События в журнале пользователя

Как посмотреть действия входа пользователей

В некоторых версиях Google Workspace вы можете получить доступ к инструменту "Анализ безопасности" с расширенными функциями. Например, суперадминистраторы могут идентифицировать, сортировать и устранять проблемы, связанные с конфиденциальностью и безопасностью. Подробнее…

Как администратор организации, вы можете искать события в журнале пользователя и устранять связанные с ними проблемы. Например, вы можете отслеживать действия, которые пользователи совершают в своих аккаунтах, такие как изменение пароля, данных для восстановления доступа к аккаунту (номера телефона или адреса электронной почты) и статуса двухэтапной аутентификации. Вход из почтового клиента или небраузерного приложения регистрируется, только если это программный вход из сеанса, который считается подозрительным.

Примечание. Если за последние шесть месяцев нет данных о событиях журнала пользователя, источник данных События журнала пользователя может не показываться в меню навигации слева.

Как пересылать данные о событиях в Google Cloud

Вы можете предоставить Google Cloud доступ к данным о событиях. В этом случае данные будут пересылаться в Cloud Logging, где можно просматривать журналы, выполнять по ним поиск, а также управлять их маршрутизацией и хранением.

Как искать события журнала

Возможность поиска в инструменте "Анализ безопасности" зависит от версии сервиса Google, назначенных прав администратора и источника данных. Вы можете искать действия всех пользователей, независимо от того, какая у них версия Google Workspace.

Инструмент "Аудит и анализ"

Чтобы выполнить поиск событий в журнале, сначала выберите источник данных. Затем добавьте один или несколько фильтров.

Войдите в консоль администратора Google как администратор.
Войти в консоль администратора можно, только если вы используете аккаунт администратора.
Нажмите на значок меню Отчеты > Аудит и анализ > События журнала пользователя.
Вам потребуется аккаунт администратора с доступом к отчетам.
Нажмите Добавить фильтр и выберите атрибут.
Во всплывающем окне выберите операторвыберите значениенажмите Применить.
- Если нужно создать несколько фильтров результатов поиска, повторите этот шаг.
- Если нужно добавить оператор поиска, над элементом Добавить фильтр выберите И или ИЛИ.
Нажмите Поиск.
Примечание. С помощью вкладки Фильтр можно включить простые пары параметров и значений, чтобы отфильтровать результаты поиска. Кроме того, вы можете использовать вкладку Конструктор условий, на которой фильтры представлены в виде условий с операторами И/ИЛИ.

Инструмент "Анализ безопасности"

Эта функция доступна в версиях Frontline Standard и Frontline Plus, Enterprise Standard и Enterprise Plus, Education Standard и Education Plus, Enterprise Essentials Plus и Cloud Identity Premium. Сравнение версий

Чтобы выполнить поиск в инструменте "Анализ безопасности", сначала выберите источник данных. Затем добавьте одно или несколько условий поиска и для каждого из них выберите атрибут, оператор и значение.

Войдите в консоль администратора Google как администратор.
Войти в консоль администратора можно, только если вы используете аккаунт администратора.
Нажмите на значок меню Безопасность > Центр безопасности > Инструмент "Анализ безопасности".
У вас должны быть права администратора с доступом к центру безопасности.
Нажмите Источник данных и выберите События журнала пользователя.
Нажмите Добавить условие.
Совет. Вы можете указать одно или несколько условий или использовать вложенные запросы. Подробнее о том, как использовать вложенные запросы при поиске…
Нажмите Атрибутвыберите нужный вариант.
Полный список атрибутов приведен в разделе Описания атрибутов ниже.
Выберите оператор.
Введите значение или выберите его в раскрывающемся списке.
Если нужно добавить дополнительные условия поиска, повторите шаги 4–7.
Нажмите Поиск.
Результаты поиска в инструменте "Анализ безопасности" показываются в таблице в нижней части страницы.
Чтобы сохранить анализ, нажмите Сохранить введите название и описаниеСохранить.

Примечания

На вкладке Конструктор условий фильтры представлены в виде условий с операторами И/ИЛИ. На вкладке Фильтр можно выбрать простые пары параметров и значений, чтобы отфильтровать результаты поиска.
Если пользователь был переименован, поиск не даст результатов для его прежнего имени. Например, если [email protected] заменили на [email protected], в результатах поиска не будет событий, связанных с пользователем [email protected].

Описания атрибутов

При поиске данных о событиях в этом источнике вы можете использовать следующие атрибуты:

Атрибут	Описание
Название группы	Название группы, к которой относится исполнитель. Подробнее о том, как фильтровать результаты по группе Google… Чтобы добавить группу в белый список групп фильтрации: Выберите Название группы. Выберите Группы фильтрации. Откроется соответствующая страница. Нажмите Добавить группы. Найдите группу: начните вводить ее название или адрес электронной почты, а затем выберите нужный вариант из списка предложений. Если вы хотите добавить ещё одну группу, найдите и выберите ее. Когда группы будут выбраны, нажмите Добавить. Если вы хотите удалить группу, нажмите на значок "Удалить группу" рядом с ней. Нажмите Сохранить.
Организационное подразделение исполнителя	Организационное подразделение, к которому относится исполнитель.
Затронутый пользователь	Адрес электронной почты затронутого пользователя.
Тип аутентификации*	Тип аутентификации пользователя, например Пароль или Электронный ключ. Примечание. При добавлении новых типов аутентификации, например passkey, могут возникнуть несоответствия с существующим типом аутентификации, который называется other, в журналах аудита, созданных до 30 сентября 2024 года.
Дата	Дата и время, когда произошло событие (указывается в часовом поясе, установленном в вашем браузере по умолчанию).
Домен*	Домен, в котором было выполнено действие.
Адрес пересылки электронной почты	Адрес электронной почты, на который нужно пересылать сообщения из Gmail.
Событие	Сведения о зарегистрированном действии, например Включение двухэтапной аутентификации или Подозрительные действия при входе в аккаунт. Примечание. Даже если пользователь выполнил вход, используя тип авторизации, отличный от пароля Google (например, Exchange, Повторная аутентификация, SAML или Неизвестно), для события Выход будет указан тип авторизации Пароль Google.
IP-адрес	IP-адрес, с которого пользователь выполнял вход. Обычно IP-адрес соответствует физическому местоположению пользователя, но это может быть и адрес прокси-сервера или виртуальной частной сети (VPN).
Второй компонент аутентификации*	True – двухфакторная аутентификация использовалась. False – двухфакторная аутентификация не использовалась.
Является подозрительным*	True – успешная подозрительная попытка входа, в противном случае – false. Только для события login_success.
Время входа	Если подозрительная попытка входа заблокирована, в поле отображается дата и время этой попытки.
Тип авторизации	Способ аутентификации, применявшийся при входе пользователя: Exchange – аутентификация с обменом токенами, например при входе по протоколу OAuth. Это также может означать, что пользователь уже вошел в один сеанс до того, как вошел в другой, и эти два сеанса были объединены. Пароль Google – вход в систему с помощью пароля Google. Эти сведения включают попытки входа в небезопасные приложения (если доступ к ним разрешен). OIDC – аутентификация с помощью системы единого входа OpenID Connect (OIDC). Повторная аутентификация – вход по запросу на повторную аутентификацию с помощью пароля. SAML – вход с помощью системы единого входа на базе стандарта SAML. Неизвестно** – использовался неизвестный метод входа.
Пользователь	Адрес электронной почты пользователя, совершившего действие.

*С помощью этих фильтров нельзя добавлять правила создания отчетов. Подробнее о различиях между правилами создания отчетов и правилами действий…

** Примечание для пользователей SAML с профилем SSO организации (устаревшего стандарта SAML): если источником попытки входа является неизвестное устройство или IP-адрес, а также при более высокой степени риска в журнал событий записывается ошибка входа типа Пароль Google . Эта ошибка возникает даже при успешном входе через SAML, поскольку система помечает первую попытку как подозрительную. После записи об ошибке входа появляется запись о входе через SAML. В устаревшей версии SAML для одного входа через SAML создаются два сеанса входа. Первый сеанс, который часто не представляет интереса, отфильтровывается только в том случае, если он не считается подозрительным.

Примечание. Если пользователь был переименован, поиск по его прежнему имени не даст результатов. Например, если [email protected] заменить на [email protected], в результатах поиска не будет событий, связанных с пользователем [email protected].

Как работать с данными о событиях в журнале

Как управлять столбцами данных в результатах поиска

Вы можете выбрать, какие столбцы данных будут отображаться в результатах поиска.

В правой верхней части таблицы с результатами поиска нажмите на значок "Управление столбцами" .
Чтобы удалить отображаемые столбцы, нажмите "Удалить" .
Чтобы добавить столбцы, рядом с надписью Добавить столбец нажмите на стрелку вниз и выберите вариант из списка.
При необходимости повторите действия для другого запроса.
Чтобы изменить порядок столбцов, перетащите их названия.
Нажмите Сохранить.

Как экспортировать результаты поиска

Результаты поиска можно экспортировать в таблицу Google или CSV-файл.

В верхней части таблицы результатов поиска нажмите Экспортировать все.
Введите название нажмите Экспорт.
Экспортированные данные будут показаны под таблицей с результатами поиска в разделе Результаты выполнения действия "Экспорт".
Чтобы посмотреть экспортированные данные, нажмите на название файла.
Данные откроются в Google Таблицах.

На экспорт накладываются различные ограничения:

Ограничение на объем экспорта результатов: 100 000 строк.
Эта функция доступна в версиях Frontline Standard и Frontline Plus, Enterprise Standard и Enterprise Plus, Education Standard и Education Plus, Enterprise Essentials Plus и Cloud Identity Premium. Сравнение версий
Если у вас есть инструмент "Анализ безопасности", всего можно экспортировать не более 30 млн строк (10 000 строк для писем Gmail).

Подробнее об экспорте результатов поиска…

Когда данные становятся доступны и как долго они хранятся?

Подробная информация приведена в статье Задержки при обновлении отчетов и сроки хранения данных.

Какие действия можно выполнить с результатами поиска

Как создавать правила активности и настраивать оповещения

Вы можете настроить оповещения на основе данных о событиях журнала, используя правила создания отчетов. Подробнее о том, как работать с правилами создания отчетов и настраивать оповещения…
Эта функция доступна в версиях Frontline Standard и Frontline Plus, Enterprise Standard и Enterprise Plus, Education Standard и Education Plus, Enterprise Essentials Plus и Cloud Identity Premium. Сравнение версий
Чтобы эффективнее предотвращать, выявлять и исправлять проблемы с безопасностью, вы можете автоматизировать действия в инструменте "Анализ безопасности" и настроить оповещения с помощью правил активности. Для каждого правила нужно задать условия и указать, какие действия следует выполнять при соблюдении этих условий. Подробнее о том, как создавать правила активности…

Действия с результатами поиска

Результаты поиска, полученные с помощью инструмента "Анализ безопасности", можно использовать для разных целей. Например, сообщения, найденные при поиске по событиям журнала Gmail, можно удалять, отправлять в карантин или помещать в папки "Входящие" пользователей. Подробнее о том, какие действия можно выполнять с результатами поиска…

Как управлять процессом анализа

Как посмотреть список анализов

Чтобы посмотреть список анализов, которые вам принадлежат или к которым вам предоставлен доступ, нажмите на значок "Посмотреть список анализов" . В списке указаны названия, описания и владельцы анализов, а также дата их последнего изменения.

На странице со списком можно выполнять действия с любыми принадлежащими вам анализами, например удалять их. Для этого установите флажок рядом с нужным анализом и нажмите Действия.

Примечание. Над списком анализов в разделе Быстрый доступ также отображаются недавно сохраненные результаты анализов.

Как задать настройки анализа

Войдите в систему как суперадминистратор и нажмите на значок "Настройки" . В этом меню можно выполнить следующие действия:

Изменить часовой пояс для анализов. Он применяется ко всем условиям и результатам поиска.
Включить или отключить параметр Запросить проверку. Подробные сведения о нем можно найти в статье Как включить обязательную проверку массовых действий.
Включить или отключить параметр Просмотр контента. С его помощью вы можете предоставить администраторам право просматривать содержимое.
Включить или отключить параметр Включить обоснование действия.

Подробные сведения и инструкции приведены в статье Как задавать настройки анализа.

Чтобы сохранить параметры поиска или поделиться ими с другими пользователями, вы можете создать и сохранить анализ, а затем предоставить к нему доступ, копировать или удалить его.

Подробную информацию можно найти в статье Как сохранять результаты анализа и предоставлять к ним доступ.

Статьи по теме

Эта информация оказалась полезной?

Как можно улучшить эту статью?