność.
Aby przywrócić użytkowników, możesz wykonać podobne czynności.
Działania na zdarzeniach w dzienniku użytkownika
Po przeprowadzeniu wyszukiwania zdarzeń z dziennika użytkownika możesz wybrać użytkowników w wynikach wyszukiwania, a następnie wykonać takie działania:
- Wymuszanie zmiany hasła
- przywrócenie konta użytkownika,
- Zawieś konto użytkownika
Aby na przykład zawiesić określonych użytkowników w wynikach wyszukiwania, wykonaj te czynności:
- Po uruchomieniu wyszukiwania w narzędziu do analizy zagrożeń zaznacz pola obok odpowiednich kont użytkowników w wynikach wyszukiwania.
- Kliknij Czynności.
- Wybierz Zawieś konto użytkownika.
- Kliknij Zawieś konta użytkowników, by potwierdzić tę czynność.
Aby przywrócić użytkowników, wykonaj podobne czynności.
Wstrzymaj dostęp do danych dla agentów
Gdy wstrzymasz dostęp do danych dla agenta przepływu Google Workspace Studio, agent nadal będzie działać, ale jego dostęp do danych Google zostanie tymczasowo zablokowany, dopóki nie aktywujesz go ponownie. Brak dostępu do danych Google powoduje błędy w historii aktywności przepływu w Studio.
Możesz też utworzyć regułę związaną z aktywnością, która automatycznie wstrzymuje dostęp agentów do danych. Szczegółowe informacje znajdziesz w artykule Tworzenie reguły związanej z aktywnością.
Aby wstrzymać dostęp agentów do danych, musisz mieć uprawnienie Kontrola i analiza zagrożeń Zarządzanie Agent.
Aby wstrzymać dostęp do danych dla agentów w wynikach wyszukiwania w narzędziu do analizy zagrożeń:
- Zaznacz pola obok odpowiednich agentów.
- Kliknij Działania lub Identyfikator agenta Identyfikator agenta > Wstrzymaj dostęp do danych dla agenta.
- Wpisz uzasadnienie wstrzymania dostępu do danych kliknij Wstrzymaj dostęp do danych.
Szczegółowe informacje znajdziesz w artykule Zarządzanie dostępem przepływów Workspace Studio do danych Google.
Działania na zdarzeniach w dzienniku Meet
Gdy przeprowadzasz wyszukiwanie na podstawie zdarzeń z dziennika Meet, możesz użyć działania Zakończ spotkanie dla wszystkich, aby usunąć wszystkich użytkowników z wybranych spotkań w organizacji. Możesz na przykład uniemożliwić użytkownikom prowadzenie nienadzorowanych spotkań pod nieobecność gospodarza spotkania lub po zakończeniu wydarzenia.
Szczegółowe informacje znajdziesz w artykule Kończenie spotkań za pomocą narzędzia do analizy zagrożeń.
Działania zbiorcze na wynikach wyszukiwania
Oprócz wybierania poszczególnych elementów w wynikach wyszukiwania i podejmowania działań na nich możesz wykonywać działania zbiorcze na całej stronie lub na wszystkich wynikach na wszystkich stronach.
Uwaga: jeśli podczas wykonywania działania zbiorczego limit czasu zostanie przekroczony, zmniejsz zakres dat wyszukiwania i spróbuj ponownie.
Aby wykonać działania zbiorcze na wynikach wyszukiwania na aktualnie wyświetlanej stronie:
- Zaznacz pole wyboru u góry kolumny po lewej stronie. Spowoduje to zaznaczenie wszystkich pól na bieżącej stronie.
- Na pasku nagłówka kliknij Działania.
Aby wykonać działania zbiorcze na wszystkich wynikach wyszukiwania na wszystkich stronach:
- Kliknij pole wyboru u góry kolumny po lewej stronie.
- Kliknij Wybierz wszystkie wyniki. Dzięki temu zostaną zaznaczone wszystkie pola na wszystkich stronach wyników wyszukiwania.
Na pasku nagłówka kliknij Działania.
Uwaga: jeśli podczas tego procesu klikniesz następną stronę w wynikach wyszukiwania, spowoduje to odznaczenie wszystkich pól na wszystkich stronach wyników wyszukiwania i konieczność rozpoczęcia od nowa.
Sprawdzanie stanu działań zbiorczych
W konsoli administracyjnej Google możesz sprawdzić stan dużych zadań, aby zobaczyć, czy są one nadal w toku, czy zostały już ukończone.
Jeśli na przykład jedno z działań zbiorczych w narzędziu do analizy zagrożeń zajmuje dużo czasu, możesz opuścić konsolę administracyjną i wrócić później, aby sprawdzić stan działania.
U góry konsoli administracyjnej kliknij Zadania
, aby wyświetlić stan dużych zadań.
Szczegółowe informacje znajdziesz w sekcji Sprawdzanie stanu dużych zadań.
Przestawianie kolumn w wynikach wyszukiwania
Możesz przestawiać kolumny w wynikach wyszukiwania w narzędziu do analizy zagrożeń, aby wyświetlać informacje związane z wybranym elementem względem innego źródła danych. Możesz na przykład przeprowadzić wyszukiwanie na podstawie zdarzeń z dziennika Gmaila, a następnie kliknąć dowolnego odbiorcę w kolumnie Odbiorca, aby utworzyć zapytanie o zdarzenie na Dysku według właściciela. Dzięki temu możesz analizować dane o konkretnym użytkowniku z 2 różnych źródeł danych – zdarzeń z dziennika Gmaila i zdarzeń z dziennika Dysku.
Aby przestawić wyniki wyszukiwania zdarzeń z dziennika Gmaila na wyniki wyszukiwania zdarzeń z dziennika Dysku, wykonaj te czynności:
- Po uruchomieniu wyszukiwania w narzędziu do analizy zagrożeń najedź kursorem na nazwę odpowiedniego użytkownika w kolumnie Odbiorca.
- Kliknij ikonę menu (trzy pionowe kropki) obok nazwy tego użytkownika.
- Wybierz Zdarzenia z dziennika Dysku Właściciel. Kryteria wyszukiwania zostaną automatycznie wpisane w celu wyszukania zdarzeń z dziennika Dysku.
- Uwzględnij w wyszukiwaniu dodatkowe warunki, np. Tytuł lub Widoczność.
- Kliknij Szukaj.
Możesz wykonywać inne działania przestawne obejmujące wiele elementów w wynikach wyszukiwania. Możesz na przykład przestawić całą kolumnę lub temat wiadomości, identyfikator wiadomości, nadawcę i inne elementy.
Anulowanie czynności
Możesz anulować czynności w narzędziu do analizy zagrożeń, zanim zostaną wykonane. Jeśli na przykład zainicjujesz działanie polegające na zawieszeniu kilku użytkowników, możesz kliknąć Anuluj u dołu strony narzędzia do analizy zagrożeń.
Jeśli anulujesz działanie zbiorcze, otrzymasz częściowe wyniki, jeśli działanie jest już w toku.
Uwaga: w przypadku działań związanych z eksportowaniem tylko administrator, który rozpoczął eksportowanie, może je anulować. W przypadku wszystkich innych działań administratorzy, którzy mają określone uprawnienia do wykonywania działań na danych związanych z działaniem, takich jak Dysk, Gmail lub Urządzenia mobilne, mogą anulować działanie.
Spróbuj ponownie wykonać działania
Podczas wykonywania działania zbiorczego mogą czasami wystąpić błędy wyszukiwania, na przykład jeśli niektórzy użytkownicy nie zostaną uwzględnieni w wynikach wyszukiwania. Jeśli tak się stanie, możesz spróbować ponownie:
- Po wykonaniu działania w narzędziu do analizy zagrożeń kliknij WYŚWIETL SZCZEGÓŁY.
- W panelu Szczegóły działania kliknij PONÓW.
- Kliknij działanie w oknie ponawiania, na przykład kliknij OZNACZ JAKO SPAM.
Eksportowanie wyników wykonania czynności do pliku Arkuszy w folderze Mój dysk
Aby zapisać wyniki wykonania czynności w folderze Mój dysk:
- Kliknij przycisk Eksportuj u góry tabeli z wynikami.
- Wpisz nazwę zadania eksportu.
- Kliknij Export (Eksportuj).
Wyświetlanie wyników wykonania czynności
Podczas wyświetlania wyeksportowanych wyników czynności weź pod uwagę te informacje:
- Kliknięcie przycisku Eksportuj u góry tabeli powoduje utworzenie pliku Arkuszy Google w folderze Mój dysk. Ten arkusz zawiera wyniki działań. W zależności od liczby wyników proces eksportowania może trochę potrwać. Może też zostać utworzonych wiele plików Arkuszy Google. Limit liczby eksportowanych wyników wynosi 30 milionów wierszy.
- Podczas eksportowania tworzone są tymczasowe pliki Arkuszy Google, np. TMP-1-<tytuł>. Jeśli powstaje wiele takich plików, są one nazywane kolejno TMP-2-<tytuł>, TMP-3-<tytuł> itd. Po zakończeniu procesu eksportowania nazwy plików są automatycznie zmieniane na: <tytuł> [1 z N], <tytuł> [2 z N] itd. Jeśli wyeksportowane dane zawiera tylko jeden arkusz Google, nazwa pliku zostanie zmieniona na <tytuł>.
- Uprawnienia do udostępniania plików z wyeksportowanymi wynikami działań są zgodne z konfiguracją domeny. Jeśli na przykład utworzone pliki domyślnie są udostępniane wszystkim osobom w firmie, to wyeksportowane dane też będą miały takie ustawienie widoczności.