Logghändelser för Gmail

Verktyg för säkerhetsutredning

Utgåvor som stöds för datakällan för Gmail-logghändelser i utredningsverktyget:
Enterprise Plus, Education Plus

Som organisationens administratör kan du använda verktyget för säkerhetsutredningar för att köra sökningar som är relaterade till logghändelser i Gmail och vidta åtgärder baserat på sökresultat. Från utredningsverktyget kan du visa en lista över åtgärder för att se organisationens användar- och administratörsaktivitet i Gmail, till exempel när e-postmeddelanden klassificeras som skräppost, släpps från karantän eller skickas till administratörskarantän. Om du har relevant behörighet i utredningsverktyget kan du även visa innehållet i ett Gmail-meddelande som en del av en utredning.

Du kan även göra en sökning baserat på logghändelser i Gmail och använda utredningsverktyget för att vidta åtgärder, till exempel för att radera specifika meddelanden, markera meddelanden som skräppost eller nätfiske, sätta meddelanden i karantän eller skicka meddelanden till användarnas inkorgar.

Din åtkomst till verktyget för säkerhetsutredningar

De utgåvor som stöds för verktyget för säkerhetsutredningar är Enterprise Plus, Education Standard, Education Plus och Enterprise Essentials Plus.
Administratörer med Cloud Identity-premiumversion, Frontline Standard, Enterprise Standard och Education Standard kan också använda utredningsverktyget för en delmängd av datakällorna.
Möjligheten att göra en sökning i utredningsverktyget beror på din Google-utgåva, dina administrativa behörigheter och datakällan. Om du inte kan köra en sökning i utredningsverktyget för en viss datakälla kan du i allmänhet använda gransknings- och utredningssidan i stället. Mer information finns i Förbättrad granskning och utredning.
Du kan köra en sökning i utredningsverktyget på alla användare, oavsett vilken Google-utgåva de har.

Kör en sökning efter Gmail-logghändelser

Om du vill köra en sökning i utredningsverktyget väljer du först en datakälla. Du måste sedan välja ett eller flera villkor för sökningen. För varje villkor väljer du ett attribut, en operator och ett värde.

Logga in på Googles administratörskonsol.
Logga in med ditt administratörskonto (slutar inte på @gmail.com).
På administratörskonsolen går du till menyn SäkerhetSäkerhetscenterUtredningsverktyg.
Klicka på Datakälla och välj Gmail-logghändelser.
Klicka på Lägg till villkor.
Tips! Du kan inkludera ett eller flera villkor i din sökning eller anpassa sökningen med kapslade frågor. Mer information finns i Anpassa sökningen med kapslade frågor.
Klicka på Attribut välj ett alternativ.
En fullständig lista över attribut finns i avsnittet Attributbeskrivningar nedan.
Klicka på Innehållervälj en operator.
Ange ett värde eller välj ett värde på rullgardinsmenyn.
(Valfritt) Upprepa steg 4–7 om du vill lägga till fler sökvillkor.
Klicka på Sök.
Sökresultat i utredningsverktyget visas i en tabell längst ned på sidan.
(Valfritt) Om du vill spara utredningen klickar du på Spara ange titel och beskrivningklicka på Spara.

Obs!

På fliken Villkorsverktyg visas filter som villkor med OCH/ELLER-operatorer. Du kan även använda fliken Filter för att inkludera enkla parameter- och värdepar för att filtrera sökresultaten.
Om du har gett en användare ett nytt namn ser du inte sökresultat med användarens gamla namn. Om du exempelvis byter namn på GammaltNamn@exempel.com till NyttNamn@exempel.com ser du inga resultat för händelser som rör GammaltNamn@exempel.com.

Attributbeskrivningar

För denna datakälla kan du använda följande attribut när du söker efter logghändelsedata:

Attribute	Description
Attachment extension	ID of the Chrome browser
Attachment hash	SHA256 hash of the attachment
Attachment malware family	Malware category, if detected when the message is handled—for example, Content may be harmful, Known malicious program, or Virus/worm
Attachment name	Name of the attachment
Date	Date and time of the event (displayed in your browser's default time zone)
Delegate	Email address of the delegate user who performed the action on the owner's behalf
DKIM domain	The domain authenticated with the DKIM (Domain Keys Identified Mail) mechanism
Domain	The domain where the action occurred
Event	The logged event action, such as Attachment download, Link click, or Send.
From (Envelope)	Sender's envelope address
From (Header address)	Sender's header address as it appears in the message headers, for example, user@example.com
From (Header name)	Sender's header display name as it appears in the message header
Geo location	ISO country code based on the relay IP
Has attachment	Email includes an attachment
Has delegate	Whether or not there was a delegate user who performed the action on the owner's behalf
IP address	IP address of the mail client that started or interacted with the message
Link domain	Domain(s) extracted from link URLs in the message body
Message ID	The unique message ID located in the message header
OAuth project ID	Cloud console project ID of the developer who authenticated with OAuth
Owner	Owner of the email message. For an inbound message it's the recipient. For an outbound message it's the sender.
Sender domain	Domain of the sender
Spam classification	Spam classification of the email message—for example, Spam, Malware, Phishing, Suspicious, or Clean (not spam)
Spam classification reason	Reason for the message being classified as spam—for example, Blatant spam, Custom rule, Sender reputation, or Suspicious attachment
SPF domain	Domain name used for Sender Policy Framework (SPF) authentication
Subject	The email subject line
Target attachment hash	Information about the SHA256 attachment hash if a user interacts with a message's attachment
Target attachment malware family	Information about the attachment malware family if users interact with a message's attachment—for example, Content may be harmful, Known malicious program, or Virus/worm
Target attachment name	Information about the attachment name if users interact with a message's attachment
Target drive ID	Information about the Drive ID if users interact with a message's Drive item
Target link URL	Information about the link URL if users interact with a message's link
To (Envelope)	Recipient's envelope address
Traffic source	Indicates if an email is sent/received internally (within your domain) or externally

Vidta åtgärder baserat på sökresultat

När du har gjort en sökning i utredningsverktyget kan du agera på sökresultaten. Du kan till exempel köra en sökning baserat på logghändelser i Gmail och använda utredningsverktyget för att radera specifika meddelanden, sätta meddelanden i karantän eller skicka meddelanden till användarnas inkorgar. Läs mer om åtgärder i utredningsverktyget i Vidta åtgärder baserat på sökresultat.

Skapa aktivitetsregler och konfigurera varningar

Förebygg, identifiera och åtgärda säkerhetsproblem effektivt genom att automatisera åtgärder i utredningsverktyget och konfigurera varningar genom att skapa aktivitetsregler. Konfigurera en regel, ange villkor för regeln och ange vilka åtgärder som ska utföras när villkoren är uppfyllda. Mer information och instruktioner finns i Skapa och hantera aktivitetsregler.

Hantera dina utredningar

Visa listan över utredningar

Visa en lista över utredningar som du äger och som har delats med dig genom att klicka på Visa utredningar . Utredningslistan innehåller utredningarnas namn, beskrivningar och ägare samt det datum då de senast ändrades.

I den här listan kan du vidta åtgärder för utredningar du äger. Du kan till exempel radera en utredning. Markera kryssrutan för en utredning och klicka sedan på Åtgärder.

Obs! Direkt ovanför listan över utredningar kan du under Snabbåtkomst se de undersökningar som nyligen har sparats.

Gör inställningar för dina undersökningar

Som avancerad administratör klickar du på Inställningar för att göra följande:

Ändra tidszon för dina undersökningar. Tidszonen tillämpas på sökvillkoren och resultaten.
Aktivera eller inaktivera Kräv granskare. Mer information finns i Kräv granskare för massåtgärder.
Aktivera eller inaktivera Visa innehåll. Med den här inställningen kan administratörer med relevant behörighet visa innehåll.
Slå på eller av Aktivera åtgärdsanpassning.

Anvisningar och detaljer finns i Konfigurera inställningar för undersökningar.

Hantera kolumner i sökresultaten

Du kan styra vilka datakolumner som visas i sökresultaten.

Klicka på Hantera kolumner uppe till höger i sökresultattabellen.
(Valfritt) Om du vill ta bort aktuella kolumner klickar du på Ta bort objekt .
(Valfritt) Om du vill lägga till kolumner klickar du på nedåtpilen bredvid Lägg till ny kolumn och väljer datakolumnen.
Upprepa vid behov.
(Valfritt) Om du vill ändra ordningen på kolumnerna drar du kolumnnamnet.
Klicka på Spara.

Exportera data från sökresultat

Klicka på Exportera alla högst upp i sökresultattabellen.
Ange ett namn klicka på Exportera.
Exporten visas nedanför sökresultattabellen under Exportera åtgärdsresultat.
Klicka på exportens namn om du vill visa informationen.
Exporten öppnas i Google Kalkylark.

Följ de här riktlinjerna när du visar exporterade sökresultat:

När du har klickat på knappen Exportera alla högst upp i tabellen skapas ett Google-kalkylark med sökresultaten i mappen Min enhet. Beroende på resultatens storlek kan exportprocessen ta lite tid och flera Google-kalkylark kan skapas. Gränsen för exporterade resultat är 30 miljoner rader (förutom när det gäller sökningar i Gmail-meddelanden, som begränsas till 1,25 miljoner rader).
Medan exportprocessen pågår skapas Google-kalkylarken med tillfälliga namn, till exempel TMP-1-<titel>. Om flera Google-kalkylark skapas får de ytterligare filerna namn som TMP-2-<titel>, TMP-3-<titel> och så vidare. När exportprocessen är klar ändras filnamnen automatiskt till: <titel> [1 av N], <titel> [2 av N] och så vidare. Om du bara har ett Google-kalkylark med exporterad data får filen namnet <titel>.
Delningsbehörigheterna för filer med de exporterade sökresultaten följer konfigurationen på domänen. Om standardinställningen till exempel är att alla filer som skapas delas med alla på företaget får även filerna med exporterad data den här synligheten.

Om du vill spara dina sökkriterier eller dela dem med andra kan du skapa och spara en utredning och sedan dela, duplicera eller radera den.

Mer information finns i Spara, dela, radera och duplicera utredningar.

När och hur länge är data tillgänglig?

Läs mer om datakällor i Datalagring och fördröjningar.

Relaterade ämnen

Var det här till hjälp?

Hur kan vi förbättra den?