Eventos de registro de Gmail

Herramienta de investigación de seguridad

Ediciones compatibles con la fuente de datos Eventos de registro de Gmail en la herramienta de investigación:
Enterprise Plus y Education Plus

Como administrador de tu organización, puedes usar la herramienta de investigación de seguridad para hacer búsquedas relacionadas con los eventos de registro de Gmail y tomar medidas según los resultados de búsqueda. En la herramienta de investigación, puedes consultar un registro de las acciones para ver la actividad de los usuarios y de los administradores de tu organización en Gmail. Por ejemplo, puedes ver cuándo se clasifican correos como spam, cuándo se retiran de la cuarentena o cuándo se envían a la cuarentena de administrador. Si tienes los privilegios adecuados en la herramienta de investigación, también puedes ver el contenido de un mensaje de Gmail como parte de la investigación.

Además, puedes hacer una búsqueda por eventos de registro de Gmail y luego utilizar la herramienta para tomar algunas medidas, como eliminar mensajes específicos, marcar mensajes como spam o suplantación de identidad (phishing), enviar mensajes a cuarentena o enviarlos a las bandejas de entrada de los usuarios.

Acceso a la herramienta de investigación de seguridad

La herramienta de investigación de seguridad requiere un Edición premium de Google Workspace (Enterprise Standard, Enterprise Plus o Education Plus).
Con el navegador Chrome, puedes acceder a los registros de las aplicaciones de Google que hayas instalado. Por ejemplo, Gmail.
La posibilidad de hacer una búsqueda en la herramienta de investigación depende de la edición de Google, de los privilegios de administrador y de la fuente de datos. Si no puedes hacer una búsqueda en la herramienta de investigación en una fuente de datos concreta, en su lugar, puedes usar la página de auditoría e investigación.
Puedes hacer búsquedas en la herramienta de investigación sobre cualquier usuario, independientemente de la edición de Google que tenga.

Buscar eventos de registro de Gmail

Para hacer una búsqueda en la herramienta de investigación, primero debes elegir una fuente de datos. A continuación, debes elegir una o varias condiciones para la búsqueda. Elige un atributo, un operador y un valor para cada condición.

Inicia sesión en la consola de administración de Google.
Utiliza tu cuenta de administrador (no termina en @gmail.com).
En la consola de administración, ve a Menú SeguridadCentro de SeguridadHerramienta de investigación.
Haz clic en Fuente de datos y selecciona Eventos de registro de Gmail.
Haz clic en Añadir condición.
Nota: Puedes incluir una o varias condiciones en tu búsqueda o personalizarla con consultas anidadas. Consulta más información en el artículo Personalizar la búsqueda con consultas anidadas.
Haz clic en Atributoselecciona una opción.
Para ver una lista completa de los atributos, consulta la sección Descripciones de atributos que aparece abajo.
Haz clic en Contieneselecciona un operador.
Introduce un valor o selecciona uno en la lista desplegable.
(Opcional) Para añadir más condiciones de búsqueda, repite los pasos del 4 al 7.
Haz clic en Buscar.
Los resultados de búsqueda de la herramienta de investigación se muestran en una tabla en la parte inferior de la página.
(Opcional) Para guardar la investigación, haz clic en Guardarintroduce un título y una descripciónhaz clic en Guardar.

Nota:

En la pestaña Creador de condiciones, los filtros se representan como condiciones con los operadores AND/OR. En la pestaña Filtro también puedes incluir pares simples de parámetros y valores para filtrar los resultados de búsqueda.
Si has asignado un nuevo nombre a un usuario, en la consulta no aparecerán los resultados correspondientes a su nombre antiguo. Por ejemplo, si has cambiado NombreAntiguo@example.com a NuevoNombre@example.com, no aparecerán resultados de eventos relacionados con NombreAntiguo@example.com.

Descripciones de atributos

En esta fuente de datos, puedes usar los siguientes atributos cuando busques datos de eventos de registro:

Atributo	Descripción
Extensión del archivo adjunto	ID del navegador Chrome.
Hash del archivo adjunto	Hash SHA256 del archivo adjunto
Familia de software malicioso de archivos adjuntos	Categoría de malware, si se detecta al gestionar el mensaje (por ejemplo, El contenido puede ser dañino, Programa de malware conocido o Virus/Gusano)
Nombre del archivo adjunto	El nombre del archivo adjunto
Tipo de cliente	Tipo de cliente de Gmail (por ejemplo, web, Android, iOS o POP3)
Fecha	Fecha y hora en las que se ha producido el evento (se muestran en la zona horaria predeterminada de tu navegador)
Delegado	Dirección de correo del usuario delegado que ha realizado la acción en nombre del propietario
Identificador de sesión del dispositivo	El ID único generado en una sesión de usuario de cliente de correo
Dominio DKIM	El dominio autenticado mediante el mecanismo DKIM (Domain Keys Identified Mail)
Dominio	El dominio en el que se ha producido la acción
Evento	La acción del evento registrado, como Descarga de archivo adjunto, Clic en enlace, Enviar o Ver*.
De (sobre)	Dirección envolvente del remitente
De (dirección de encabezado)	Dirección del encabezado del remitente tal como aparece en los encabezados de los mensajes; por ejemplo, usuario@example.com
De (nombre de encabezado)	Nombre visible del encabezado del remitente, tal como aparece en el encabezado del mensaje
Geolocalización	Código de país ISO según la IP de relay
Tiene un archivo adjunto	El correo incluye un archivo adjunto
Tiene delegado	Indica si un usuario delegado ha realizado la acción en nombre del propietario o no
Dirección IP	Dirección IP del cliente de correo que ha iniciado el mensaje o que ha interactuado con él
Enlazar dominio	Dominios que se extraen de las URLs de enlaces presentes en el cuerpo del mensaje
ID de mensaje	El ID único de mensaje que se encuentra en el encabezado del mensaje
ID de proyecto OAuth	ID del proyecto de la consola de Cloud del desarrollador que se ha autenticado con OAuth
Propietario	Propietario del mensaje de correo. En el caso de los mensajes entrantes, es el destinatario. En los mensajes salientes, es el remitente.
Dominio de remitente	El dominio del remitente
Clasificación como spam	Clasificación como spam del mensaje de correo; por ejemplo, Spam, Malware, Phishing, Sospechoso o Limpio (no es spam).
Motivo de la clasificación como spam	El motivo por el que el mensaje se ha clasificado como spam; por ejemplo, Spam evidente, Regla personalizada, Reputación del remitente o Archivo adjunto sospechoso.
Dominio SPF	Nombre de dominio utilizado para la autenticación del marco de políticas del remitente (SPF)
Asunto	El asunto del correo
Hash de archivos adjuntos de destino	Información sobre el hash de archivos adjuntos SHA256 cuando un usuario interactúa con el archivo adjunto de un mensaje
Familia de software malicioso de los archivos adjuntos de destino	Información sobre la familia de malware de archivos adjuntos si los usuarios interactúan con el archivo adjunto de un mensaje. Por ejemplo, El contenido puede ser dañino, Programa malicioso conocido o Virus/Gusano.
Nombres de archivos adjuntos de destino	Información sobre el nombre del archivo adjunto si los usuarios interactúan con el archivo adjunto de un mensaje
ID de la unidad de destino	Información sobre el ID de Drive si los usuarios interactúan con el elemento de Drive de un mensaje
URL de enlace de destino	Información sobre la URL del enlace si los usuarios interactúan con el enlace de un mensaje
Para (sobre)	Dirección envolvente del destinatario
Fuente de tráfico	Indica si un correo se envía o se recibe de forma interna (dentro de tu dominio) o externamente
* No pueden crear reglas de actividad ni gráficos personalizados para el tipo de evento Ver.

Tomar medidas en función de los resultados de búsqueda

Después de hacer una búsqueda en la herramienta de investigación, puedes tomar medidas con respecto a los resultados. Por ejemplo, puedes hacer una búsqueda por eventos de registro de Gmail y luego usar la herramienta para eliminar mensajes específicos, enviar mensajes a cuarentena o enviarlos a las bandejas de entrada de los usuarios. Puedes consultar más información sobre lo que puedes hacer en la herramienta de investigación en el artículo Tomar medidas en función de los resultados de búsqueda.

Crear reglas de actividad y configurar alertas

Crea reglas de actividad para automatizar acciones en la herramienta de investigación y configurar alarmas, y así prevenir, detectar y solucionar problemas de seguridad de un modo más eficiente. Para crear una regla, configura sus condiciones y, a continuación, especifica qué acciones deben realizarse cuando esas condiciones se cumplan. Para obtener más información e instrucciones, consulta cómo crear y gestionar reglas de actividad.

Gestionar tus investigaciones

Ver la lista de investigaciones

Para ver tus propias investigaciones y las que se han compartido contigo, haz clic en Ver investigaciones. La lista de investigaciones contiene los nombres, las descripciones y los propietarios de las investigaciones, así como la fecha de la modificación más reciente.

En esta lista, puedes actuar sobre cualquiera de tus investigaciones, por ejemplo, para eliminar una de ellas. Marca la casilla de una investigación y haz clic en Acciones.

Nota: Justo encima de la lista de investigaciones, en Acceso rápido, puedes ver las investigaciones que se han guardado recientemente.

Configurar los ajustes de las investigaciones

Como superadministrador, haz clic en Configuración para hacer lo siguiente:

Cambiar la zona horaria de tus investigaciones. La zona horaria se aplica a las condiciones y a los resultados de búsqueda.
Activar o desactivar la opción Exigir revisor. Consulta más información en el artículo Exigir revisores en acciones en bloque.
Activar o desactivar la opción Ver contenido. Esta opción permite que los administradores que tengan el privilegio adecuado vean el contenido de correos.
Activar o desactivar la opción Habilitar justificación de acciones.

Para obtener instrucciones y más información, consulta el artículo Configurar los ajustes de las investigaciones.

Gestionar columnas en los resultados de búsqueda

Puedes controlar qué columnas de datos quieres que aparezcan en los resultados de búsqueda.

En la parte superior derecha de la tabla de resultados de búsqueda, haz clic en Gestionar columnas .
(Opcional) Para quitar columnas, haz clic en Quitar elemento .
(Opcional) Para añadir columnas, junto a Añadir nueva columna, haz clic en la flecha hacia abajoy selecciona la columna de datos.
Repite el proceso tantas veces como sea necesario.
(Opcional) Para cambiar el orden de las columnas, arrastra sus nombres.
Haz clic en Guardar.

Exportar datos de resultados de búsqueda

En la parte superior de la tabla de resultados de búsqueda, haz clic en Exportar todo.
Introduce un nombrehaz clic en Exportar.
La exportación se muestra debajo de la tabla de resultados de búsqueda, en Resultados de la acción Exportar.
Para ver los datos, haz clic en el nombre de tu exportación.
La exportación se abrirá en Hojas de cálculo de Google.

Cuando veas resultados de búsqueda exportados, ten en cuenta los siguientes factores:

Al hacer clic en Exportar todo en la parte superior de la tabla, en la carpeta Mi unidad se crea una hoja de cálculo de Google con los resultados de búsqueda. En función del tamaño de los resultados, puede que se tarde un rato en exportar toda la información. Además, es posible que se creen varias hojas de cálculo. Como máximo, los resultados de la exportación pueden tener 30 millones de filas, excepto los resultados de búsqueda de mensajes de Gmail, que solo pueden incluir 1,25 millones de filas.
Mientras la exportación está en curso, las hojas de cálculo de Google que se crean tienen un nombre temporal, como TMP-1-<título>. Si se crean varias hojas de cálculo de Google, los archivos adicionales se denominan TMP-2-<título>, TMP-3-<título>, y así sucesivamente. Una vez completado el proceso de exportación, los archivos cambian de nombre automáticamente y pasan a llamarse <título> [1 de N], <título> [2 de N], etc. Si los datos se exportan a una única hoja de cálculo, el nombre del archivo pasará a ser <título>.
Los archivos que tienen los resultados de búsqueda exportados heredan la configuración de uso compartido del dominio. Por ejemplo, si los archivos que se crean se comparten con todos los usuarios de forma predeterminada, los datos exportados también tendrán este tipo de visibilidad.

Para guardar tus criterios de búsqueda o compartirlos con otros usuarios, puedes crear y guardar una investigación y, a continuación, compartirla, duplicarla o eliminarla.

Para obtener más información, consulta el artículo Guardar, compartir, eliminar y duplicar investigaciones.

¿Cuándo están disponibles los datos y durante cuánto tiempo?

Para obtener más información sobre las fuentes de datos, consulta el artículo Plazos de conservación y periodos de retraso de los datos.

Temas relacionados

¿Te ha resultado útil esta información?

¿Cómo podemos mejorar esta página?