Afhankelijk van uw Google Workspace-versie heeft u misschien toegang tot de tool voor beveiligingsonderzoek, die geavanceerdere functies bevat. Hoofdbeheerders kunnen bijvoorbeeld beveiligings- en privacyproblemen identificeren, analyseren en er acties op ondernemen. Meer informatie
Logboekgebeurtenisgegevens doorsturen naar Google Cloud
U kunt ervoor kiezen informatie over logboekgebeurtenissen te delen met Google Cloud. Als u delen aanzet, worden gegevens doorgestuurd naar Cloud Logging. Hier kunt u logboeken bekijken en erin zoeken. Ook kunt u bepalen hoe logboeken worden gerouteerd en opgeslagen.
Zoeken naar logboekgebeurtenissen
Of u een zoekopdracht kunt uitvoeren, hangt af van uw Google-versie, uw beheerdersrechten en de gegevensbron. U kunt een zoekopdracht uitvoeren voor alle gebruikers, ongeacht hun Google Workspace-versie.
Controle- en onderzoekstool
Als u wilt zoeken naar logboekgebeurtenissen, kiest u eerst een gegevensbron. Kies daarna een of meer filters voor de zoekopdracht.
-
Log in bij de Google Beheerdersconsole.
Log in met uw beheerdersaccount (dit eindigt niet op @gmail.com).
-
Ga in de Beheerdersconsole naar Menu
Rapporten
Controle en onderzoek
- Klik op Een filter toevoegen en selecteer een kenmerk.
- Selecteer in het pop-upvenster een operator
- (Optioneel) Herhaal deze stap om meerdere filters voor de zoekopdracht te maken.
- (Optioneel) Als u een zoekoperator wilt toevoegen, selecteert u boven Een filter toevoegen de optie AND of OR.
- (Optioneel) Herhaal deze stap om meerdere filters voor de zoekopdracht te maken.
- (Optioneel) Als u een zoekoperator wilt toevoegen, selecteert u boven Een filter toevoegen de optie AND of OR.
- Klik op Zoeken.
-
Opmerking: Op het tabblad Filter kunt u eenvoudige parameter- en waardeparen toevoegen om de zoekresultaten te filteren. U kunt ook het tabblad Voorwaardenbuilder gebruiken, waar de filters worden weergegeven als voorwaarden met AND/OR-operators.
Tool voor beveiligingsonderzoek
Als u een zoekopdracht wilt uitvoeren in de tool voor beveiligingsonderzoek, kiest u eerst een gegevensbron. Kies daarna een of meer voorwaarden voor de zoekopdracht. Kies voor elke voorwaarde een kenmerk, een operator en een waarde.
-
Log in bij de Google Beheerdersconsole.
Log in met uw beheerdersaccount (dit eindigt niet op @gmail.com).
-
Ga in de Beheerdersconsole naar Menu
Beveiliging
- Klik op Gegevensbron en selecteer Gebeurtenissen in het beheerderslogboek.
- Klik op Voorwaarde toevoegen.
Tip: U kunt een of meer voorwaarden toevoegen aan de zoekopdracht of de zoekopdracht aanpassen met geneste zoekopdrachten. Zie Een zoekopdracht aanpassen met geneste zoekopdrachten voor meer informatie. - Klik op Kenmerk
Ga naar het gedeelte Kenmerkbeschrijvingen hieronder voor de volledige lijst met kenmerken. - Selecteer een operator
- Vul een waarde in of selecteer een waarde in het dropdownmenu.
- (Optioneel) Herhaal stap 4-7 om meer zoekvoorwaarden toe te voegen.
- Klik op Zoeken.
In de onderzoekstool staan de zoekresultaten in een tabel onderaan de pagina. - (Optioneel) Als u het onderzoek wilt opslaan, klikt u op Opslaan
Opmerking:
- Op het tabblad Voorwaardenbuilder worden filters weergegeven als voorwaarden met AND/OR-operatoren. U kunt ook het tabblad Filter gebruiken en eenvoudige parameter- en waardeparen toevoegen om de zoekresultaten te filteren.
- Als u een gebruiker een nieuwe naam heeft gegeven, ziet u geen queryresultaten met de oude naam. Als u bijvoorbeeld OudeNaam@example.com de naam NieuweNaam@example.com geeft, ziet u geen gebeurtenissen gerelateerd aan OudeNaam@example.com.
Kenmerkbeschrijvingen
Voor deze gegevensbron kunt u de volgende kenmerken gebruiken als u in gebeurtenisgegevens in logboeken zoekt:
| Kenmerk | Beschrijving |
|---|---|
| Actie(s)* | Actie(s) die zijn uitgevoerd door de beheerder via de tool voor beveiligingsonderzoek of met een activiteitsregel. Ga naar Acties uitvoeren op basis van zoekresultaten voor meer informatie over de acties die een beheerder kan uitvoeren. |
| Handelende gebruiker |
Het e-mailadres van de gebruiker die de activiteit heeft uitgevoerd. In plaats van een e-mailadres, ziet u misschien:
|
| Naam van handelende groep |
Groepsnaam van de handelende gebruiker. Ga naar Resultaten filteren op Google-groep voor meer informatie. Zo voegt u een groep toe op de toelatingslijst voor filtergroepen:
|
| Handelende organisatie-eenheid | Organisatie-eenheid van de handelende gebruiker |
| Meer informatie | Aanvullende contextuele gegevens voor de gebeurtenis. |
| Startdatum* | Gebruik Startdatum en Einddatum om gebeurtenissen met een specifieke begin- en einddatum te filteren, zoals gebeurtenissen in Diagramdetails. Opmerking: Gebruik het kenmerk Datum om naar gebeurtenissen binnen een bepaalde periode te zoeken. |
| Gegevensbron* | De gegevensbron in de onderzoekstool of meldingsbron in het Meldingencentrum. |
| Datum | De datum en tijd van de gebeurtenis (weergegeven in de standaard tijdzone van uw browser). |
| Apparaat-ID* | De ID van het apparaat waarop deze controlegebeurtenis van invloed is. Als een beheerder bijvoorbeeld een apparaat dat eigendom is van het bedrijf wist, staat de apparaat-ID in dit veld. |
| Apparaattype | Het type apparaat waarop deze controlegebeurtenis van invloed is. Als een beheerder bijvoorbeeld een apparaat dat eigendom is van het bedrijf wist, staat in dit veld het apparaattype |
| Domeinnaam | Het domein waar de actie heeft plaatsgevonden. |
| Einddatum* | Gebruik Startdatum en Einddatum om gebeurtenissen met een specifieke begin- en einddatum te filteren, zoals gebeurtenissen in Diagramdetails. Opmerking: Gebruik het kenmerk Datum om naar gebeurtenissen binnen een bepaalde periode te zoeken. |
| Gebeurtenis |
De actie voor de geregistreerde gebeurtenis, zoals Onderzoeksquery of Activiteitsregel gemaakt. Onder Gebeurteniswaarde worden de gebeurtenissen gegroepeerd op type, zoals Gebruikersinstellingen of Domeininstellingen. De meeste gebeurteniswaarden spreken voor zich. Bijvoorbeeld: App toevoegen onder Domeininstellingen is een zoekwaarde voor een app die is toegevoegd aan uw domein. U kunt naar gebeurtenissen zoeken in het zoekvak. Tip: Als u gebeurteniswaarden heeft die u vaak gebruikt, zet u die gebeurtenissen bovenaan het dropdownmenu vast. |
| Google Workspace-versie* | De Google Workspace-versie van de beheerder (handelende gebruiker) die de actie heeft uitgevoerd. |
|
E-mailadres groep |
E-mailadres van de Google-groep waarop deze activiteit van invloed is. |
| IP-adres | Internet Protocol-adres (IP) van de actie. Dit is meestal het IP-adres van de fysieke locatie van de gebruiker, maar het kan ook het adres van een proxyserver of een Virtual Private Network (VPN) zijn. |
| Reden* | Als er een reden is vereist voor de actie, de uitleg die is gegeven door de beheerder. |
| Bericht-ID* | De bericht-ID van het e-mailbericht waarop deze controlegebeurtenis van invloed is. |
| Nieuwe waarde* | Nieuwe waarde van de instelling voor het geval deze is geüpdatet |
| Oude waarde* | Oude waarde van de instelling voor het geval deze is geüpdatet |
| Bron-ID('s)* | ID('s) van een of meer bronnen waarop de controlegebeurtenis van invloed is. |
| Faciliteitnaam* | De naam van de faciliteit waarop de controlegebeurtenis van invloed is. |
| Faciliteittype* | Het type faciliteit waarop de controlegebeurtenis van invloed is. |
| Zoekopdracht | Query die wordt gebruikt om gegevens op te halen of te verwerken. Bijvoorbeeld: de query die u gebruikt om te zoeken in de onderzoekstool als u activiteitsregels maakt of een e-maildump maakt. |
| Naam instelling | De naam van de geüpdatete instelling |
| Naam organisatie-eenheid voor instelling | U kunt de instellingen in de Beheerdersconsole koppelen aan een organisatie-eenheid. Als u een instelling updatet en deze is gekoppeld aan een bepaalde organisatie-eenheid, staat de naam van de organisatie-eenheid in dit veld. |
| Doel* | Doel-e-mailadres voor de gebeurtenis. Bijvoorbeeld het bestemmings-e-mailadres als u een e-mailcontrole maakt of het e-mailadres van de verificateur als u een bulkactie uitvoert in de onderzoekstool. |
| Totale aantal getroffen* | Het totale aantal entiteiten waarop de controlegebeurtenis van invloed is. Bijvoorbeeld: het aantal gebruikers dat is geüpload toen gebruikers in bulk werden geüpload naar een groep, of het aantal acties dat is geactiveerd door een trigger voor een activiteitsregel. Dit is een contextueel veld dat afhankelijk is van de gebeurtenis. |
| Totale aantal mislukt* | Totaal aantal mislukte bewerkingen. Bijvoorbeeld: het aantal gebruikers dat niet is geüpload toen gebruikers in bulk werden geüpload naar een groep, of het aantal acties dat is niet is geactiveerd door een trigger voor een activiteitsregel. Dit is een contextueel veld dat afhankelijk is van de gebeurtenis. |
| E-mailadres van gebruiker | Het e-mailadres van de gebruiker die de activiteit heeft uitgevoerd. |
Opmerking: Als u een gebruiker een nieuwe naam heeft gegeven, ziet u geen queryresultaten met de oude naam. Als u bijvoorbeeld OudeNaam@example.com de naam NieuweNaam@example.com geeft, ziet u geen gebeurtenissen gerelateerd aan OudeNaam@example.com.
Logboekgebeurtenisgegevens beheren
Kolomgegevens in de zoekresultaten beheren
Je kunt instellen welke gegevenskolommen worden getoond in de zoekresultaten.
- Klik rechtsboven in de tabel met zoekresultaten op Kolommen beheren
.
- (Optioneel) Als je huidige kolommen wilt verwijderen, klik je op Verwijderen
.
- (Optioneel) Als je kolommen wilt toevoegen, klik je naast Nieuwe kolom toevoegen op de pijl-omlaag
en selecteer je de juiste gegevenskolom.
Herhaal de stappen indien nodig. - (Optioneel) Als je de volgorde van kolommen wilt wijzigen, versleep je de kolomnaam.
- Klik op Opslaan.
Zoekresultaten exporteren
U kunt zoekresultaten exporteren naar Google Spreadsheets of naar een csv-bestand.
- Klik bovenaan de tabel met zoekresultaten op Alles exporteren.
- Voer een naam in
De export wordt onder de tabel met zoekresultaten weergegeven, onder Actieresultaten exporteren. - Klik op de naam van de export om de gegevens te bekijken.
De export wordt geopend in Google Spreadsheets.
De exportlimieten zijn verschillend:
- Er kunnen in totaal niet meer dan 100.000 rijen met zoekresultaten worden gemaakt in een export (behalve bij zoekopdrachten in Gmail-berichten, die beperkt zijn tot 10.000 rijen).
- Deze functie wordt ondersteund in de volgende versies: Frontline Standard, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus, Cloud Identity Premium. Versies vergelijken
Als u de tool voor beveiligingsonderzoek gebruikt, kunnen er in totaal niet meer dan 30 miljoen rijen met zoekresultaten worden gemaakt in een export (behalve bij zoekopdrachten in Gmail-berichten, die beperkt zijn tot 10.000 rijen).
Zie Zoekresultaten exporteren voor meer informatie.
Wanneer en hoelang zijn gegevens beschikbaar?
Acties uitvoeren op basis van zoekresultaten
- U kunt met rapportregels meldingen instellen op basis van logboekgebeurtenisgegevens. Ga naar Rapportregels maken en beheren voor instructies.
- Deze functie wordt ondersteund in de volgende versies: Frontline Standard, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus, Cloud Identity Premium. Versies vergelijken
U kunt acties in de tool voor beveiligingsonderzoek automatiseren en meldingen instellen door activiteitsregels te maken. Zo kunt u beveiligingsproblemen efficiënter voorkomen, opsporen en oplossen. Als u een regel wilt instellen, stelt u voorwaarden in voor de regel en geeft u op welke acties er moeten worden uitgevoerd als aan de voorwaarden wordt voldaan. Ga naar Activiteitsregels maken en beheren voor meer informatie en instructies.
Deze functie wordt ondersteund in de volgende versies: Frontline Standard, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus, Cloud Identity Premium. Versies vergelijken
Nadat u een zoekopdracht heeft uitgevoerd in de tool voor beveiligingsonderzoek, kunt u acties uitvoeren op de zoekresultaten. U kunt bijvoorbeeld een zoekopdracht uitvoeren op Gmail-logboekgebeurtenissen en daarna de tool gebruiken om specifieke berichten te verwijderen, berichten in de quarantaine te plaatsen of berichten naar de inbox van gebruikers te sturen. Ga naar Acties uitvoeren op basis van zoekresultaten voor meer informatie.
Uw onderzoeken beheren
Deze functie wordt ondersteund in de volgende versies: Frontline Standard, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus, Cloud Identity Premium. Versies vergelijken
De lijst met onderzoeken bekijkenKlik op Onderzoeken bekijken om een lijst te bekijken van de onderzoeken waarvan u de eigenaar bent en die met u zijn gedeeld. In de lijst met onderzoeken staan de naam, beschrijving en eigenaar van de onderzoeken, en de datum waarop de onderzoeken voor het laatst zijn gewijzigd.
In deze lijst kunt u acties uitvoeren op elk onderzoek waarvan u de eigenaar bent, bijvoorbeeld een onderzoek verwijderen. Vink het vakje aan voor een onderzoek en klik op Acties.
Opmerking: Direct boven de lijst met onderzoeken kunt u onder Snelle toegang recent opgeslagen onderzoeken bekijken.
Klik als hoofdbeheerder op Instellingen om het volgende te doen:
- De tijdzone voor uw onderzoeken wijzigen. De tijdzone wordt toegepast op zoekvoorwaarden en resultaten.
- Beoordeling vereisen aan- of uitzetten. Ga naar Vereisen dat bulkacties worden beoordeeld door een reviewer voor meer informatie.
- Content bekijken aan- of uitzetten. Met deze instelling kunnen beheerders met de juiste rechten content bekijken.
- De instelling Reden voor actie aanzetten aan- of uitzetten.
Zie Instellingen instellen voor onderzoeken voor instructies en meer informatie.
Als u zoekcriteria wilt opslaan of deze met anderen wilt delen, kunt u een onderzoek maken en opslaan, en het daarna delen, dupliceren of verwijderen.
Ga naar Onderzoeken opslaan, delen, verwijderen en dupliceren voor meer informatie.