Als beheerder van uw organisatie kunt u de tool voor beveiligingsonderzoek gebruiken om zoekopdrachten op logboekgebeurtenissen over contextbewuste toegang uit te voeren en actie te ondernemen op basis van de resultaten. In de onderzoekstool kunt u een overzicht van acties bekijken om problemen op te lossen als een gebruiker geen toegang heeft tot een app. Invoeren verschijnen meestal binnen een uur nadat de toegang van de gebruiker is geweigerd.
Zie Overzicht van contextbewuste toegang voor meer informatie.
Uw toegang tot de tool voor beveiligingsonderzoek
- De tool voor beveiligingsonderzoek wordt ondersteund in onder andere Enterprise Plus, Education Standard, Education Plus en Enterprise Essentials Plus.
- Beheerders met Cloud Identity Premium, Frontline Standard, Enterprise Standard en Education Standard kunnen de onderzoekstool ook gebruiken voor een deel van de gegevensbronnen.
- Of u een zoekopdracht kunt uitvoeren in de onderzoekstool, hangt af van uw Google-versie, uw beheerdersrechten en de gegevensbron. Als u geen zoekopdracht kunt uitvoeren in de onderzoekstool voor een specifieke gegevensbron, kunt u wel de controle- en onderzoekspagina gebruiken. Ga naar Nieuwe UI voor controle en onderzoek voor meer informatie.
- U kunt in de onderzoekstool een zoekopdracht uitvoeren voor alle gebruikers, ongeacht de Google-versie die ze gebruiken.
Zoeken in logboekgebeurtenissen over contextbewuste toegang
Als u een zoekopdracht wilt uitvoeren in de onderzoekstool, kiest u eerst een gegevensbron. Kies daarna een of meer voorwaarden voor de zoekopdracht. Kies voor elke voorwaarde een kenmerk, een operator en een waarde.
-
Log in bij de Google Beheerdersconsole.
Log in met uw beheerdersaccount (dit eindigt niet op @gmail.com).
Log in bij de Google Beheerdersconsole.Log in met uw beheerdersaccount (dit eindigt niet op @gmail.com).
-
Klik links op de homepage van de Beheerdersconsole op Beveiliging
Beveiligingscentrum
- Klik op Gegevensbron
- Klik op Voorwaarde toevoegen.
Opmerking: U kunt een of meer voorwaarden toevoegen aan de zoekopdracht. U kunt een zoekopdracht ook aanpassen met geneste zoekopdrachten: zoekopdrachten met 2 of 3 niveaus aan voorwaarden (zie Uw zoekopdracht aanpassen met geneste zoekopdrachten). - Klik op Kenmerk
Opmerking: Als u een kortere periode instelt voor een zoekopdracht, verschijnen de resultaten sneller in de onderzoekstool. Als u bijvoorbeeld de zoekopdracht verfijnt zodat alleen gebeurtenissen van de afgelopen week worden weergegeven, ziet u de resultaten sneller dan wanneer u zoekt zonder de zoekopdracht te beperken tot een bepaalde periode. - Kies een operator, bijvoorbeeld Is, Is niet, Bevat of Bevat niet.
- Kies of vul een waarde in voor het kenmerk. Voor sommige kenmerken selecteert u een waarde in een lijst en voor andere kenmerken voert u een waarde in.
- (Optioneel) Herhaal stap 4-7 om meerdere zoekvoorwaarden toe te voegen.
- Klik op Zoeken.
In de onderzoekstool staan de zoekresultaten in een tabel onderaan de pagina. - (Optioneel) Als u de zoekresultaten wilt opslaan, klikt u rechts op Opslaan
Opmerking:
- Op het tabblad Voorwaardenbuilder worden filters weergegeven als voorwaarden met AND/OR-operatoren. U kunt ook het tabblad Filter gebruiken en eenvoudige parameter- en waardeparen toevoegen om de zoekresultaten te filteren.
- Als u een gebruiker een nieuwe naam heeft gegeven, ziet u geen queryresultaten met de oude naam. Als u bijvoorbeeld OudeNaam@example.com de naam NieuweNaam@example.com geeft, ziet u geen gebeurtenissen gerelateerd aan OudeNaam@example.com.
Kenmerkbeschrijvingen
Voor deze gegevensbron kunt u de volgende kenmerken gebruiken als u zoekt naar gegevens uit logboekgebeurtenissen:
| Kenmerk | Beschrijving |
|---|---|
| Handelende gebruiker | Het e-mailadres van de gebruiker die de actie heeft uitgevoerd. |
| Naam van handelende groep |
Groepsnaam van de handelende gebruiker. Ga naar Resultaten filteren op Google-groep voor meer informatie. Zo voegt u een groep toe op de toelatingslijst voor filtergroepen:
|
| Handelende organisatie-eenheid | De organisatie-eenheid van de handelende gebruiker. |
| Aanvraag | Dit kan een van de volgende zijn:
|
| Geblokkeerde API-toegang | De API van de app waartoe de gebruiker de toegang is geweigerd. Voor API-toegang is dit de API waarvoor de aanroepende app de toegang is geweigerd. |
| Datum | De datum en tijd van de gebeurtenis (weergegeven in de standaard tijdzone van uw browser). |
| Apparaat-ID | De apparaat-ID, zoals getoond op de homepage van de Beheerdersconsole |
| Apparaatstatus | De status van het apparaat waarmee deze toegang wordt uitgevoerd, bijvoorbeeld Normaal, Niet gesynchroniseerd (verouderd of oud) of Meerdere organisatie-eenheden (apparaat is niet van uw organisatie) |
| Gebeurtenis | De geregistreerde gebeurtenisactie:
|
| IP-adres | IP-adres van de handelende gebruiker |
Acties uitvoeren op basis van zoekresultaten
Nadat u een zoekopdracht heeft uitgevoerd in de onderzoekstool, kunt u acties uitvoeren op de zoekresultaten. U kunt bijvoorbeeld een zoekopdracht uitvoeren op Gmail-logboekgebeurtenissen en daarna de onderzoekstool gebruiken om specifieke berichten te verwijderen, berichten in de quarantaine te plaatsen of berichten naar de inbox van gebruikers te sturen. Zie Acties uitvoeren op basis van zoekresultaten voor meer informatie over acties in de onderzoekstool.
Activiteitsregels maken en meldingen instellen
U kunt acties in de onderzoekstool automatiseren en meldingen instellen door activiteitsregels te maken. Zo kunt u beveiligingsproblemen efficiënter voorkomen, opsporen en oplossen. Als u een regel wilt instellen, stelt u voorwaarden in voor de regel en geeft u op welke acties er moeten worden uitgevoerd als aan de voorwaarden wordt voldaan. Zie Activiteitsregels maken en beheren voor meer informatie en instructies.
Uw onderzoeken beheren
De lijst met onderzoeken bekijkenKlik op Onderzoeken bekijken om een lijst te bekijken van de onderzoeken waarvan u de eigenaar bent en die met u zijn gedeeld. In de lijst met onderzoeken staan de naam, beschrijving en eigenaar van de onderzoeken, en de datum waarop de onderzoeken voor het laatst zijn gewijzigd.
In deze lijst kunt u acties uitvoeren op elk onderzoek waarvan u de eigenaar bent, bijvoorbeeld een onderzoek verwijderen. Vink het vakje aan voor een onderzoek en klik op Acties.
Opmerking: Direct boven de lijst met onderzoeken kunt u onder Snelle toegang recent opgeslagen onderzoeken bekijken.
Klik als hoofdbeheerder op Instellingen om het volgende te doen:
- De tijdzone voor uw onderzoeken wijzigen. De tijdzone wordt toegepast op zoekvoorwaarden en resultaten.
- Beoordeling vereisen aan- of uitzetten. Zie Vereisen dat bulkacties worden beoordeeld door een reviewer voor meer informatie.
- Content bekijken aan- of uitzetten. Met deze instelling kunnen beheerders met de juiste rechten content bekijken.
- De instelling Reden voor actie aanzetten aan- of uitzetten.
Zie Instellingen instellen voor onderzoeken voor instructies en meer informatie.
U kunt bepalen welke gegevenskolommen worden getoond in de zoekresultaten.
- Klik rechtsboven in de tabel met zoekresultaten op Kolommen beheren
.
- (Optioneel) Als u huidige kolommen wilt verwijderen, klikt u op Item verwijderen
.
- (Optioneel) Als u kolommen wilt toevoegen, klikt u naast 'Nieuwe kolom toevoegen' op de pijl-omlaag
en selecteert u de juiste gegevenskolom.
Herhaal de stappen indien nodig. - (Optioneel) Als u de volgorde van kolommen wilt wijzigen, versleept u de kolomnaam.
- Klik op Opslaan.
- Klik bovenaan de tabel met zoekresultaten op Alles exporteren.
- Vul een naam in
De export wordt onder de tabel met zoekresultaten weergegeven, onder Actieresultaten exporteren. - Klik op de naam van de export om de gegevens te bekijken.
De export wordt geopend in Google Spreadsheets.
Het volgende geldt als u geëxporteerde zoekresultaten bekijkt:
- Nadat u bovenaan de tabel op de knop Alles exporteren heeft geklikt, wordt er een Google-spreadsheet met de zoekresultaten gemaakt in de map Mijn Drive. Afhankelijk van de hoeveelheid resultaten kan de export enige tijd duren en kunnen er meerdere Google-spreadsheets worden gemaakt. Er kunnen in totaal niet meer dan 30 miljoen rijen met zoekresultaten worden gemaakt in een export (behalve bij zoekopdrachten in Gmail-berichten, die beperkt zijn tot 1,25 miljoen rijen).
- Tijdens de export worden er Google-spreadsheets gemaakt met een tijdelijke naam, zoals TMP-1-<titel>. Als er meerdere Google-spreadsheets worden gemaakt, krijgen aanvullende bestanden de naam TMP-2-<titel>, TMP-3-<titel> etc. Wanneer de export is voltooid, krijgen de bestanden automatisch de naam <titel> [1 van N], <titel> [2 van N] etc. Als de geëxporteerde gegevens in één Google-spreadsheet staan, krijgt dit de naam <titel>.
- Welke rechten voor delen gelden voor bestanden met de geëxporteerde zoekresultaten, hangt af van uw domeinconfiguratie. Als gemaakte bestanden bijvoorbeeld standaard worden gedeeld met iedereen in het bedrijf, geldt deze zichtbaarheid ook voor de geëxporteerde gegevens.
Als u zoekcriteria wilt opslaan of deze met anderen wilt delen, kunt u een onderzoek maken en opslaan, en het daarna delen, dupliceren of verwijderen.
Zie Onderzoeken opslaan, delen, verwijderen en dupliceren voor meer informatie.
Zie Bewaartijden van gegevens en vertragingstijden voor meer informatie over gegevensbronnen.
