조직의 관리자는 보안 조사 도구를 사용하여 컨텍스트 인식 액세스 로그 이벤트와 관련된 검색을 실행하고 검색결과에 따라 조치를 취할 수 있습니다. 조사 도구에서 작업 기록을 확인하고 사용자의 앱 액세스가 거부되는 문제를 해결할 수 있습니다. 대개 항목은 사용자가 액세스가 거부된 지 1시간 이내에 표시됩니다.
자세한 내용은 컨텍스트 인식 액세스 개요를 참고하세요.
보안 조사 도구 사용 가능 여부
- 보안 조사 도구가 지원되는 버전에는 Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus이 포함됩니다.
- Cloud ID Premium, Frontline Standard, Enterprise Standard, Education Standard를 사용하는 관리자도 일부 데이터 소스에 대해 조사 도구를 사용할 수 있습니다.
- 조사 도구에서 검색을 실행할 수 있는지 여부는 Google 버전, 관리자 권한, 데이터 소스에 따라 달라집니다. 조사 도구에서 특정 데이터 소스를 검색할 수 없는 경우에는 대신 감사 및 조사 페이지를 사용할 수 있습니다. 자세한 내용은 개선된 감사 및 조사 환경을 참고하세요.
- 사용자가 보유한 Google 버전과 관계없이 모든 사용자를 대상으로 조사 도구에서 검색을 실행할 수 있습니다.
컨텍스트 인식 액세스 로그 이벤트 검색 실행하기
조사 도구에서 검색을 실행하려면 먼저 데이터 소스 를 선택합니다. 그런 다음 하나 이상의 검색 조건을 선택합니다. 각 조건에서 속성, 연산자, 값을 선택합니다.
-
-
관리 콘솔 홈페이지 왼쪽에서 보안보안 센터조사 도구를 클릭합니다.
- 데이터 소스를 클릭하고 컨텍스트 인식 액세스 로그 이벤트를 선택합니다.
- 조건 추가를 클릭합니다.
참고: 검색에 조건을 하나 이상 포함할 수 있습니다. 중첩된 쿼리(2단계 또는 3단계 조건으로 검색)로 검색을 맞춤설정할 수도 있습니다. 자세한 내용은 중첩된 쿼리로 검색 맞춤설정하기를 참고하세요. - 속성을 클릭하고속성(예: 작업 수행자 또는 날짜)을 선택합니다. 컨텍스트 인식 액세스 로그 이벤트에서 사용할 수 있는 속성의 전체 목록을 보려면 아래의 속성 설명으로 이동하세요.
참고: 검색 기간을 좁히면 조사 도구에 검색결과가 더 빨리 표시됩니다. 예를 들어 지난주에 발생한 이벤트로 검색 범위를 좁히면 쿼리를 더 짧은 기간으로 제한하지 않고 검색하는 경우보다 쿼리가 더 빨리 반환됩니다. - 연산자를 선택합니다(예: 같음, 다름, 포함, 포함하지 않음).
- 속성 값을 선택하거나 입력합니다. 목록에서 선택하는 속성도 있고 값을 입력하는 속성도 있습니다.
- (선택사항) 여러 검색 조건을 포함하려면 4~7단계를 반복합니다.
- 검색을 클릭합니다.
페이지 하단의 표에 조사 도구의 검색결과가 표시됩니다. - (선택사항) 검색결과를 저장하려면 오른쪽에서 저장을 클릭한 다음 제목 및 설명을 입력하고저장을 클릭합니다.
참고:
- 조건 작성 도구 탭을 사용하면 필터가 AND/OR 연산자로 결합된 조건으로 표시됩니다. 필터 탭에서 간단한 매개변수 및 값 쌍을 포함하여 검색결과를 필터링할 수도 있습니다.
- 참고: 사용자에게 새 이름을 부여한 경우, 사용자의 기존 이름을 사용하면 쿼리 결과가 표시되지 않습니다. 예를 들어 OldName@example.com을 NewName@example.com으로 바꾸는 경우, OldName@example.com과 관련된 이벤트 결과는 표시되지 않습니다.
속성 설명
이 데이터 소스의 경우 로그 이벤트 데이터를 검색할 때 다음 속성을 사용할 수 있습니다.
속성 | 설명 |
---|---|
작업 수행자 | 작업을 수행한 사용자의 이메일 주소입니다. |
작업 수행자 그룹 이름 |
작업 수행자의 그룹 이름입니다. 자세한 내용은 Google 그룹별로 검색결과 필터링하기를 참고하세요. 필터링 그룹 허용 목록에 그룹을 추가하려면 다음 안내를 따르세요.
|
작업 수행자 조직 단위 | 작업 수행자의 조직 단위입니다. |
애플리케이션 | 다음 중 하나일 수 있습니다.
|
차단된 API 액세스 | 사용자의 액세스가 거부된 애플리케이션의 API입니다. API 액세스의 경우 호출 애플리케이션의 액세스가 차단된 API입니다. |
날짜 | 이벤트 날짜 및 시간입니다(브라우저의 기본 시간대로 표시됨). |
기기 ID | 관리 콘솔 홈페이지기기에 표시된 기기 ID |
기기 상태 | 이 액세스를 수행하는 데 사용된 기기의 상태입니다. 예를 들어 일반, 동기화(오래 또는 이전) 또는 교차 조직(조직에 속하지 않는 기기) |
이벤트 | 기록된 이벤트 작업입니다.
|
IP 주소 | 작업 수행자의 IP 주소입니다. |
검색결과에 따라 작업하기
조사 도구에서 검색을 실행한 후 검색결과를 바탕으로 작업을 수행할 수 있습니다. 예를 들어 Gmail 로그 이벤트를 기반으로 검색을 실행한 다음 조사 도구를 사용해 특정 메일을 삭제하거나 스팸 격리 저장소로 보내거나 사용자의 받은편지함으로 보낼 수 있습니다. 조사 도구의 작업에 대한 자세한 내용은 검색결과에 따라 작업하기를 참고하세요.
활동 규칙 만들기 및 알림 설정하기
활동 규칙을 만들어 조사 도구에서 작업을 자동화하고 알림을 설정하면 보다 효율적으로 보안 문제를 방지하고 감지하며 해결할 수 있습니다. 규칙을 설정하려면 규칙에 대한 조건을 설정한 다음 조건이 충족될 때 수행할 작업을 지정합니다. 자세한 내용 및 안내는 활동 규칙 만들기 및 관리하기를 참고하세요.
조사 관리하기
조사 목록 보기소유하고 있는 조사 및 공유된 조사의 목록을 보려면 조사 보기를 클릭합니다. 조사 목록에는 조사의 제목, 설명, 소유자, 최종 수정 날짜가 포함되어 있습니다.
이 목록에서 소유하는 모든 조사에 대한 작업(예: 조사 삭제)을 수행할 수 있습니다. 작업하려는 조사의 체크박스를 선택하고 작업을 클릭합니다.
참고: 조사 목록 바로 위에 있는 빠른 액세스에서 최근에 저장된 조사를 확인할 수 있습니다.
최고 관리자는 설정 을 클릭하여 다음 작업을 수행할 수 있습니다.
- 조사의 시간대를 변경합니다. 시간대는 검색 조건과 검색결과에 적용됩니다.
- 검토자 요청을 사용 또는 사용 중지합니다. 자세한 내용은 일괄 작업에 대해 검토자 요청하기를 참고하세요.
- 콘텐츠 보기를 사용 또는 사용 중지합니다. 이 설정을 사용하면 적절한 권한이 있는 관리자가 콘텐츠를 볼 수 있습니다.
- 작업 사유 입력 사용 설정을 사용 또는 사용 중지합니다.
자세한 안내 및 정보는 조사 설정 구성하기를 참고하세요.
검색결과에 표시할 데이터 열을 설정할 수 있습니다.
- 검색결과 표의 오른쪽 상단에서 열 관리를 클릭합니다.
- (선택사항) 현재 열을 삭제하려면 항목 삭제를 클릭합니다.
- (선택사항) 열을 추가하려면 '새 열 추가' 옆에 있는 아래쪽 화살표를 클릭하고 데이터 열을 선택합니다.
필요한 경우 반복합니다. - (선택사항) 열 순서를 변경하려면 열 이름을 드래그합니다.
- 저장을 클릭합니다.
- 검색결과 표 상단에서 모두 내보내기를 클릭합니다.
- 이름을 입력하고내보내기를 클릭합니다.
내보내기는 검색결과 표 아래의 작업 결과 내보내기에 표시됩니다. - 데이터를 보려면 내보내기 이름을 클릭합니다.
Google Sheets에서 내보내기 파일이 열립니다.
내보낸 검색결과를 볼 때 다음 사항을 참고하세요.
- 표 상단에서 모두 내보내기를 클릭하면 내 드라이브 폴더에 검색결과가 포함된 Google 시트가 생성됩니다. 검색결과의 크기에 따라 내보내기에 다소 시간이 걸릴 수 있으며 Google Sheets가 여러 개 생성될 수도 있습니다. 내보내는 총 검색결과는 3천만 행으로 제한됩니다(125만 행으로 제한되는 Gmail 메일 검색 제외).
- 내보내기가 진행되는 동안 생성되는 Google 스프레드시트에 임시 이름(예: TMP-1-<title>)이 지정되며, Google 스프레드시트가 여러 개 생성되는 경우 추가 파일 이름은 TMP-2-<title>, TMP-3-<title> 등으로 지정됩니다. 내보내기 프로세스가 완료되면 파일 이름이 <title> [1/N], <title> [2/N] 등으로 자동 변경됩니다. 내보낸 데이터가 포함된 Google 스프레드시트가 1개만 있는 경우 파일 이름이 <title>로 변경됩니다.
- 내보낸 검색결과가 포함된 파일의 공유 권한은 도메인 구성에 따라 결정됩니다. 예를 들어 생성된 파일이 기본 설정에 따라 회사 내 모든 사용자와 공유될 경우 내보낸 데이터도 같은 공개 상태를 갖게 됩니다.
검색 기준을 저장하여 이를 다른 사용자와 공유하려면 조사를 만들고 저장한 다음 공유, 복제 또는 삭제할 수 있습니다.
자세한 내용은 조사 저장, 공유, 삭제, 복제하기를 참고하세요.
데이터 소스에 대한 자세한 내용은 데이터 보관 및 지연 시간을 참고하세요.