A los roles de administrador con el privilegio Informes se les asignaron automáticamente los privilegios Auditoría e investigación (ver), Vista de actividad y Gestionar actividad.
Como administrador, puedes configurar reglas de actividad en la consola de administración de Google para enviar notificaciones o tomar medidas en respuesta a la actividad que se produce en tu dominio. Usa reglas de actividad para evitar, detectar y solucionar problemas de seguridad de forma más rápida y eficiente.
Para crear una, tienes que indicar en qué condiciones debe activarse y qué notificaciones o acciones deben realizarse cuando eso ocurra. Básicamente, una regla es una manera de indicar al sistema que, si ocurre x, haga y automáticamente.
Google realizará continuamente la búsqueda especificada en la regla de actividad. Si el número de resultados devueltos supera el umbral establecido, Google realizará las notificaiones y acciones que hayas especificado. Por ejemplo, puedes crear una regla para enviar notificaciones por correo electrónico a determinados administradores cuando se compartan documentos de Google Drive con usuarios ajenos a la empresa.
Antes de empezar
La posibilidad de crear y ver reglas de actividad depende de la edición de Google Workspace que tengas, de tus privilegios de administrador y de la fuente de datos. Para obtener más información, consulta el artículo Acceso de administrador a reglas de notificación y de actividad.
Funciones de todas las ediciones
- Acceder a las reglas de actividad desde la página Reglas o desde la herramienta de auditoría e investigación
- Filtros AND con hasta 5 condiciones (sin incluir las condiciones anidadas)
Funciones avanzadas
Ediciones compatibles con esta función: Frontline Plus, Enterprise Standard y Enterprise Plus, Education Plus, Enterprise Essentials Plus, Cloud Identity Premium y Chrome Enterprise Premium. Comparar ediciones
- También puedes acceder a las reglas de actividad desde la herramienta de investigación de seguridad
- Filtros OR
- Definir acciones en los activadores
- Definir umbrales para los activadores
- Configurar más de 5 condiciones en una regla
- Condiciones anidadas
- Recibir una notificación cada vez que se produzca un evento
Directrices importantes para crear reglas de actividad
- Solo puedes crear reglas de actividad basadas en fuentes de datos de eventos de registro (por ejemplo, eventos de registro de Gmail o eventos de registro de dispositivos). No puedes crear reglas de actividad basadas en fuentes de datos de estado en tiempo real, como Navegadores Chrome, Dispositivos, Mensajes de Gmail y Usuarios.
- Las fuentes de datos disponibles varían en función de tu edición de Google Workspace. Para obtener más información, consulta Hacer búsquedas en la herramienta de investigación de seguridad.
- Debes añadir como mínimo un atributo de evento a la búsqueda.
- Puedes incluir un operador OR en el nivel superior solo si incluyes una condición de evento en todas sus rutas condicionales.
- Solo puedes añadir un único valor al atributo. Por ejemplo, el actor solo puede incluir un usuario. Para incluir varios valores, usa el creador de condiciones para añadir un operador OR y, a continuación, añade el mismo atributo con un valor adicional.
- No puedes utilizar filtros de fecha en reglas de actividad, ya que las reglas se evalúan continuamente.
- Debes añadir al menos una acción o alerta a la regla.
- Dado que las reglas de actividad se basan en eventos de registro, se activan después de que se produzca el evento. Por lo tanto, no son adecuadas para, por ejemplo, bloquear o compartir documentos, o enviar correos electrónicos.
Notificaciones por correo electrónico
Si configuras las notificaciones por correo para una regla, la regla de actividad enviará una notificación por correo por periodo de umbral cuando se active la regla por primera vez. La regla no enviará notificaciones el resto de las veces que se active. los destinatarios que hayas indicado recibirán un correo con un resumen de la regla en el que se incluirán diferentes datos, como su nombre, los detalles del umbral y la fuente de datos a la que se aplica. Los administradores que reciban la notificación por correo podrán hacer clic en Ver alerta para ir a la página Información de la alerta del Centro de alertas.
Umbrales y notificaciones de reglas
Para minimizar las notificaciones, puedes crear reglas con umbrales que activen notificaciones solo cuando el evento se produzca más de un número específico de veces durante un periodo determinado. Por ejemplo, la primera vez que un evento active una regla, se añadirá una alerta nueva al Centro de alertas y se enviará un correo electrónico (si se ha configurado para la regla). Si la regla tiene un umbral de 1 hora, se añadirán a la misma alerta los eventos adicionales que se produzcan dentro de ese periodo. No se envían más notificaciones por correo electrónico hasta que ha transcurrido el tiempo del umbral.
Cuando defines un umbral para una regla, este se aplica de forma acumulativa en todas las acciones de los usuarios, no de forma individual. Por ejemplo, si creas una regla para suspender a los usuarios tras 5 intentos de inicio de sesión fallidos en un periodo de 1 hora, el umbral se alcanza cuando se producen 5 intentos de inicio de sesión fallidos para uno o varios usuarios en el plazo de 1 hora. En este caso, se suspenderán todos los usuarios que tengan al menos un intento fallido.
Notas:
- Los correos y las alertas activados por una regla con un umbral no incluyen una descripción del evento.
- Las reglas de actividad solo se pueden configurar para enviar correos a los usuarios internos del dominio. Sin embargo, los administradores pueden seguir configurando alertas por correo electrónico externo a través de Grupos de Google.
- Puedes evitar que se envíen demasiadas alertas espaciándolas durante una hora.
Crear una regla de actividad
-
Inicia sesión con una cuenta de administrador en Consola de administración de Google.
Si no usas una cuenta de administrador, no podrás acceder a la consola de administración.
-
Crear una regla (todas las ediciones de Google Workspace):
En la página principal de la consola de administración, ve a Reglas y haz clic en Crear regla de actividad.
—O—
Ve a Informes > Auditoría e investigación > selecciona una fuente de datos > Crea una regla de actividad.
—O—
Si tienes la herramienta de investigación de seguridad, ve a Seguridad > Centro de Seguridad > Herramienta de investigación y, a continuación, haz clic en Crear regla de actividad. -
Introduce los datos del cliente y haz clic en Continuar:
- Nombre de la regla: por ejemplo, Uso compartido de datos externo.
- Descripción: por ejemplo, Notificar si los documentos se comparten fuera de la empresa.
-
En la página Condiciones, defina cuándo se activará la regla:
-
Elige la fuente de datos a la que quieres asignar la regla; por ejemplo, Eventos de registro de administrador.Nota: La disponibilidad de las fuentes de datos varía en función de tu edición de Google Workspace y de tus privilegios de administrador. No puedes añadir acciones en respuesta a los eventos de registro de Drive. Para obtener más información, consulta el artículo Acceso de administrador a reglas de actividad y Fuentes de datos de la herramienta de investigación de seguridad.
- Haz clic en la pestaña Filtro para filtrar los resultados de búsqueda mediante parámetros sencillos como Contiene, No contiene, Es o No es.
- Haz clic en la pestaña Creador de condiciones para filtrar los resultados de búsqueda con los operadores AND/OR. Elige un atributo, un operador y un valor para cada condición.
Por ejemplo, para configurar una condición que especifique que el evento es una transferencia de propiedad de documentos, elige Evento como atributo, selecciona Es como operador, y Configuración de documento > Transferencia de propiedad de documento como valor.
Nota: Es obligatorio incluir la condición Evento. Para obtener más información sobre las condiciones disponibles para cada fuente de datos, consulta el artículo Fuentes de datos de la herramienta de investigación de seguridad. - Haz clic en Añadir condición para añadir más condiciones o en Continuar.
-
- (Función avanzada) Selecciona una opción:
- Cada vez que se produce el evento: envía notificaciones o toma medidas cada vez que se produce el evento.
- Si la frecuencia del evento alcanza un umbral específico: selecciona las opciones para activar notificaciones o acciones cuando el evento se produzca más de un número específico de veces en un periodo determinado. Por ejemplo, si el evento se produce más de 10 veces en 1 hora.
- (Función avanzada) Haz clic en Añadir acción para realizar una acción cuando se produzca el evento o se supere el umbral.
- Por ejemplo, suspender a los usuarios o forzar un cambio de contraseña cuando se produzca el evento.
- Haz clic en Añadir acción para crear más acciones.
- En Notificación, selecciona las opciones:
- Centro de alertas: (opción recomendada) envía una alerta al Centro de alertas. Las alertas incluyen información detallada para que puedas abordar problemas y colaborar con otros administradores de tu organización para resolverlos.
- Correo electrónico: envía notificaciones por correo electrónico a los siguientes usuarios:
- Todos los superadministradores: se envían correos a todos los superadministradores.
- Añadir destinatarios de correo electrónico: permite enviar correos a determinados administradores.
- Frecuencia de las notificaciones: el número de notificaciones (alertas y correos) que se envían cada hora para el mismo evento. Puedes espaciar las notificaciones a lo largo de la hora o recibir una notificación cada vez que se produzca el evento. Usa esta opción para evitar que se envíen demasiadas notificaciones sobre el mismo evento.
Elige una opción:- Hasta 5 por hora (predeterminado): recibe una notificación cada 12 minutos de cada hora.
- Hasta 2 por hora: recibe una notificación cada 30 minutos.
- Hasta 10 por hora: recibe una notificación cada 6 minutos por hora.
- Cada vez que se produce el evento (si está disponible en tu edición).
- Gravedad: nivel de gravedad que se muestra en el evento.
- Selecciona el estado de la regla.
- Activo (valor predeterminado): el sistema recoge registros y las reglas se implementan de manera obligatoria.
- Monitorización: el sistema recoge registros, pero las reglas no se aplican. Usa esta opción para revisar los registros antes de aplicar la regla.
- Inactiva: no se recogen registros y la regla no se aplica.
- Haz clic en Continuar.
Revisa los detalles de la regla. Si necesitas hacer cambios, haz clic en Atrás. - Haz clic en Crear regla.
Ver y editar tus reglas de actividad
Después de crear una regla de actividad, puedes ir a la página Reglas para ver el alcance y los detalles de la regla, sus condiciones y las acciones que se activan cuando se alcanzan los umbrales.
En la página Reglas, también puedes ver una lista de todas las reglas que han creado los administradores de tu dominio. Ve a la página principal de la consola de administración de Google y haz clic en Reglas.
En la página Reglas, los administradores de tu dominio pueden ver las reglas que han creado otros administradores, dependiendo de la fuente de datos y siempre y cuando tengan los privilegios adecuados. Por ejemplo, si un administrador tiene privilegios para ver eventos de registro de Drive, pero no de Gmail, no podrá ver ninguna regla basada en eventos de registro de este último servicio.
En la página Reglas, puedes realizar estas acciones:
- Filtrar la lista de reglas haciendo clic en Añadir un filtro.
- Para ver y editar los detalles de una regla, haz clic en ella.
- Eliminar reglas.
- Crear reglas.
- Hacer clic en Examinar para abrir la herramienta de investigación y ver datos de los eventos de registro de reglas.
