Пользователи

Поддерживаемые версии для этой функции: Enterprise Standard и Enterprise Plus; Education Plus. Сравните вашу версию.

Как администратор, вы можете использовать инструмент расследования инцидентов безопасности для просмотра и анализа данных о пользователях в вашей организации в режиме реального времени. Например, используя источник данных «Пользователи», вы можете узнать, подключен ли пользователь к двухфакторной аутентификации, применяется ли двухфакторная аутентификация в организации пользователя, идентификатор заблокированного пользователя и многое другое.

Выполните поиск пользовательских данных

Возможность выполнения поиска зависит от вашей версии Google, ваших административных прав и источника данных. Вы можете выполнить поиск для всех пользователей, независимо от их версии Google Workspace.

Для выполнения поиска в инструменте анализа безопасности сначала выберите источник данных. Затем выберите одно или несколько условий для поиска. Для каждого условия выберите атрибут , оператор и значение .

  1. В консоли администратора Google перейдите в меню. а потом Безопасность а потом Центр безопасности а потом Инструмент расследования .

    Для этого требуются права администратора центра безопасности .

  2. Нажмите «Источник данных» и выберите «Пользователи» .
  3. Нажмите «Добавить условие» .
    Совет : Вы можете включить в поиск одно или несколько условий или настроить поиск с помощью вложенных запросов . Подробнее см. раздел «Настройка поиска с помощью вложенных запросов» .
  4. Атрибут клика а потом Выберите нужный вариант. Например, чтобы отфильтровать события по определенному типу, выберите «Событие» .
    Полный список атрибутов см. в разделе «Описание атрибутов» .
  5. Выберите оператора.
  6. Введите значение или выберите значение из списка.
  7. (Необязательно) Чтобы добавить дополнительные условия поиска, повторите шаги.
  8. Нажмите «Поиск» .
    Результаты поиска, полученные с помощью инструмента расследования, можно просмотреть в таблице внизу страницы.
  9. (Необязательно) Чтобы сохранить результаты расследования, нажмите «Сохранить». а потом Введите заголовок и описание. а потом Нажмите « Сохранить ».

Примечания

  • На вкладке «Конструктор условий» фильтры представлены в виде условий с операторами И/ИЛИ. Вы также можете использовать вкладку «Фильтр» для добавления простых пар параметр-значение для фильтрации результатов поиска.
  • Если вы присвоите пользователю новое имя, вы не увидите результаты запросов со старым именем пользователя. Например, если вы переименуете OldName@example.com в NewName@example.com , вы не увидите результаты для событий, связанных с OldName@example.com .
  • Поиск данных возможен только в сообщениях, которые еще не были удалены из Корзины.

Описание атрибутов

Для этого источника данных при поиске данных о событиях журнала можно использовать следующие атрибуты.

Атрибут Описание
Для организации введено правило 2SV. Внедряется ли в организации двухэтапная проверка подлинности (2-факторная аутентификация)?
Изменить пароль при входе в систему. Необходимо ли пользователям менять свой пароль при входе в систему?
Делегированный администратор Назначен ли пользователю администратор или нет
Электронная почта Адрес электронной почты пользователя, затронутого действием
Зачислен в 2SV Зарегистрирован ли пользователь в двухфакторной аутентификации.
Имя Имя пользователя, затронутого действием
Последний вход в систему В последний раз пользователь входил в систему.
Фамилия Фамилия пользователя, затронутого действием
Настройка почтового ящика Настроен ли почтовый ящик для пользователя или нет.
Организационная единица Организационное подразделение пользователя
Супер администратор Независимо от того, назначен ли пользователь в качестве суперадминистратора.
Приостановленный ID Идентификатор заблокированного пользователя

Принимайте меры на основе результатов поиска.

После выполнения поиска в инструменте анализа безопасности вы можете предпринять действия на основе результатов поиска. Например, вы можете выполнить поиск на основе событий журнала Gmail, а затем использовать инструмент для удаления определенных сообщений, отправки сообщений в карантин или отправки сообщений в почтовые ящики пользователей. Более подробную информацию о действиях в инструменте анализа безопасности см. в разделе «Действия на основе результатов поиска» .

Управляйте своими расследованиями

Просмотрите список ваших расследований

Чтобы просмотреть список расследований, которые принадлежат вам и которые были предоставлены вам, нажмите «Просмотреть расследования». Список расследований включает имена, описания и ответственных за расследования, а также дату последнего изменения.

Из этого списка вы можете выполнить действия с любыми расследованиями, которые находятся в вашем ведении, например, удалить расследование. Установите флажок для нужного расследования, а затем нажмите «Действия» .

Примечание: Непосредственно над списком ваших расследований, в разделе «Быстрый доступ» , Вы можете просмотреть недавно сохраненные расследования.

Настройте параметры для ваших расследований.

От имени суперадминистратора нажмите «Настройки». к :

  • Измените часовой пояс для ваших исследований. Часовой пояс применяется к условиям поиска и результатам.
  • Включите или выключите параметр «Требовать рецензентов» . Для получения более подробной информации перейдите в раздел «Требовать рецензентов для массовых действий» .
  • Включить или выключить отображение содержимого . Этот параметр позволяет администраторам с соответствующими правами просматривать содержимое.
  • Включить или выключить обоснование действий .

Инструкции и подробная информация доступны в разделе «Настройка параметров расследования» .

Управление столбцами в результатах поиска

Вы можете управлять тем, какие столбцы данных будут отображаться в результатах поиска.

  1. В правом верхнем углу таблицы результатов поиска нажмите «Управление столбцами». .
  2. (Необязательно) Чтобы удалить текущие столбцы, нажмите «Удалить элемент». .
  3. (Необязательно) Чтобы добавить столбцы, рядом с кнопкой «Добавить новый столбец» нажмите стрелку вниз. и выберите столбец с данными.
    Повторять по мере необходимости.
  4. (Необязательно) Чтобы изменить порядок столбцов, перетащите название столбца.
  5. Нажмите « Сохранить ».

Экспорт данных из результатов поиска

Результаты поиска в инструменте анализа безопасности можно экспортировать в Google Таблицы или в CSV-файл. Инструкции см. в разделе «Экспорт результатов поиска» .

Делиться, удалять и дублировать расследования.

Чтобы сохранить критерии поиска или поделиться ими с другими, вы можете создать и сохранить расследование, а затем поделиться им, скопировать или удалить его.

Для получения более подробной информации перейдите в раздел «Сохранение, предоставление доступа, удаление и дублирование расследований» .

Когда и как долго доступны данные?

Для получения дополнительной информации об источниках данных перейдите в раздел «Сохранение данных и сроки задержки» .