Vidta åtgärder baserat på sökresultat

När du har gjort en sökning i undersökningsverktyget har du möjlighet att vidta flera åtgärder baserat på din sökning. Du kan till exempel göra en sökning baserat på logghändelser i Gmail och använda undersökningsverktyget för att radera specifika meddelanden, markera meddelanden som skräppost eller nätfiske, sätta meddelanden i karantän eller skicka meddelanden till användarnas inkorgar.

Mer information och anvisningar om åtgärderna du kan vidta i undersökningsverktyget hittar du i avsnitten nedan.

Obs!

• Vilka datakällor som är tillgängliga varierar beroende på din Google Workspace-utgåva.
• Innan administratörer i organisationen kan vidta åtgärder mot sökresultat kan de välja att ange en beskrivning som motiverar orsakerna till åtgärden/åtgärderna. Om du är avancerad administratör kan du aktivera det här alternativet genom att anpassa inställningarna för undersökningsverktyget. Anvisningar finns i Konfigurera inställningar för undersökningar.
• Om du begränsar datumintervallet för sökningen visas resultaten snabbare i utredningsverktyget. Om du till exempel begränsar sökningen till händelser från den senaste veckan visas resultatet snabbare än om du söker utan att begränsa frågan till en kortare tidsperiod.
• Om tidsgränsen nås när du utför en massåtgärd minskar du datumintervallet för sökningen och försöker sedan igen.

Din åtkomst till verktyget för säkerhetsutredningar

• De utgåvor som stöds för verktyget för säkerhetsutredningar är Enterprise Plus, Education Standard, Education Plus och Enterprise Essentials Plus.
• Administratörer med Cloud Identity-premiumversion, Frontline Standard, Enterprise Standard och Education Standard kan också använda utredningsverktyget för en delmängd av datakällorna.
• Möjligheten att göra en sökning i utredningsverktyget beror på din Google-utgåva, dina administrativa behörigheter och datakällan. Om du inte kan köra en sökning i utredningsverktyget för en viss datakälla kan du i allmänhet använda gransknings- och utredningssidan i stället. Mer information finns i Förbättrad granskning och utredning.
• Du kan köra en sökning i utredningsverktyget på alla användare, oavsett vilken Google-utgåva de har.

Typer av åtgärder i utredningsverktyget 

Åtgärder för enheter

När du söker baserat på Enheter eller Logghändelser för enhet kan du välja enheter i sökresultaten och sedan vidta följande åtgärder:

• Godkänn enhet – Godkänner enheten. Om du har valt Aktivera enhetsaktivering måste enheter som registreras efter aktiveringen godkännas innan de kan synkroniseras med domänen. Om du aktiverar enhetsaktivering måste enhetsanvändaren installera Device Policy-appen för att synkronisera med Google Workspace.
• Blockera enhet – blockerar åtkomsten till Google Workspace-data (Gmail, Kalender och kontakter) på enheten. Användaren har fortfarande åtkomst till Gmail, Kalender och kontakter via webbläsaren på en dator eller mobil enhet.
• Rensa administratörskonto från enhet  – fjärrensar endast Google Workspace-data från enheten. Mer information finns på Ta bort företagsdata från en mobil enhet.
• Fjärrensa enhet – Fjärrensar all data på enheten. Mer information finns på Ta bort företagsdata från en mobil enhet.
• Avbryt fjärrensningen av enheten – Avbryter en fjärrensning av enheten.

Åtgärder för Logghändelser för Drive

När du söker baserat på Logghändelser för Drive kan du välja filer i sökresultaten och granska behörigheterna för dessa filer.

Gör följande:

1. När du har sökt i undersökningsverktyget utifrån Logghändelser för Drive markerar du rutorna för de relevanta filerna i sökresultaten.
2. Klicka på Åtgärder > Granska filbehörigheter för att öppna sidan Behörigheter.
   Som standard visas fliken Filer och på den visas filer som inkluderades i dina sökresultat. Därifrån kan du hantera åtkomsten till dessa filer. För närvarande är inte filer på delade enheter tillgängliga i den här vyn.
3. Klicka på Personer för att visa användare och grupper som har åtkomst till filerna.
   Personerna på den här listan har åtkomst till en eller flera av objekten från dina sökresultat. Använd den här vyn för att hantera åtkomsten för personer (användare och grupper).
4. Klicka på Länkar för att visa eller ändra inställningarna för länkdelning för de valda filerna.
5. Klicka på Lägg till användare om du vill ge filåtkomst till fler användare. Du kan lägga till flera användare med en kommaavgränsad lista och du kan välja åtkomstnivå för de användare du lägger till.
   
   Obs! För åtgärder på fliken Delad enhet kan du bara redigera åtkomst för filer inom den delade enheten. Filer utanför en delad enhet visas inte på den här fliken.
    
6. Klicka på Väntande ändringar för att granska ändringarna innan du sparar.

Åtgärder för delade enheter

Om du har behörighet för Verktyget för säkerhetsundersökningar Uppdatera eller radera Drive kan du också ändra delade enheter och filerna inom delade enheter:

• Du kan ändra, ta bort eller lägga till åtkomstnivån för en medlem på en delad enhet.
• Du kan ändra, ta bort eller lägga till åtkomst som användare har beviljats ​​direkt för en eller flera filer på en delad enhet.

Obs! Google Drive tillåter delning av mappar och ändring av äganderätten för mappar, men utredningsverktyget tillåter inte dessa åtgärder för administratörer.

Åtgärder för Gmail-meddelanden och Gmail-logghändelser

När du söker baserat på Gmail-meddelanden eller logghändelser för Gmail kan du välja meddelanden i sökresultaten och sedan vidta följande åtgärder (de tillgängliga åtgärderna gäller endast meddelanden i Gmail och omfattar inte meddelanden i Google Grupper):

• Visa rubrik
• Visa meddelanden
• Radera meddelanden
• Återställ meddelanden
• Markera meddelande som spam
• Markera meddelandet som nätfiske
• Skicka meddelande till inkorgen (tar även bort en skräppost- eller nätfiskeklassificering)
• Skicka meddelande till karantän (meddelanden skickas till standardkarantänen)
  
  Viktigt! Meddelanden som skickas till karantänen raderas automatiskt när lagringspolicyn för Arkiv aktiveras. Om de här meddelandena är äldre än lagringspolicyn för Arkiv tas de bort i stället för att skickas till karantän. Standardlagringen är inställd på 30 dagar efter att e-postmeddelandet ursprungligen skickades eller togs emot. Du kan också använda Arkiv för att ställa in anpassade lagringsregler.

Om du till exempel vill skicka ett meddelande till användarnas inkorgar:

1. När du gjort en sökning i undersökningsverktyget markerar du rutorna för de relevanta meddelandena i sökresultaten.
2. Klicka på Åtgärder.
3. Välj Skicka meddelandet till inkorgen.
4. Bekräfta genom att klicka på Skicka till inkorg.
5. Visa resultaten för åtgärderna genom att klicka på Visa längst ned på sidan.
   I kolumnen Resultat kan du visa statusen för åtgärden, t.ex. Meddelandet har skickats till inkorgen.

Obs! Du kan även visa innehållet i Gmail-meddelandet. Mer information finns i Visa innehåll i Gmail-meddelande.

Åtgärder för användare

När du söker baserat på användare kan du välja användare i sökresultaten och sedan vidta följande åtgärder:

• Återställ användare
• Stänga av användare tillfälligt

Om du till exempel vill stänga av specifika användare i sökresultaten gör du följande:

1. När du är klar med sökningen i undersökningsverktyget markerar du rutorna för relevanta användare i sökresultaten.
2. Klicka på Åtgärder.
3. Välj Stäng av användare.
4. Bekräfta genom att klicka på Stäng av användare.

Du kan återställa användare på liknande sätt.

Åtgärder för händelser i användarlogg

När du söker baserat på Händelser i användarlogg kan du välja användare i sökresultaten och sedan vidta följande åtgärder:

• Tvinga fram en lösenordsändring
• Återställ användare
• Stänga av användare tillfälligt

Om du till exempel vill stänga av specifika användare i sökresultaten gör du följande:

1. När du är klar med sökningen i undersökningsverktyget markerar du rutorna för relevanta användare i sökresultaten.
2. Klicka på Åtgärder.
3. Välj Stäng av användare.
4. Bekräfta genom att klicka på Stäng av användare.

Du kan återställa användare på liknande sätt.

Åtgärder för logghändelser i Meet

När du söker baserat på Meet-logghändelser kan du använda åtgärden Avsluta möte för alla för att ta bort alla användare från valda möten inom organisationen. Du kanske till exempel vill förhindra att användarna har möten som inte kontrolleras när mötesvärden inte är närvarande när en händelse har slutförts.

Mer information finns i Använda utredningsverktyget för att avsluta möten.

Massåtgärder för sökresultat

Förutom att välja enskilda objekt i sökresultaten och vidta åtgärder för dessa kan du vidta massåtgärder på en hel sida eller för alla resultat på alla sidor.

Obs! Om tidsgränsen nås när du utför en massåtgärd minskar du datumintervallet för sökningen och försöker sedan att utföra massåtgärden igen.

Om du vill vidta massåtgärder för sökresultat på den aktuella sidan som du visar gör du följande:

1. Klicka på kryssrutan högst upp i kolumnen längst till vänster.
   Då markeras alla rutor på den aktuella sidan.
2. Klicka på Åtgärder i rubrikfältet.

Om du vill vidta massåtgärder för alla sökresultat på alla sidor gör du följande:

1. Klicka på kryssrutan högst upp i kolumnen längst till vänster.
2. Klicka på Markera alla resultat.
   Då markeras alla rutor på alla sidor i sökresultaten.
3. Klicka på Åtgärder i rubrikfältet.
   
   Obs! Om du klickar på nästa sida i sökresultaten under den här processen avmarkeras alla rutor på alla sidor i sökresultaten och du måste börja om från början.

Kontrollera statusen för dina massåtgärder

Du kan kontrollera statusen för stora uppgifter i Google Administratörskonsol om du vill se om de är klara eller fortfarande pågår.

Om till exempel en av dina massåtgärder i utredningsverktyget tar lång tid att slutföra kan du lämna administratörskonsolen och komma tillbaka och kontrollera statusen för åtgärden senare. 

Statusen för stora uppgifter visas om du klickar på Uppgifter  högst upp i administratörskonsolen.

 

Läs Kontrollera status för stora uppgifter om du vill veta mer.

Kolumnbaserad pivotering i sökresultat

Du kan använda kolumnbaserad pivotering i sökresultaten i undersökningsverktyget för att visa data om ett objekt som är relaterat till en annan datakälla. Du kan till exempel göra en sökning baserat på Logghändelser för Gmail och sedan klicka på en mottagare i kolumnen Mottagare för att skapa en fråga för Drive-händelsen utifrån ägare. Då kan du analysera data om en specifik användare från två olika datakällor – både Logghändelser för Gmail och Logghändelser för Drive.

Om du vill pivotera sökresultaten från en logghändelse för Gmail till en logghändelse för Drive gör du följande:

1. När du har gjort en sökning i undersökningsverktyget håller du muspekaren över den relevanta användaren i kolumnen Mottagare.
2. Klicka på menyikonen (tre vertikala punkter) för den användaren.
3. Välj Logghändelser för Drive Ägare.
   Sökkriterierna anges automatiskt för en sökning i Logghändelser för Drive.
4. Inkludera ytterligare villkor i sökningen – till exempel Titel eller Synlighet.
5. Klicka på Sök.

Du kan vidta andra pivoteringsåtgärder för många objekt i sökresultaten. Du kan till exempel pivotera på en hel kolumn, eller på meddelandets ämne, id, avsändare och mycket annat.

Avbryt åtgärder

Du kan avbryta åtgärder i undersökningsverktyget innan de är slutförda. Om du till exempel startar en åtgärd för att stänga av flera användare kan du klicka på Avbryt längst ner på sidan Undersökning.

Om du avbryter en massåtgärd får du delresultat om åtgärden redan är igång.

Obs! För exportåtgärder kan enbart administratören som initierade exporten avbryta den. För alla andra åtgärder kan administratörer som har särskild behörighet att agera på de uppgifter som är relevanta för åtgärden – t.ex. Drive, Gmail eller Mobil – avbryta åtgärden.

Försök att utföra åtgärder igen

När du utför en massåtgärd kan du ibland stöta på sökningsfel, till exempel om vissa användare inte ingår i sökresultaten. Om detta inträffar kan du försöka igen:

1. När du har slutfört en åtgärd i undersökningsverktyget klickar du på VISA DETALJER.
2. Från rutan Åtgärdsdetaljer klickar du på FÖRSÖK IGEN.
3. Klicka på åtgärden i fönstret för nytt försök, klicka till exempel på MARKERA SOM SKRÄPPOST.

Exportera sökresultat till en Kalkylark-fil i mappen Min enhet

Så här sparar du åtgärdsresultat i mappen Min enhet:

1. Klicka på knappen Exportera högst upp i tabellen med åtgärdsresultaten.
2. Ange ett namn på exporten.
3. Klicka på Exportera.

Visa exporterade åtgärdsresultat

Följ de här riktlinjerna när du visar exporterade åtgärdsresultat:

• När du har klickat på knappen Exportera högst upp i tabellen skapas ett Google-kalkylark med sökresultaten i mappen Min enhet. Beroende på resultatens storlek kan exportprocessen ta lite tid och flera Google-kalkylark kan skapas. Gränsen för exporterade resultat är 30 miljoner rader.
• Medan exportprocessen pågår skapas Google-kalkylarken med tillfälliga namn, till exempel TMP-1-<titel>. Om flera Google-kalkylark skapas får de ytterligare filerna namn som TMP-2-<titel>, TMP-3-<titel> och så vidare. När exportprocessen är klar ändras filnamnen automatiskt till: <titel> [1 av N], <titel> [2 av N] och så vidare. Om du bara har ett Google-kalkylark med exporterad data får filen namnet <titel>.
• Delningsbehörigheterna för filer med de exporterade åtgärdsresultaten följer konfigurationen på domänen. Om standardinställningen till exempel är att alla filer som skapas delas med alla på företaget får även filerna med exporterad data den här synligheten.