События журнала устройства

Как отследить действия, выполнявшиеся на устройствах организации

В некоторых версиях Google Workspace вы можете получить доступ к инструменту "Анализ безопасности" с расширенными функциями. Например, суперадминистраторы могут идентифицировать, сортировать и устранять проблемы, связанные с конфиденциальностью и безопасностью. Подробнее…

Как администратор организации, вы можете искать и устранять проблемы с безопасностью, связанные с событиями журнала устройства. Вы можете просматривать записи о действиях на компьютерах, мобильных устройствах и устройствах умного дома, которые используются для доступа к данным вашей организации. Например, можно увидеть, что пользователь добавил аккаунт на устройство или что пароль на устройстве не соответствует правилам в отношении паролей. Чтобы отслеживать события, установите оповещение.

Подготовка

Чтобы в журнале были видны все события, для устройств должны быть включены расширенные функции управления устройствами.
Чтобы были видны изменения в приложениях на устройствах Android, вам нужно включить аудит приложений.
Нельзя просматривать действия для устройств, корпоративные данные на которых синхронизируются через Google Sync.
Если вы перейдете на версию, которая не поддерживает журнал аудита, этот журнал перестанет собирать данные о новых событиях. При этом старые данные останутся доступными для администраторов.

Как пересылать данные о событиях в Google Cloud

Вы можете предоставить Google Cloud доступ к данным о событиях. В этом случае данные будут пересылаться в Cloud Logging, где можно просматривать журналы, выполнять по ним поиск, а также управлять их маршрутизацией и хранением.

Как искать события журнала

Возможность поиска в инструменте "Анализ безопасности" зависит от версии сервиса Google, назначенных прав администратора и источника данных. Вы можете искать действия всех пользователей, независимо от того, какая у них версия Google Workspace.

Инструмент "Аудит и анализ"

Чтобы выполнить поиск событий в журнале, сначала выберите источник данных. Затем добавьте один или несколько фильтров.

Войдите в консоль администратора Google.
Войдите в аккаунт администратора (он не заканчивается на @gmail.com).
В консоли администратора нажмите на значок меню Отчеты Аудит и анализСобытия журнала устройства.
Нажмите Добавить фильтр и выберите атрибут.
Во всплывающем окне выберите операторвыберите значениенажмите Применить.
- Если нужно создать несколько фильтров результатов поиска, повторите этот шаг.
- Если нужно добавить оператор поиска, над элементом Добавить фильтр выберите И или ИЛИ.
- Если нужно создать несколько фильтров результатов поиска, повторите этот шаг.
- Если нужно добавить оператор поиска, над элементом Добавить фильтр выберите И или ИЛИ.
Нажмите Поиск.
Примечание. С помощью вкладки Фильтр можно включить простые пары параметров и значений, чтобы отфильтровать результаты поиска. Кроме того, вы можете использовать вкладку Конструктор условий, на которой фильтры представлены в виде условий с операторами И/ИЛИ.

Инструмент "Анализ безопасности"

Эта функция доступна в версиях Frontline Standard, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus и Cloud Identity Premium. Сравнение версий

Чтобы выполнить поиск в инструменте "Анализ безопасности", сначала выберите источник данных. Затем добавьте одно или несколько условий поиска и для каждого из них выберите атрибут, оператор и значение.

Войдите в консоль администратора Google.
Войдите в аккаунт администратора (он не заканчивается на @gmail.com).
В консоли администратора нажмите на значок меню БезопасностьЦентр безопасностиИнструмент "Анализ безопасности".
Нажмите Источник данных и выберите События журнала устройства.
Нажмите Добавить условие.
Совет. Вы можете указать одно или несколько условий или использовать вложенные запросы. Подробнее о том, как использовать вложенные запросы при поиске…
Нажмите Атрибутвыберите нужный вариант.
Полный список атрибутов приведен в разделе Описания атрибутов ниже.
Выберите оператор.
Введите значение или выберите его в раскрывающемся списке.
Если нужно добавить дополнительные условия поиска, повторите шаги 4–7.
Нажмите Поиск.
Результаты поиска в инструменте "Анализ безопасности" показываются в таблице в нижней части страницы.
Чтобы сохранить анализ, нажмите Сохранить введите название и описаниеСохранить.

Примечания

На вкладке Конструктор условий фильтры представлены в виде условий с операторами И/ИЛИ. На вкладке Фильтр можно выбрать простые пары параметров и значений, чтобы отфильтровать результаты поиска.
Если пользователь был переименован, поиск не даст результатов для его прежнего имени. Например, если OldName@example.com заменили на NewName@example.com, в результатах поиска не будет событий, связанных с пользователем OldName@example.com.

Описания атрибутов

При поиске данных о событиях в этом источнике вы можете использовать следующие атрибуты:

Атрибут	Описание
Статус аккаунта	Информация о том, зарегистрирован ли аккаунт.
Название группы	Название группы, к которой относится исполнитель. Подробнее о том, как фильтровать результаты по группе Google… Чтобы добавить группу в белый список групп фильтрации: Выберите Название группы. Выберите Группы фильтрации. Откроется соответствующая страница. Нажмите Добавить группы. Найдите группу: начните вводить ее название или адрес электронной почты, а затем выберите нужный вариант из списка предложений. Если вы хотите добавить ещё одну группу, найдите и выберите ее. Когда группы будут выбраны, нажмите Добавить. Если вы хотите удалить группу, нажмите на значок "Удалить группу" рядом с ней. Нажмите Сохранить.
Организационное подразделение пользователя	Организационное подразделение, к которому относится исполнитель.
Идентификатор приложения	Идентификатор приложения.
Хеш SHA-256 приложения	Хеш (SHA-256) пакета приложения для событий, связанных с приложением (только для устройств Android).
Статус приложения	Информация о том, установлено, удалено или обновлено ли приложение.
Дата	Дата и время, когда произошло событие (указывается в часовом поясе, установленном в вашем браузере по умолчанию).
Статус соответствия устройства	Соответствует ли устройство правилам организации. Устройство отмечается как несоответствующее, если: его пользователь нарушает правила в отношении паролей или шифрования; на нем не установлена последняя версия приложения Device Policy; оно не соответствует настройкам безопасности; на нем отсутствует рабочий профиль, когда он должен быть; оно не находится в режиме владельца, когда это обязательно; оно заблокировано администратором; оно больше не синхронизируется, потому что администратор отключил синхронизацию. Пример. Устройство Nexus 6P пользователя не соответствует заданным правилам, поскольку на нем нарушаются правила использования паролей.
Подверженность взлому	Сведения о том, взломано ли устройство. Устройство считается взломанным, если к нему был разрешен root-доступ или оно было незаконно разблокировано, то есть на нем были отключены установленные ограничения. Взлом устройства может указывать на потенциальную угрозу безопасности. В случае взлома устройства или восстановления его защиты система добавляет соответствующую запись в журнал аудита. Пример. Устройство Nexus 5 пользователя взломано.
Идентификатор устройства	Идентификатор устройства, на котором было зарегистрировано событие.
Модель устройства	Модель устройства.
Владелец устройства	Владелец устройства.
Владелец устройства	Информация о том, изменился ли владелец устройства. Например, личное устройство стало корпоративным после того, как данные о нем были импортированы в консоль администратора. Аудит выполняется сразу после того, как корпоративное устройство добавляется в консоль администратора. Если оно удаляется из консоли, аудит проводится при следующей синхронизации (после повторной регистрации устройства для управления им). Пример. Устройство Nexus 5 пользователя стало корпоративным и ему присвоен новый идентификатор abcd1234.
Свойство устройства	Сведения об устройстве, например модель, серийный номер или MAC-адрес Wi-Fi.
Параметр устройства	Пользователь изменил параметр "Режим разработчика", "Установка приложений из неизвестных источников", "Отладка по USB" или "Проверка приложений" на своем устройстве. Событие регистрируется при следующей синхронизации устройства. Пример. Параметр "Проверка приложений" на устройстве Nexus 6P пользователя был включен.
Тип устройства	Тип устройства, на котором было зарегистрировано событие, например Android или Apple iOS.
Домен*	Домен, в котором было выполнено действие.
Событие	Сведения о действии в зарегистрированном событии, например Обновление ОС устройства или Синхронизация устройства.
Неудачные попытки ввода пароля*	Информация о том, сколько раз пользователь неудачно пытался ввести пароль для разблокировки устройства. Событие регистрируется только после пятой неудачной попытки разблокировки. Пример. Зафиксированы неудачные попытки ввода пароля (5) для разблокирования устройства Nexus 7 пользователя.
Идентификатор поставщика iOS	Идентификатор поставщика iOS.
Новый идентификатор устройства	Новый идентификатор устройства.
Свойство ОС	Информация об ОС устройства, например номер сборки, версия или сведения об исправлении системы безопасности.
Права	Роль пользователя устройства, например Владелец устройства или Администратор устройства.
Идентификатор ресурса	Уникальный идентификатор устройства.
Серийный номер	Серийный номер устройства. Чтобы посмотреть серийные номера компьютеров: Установите расширение проверки конечных точек. Подробная информация приведена в разделе Шаг 2. Установите расширение "Проверка конечных точек". Зарегистрируйте устройства ChromeOS в организации. Подробнее…
Адрес электронной почты пользователя	Адрес электронной почты пользователя устройства.

*С помощью этих фильтров нельзя добавлять правила создания отчетов. Подробнее о различиях между правилами создания отчетов и правилами действий…

Примечание. Если пользователь был переименован, поиск по его прежнему имени не даст результатов. Например, если StaroeImya@example.com заменить на NovoeImya@example.com, в результатах поиска не будет событий, связанных с пользователем StaroeImya@example.com.

Как работать с данными о событиях в журнале

Как управлять столбцами данных в результатах поиска

Вы можете выбрать, какие столбцы данных будут отображаться в результатах поиска.

В правой верхней части таблицы с результатами поиска нажмите на значок "Управление столбцами" .
Чтобы удалить отображаемые столбцы, нажмите "Удалить" .
Чтобы добавить столбцы, рядом с надписью Добавить столбец нажмите на стрелку вниз и выберите вариант из списка.
При необходимости повторите действия для другого запроса.
Чтобы изменить порядок столбцов, перетащите их названия.
Нажмите Сохранить.

Как экспортировать результаты поиска

Результаты поиска можно экспортировать в таблицу Google или CSV-файл.

В верхней части таблицы результатов поиска нажмите Экспортировать все.
Введите название нажмите Экспорт.
Экспортированные данные будут показаны под таблицей с результатами поиска в разделе Результаты выполнения действия "Экспорт".
Чтобы посмотреть экспортированные данные, нажмите на название файла.
Данные откроются в Google Таблицах.

На экспорт накладываются различные ограничения:

Всего можно экспортировать не более 100 000 строк (10 000 для писем Gmail).
Эта функция доступна в версиях Frontline Standard, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus и Cloud Identity Premium. Сравнение версий
Если у вас есть инструмент "Анализ безопасности", всего можно экспортировать не более 30 млн строк (10 000 строк для писем Gmail).

Подробнее об экспорте результатов поиска…

Когда данные становятся доступны и как долго они хранятся?

Подробная информация приведена в статье Задержки при обновлении отчетов и сроки хранения данных.

Какие действия можно выполнить с результатами поиска

Как создавать правила активности и настраивать оповещения

Вы можете настроить оповещения на основе данных о событиях журнала, используя правила создания отчетов. Подробнее о том, как работать с правилами создания отчетов и настраивать оповещения…
Эта функция доступна в версиях Frontline Standard, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus и Cloud Identity Premium. Сравнение версий
Чтобы эффективнее предотвращать, выявлять и исправлять проблемы с безопасностью, вы можете автоматизировать действия в инструменте "Анализ безопасности" и настроить оповещения с помощью правил активности. Для каждого правила нужно задать условия и указать, какие действия следует выполнять при соблюдении этих условий. Подробнее о том, как создавать правила активности…

Действия с результатами поиска

Результаты поиска, полученные с помощью инструмента "Анализ безопасности", можно использовать для разных целей. Например, сообщения, найденные при поиске по событиям журнала Gmail, можно удалять, отправлять в карантин или помещать в папки "Входящие" пользователей. Подробнее о том, какие действия можно выполнять с результатами поиска…

Как управлять процессом анализа

Как посмотреть список анализов

Чтобы посмотреть список анализов, которые вам принадлежат или к которым вам предоставлен доступ, нажмите на значок "Посмотреть список анализов" . В списке указаны названия, описания и владельцы анализов, а также дата их последнего изменения.

На странице со списком можно выполнять действия с любыми принадлежащими вам анализами, например удалять их. Для этого установите флажок рядом с нужным анализом и нажмите Действия.

Примечание. Над списком анализов в разделе Быстрый доступ также отображаются недавно сохраненные результаты анализов.

Как задать настройки анализа

Войдите в систему как суперадминистратор и нажмите на значок "Настройки" . В этом меню можно выполнить следующие действия:

Изменить часовой пояс для анализов. Он применяется ко всем условиям и результатам поиска.
Включить или отключить параметр Запросить проверку. Подробные сведения о нем можно найти в статье Как включить обязательную проверку массовых действий.
Включить или отключить параметр Просмотр контента. С его помощью вы можете предоставить администраторам право просматривать содержимое.
Включить или отключить параметр Включить обоснование действия.

Подробные сведения и инструкции приведены в статье Как задавать настройки анализа.

Чтобы сохранить параметры поиска или поделиться ими с другими пользователями, вы можете создать и сохранить анализ, а затем предоставить к нему доступ, копировать или удалить его.

Подробную информацию можно найти в статье Как сохранять результаты анализа и предоставлять к ним доступ.

Статьи по теме

Эта информация оказалась полезной?

Как можно улучшить эту статью?