Puedes usar la API de actividad para acceder de forma programática a los datos básicos de los informes. Si tu edición de Google Workspace lo permite, puedes utilizar una nueva API de informes para acceder a los datos de los informes avanzados de Google Workspace.
Importante:
- No se registran todas las actividades en Drive. Para ver una lista de lo que se incluye en el registro, consulta el apartado Eventos registrados y no registrados de esta página.
- Para saber cuándo se obtienen los datos y durante cuánto tiempo se conservan, consulta el artículo Plazos de conservación y periodos de retraso de los datos.
- En la auditoría de Drive, solo se registran eventos de archivos que sean propiedad de usuarios con ediciones compatibles.Las excepciones son los eventos URL accedida, que se registran cuando el usuario que inicia una secuencia de comandos de Apps Script para acceder a una URL se encuentra en tu organización y tiene una edición compatible.
Your access to log events
- Your ability to run a search depends on your Google edition, your administrative privileges, and the data source. You can run a search on all users, regardless of their Google Workspace edition.
- Your Workspace subscription provides access to the log events using either the Audit & investigation tool or the Security center.
- Premium Google Workspace editions (Enterprise Plus, Enterprise Standard, or Education Plus) provide access to the Security Center and the more advanced features of the security investigation tool. The investigation tool enables super admins to identify, triage, and take action on security and privacy issues. For details, see About the security investigation tool.
- All other Google Workspace editions can access the logs using the Audit and Investigation tool. For details, see About the audit and investigation page.
Reenviar datos de eventos de registro a Google Cloud
Puedes aceptar compartir los datos de eventos de registro con Google Cloud. Si lo haces, esos datos se envían a Cloud Logging, donde podrás consultar tus registros y controlar cómo se enrutan y almacenan.
Buscar eventos de registro
Audit and investigation tool
To run a search for log events, first choose a data source. Then choose one or more filters for your search.
-
Inicia sesión en la consola de administración de Google.
Utiliza tu cuenta de administrador (no termina en @gmail.com).
-
En la consola de administración, ve a Menú
Informes
Auditoría e investigación
- Haz clic en Añadir un filtro y selecciona un atributo.
- En la ventana emergente, selecciona un operador(Opcional) Para crear varios filtros de búsqueda, haz lo siguiente:
- Haz clic en Añadir un filtro y repite el paso 3.
- (Opcional) Para añadir un operador de búsqueda, encima de Añadir un filtro, selecciona AND u OR.
- (Optional) To create multiple filters for your search, repeat this step.
- (Optional) To add a search operator, above Add a filter, select AND or OR
- Haz clic en Buscar.
-
Nota: En la pestaña Filtro, puedes incluir pares de parámetros y valores sencillos para filtrar los resultados de búsqueda. También puedes usar la pestaña Creador de condiciones, donde los filtros se representan como condiciones con los operadores AND/OR.
Security investigation tool
Para hacer una búsqueda en la herramienta de investigación, primero debes elegir una fuente de datos. A continuación, elige una o varias condiciones para la búsqueda. Elige un atributo, un operador y un valor para cada condición.
-
Inicia sesión en la consola de administración de Google.
Utiliza tu cuenta de administrador (no termina en @gmail.com).
-
En la consola de administración, ve a Menú
Seguridad
- Click Data source and select Admin log events.
- Haz clic en Añadir condición.
Nota: Puedes incluir una o varias condiciones en tu búsqueda o personalizarla con consultas anidadas. Consulta más información en el artículo Personalizar la búsqueda con consultas anidadas. - Haz clic en Atributo
Para ver una lista completa de los atributos, consulta la sección Descripciones de atributos que aparece abajo. - Haz clic en Contiene
- Introduce un valor o selecciona uno en la lista desplegable.
- (Opcional) Para añadir más condiciones de búsqueda, repite los pasos del 4 al 7.
- Haz clic en Buscar.
Los resultados de búsqueda de la herramienta de investigación se muestran en una tabla en la parte inferior de la página. - (Opcional) Para guardar la investigación, haz clic en Guardar
Nota:
- En la pestaña Creador de condiciones, los filtros se representan como condiciones con los operadores AND/OR. En la pestaña Filtro también puedes incluir pares simples de parámetros y valores para filtrar los resultados de búsqueda.
- Si has asignado un nuevo nombre a un usuario, en la consulta no aparecerán los resultados correspondientes a su nombre antiguo. Por ejemplo, si has cambiado NombreAntiguo@example.com a NuevoNombre@example.com, no aparecerán resultados de eventos relacionados con NombreAntiguo@example.com.
Descripciones de atributos
En esta fuente de datos, puedes usar los siguientes atributos cuando busques datos de eventos de registro:
Nota:
- No todos los atributos de la siguiente lista se registran para todos los eventos.
- La siguiente lista no es exhaustiva y está sujeta a cambios. Para obtener más información sobre los eventos de registro de Drive, consulta el artículo Eventos de actividad de auditoría de Drive del SDK de administrador de Google Workspace.
| Atributo | Descripción |
|---|---|
| Actor | La dirección de correo electrónico del usuario que ha realizado la acción. Los usuarios ajenos al dominio se muestran como anónimos, excepto cuando ven o editan un documento que se ha compartido con ellos explícitamente, ya sea de forma individual o como miembros de un grupo específico. |
| Nombre del grupo actor |
El nombre del grupo del actor. Para obtener más información, consulta la sección Filtrar resultados por grupo de Google. Para añadir un grupo a la lista de grupos de filtrado permitidos, sigue estos pasos:
|
| Unidad organizativa del actor | Unidad organizativa del actor |
| Método de la API | En el caso de las acciones Descarga y Se ha accedido al contenido de un elemento que se producen a través de una aplicación de terceros, es el método de API que utiliza la acción. Por ejemplo, drive.files.export. |
| ID de aplicación | ID de cliente de OAuth de la aplicación de terceros que ha realizado la acción |
| Nombre de la aplicación | Aplicación que ha realizado la acción |
| Audiencia | Dominio de destino si el registro de auditoría corresponde a un cambio en la visibilidad |
| Facturable | (Solo en la edición Essentials) Indica si la acción del usuario es una actividad facturable |
| Fecha |
Fecha y hora en que se ha producido el evento en la zona horaria predeterminada de tu navegador. Nota: La mayoría de los eventos se registran en cuanto se completan. A veces, las subidas de gran tamaño pueden tardar en registrarse. |
| ID de documento |
Identificador único del elemento de Drive asociado a la actividad, tal como se ha almacenado en el enlace de la URL del archivo. Nota: En el caso de los eventos de URL accedida, el ID de documento y otros campos relacionados con los archivos, como el tipo de documento y el propietario, solo se registran en el caso de determinadas acciones. Para obtener más información, consulta la sección sobre el acceso a URLs. |
| Tipo de documento | El formato de archivo relacionado con la actividad; por ejemplo, Documentos, Hojas de cálculo y Presentaciones de Google, JPEG, PDF, PNG, MP4, Microsoft Word, Excel, PowerPoint, txt, HTML, audio MPEG, vídeo QuickTime, carpeta o unidades compartidas |
| Dominio* | El dominio en el que se ha producido la acción |
| Cifrado* | Si el archivo está encriptado por parte del cliente |
| Nombre del evento |
Eventos iniciados por el usuario, como Ver, Cambiar nombre, Crear, Editar, Imprimir, Eliminar, Subir y Descargar. La mayoría de las acciones se registran inmediatamente, pero los eventos de Imprimir del visor de Drive pueden tardar 12 horas o más en aparecer. Los archivos que Google Drive haya eliminado automáticamente o que se hayan quitado de la papelera también se registran. Otros eventos, como la subida de un archivo, no se registran hasta que se completan. |
| Dirección IP* |
Dirección desde la que el usuario ha realizado la actividad. Puede mostrar la ubicación física del usuario, pero también puede ser, por ejemplo, la dirección de un servidor proxy o de una red privada virtual (VPN). Las direcciones IP no se registran en los eventos que tengan alguna de estas características:
|
| Valor nuevo de visibilidad de publicación | Nueva visibilidad del documento |
| Valor nuevo* | Nuevo valor del ajuste modificado |
| IDs de valores nuevos* | Nuevo valor del campo de etiqueta |
| Valor anterior de visibilidad de publicación | Visibilidad anterior del documento si la actividad supone un cambio en la visibilidad |
| Valor anterior* | Valor anterior del ajuste modificado |
| IDs de valores anteriores* | Valor anterior del campo de etiqueta |
| Propietario |
El usuario al que pertenece el archivo. |
| Visibilidad anterior | Visibilidad anterior del documento si la visibilidad ha cambiado |
| Destinatarios* | Direcciones de correo de los destinatarios |
| ID de unidad compartida | El ID de la unidad compartida que contiene el archivo. Si el archivo no está en una unidad compartida, este campo no se rellenará. |
| Objetivo | Usuario cuyo acceso ha cambiado |
| Título | El título del documento |
| Visibilidad | Visibilidad del elemento de Drive asociado a la actividad |
| Cambio de visibilidad | Visibilidad del elemento de Drive antes de la actividad |
| Visitante | Sí significa que es una actividad de un usuario sin cuenta de Google. No significa que es una actividad de un usuario con cuenta de Google. Consulta cómo compartir documentos con visitantes. |
Nota: Si has asignado un nuevo nombre a un usuario, en la consulta no aparecerán los resultados correspondientes a su nombre antiguo. Por ejemplo, si has cambiado NombreAntiguo@example.com a NuevoNombre@example.com, no aparecerán resultados de eventos relacionados con NombreAntiguo@example.com.
Ver archivos compartidos fuera de un dominio
Para ver los archivos que se comparten con usuarios ajenos a un dominio, sigue estos pasos:
Página de auditoría e investigación
- Abre los eventos de registro tal como se indica arriba, en el apartado Acceder a datos de eventos de registro de Drive.
- Haz clic en Añadir un filtro
- Haz clic en Buscar.
Si restringes el uso compartido de archivos con usuarios externos, cuando un usuario comparta recursos en grupos que admiten usuarios externos, en el registro aparecerán marcados como Compartido de forma externa, aunque el grupo no tenga ningún usuario externo. No obstante, los usuarios externos del grupo no podrán acceder al recurso en cuestión.
Herramienta de investigación de seguridad
-
Inicia sesión en la consola de administración de Google.
Utiliza tu cuenta de administrador (no termina en @gmail.com).
-
En la consola de administración, ve a Menú
- Haz clic en Fuente de datos
- Haz clic en Añadir condición.
- Haz clic en Atributo
- Haz clic en Contiene
- Haz clic en Visibilidad
- Haz clic en Buscar.
Los resultados de búsqueda de la herramienta de investigación se muestran en una tabla en la parte inferior de la página.
Si restringes el uso compartido de archivos con usuarios externos, cuando un usuario comparta recursos en grupos que admiten usuarios externos, en el registro aparecerán marcados como Compartido de forma externa. No obstante, los usuarios externos del grupo no podrán acceder al recurso en cuestión. Esta marca se incluye aunque no haya ningún usuario externo en el grupo.
Eventos registrados y no registrados
Eliminar
Los archivos que Google Drive haya eliminado automáticamente o que se hayan quitado de la papelera también se registran.
Texto
Cuando se copia un archivo, se registran los eventos Crear y Copiar en el archivo nuevo, y el evento Copia original en el archivo original.
Cuando un usuario ajeno a tu organización copia un archivo en una ubicación externa, tu organización no registra los eventos Crear y Copiar porque el archivo nuevo es externo. Sin embargo, tus registros tienen el evento Copia original en el archivo original, cuyo Tipo de copia es Externa. Para monitorizar cuándo se copian los datos de tu organización, puedes consultar los eventos Copia original que tengan un tipo de copia Externa.
Imprimir
Los eventos Imprimir no se registran cuando un usuario imprime un archivo que está abierto en un formato de archivo de Google (Documentos, Hojas de cálculo, Presentaciones, Dibujos y Formularios).
Al imprimir archivos con la aplicación Drive desde un iPhone o iPad de Apple, o un dispositivo Android, es posible que los eventos Imprimir se registren como eventos Descargar.
Descargar
La mayoría de las descargas se registran, incluso cuando se copian archivos entre Drive y un dispositivo local usando Google Drive para ordenadores.
Algunas acciones de visualización se registran como descargas:
- Al previsualizar un archivo en la aplicación Drive en un dispositivo móvil, se registra como un evento de Descarga.
- Al previsualizar un archivo, como un PDF, que no se puede abrir directamente en Documentos de Google o en otra aplicación de Google, se registra como un evento de Descarga .
No se registran las descargas desde estas fuentes:
- Descargas de Google Takeout (busca eventos de registro de Takeout)
- Descargas a la caché del navegador sin conexión.
- Fotos que se sincronizan, se descargan o se ven mediante Fotos de Google
- Elementos de Drive que se envían por correo electrónico como archivos adjuntos y se descargan a través del cliente de correo electrónico del destinatario
Se ha accedido al contenido de un elemento
Los usuarios pueden acceder a los archivos a través de una aplicación que utilice una API de Google Workspace, como la API de Google Drive o la API de Hojas de cálculo de Google. Estas acciones no se registran como eventos Descargar o Ver, solo como Se ha accedido al contenido de un elemento.
Los eventos "Se ha accedido al contenido de un elemento" no se registran cuando un usuario ve o abre un archivo en Drive para la Web, Drive para móviles o la aplicación Drive para ordenadores.
Ver
- Se registra el evento Ver si se ven archivos mediante /htmlview, /embed, /revisions y otras URLs especiales.
URL accedida
Los eventos URL accedida se registran cuando una secuencia de comandos de Apps Script accede a una URL, incluso si la secuencia de comandos se ejecuta desde el panel de control de Apps Script, se ejecuta como Complemento o se ejecuta como una función personalizada de Hojas de cálculo. Los eventos URL accedida no se registran cuando un usuario hace clic en un enlace de un archivo.
Los atributos indicados dependen de cómo se haya ejecutado la secuencia de comandos y de quién es el propietario:
- Cuando se ejecuta una secuencia de comandos como una función personalizada, el ID de documento y otros atributos relacionados con el documento reflejan la hoja en la que se ha llamado a la función.
- Si una secuencia de comandos no se ejecuta como función personalizada, los atributos relacionados con el documento no se registran.
- El ID de secuencia de comandos se registra si la secuencia de comandos de Apps Script es propiedad de tu organización.
URL de importación de Hojas de cálculo
Las llamadas a la función de importación de Hojas de cálculo, que accede a una URL, se registran como eventos de URL de importación de Hojas de cálculo. Se registra un evento cuando se cambia el contenido de la hoja mediante una actualización automática o cuando un usuario abre la hoja.
Eventos que implican dominios externos
Algunos eventos incluyen usuarios, carpetas compartidas o unidades compartidas ajenas a tu organización, como cuando un usuario de tu organización comparte un archivo con un usuario externo. Ambas organizaciones registran un evento cuando cambia la propiedad de un elemento de una organización a otra.
Ejemplos de eventos registrados por ambas plataformas:
- Los elementos de Drive que pertenezcan a usuarios de tu organización se moverán a una unidad compartida externa.
- Los elementos de Drive que pertenezcan a usuarios ajenos a tu organización se moverán a una unidad compartida de tu organización.
- Un usuario copia un archivo en tu organización o fuera de ella. La organización receptora registra el nombre del archivo copiado, no el nombre original.
Ejemplos de eventos registrados por tu organización, pero no registrados por un dominio externo:
- Un elemento de Drive propiedad de un usuario de tu organización se comparte con un usuario externo.
- Un elemento de Drive propiedad de un usuario de tu organización se comparte con un grupo que admite usuarios externos, aunque no formen parte de él.
- Un usuario externo puede ver, editar, descargar, imprimir o eliminar un elemento de Drive que sea propiedad de tu organización.
- Un usuario externo sube un archivo a una unidad compartida de tu organización.
Con los eventos registrados por un dominio externo, pero no por tu organización, ocurre lo opuesto a lo que se explica en la sección anterior.
Usuarios anónimos y externos
En el caso de los usuarios anónimos (usuarios que no han iniciado sesión en una cuenta de Google), se registran las ediciones, pero no las visualizaciones ni las descargas.
Las acciones realizadas por usuarios externos al dominio se muestran como anónimas, excepto cuando el elemento se comparte explícitamente con ellas (como individuo o como parte de un grupo específico).
Los administradores pueden restringir el acceso anónimo y externo estableciendo políticas de uso compartido de la organización o políticas de reglas de confianza.
Drive para ordenadores
Cuando se copian archivos entre Drive y un dispositivo local con Google Drive para ordenadores, se registran los eventos Descargar.
Gestionar datos de eventos de registro
Gestionar datos de columnas de resultados de búsqueda
Puedes controlar qué columnas de datos quieres que aparezcan en los resultados de búsqueda.
- En la parte superior derecha de la tabla de resultados de búsqueda, haz clic en Gestionar columnas
.
- (Opcional) Para quitar columnas, haz clic en Quitar
.
- (Opcional) Para añadir columnas, junto a Añadir nueva columna, haz clic en la flecha hacia abajo
y selecciona la columna de datos.
Repite el proceso tantas veces como sea necesario. - (Opcional) Para cambiar el orden de las columnas, arrastra los nombres de las columnas de datos.
- Haz clic en Guardar.
Exportar datos de resultados de búsqueda
- En la parte superior de la tabla de resultados de búsqueda, haz clic en Exportar todo.
- Introduce un nombre
La exportación se muestra debajo de la tabla de resultados de búsqueda, en Resultados de la acción Exportar. - Para ver los datos, haz clic en el nombre de tu exportación.
La exportación se abrirá en Hojas de cálculo de Google.
Crear reglas de informes
Consulta el artículo Crear y gestionar reglas de notificación.
¿Cuándo están disponibles los datos y durante cuánto tiempo?
Consulta el artículo Plazos de conservación y periodos de retraso de los datos.
Tomar medidas en función de los resultados de búsqueda
Tomar medidas en función de los resultados de búsqueda
Después de hacer una búsqueda en la herramienta de investigación, puedes tomar medidas con respecto a los resultados. Por ejemplo, puedes hacer una búsqueda por eventos de registro de Gmail y luego usar la herramienta para eliminar mensajes específicos, enviar mensajes a cuarentena o enviarlos a las bandejas de entrada de los usuarios. Puedes consultar más información sobre lo que puedes hacer en la herramienta de investigación en el artículo Tomar medidas en función de los resultados de búsqueda.
Crear reglas de actividad y configurar alertas
Crea reglas de actividad para automatizar acciones en la herramienta de investigación y configurar alarmas, y así prevenir, detectar y solucionar problemas de seguridad de un modo más eficiente. Para crear una regla, configura sus condiciones y, a continuación, especifica qué acciones deben realizarse cuando esas condiciones se cumplan. Para obtener más información e instrucciones, consulta cómo crear y gestionar reglas de actividad.
Gestionar tus investigaciones
Ver la lista de investigacionesPara ver tus propias investigaciones y las que se han compartido contigo, haz clic en Ver investigaciones. La lista de investigaciones contiene los nombres, las descripciones y los propietarios de las investigaciones, así como la fecha de la modificación más reciente.
En esta lista, puedes actuar sobre cualquiera de tus investigaciones, por ejemplo, para eliminar una de ellas. Marca la casilla de una investigación y haz clic en Acciones.
Nota: Justo encima de la lista de investigaciones, en Acceso rápido, puedes ver las investigaciones que se han guardado recientemente.
Como superadministrador, haz clic en Configuración para hacer lo siguiente:
- Cambiar la zona horaria de tus investigaciones. La zona horaria se aplica a las condiciones y a los resultados de búsqueda.
- Activar o desactivar la opción Exigir revisor. Consulta más información en el artículo Exigir revisores en acciones en bloque.
- Activar o desactivar la opción Ver contenido. Esta opción permite que los administradores que tengan el privilegio adecuado vean el contenido de correos.
- Activar o desactivar la opción Habilitar justificación de acciones.
Para obtener instrucciones y más información, consulta el artículo Configurar los ajustes de las investigaciones.
Puedes controlar qué columnas de datos quieres que aparezcan en los resultados de búsqueda.
- En la parte superior derecha de la tabla de resultados de búsqueda, haz clic en Gestionar columnas
- (Opcional) Para quitar columnas, haz clic en Quitar elemento
- (Opcional) Para añadir columnas, junto a Añadir nueva columna, haz clic en la flecha hacia abajo
Repite el proceso tantas veces como sea necesario. - (Opcional) Para cambiar el orden de las columnas, arrastra sus nombres.
- Haz clic en Guardar.
- En la parte superior de la tabla de resultados de búsqueda, haz clic en Exportar todo.
- Introduce un nombre
La exportación se muestra debajo de la tabla de resultados de búsqueda, en Resultados de la acción Exportar. - Para ver los datos, haz clic en el nombre de tu exportación.
La exportación se abrirá en Hojas de cálculo de Google.
Cuando veas resultados de búsqueda exportados, ten en cuenta los siguientes factores:
- Al hacer clic en Exportar todo en la parte superior de la tabla, en la carpeta Mi unidad se crea una hoja de cálculo de Google con los resultados de búsqueda. En función del tamaño de los resultados, puede que se tarde un rato en exportar toda la información. Además, es posible que se creen varias hojas de cálculo. Como máximo, los resultados de la exportación pueden tener 30 millones de filas, excepto los resultados de búsqueda de mensajes de Gmail, que solo pueden incluir 1,25 millones de filas.
- Mientras la exportación está en curso, las hojas de cálculo de Google que se crean tienen un nombre temporal, como TMP-1-<título>. Si se crean varias hojas de cálculo de Google, los archivos adicionales se denominan TMP-2-<título>, TMP-3-<título>, y así sucesivamente. Una vez completado el proceso de exportación, los archivos cambian de nombre automáticamente y pasan a llamarse <título> [1 de N], <título> [2 de N], etc. Si los datos se exportan a una única hoja de cálculo, el nombre del archivo pasará a ser <título>.
- Los archivos que tienen los resultados de búsqueda exportados heredan la configuración de uso compartido del dominio. Por ejemplo, si los archivos que se crean se comparten con todos los usuarios de forma predeterminada, los datos exportados también tendrán este tipo de visibilidad.
Para guardar tus criterios de búsqueda o compartirlos con otros usuarios, puedes crear y guardar una investigación y, a continuación, compartirla, duplicarla o eliminarla.
Para obtener más información, consulta el artículo Guardar, compartir, eliminar y duplicar investigaciones.
Para obtener más información sobre las fuentes de datos, consulta el artículo Plazos de conservación y periodos de retraso de los datos.
Gestionar tus investigaciones
Requires a Edición premium de Google Workspace (Enterprise Standard, Enterprise Plus o Education Plus)
View your list of investigationsTo view a list of the investigations that you own and that were shared with you, click View investigations. The investigation list includes the names, descriptions, and owners of the investigations, and the date last modified.
From this list, you can take action on any investigations that you own—for example, to delete an investigation. Check the box for an investigation, and then click Actions.
Note: Directly above your list of investigations, under Quick access, you can view recently saved investigations.
As a super administrator, click Settings to :
- Change the time zone for your investigations. The time zone applies to search conditions and results.
- Turn on or off Require reviewer. For more details, go to Require reviewers for bulk actions.
- Turn on or off View content. This setting allows admins with the appropriate privileges to view content.
- Turn on or off Enable action justification.
For instructions and details, go to Configure settings for your investigations.
To save your search criteria or share it with others, you can create and save an investigation, and then share, duplicate, or delete it.
For details, go to Save, share, delete, and duplicate investigations.
Temas relacionados
- Iniciar investigaciones basadas en un gráfico del panel de control
- Crear gráficos personalizados basados en investigaciones
- Iniciar investigaciones desde el Centro de alertas
- Investigar informes de correos electrónicos maliciosos
- Investigar el uso compartido de archivos
- Investigar a usuarios a través de varias fuentes de datos