Après avoir effectué une recherche dans une source de données (par exemple, dans les événements de journaux Gmail pour trouver et supprimer un e-mail malveillant), vous pouvez rechercher un utilisateur spécifique en changeant de variable afin d'effectuer une recherche dans une autre source de données (par exemple, dans les événements de journaux Drive pour enquêter sur le partage de fichiers lié à cet utilisateur).
Vous pouvez par exemple choisir cette stratégie si un compte utilisateur a été piraté et que vous découvrez qu'un e-mail malveillant est envoyé depuis ce compte. Vous pouvez alors enquêter sur d'autres actions réalisées à partir de ce compte utilisateur dans Drive.
Remarque : Certaines fonctionnalités de l'outil d'investigation de sécurité, concernant par exemple les données associées à Gmail et Drive, ne sont pas disponibles avec les éditions Cloud Identity Premium ou Enterprise Standard. Pour en savoir plus, consultez Sources de données et conditions dans l'outil d'investigation.
Pour rechercher un utilisateur dans différentes sources de données :
- Effectuez votre recherche en suivant les instructions de Rechercher et effacer les e-mails malveillants.
- Dans les résultats de recherche, passez la souris sur l'utilisateur dans la colonne Expéditeur, par exemple, utilisateur@exemple.com.
- Passez la souris sur un élément des résultats de recherche, puis cliquez sur le bouton de tableau croisé dynamique pour ouvrir les options du menu.
- Cliquez sur Événements de journaux Drive > Acteur.
Dans la nouvelle page de recherche qui s'affiche, les événements de journaux Drive sont indiqués comme source de données, avec une condition impliquant le même acteur. - Si nécessaire, vous pouvez cliquer sur AJOUTER UNE CONDITION pour inclure d'autres critères à votre recherche.
- Cliquez sur RECHERCHER.
- Affichez et exportez les résultats de recherche.
Remarque : Vous pouvez également changer de variable pour une colonne entière dans les résultats de recherche. Pour ce faire, passez la souris sur le nom de la colonne, puis choisissez une option du menu.
Comment accéder à l'outil d'investigation de sécurité
- Les éditions compatibles avec l'outil d'investigation de sécurité incluent Enterprise Plus, Education Standard, Education Plus et Enterprise Essentials Plus.
- Les administrateurs disposant de Cloud Identity Premium, Frontline Standard, Enterprise Standard et Education Standard peuvent également utiliser l'outil d'investigation pour un sous-ensemble de sources de données.
- La possibilité d'effectuer une recherche dans l'outil d'investigation dépend de votre édition Google, de vos droits d'administrateur et de la source de données. Si vous ne parvenez pas à effectuer de recherche dans l'outil d'investigation pour une source de données spécifique, vous pouvez utiliser la page d'audit et d'enquête à la place. Pour en savoir plus, consultez Expérience d'audit et d'investigation améliorée.
- Vous pouvez effectuer une recherche dans l'outil d'investigation pour tous les utilisateurs, quelle que soit l'édition de Google dont ils disposent.
