Stel dat u er als beheerder achter komt dat er een schadelijke e-mail is ontvangen door verschillende gebruikers in uw organisatie.
Met de onderzoekstool kunt u zien welke gebruikers in uw domein het bericht (bijvoorbeeld een phishingmail) hebben ontvangen. Vervolgens kunt u met de onderzoekstool de e-mail verwijderen uit de Gmail-inboxen van uw gebruikers (het kan enkele minuten duren voordat logboekgegevens beschikbaar zijn in de onderzoekstool).
U kunt ook andere acties uitvoeren in de onderzoekstool, zoals een e-mail markeren als spam of phishing, of een e-mail alsnog laten verzenden naar de inbox van de gebruiker.
Uw toegang tot de tool voor beveiligingsonderzoek
- Voor de tool voor beveiligingsonderzoek is een premium Google Workspace-versie (Enterprise Standard, Enterprise Plus of Education Plus) vereist.
- U kunt via de Chrome-browser toegang krijgen tot logboeken van de Google-apps die u heeft geïnstalleerd. Bijvoorbeeld Gmail.
- Of u een zoekopdracht kunt uitvoeren in de onderzoekstool, hangt af van uw Google-versie, uw beheerdersrechten en de gegevensbron. Als u geen zoekopdracht kunt uitvoeren in de onderzoekstool voor een specifieke gegevensbron, kunt u wel de controle- en onderzoekspagina gebruiken.
- U kunt in de onderzoekstool een zoekopdracht uitvoeren voor alle gebruikers, ongeacht de Google-versie die ze gebruiken.
Opmerking: Sommige functies in de tool voor beveiligingsonderzoek, zoals gegevens bekijken over Gmail en Drive, zijn niet beschikbaar in Cloud Identity Premium en Enterprise Standard. Zie Gegevensbronnen in de onderzoekstool voor meer informatie.
Schadelijke e-mails zoeken en verwijderen
1. Aan de slag met het onderzoek-
Log in bij de Google Beheerdersconsole.
Log in met uw beheerdersaccount (dit eindigt niet op @gmail.com).
-
Ga in de Beheerdersconsole naar Menu
Beveiliging
Beveiligingscentrum
- Klik op Gegevensbron en selecteer Gmail-logboekgebeurtenissen.
- Klik op Voorwaarde toevoegen.
- Klik op Kenmerk
- Klik op Bevat
- Geef bij Aan (Envelop) de gebruikersnaam op van de ontvanger van de schadelijke e-mail, bijvoorbeeld gebruiker@example.com.
- Klik op Voorwaarde toevoegen.
- Klik op Kenmerk
- Geef bij Onderwerp woorden op die overeenkomen met het onderwerp van de schadelijke e-mail, bijvoorbeeld Dansende kerstman.
De woorden in de zoekopdracht hoeven niet exact overeen te komen met het onderwerp van de e-mail. - Klik op Voorwaarde toevoegen.
- Klik bij Voorwaarde op Datum.
- Wijzig de voorwaarde in Na.
- Geef bij Datum de vroegste datum en tijd op waarop de verdachte e-mail is ontvangen door uw gebruikers.
- Klik op Zoeken.
Nadat u de stappen hierboven heeft uitgevoerd, worden de zoekresultaten weergegeven in een tabel onderaan de pagina. In de tabel staan de datum en tijd waarop het bericht is verzonden, de bericht-ID, het onderwerp, het e-mailadres van de afzender en het e-mailadres van de ontvanger.
Klik bovenaan de tabel op Alles exporteren om de zoekresultaten te exporteren naar de map Mijn Drive.
Zie Zoekresultaten bekijken in de onderzoekstool voor meer informatie.
- Als u de voorwaarde Ontvanger wilt verwijderen uit de bovenstaande zoekcriteria, klikt u op
. De zoekopdracht bevat dan alleen de criteria Onderwerp en Datum.
- Klik op Zoeken om te zoeken naar andere gebruikers die de schadelijke e-mail mogelijk hebben ontvangen.
De zoekresultaten worden weergegeven in een tabel onderaan de pagina. Net als bij de zoekresultaten in stap 1 hierboven staan in de tabel de datum en tijd waarop het bericht is verstuurd, de bericht-ID, het onderwerp, het gebeurtenistype en het e-mailadres van de afzender. In de tabel staan echter ook de e-mailadressen van andere gebruikers in uw organisatie die de schadelijke e-mail hebben ontvangen.
- Klik bovenaan de tabel op het pictogram Exporteren om de zoekresultaten te exporteren naar de map Mijn Drive.
- Klik in de tabel onderaan de onderzoekstool op het vakje alles selecteren. Hiermee wordt automatisch elk vakje op de huidige pagina met zoekresultaten aangevinkt.
- Klik in het menu Acties op Berichten verwijderen.
- Geef een reden op voor de verwijderingstaak, bijvoorbeeld 'Vermoedelijk schadelijke e-mails'.
- Klik op Verwijderen.
Met deze actie worden berichten verwijderd uit de inbox van gebruikers die overeenkomen met de bericht-ID en eigenaar (verzender of ontvanger, afhankelijk van het gebeurtenistype) en overeenkomen met de geselecteerde Gmail-logboekgebeurtenissen. Verwijderde berichten blijven vallen onder toepasselijke bewaarregels en bewaarplichten die zijn ingesteld in Vault (bekijk het Helpcentrum van Vault voor meer informatie over bewaarregels en bewaarplichten).
Opmerking: Naast een e-mail verwijderen kunt u andere acties uitvoeren, zoals een e-mail markeren als spam, markeren als phishing of naar de inbox van de gebruiker sturen.