טיפול באירועים על סמך תוצאות החיפוש

התכונה הזו נתמכת במהדורות הבאות: Frontline Standard ו-Frontline Plus,‏ Enterprise Standard ו-Enterprise Plus,‏ Education Standard ו-Education Plus,‏ Enterprise Essentials Plus ו-Cloud Identity Premium. השוואה בין המהדורות

אחרי שמבצעים חיפוש בכלי לחקירת אבטחה, אפשר לבצע כמה פעולות על סמך תוצאות החיפוש. לדוגמה, אפשר להריץ חיפוש שמבוסס על אירועים ביומן ב-Gmail, ואז להשתמש בכלי כדי למחוק הודעות ספציפיות, לסמן הודעות כספאם או פישינג, לשלוח הודעות להסגר או לשלוח הודעות לתיבות הדואר הנכנס של המשתמשים.

בסעיפים הבאים מפורטים ההוראות והפרטים על הפעולות הרבות שאפשר לבצע בכלי לחקירת אבטחה.

שימו לב:

• מקורות הנתונים הזמינים משתנים בהתאם למהדורת Google Workspace שבה אתם משתמשים.
• לפני שמבצעים פעולה על תוצאות החיפוש, יכול להיות שאדמינים בארגון יוכלו להזין טקסט של נימוק כדי לתעד את הסיבות לפעולות שלהם. סופר-אדמינים יכולים להפעיל את האפשרות הזו על ידי שינוי ההגדרות של כלי החקירה. הוראות מופיעות במאמר קביעת הגדרות של החקירות.
• אם מצמצמים את טווח התאריכים בחיפוש, התוצאות מופיעות מהר יותר בכלי לחקירה. לדוגמה, אם מצמצמים את החיפוש לאירועים שהתרחשו בשבוע האחרון, השאילתה מחזירה תוצאות מהר יותר מאשר בחיפוש שלא מוגבל לתקופה קצרה יותר.
• אם מתרחש זמן קצוב לתפוגה כשמבצעים עדכונים בכמות גדולה, צריך לצמצם את טווח התאריכים של החיפוש ולנסות שוב.

סוגי הפעולות בכלי החקירה

ביצוע פעולות בכמות גדולה בעזרת תוצאות החיפוש

בנוסף לבחירת פריטים בודדים בתוצאות החיפוש ולביצוע פעולות עליהם, אפשר לבצע פעולות בכמות גדולה על דף שלם, או לבצע פעולות בכמות גדולה על כל התוצאות בכל הדפים.

הערה: אם מתרחש זמן קצוב לתפוגה כשמבצעים עדכונים בכמות גדולה, צריך לצמצם את טווח התאריכים של החיפוש ואז לנסות שוב לבצע את העדכונים בכמות גדולה.

כדי לבצע עדכונים בכמות גדולה על תוצאות החיפוש בדף הנוכחי שמוצג:

1. לוחצים על תיבת הסימון בראש העמודה הימנית ביותר. הפעולה הזו מסמנת את כל התיבות בדף הנוכחי.
2. לוחצים על פעולות בסרגל הכותרת.

כדי לבצע פעולות בכמות גדולה על כל תוצאות החיפוש בכל הדפים:

1. לוחצים על תיבת הסימון בראש העמודה הימנית ביותר.
2. לוחצים על בחירת כל התוצאות. הפעולה הזו מסמנת את כל התיבות בכל הדפים של תוצאות החיפוש.

3. לוחצים על פעולות בסרגל הכותרת.

   הערה: אם תלחצו על הדף הבא בתוצאות החיפוש במהלך התהליך הזה, כל התיבות בכל הדפים של תוצאות החיפוש יבוטלו ותצטרכו להתחיל מחדש.

בדיקת הסטטוס של עדכונים בכמות גדולה

אפשר לבדוק את הסטטוס של משימות גדולות במסוף Google Admin כדי לראות אם הן עדיין בתהליך או שהן הסתיימו.

לדוגמה, אם אחת מהפעולות בכמות גדולה בכלי החקירה נמשכת זמן רב, אפשר לצאת ממסוף Admin ולחזור מאוחר יותר כדי לבדוק את סטטוס הפעולה.

בחלק העליון של מסוף Admin, לוחצים על משימות כדי לראות את הסטטוס של המשימות הגדולות.

פרטים נוספים מופיעים גם במאמר בנושא בדיקת הסטטוס של משימות גדולות.

שינוי ציר (pivot) על סמך עמודות בתוצאות החיפוש

אפשר להשתמש בסיבוב נתונים (pivot) לפי עמודות בתוצאות החיפוש של כלי החקירה כדי לראות נתונים על פריט שקשור למקור נתונים אחר. לדוגמה, אפשר להריץ חיפוש שמבוסס על אירועים ביומן ב-Gmail, ואז ללחוץ על נמען כלשהו בעמודה 'נמען' כדי ליצור שאילתת אירועים ב-Drive לפי בעלים. כך תוכלו לנתח נתונים על משתמש ספציפי משני מקורות נתונים שונים – אירועים ביומן של Gmail ואירועים ביומן של Drive.

כדי לעבור מתוצאות החיפוש של אירוע ביומן של Gmail לאירוע ביומן של Drive:

1. אחרי שמריצים חיפוש בכלי לחקירת אבטחה, מעבירים את העכבר מעל המשתמש הרלוונטי בעמודה 'נמען'.
2. לוחצים על סמל התפריט (שלוש נקודות אנכיות) של המשתמש.
3. בוחרים באפשרות אירועים ביומן של Drive בעלים. הקריטריונים לחיפוש מוזנים אוטומטית כשמחפשים אירועים ביומן של Drive.
4. אפשר לכלול בחיפוש תנאים נוספים, למשל Title (שם) או Visibility (חשיפה).
5. לוחצים על חיפוש.

אפשר לבצע פעולות נוספות של שינוי נקודת המבט על הרבה פריטים בתוצאות החיפוש. לדוגמה, אפשר להשתמש בסיבוב כדי להציג את כל העמודה, או להציג את הנושא של ההודעה, מזהה ההודעה, השולח ועוד.

ביטול פעולות

אפשר לבטל פעולות בכלי החקירה לפני שהן מסתיימות. לדוגמה, אם התחלתם פעולה להשעיית כמה משתמשים, תוכלו ללחוץ על ביטול בתחתית הדף 'חקירה'.

אם מבטלים עדכונים בכמות גדולה, מקבלים תוצאות חלקיות אם הפעולה כבר בעיצומה.

הערה: בפעולות ייצוא, רק האדמין שהתחיל את הייצוא יכול לבטל אותו. לגבי כל הפעולות האחרות, אדמינים שיש להם הרשאות ספציפיות לביצוע פעולה על הנתונים שרלוונטיים לפעולה – כמו Drive,‏ Gmail או נייד – יכולים לבטל את הפעולה.

ניסיון חוזר של פעולות

כשמבצעים עדכונים בכמות גדולה, יכול להיות שתיתקלו מדי פעם בשגיאות חיפוש. לדוגמה, אם חלק מהמשתמשים לא נכללים בתוצאות החיפוש. אם זה קורה, אפשר לנסות שוב את הפעולות:

1. אחרי שמבצעים פעולה בכלי לחקירה, לוחצים על הצגת פרטים.
2. בחלונית פרטי הפעולה, לוחצים על ניסיון חוזר.
3. לוחצים על הפעולה בחלון הניסיון החוזר – לדוגמה, לוחצים על סימון כספאם.

ייצוא תוצאות של פעולות לקובץ Sheets בתיקייה 'האחסון שלי'

כדי לשמור את תוצאות הפעולה בתיקייה 'האחסון שלי':

1. לוחצים על הלחצן ייצוא בחלק העליון של הטבלה עם תוצאות הפעולה.
2. מקלידים שם לייצוא.
3. לוחצים על ייצוא.

צפייה בתוצאות של פעולות שיוצאו

כשמעיינים בתוצאות של פעולות שיוצאו, חשוב לשים לב לנקודות הבאות:

• אחרי שלוחצים על לחצן הייצוא בחלק העליון של הטבלה, נוצר גיליון Google Sheets בתיקייה 'האחסון שלי' שכולל את תוצאות הפעולה. תהליך הייצוא עשוי להימשך זמן מה, בהתאם לגודל התוצאות, ויכול להיות שייווצרו כמה גיליונות אלקטרוניים של Google Sheets. מספר השורות הכולל של התוצאות שאתם יכולים לייצא מוגבל ל-30 מיליון שורות.
• במהלך הייצוא, נוצרים גיליונות אלקטרוניים ב-Google Sheets עם שם זמני – לדוגמה, TMP-1-<title>. אם נוצרים כמה גיליונות אלקטרוניים ב-Google Sheets, קבצים נוספים מקבלים את השמות TMP-2-<title>,‏ TMP-3-<title> וכן הלאה. בסיום תהליך הייצוא, שמות הקבצים משתנים אוטומטית ל: <title> [1 of N],‏ <title> [2 of N] וכן הלאה. אם רק גיליון אלקטרוני אחד ב-Google Sheets מכיל את הנתונים שיוצאו, שם הקובץ ישונה ל-<title>.
• הרשאות השיתוף של קבצים עם תוצאות הפעולה המיוצאות נקבעות לפי הגדרות הדומיין שלכם. לדוגמה, אם כברירת מחדל הקבצים שנוצרים ישותפו עם כל העובדים בחברה, גם הנתונים המיוצאים יהיו גלויים לכולם.