Examiner les rapports d'e-mails malveillants

En tant qu'administrateur, vous pouvez découvrir qu'un e-mail malveillant a été reçu par plusieurs utilisateurs de votre organisation.

L'outil d'investigation vous permet d'identifier tous les utilisateurs de votre domaine qui ont reçu le message (un e-mail d'hameçonnage, par exemple). Vous pouvez continuer à utiliser l'outil pour supprimer l'e-mail des boîtes de réception Gmail de vos utilisateurs. Notez qu'un délai de quelques minutes peut être nécessaire pour que les données du journal soient disponibles dans l'outil d'investigation.

L'outil d'investigation vous permet également d'effectuer d'autres actions, comme marquer un e-mail comme spam ou hameçonnage, ou l'envoyer dans la boîte de réception de l'utilisateur.

Comment accéder à l'outil d'investigation de sécurité

• Les éditions compatibles avec l'outil d'investigation de sécurité incluent Enterprise Plus, Education Standard, Education Plus et Enterprise Essentials Plus.
• Les administrateurs disposant de Cloud Identity Premium, Frontline Standard, Enterprise Standard et Education Standard peuvent également utiliser l'outil d'investigation pour un sous-ensemble de sources de données.
• La possibilité d'effectuer une recherche dans l'outil d'investigation dépend de votre édition Google, de vos droits d'administrateur et de la source de données. Si vous ne parvenez pas à effectuer de recherche dans l'outil d'investigation pour une source de données spécifique, vous pouvez utiliser la page d'audit et d'enquête à la place. Pour en savoir plus, consultez Expérience d'audit et d'investigation améliorée.
• Vous pouvez effectuer une recherche dans l'outil d'investigation pour tous les utilisateurs, quelle que soit l'édition de Google dont ils disposent.

Remarque : Certaines fonctionnalités de l'outil d'investigation de sécurité, concernant par exemple les données associées à Gmail et Drive, ne sont pas disponibles avec les éditions Cloud Identity Premium ou Enterprise Standard. Pour en savoir plus, consultez Sources de données et conditions dans l'outil d'investigation.

Rechercher et supprimer des e-mails malveillants

1. Premiers pas avec la fonctionnalité d'enquête

1. Connectez-vous à la Console d'administration Google.

   Connectez-vous avec votre compte administrateur (ne se terminant pas par "@gmail.com").

2. Dans la console d'administration, accédez à Menu    Sécurité  Centre de sécurité  Outil d'investigation.
3. Cliquez sur Source de données et sélectionnez Événements de journaux Gmail.
4. Cliquez sur Ajouter une condition.
5. Cliquez sur AttributÀ (enveloppe).
6. Cliquez sur ContientEst.
7. Pour À (enveloppe), saisissez le nom d'utilisateur qui a reçu l'e-mail malveillant, par exemple [e-mail]. 
8. Cliquez sur Ajouter une condition.
9.  Cliquez sur Attribut Objet et assurez-vous que la condition est définie sur Contient (option par défaut)
10. Dans le champ Objet, saisissez des mots correspondant à l'objet de l'e-mail malveillant, par exemple La danse du Père Noël.
    Les mots que vous saisissez pour la recherche ne doivent pas obligatoirement correspondre exactement à l'objet de l'e-mail.
11. Cliquez sur Ajouter une condition.
12. Pour Condition, cliquez sur Date.
13. Définissez la condition sur Après.
14. Pour Date, saisissez la date et l'heure les plus proches auxquelles l'e-mail suspect a été reçu par vos utilisateurs.
15. Cliquez sur Rechercher.

2. Afficher et exporter les résultats de la recherche

Une fois que vous avez terminé de suivre la procédure ci-dessus, les résultats de la recherche s'affichent dans un tableau en bas de la page. Le tableau affiche la date et l'heure d'envoi du message, l'ID du message, l'objet, l'adresse e-mail de l'expéditeur et celle du destinataire.

Pour exporter ces résultats de recherche dans votre dossier Mon Drive, cliquez sur l'icône Tout exporter en haut du tableau. 

Pour en savoir plus, consultez Afficher les résultats de recherche dans l'outil d'investigation.

3. Rechercher d'autres utilisateurs susceptibles d'avoir reçu l'e-mail malveillant

1. Pour supprimer la condition Destinataire des critères de recherche ci-dessus, cliquez sur . Votre recherche inclura alors uniquement les critères Objet et Date.
2. Pour rechercher d'autres utilisateurs susceptibles d'avoir reçu l'e-mail malveillant, cliquez sur Rechercher.
   
   Les résultats de la recherche sont affichés dans un tableau en bas de la page. Comme pour les résultats de recherche de l'étape 1 ci-dessus, le tableau affiche la date et l'heure d'envoi du message, l'ID du message, l'objet, le type d'événement et l'adresse e-mail de l'expéditeur. Cependant, les résultats incluent également l'adresse e-mail des autres utilisateurs de votre organisation ayant reçu l'e-mail malveillant.
    
3. Pour exporter ces résultats de recherche dans votre dossier Mon Drive, cliquez sur l'icône Exporter en haut du tableau. 

4. Effacer les e-mails malveillants de la boîte de réception de vos utilisateurs

1. Dans le tableau en bas de l'outil d'investigation, cochez l'option Tout sélectionner pour cocher automatiquement toutes les cases sur la page des résultats de recherche actuels.
2. Dans le menu déroulant Actions, cliquez sur Supprimer les messages.
3. Saisissez le motif de la suppression ("E-mails suspects", par exemple). 
4. Cliquez sur Supprimer.
   
   Cette action efface de la boîte de réception des utilisateurs les messages dont l'identifiant et le propriétaire (l'expéditeur ou le destinataire selon le type d'événement) correspondent aux événements de journaux Gmail sélectionnés. Les messages effacés restent soumis aux règles de conservation et de préservation à titre conservatoire applicables définies dans Vault (pour en savoir plus sur ces règles, consultez le Centre d'aide Vault).

Remarque : En plus de pouvoir effacer un e-mail, vous pouvez aussi réaliser d'autres actions, comme marquer un e-mail comme spam ou hameçonnage, ou l'envoyer dans la boîte de réception de l'utilisateur.