Події в журналах Cloud Search

Залежно від версії Google Workspace ви можете мати доступ до інструмента "Аналіз безпеки", у якому доступні розширені функції. Наприклад, суперадміністратори можуть виявляти, сортувати й усувати проблеми з безпекою і конфіденційністю. Докладніше

Як адміністратор організації ви можете шукати й усувати проблеми з безпекою, пов’язані з подіями в журналі Cloud Search. Наприклад, ви маєте змогу відстежувати записи про дії, пов’язані з пошуком, у Cloud Search, виконані користувачами з вашої організації в сервісах Google Workspace (зокрема, на Диску, у Контактах і Gmail) та сторонніх джерелах даних.

Як надсилати дані про події в журналі в Google Cloud

Ви можете надати Google Cloud доступ до даних про події. Якщо ввімкнути спільний доступ, дані передаватимуться в Cloud Logging, де ви зможете надсилати запити й переглядати журнали, а також керувати їх маршрутизацією і зберіганням.

Тип даних про події в журналі, які можна надсилати в Google Cloud, залежить від облікового запису Google Workspace, Cloud Identity або Essentials.

Як шукати події в журналі Cloud Search

Можливість виконання пошуку залежить від версії Google, прав адміністратора й джерела даних. Ви можете виконувати пошук усіх користувачів незалежно від їхньої версії Google Workspace.

Аудит і інструмент "Аналіз безпеки"

Щоб знайти події в журналі, спершу виберіть джерело даних, а потім додайте принаймні один фільтр.

1. Відкрийте Консоль адміністратора Google.

   Увійдіть за допомогою облікового запису адміністратора (не закінчується на @gmail.com).

2. In the Admin console, go to Menu  ReportingAudit and investigationCloud Search log events.
3. Натисніть Додати фільтр і виберіть атрибут.
4. У спливаючому вікні виберіть оператор виберіть значення натисніть Застосувати.
   • (Необов’язково) Щоб створити кілька фільтрів для пошукового запиту, виконайте цей крок потрібну кількість разів.
   • (Необов’язково) Щоб додати оператор пошуку, над пунктом Додати фільтр виберіть І чи АБО.
   • (Необов’язково) Щоб створити кілька фільтрів для пошукового запиту, виконайте цей крок потрібну кількість разів.
   • (Необов’язково) Щоб додати оператор пошуку, над пунктом Додати фільтр виберіть І чи АБО.
5. Натисніть Пошук.

6. Підказка. Щоб фільтрувати результати пошуку, на вкладці Фільтр можна включити прості пари параметрів і значень. Крім того, на вкладці Конструктор умов фільтри представлено як умови з операторами І/АБО.

Інструмент аналізу безпеки

Ця функція підтримується в таких версіях: Frontline Standard, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus і Cloud Identity Premium. Порівняти свою версію з іншими

Щоб виконати пошук в інструменті "Аналіз безпеки", спершу виберіть джерело даних. Потім виберіть принаймні одну умову для пошуку. Для кожної умови виберіть атрибут, оператор і значення. 

1. Відкрийте Консоль адміністратора Google.

   Увійдіть за допомогою облікового запису адміністратора (не закінчується на @gmail.com).

2. У Консолі адміністратора натисніть значок Безпека Центр безпеки Інструмент "Аналіз безпеки".
3. Натисніть Джерело даних і виберіть Події в журналі Cloud Search.
4. Натисніть Додати умову.
   Підказка. Ви можете вказати одну чи кілька умов у своєму пошуковому запиті або налаштувати пошук за допомогою вбудованих запитів. Щоб дізнатися більше, перегляньте цю статтю.
5. Натисніть Атрибут виберіть потрібний варіант.
   Повний список атрибутів наведено в розділі Описи атрибутів (далі на цій сторінці).
6. Виберіть оператор.
7. Введіть значення або виберіть значення зі списку.
8. (Необов’язково) Щоб додати інші умови пошуку, повторіть кроки 4–7.
9. Натисніть Пошук.
   Результати пошуку в інструменті "Аналіз безпеки" можна переглянути в таблиці внизу сторінки.
10. Необов’язково: щоб зберегти аналіз, натисніть значок введіть назву й опис натисніть Зберегти.

Примітки

• На вкладці Конструктор умов фільтри представлено як умови з операторами "І/АБО". Щоб фільтрувати результати пошуку, на вкладці Фільтр можна включити прості пари параметрів і значень.
• Якщо змінити ім’я користувача, пошук за його старим іменем не дасть результатів. Наприклад, якщо [e-mail] перейменувати на [e-mail], у результатах пошуку не буде подій, пов’язаних із [e-mail].

Опис атрибутів

Для цього джерела даних можна використовувати такі атрибути під час пошуку даних про події в журналі:

Attribute	Description
Actor	Email address of the user who performed the action
Actor group name	Назва групи виконавця Щоб дізнатися більше, перегляньте статтю Фільтрування результатів за групами Google. Щоб додати групу до списку дозволених, виконайте наведені нижче дії. Виберіть Назва групи. Натисніть Групи фільтрування. Відкриється відповідна сторінка. Натисніть Додати групи. Знайдіть групу, ввівши перші кілька символів її назви або електронної адреси. Виберіть потрібну групу. (Необов’язково) Щоб додати іншу групу, знайдіть і виберіть її. Вибравши групи, натисніть Додати. (Необов’язково) Щоб вилучити групу, натисніть значок . Натисніть Зберегти.
Actor organizational unit	Organizational unit of the actor
Date	Date and time the event occurred (displayed in your browser's default time zone)
Event	The logged event action, such as Search, Suggest, or List query sources
Service name	Name of the service handling the API call
Method name	Name of the method handling the API call
API call response status code	Response status code of the API call
Search request search application ID	Search application ID sent in the search request
Search request query	Query sent in the search request
Number of results in search response	Number of results sent in the search response
Suggest request search application ID	Search application ID sent in the suggest request
Suggest request query	Query sent in the suggest request
Number of results in suggest response	Number of results sent in the suggest response
List query sources search application ID	Search application ID send in the list query sources request
Number of results in list query sources response	Number of results sent in the list query sources response

Як керувати даними про події в журналі

Як керувати стовпцями даних у результатах пошуку

Ви можете вибрати, які стовпці даних показуватимуться в результатах пошуку.

1. У верхньому правому куті таблиці з результатами пошуку натисніть значок .
2. (Необов’язково) Щоб вилучити поточні стовпці, натисніть значок .
3. (Необов’язково) Щоб додати стовпці, поруч з опцією Додати новий стовпець натисніть значок і виберіть стовпець даних.
   За потреби виконайте ці кроки ще раз.
4. (Необов’язково) Щоб змінити порядок стовпців, перетягніть назви стовпців даних.
5. Натисніть Зберегти.

Як експортувати дані результатів пошуку

Результати пошуку можна експортувати в Google Таблиці або файл CSV.

1. Угорі таблиці з результатами пошуку натисніть Експортувати все.
2. Введіть назву натисніть Експортувати.
   Експорт даних відображається під таблицею з результатами пошуку Результати експорту дій.
3. Щоб переглянути дані, натисніть назву експорту.
   Після цього відкриється сервіс Google Таблиці.

На експорт накладаються різні обмеження.

• Усього можна експортувати не більше ніж 100 000 рядків (за винятком пошукових запитів у Gmail, які мають обмеження до 10 000 рядків).
• Ця функція підтримується в таких версіях: Frontline Standard, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus і Cloud Identity Premium. Порівняти свою версію з іншими

  Якщо ви користуєтесь інструментом аналізу безпеки, загальна кількість результатів експорту обмежується 30 мільйонами рядків (за винятком пошукових запитів у Gmail, які мають обмеження до 10 000 рядків).

Щоб дізнатися більше, перегляньте статтю про те, як експортувати результати пошуку.

Коли дані стануть доступними й на який строк

Перегляньте статтю Збереження даних і час затримки.

Які дії можна виконувати на основі результатів пошуку

Як створити правила для дій і налаштувати сповіщення

• Ви можете налаштувати сповіщення на основі даних про події в журналі за допомогою правил звітування. Вказівки можна переглянути в цій статті.
• Ця функція підтримується в таких версіях: Frontline Standard, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus і Cloud Identity Premium. Порівняти свою версію з іншими

  Щоб ефективніше виявляти й усувати проблеми з безпекою, а також запобігати їм, ви можете автоматизувати дії в інструменті "Аналіз безпеки", створивши правила для дій. Щоб налаштувати правило, задайте для нього умови, а потім укажіть, які дії слід виконувати за їх дотримання. Детальну інформацію і вказівки можна переглянути в цій статті.

Які дії можна виконувати на основі результатів пошуку

Ця функція підтримується в таких версіях: Frontline Standard, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus і Cloud Identity Premium. Порівняти свою версію з іншими

Результати пошуку, отримані за допомогою інструмента "Аналіз безпеки", можна використовувати для різних цілей. Наприклад, ви можете виконати пошук на основі подій у журналі Gmail, а потім за допомогою інструмента видалити певні повідомлення, перемістити їх у карантин або надіслати користувачам у папки "Вхідні". Щоб дізнатися більше про дії, які можна виконувати на основі результатів пошуку, перегляньте цю статтю.

Як керувати аналізами

Ця функція підтримується в таких версіях: Frontline Standard, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus і Cloud Identity Premium. Порівняти свою версію з іншими

Як переглянути список результатів аналізів

Щоб переглянути список результатів аналізів, які належать вам або до яких вам надали доступ, натисніть значок . Цей список містить назви, описи й імена власників результатів аналізів, а також дату їх останньої зміни. 

На сторінці зі списком можна виконувати дії з будь-якими аналізами, які вам належать (наприклад, видаляти їх). Поставте прапорець біля потрібного аналізу й натисніть Дії.

Примітка. Нещодавно збережені результати аналізів можна переглянути безпосередньо над їх списком у розділі Швидкий доступ.

Як налаштувати параметри аналізів

Увійдіть у систему як суперадміністратор і натисніть значок . У цьому меню можна виконати наведені нижче дії.

• Змінити часовий пояс для аналізів. Часовий пояс застосовується до умов і результатів пошуку.
• Увімкнути чи вимкнути параметр Запит на перевірку. Щоб дізнатися більше про перевірку масових дій, перегляньте цю статтю.
• Увімкнути чи вимкнути параметр Перегляд контенту. Завдяки цьому налаштуванню адміністратори з відповідними правами матимуть змогу переглядати контент.
• Увімкнути чи вимкнути параметр Увімкніть обґрунтування дії.

Вказівки й докладні відомості про налаштування параметрів для проведення аналізів наведено в цій статті.

Як видаляти й копіювати результати аналізу, а також ділитися ними

Щоб зберегти критерії пошуку або поділитися ними з іншими користувачами, ви можете створити аналіз, зберегти його результати, а потім копіювати чи видалити його або поділитися ним з іншими.

Дізнатися більше про зазначені вище дії ви можете в цій статті.

Пов’язані теми для Центру безпеки

• Як почати аналіз за допомогою діаграми на інформаційній панелі
• Як створити спеціальну діаграму на основі аналізу
• Як почати аналіз у Центрі сповіщень
• Як аналізувати повідомлення про шкідливі електронні листи
• Як аналізувати доступ до файлів
• Як аналізувати дані про користувача з різних джерел