Tworzenie reguł związanych z aktywnością i zarządzanie nimi

Jako administrator możesz skonfigurować w konsoli administracyjnej Google reguły dotyczące aktywności, aby wysyłać powiadomienia lub podejmować działania w odpowiedzi na aktywność w Twojej domenie. Przy pomocy reguł aktywności możesz szybciej i skuteczniej zapobiegać problemom z zabezpieczeniami oraz je wykrywać i rozwiązywać. Reguły związane z aktywnością możesz tworzyć za pomocą narzędzia do analizy zagrożeń lub na stronie Reguły.

W tym celu musisz określić warunki reguły i wskazać czynności, które mają być wykonywane po ich spełnieniu. Reguła oznacza po prostu, że jeśli wystąpi x, należy automatycznie wykonać x.

Google będzie regularnie przeprowadzać wyszukiwanie określone w regule związanej z aktywnością. Jeśli liczba wyników zwróconych przez wyszukiwanie przekroczy ustawiony przez Ciebie próg, Google wykona wybrane działania i wyśle określone powiadomienia. Możesz na przykład skonfigurować regułę, aby wysyłać do wybranych administratorów e-maile z powiadomieniami o udostępnieniu dokumentów z Dysku poza firmę.

Wskazówki dotyczące tworzenia reguł związanych z aktywnością

Dostęp do reguł i funkcji związanych z aktywnością

Dostęp administratora do reguł związanych z aktywnością

Możliwość tworzenia i wyświetlania reguł związanych z aktywnością zależy od Twoich uprawnień administracyjnych i źródła danych. Szczegółowe informacje znajdziesz w artykule o dostępie administracyjnym do reguł związanych z aktywnością.

Funkcje dostępne we wszystkich wersjach Google Workspace

Powiadomienia można tworzyć, edytować i wysyłać we wszystkich wersjach Google Workspace. Powiadomienia obejmują alerty i e-maile. Administratorzy mogą uzyskać dostęp do reguł związanych z aktywnością na stronie Reguły lub otwierając Raportowanie > Kontrola i analiza zagrożeń źródło danych.

Wersje Google Workspace inne niż premium obsługują:

• Filtry AND i maksymalnie 5 warunków.
• Zagnieżdżone warunki są niedozwolone,

Funkcje dostępne w wersjach premium Google Workspace

W wersjach premium Google Workspace (np. Enterprise Plus) można też używać narzędzia do analizy zagrożeń do tworzenia reguł związanych z aktywnością, które automatycznie podejmują działania w przypadku wystąpienia aktywności.

Wersje premium Google Workspace obsługują też:

• filtry OR,
• ustawianie działań w aktywatorach,
• ustawianie progów dla aktywatorów,
• więcej niż 5 warunków w jednej regule,
• więcej niż 1 poziom warunków w jednej regule.

Uwaga: administratorzy korzystający z wersji premium Workspace mogą edytować reguły aktywności użytkowników, którzy nie mają wersji premium. Administratorzy korzystający z wersji Workspace innych niż premium nie mogą edytować reguł, które używają funkcji premium.

Ważne wskazówki na temat tworzenia reguł związanych z aktywnością

• Reguły związane z aktywnością można tworzyć tylko na podstawie źródeł danych zdarzeń z dziennika (takich jak Zdarzenia z dziennika Gmaila czy Zdarzenia z dziennika urządzenia). Nie możesz tworzyć reguł związanych z aktywnością na podstawie źródeł danych odzwierciedlających stan obecny, takich jak Przeglądarki Chrome, Urządzenia, Wiadomości z Gmaila i Użytkownicy.
• Dostępne źródła danych różnią się w zależności od wersji Google Workspace. Więcej informacji znajdziesz w artykule na temat dostosowywania wyszukiwania w narzędziu do analizy zagrożeń.
• Do wyszukiwania musisz dodać co najmniej 1 atrybut zdarzenia.
• Operator OR możesz uwzględnić na najwyższym poziomie tylko wtedy, gdy zdarzenie jest uwzględnione w każdej ścieżce warunkowej.
• Do atrybutu możesz dodać tylko 1 wartość. Na przykład do atrybutu Użytkownik może być przypisana tylko 1 osoba. Użyj narzędzia do definiowania warunków, aby dodać operator OR, a następnie dodaj ten sam atrybut z dodatkową wartością.
• W przypadku reguł związanych z aktywnością nie można używać filtrów daty, ponieważ reguły są oceniane w sposób ciągły.
• Do reguły musisz dodać co najmniej 1 działanie lub alert.
• Ponieważ reguły związane z aktywnością są oparte na zdarzeniach z dziennika, są wywoływane po wystąpieniu zdarzenia. Z tego względu reguły związane z aktywnością nie nadają się do blokowania czy udostępniania dokumentów ani wysyłania e-maili.

Powiadomienia e-mail

Jeśli skonfigurujesz dla reguły związanej z aktywnością e-maile z powiadomieniami, po jej wywołaniu będzie ona wysyłać tylko 1 e-maila z powiadomieniem w każdym oknie progu i nie będzie wysyłać powiadomień przy każdym wywołaniu. E-mail z powiadomieniem zawiera podsumowanie informacji o regule, której dotyczy alert, w tym jej nazwę, próg, dane źródłowe i inne informacje. Administratorzy, którzy otrzymali takiego e-maila z powiadomieniem, mogą kliknąć Wyświetl alert, aby otworzyć stronę Szczegóły alertu w Centrum alertów.

Aby zminimalizować liczbę powiadomień, organizacje korzystające z Workspace w wersji premium mogą tworzyć reguły z progami, które będą uruchamiać powiadomienia tylko wtedy, gdy zdarzenie wystąpi więcej niż określoną liczbę razy w danym przedziale czasu. Gdy na przykład zdarzenie po raz pierwszy wywoła regułę, w Centrum alertów zostanie dodany nowy alert i zostanie wysłany e-mail (jeśli został skonfigurowany dla tej reguły). Jeśli reguła ma próg jednogodzinny, dodatkowe zdarzenia w tym czasie są dodawane do tego samego alertu. Dodatkowe e-maile z powiadomieniami nie są wysyłane, dopóki nie upłynie czas progu.

Uwagi:

• E-maile i alerty uruchomione przez regułę z progiem nie zawierają opisu zdarzenia.
• Reguły aktywności można skonfigurować tylko tak, aby wysyłały e-maile do użytkowników wewnętrznych domen. Administratorzy nadal mogą konfigurować zewnętrzne alerty e-mail za pomocą Grup dyskusyjnych Google.

Jak działają progi reguł

Gdy ustawisz próg reguły, jest on stosowany do wszystkich działań użytkowników, a nie do poszczególnych użytkowników. Załóżmy na przykład, że tworzysz regułę zawieszającą konta użytkowników po 5 nieudanych próbach logowania w ciągu 1 godziny. Próg zostanie osiągnięty po 5 nieudanych próbach zalogowania się na konto co najmniej 1 użytkownika w ciągu 1 godziny. W takim przypadku konta wszystkich użytkowników, którzy podjęli przynajmniej 1 nieudaną próbę logowania, zostaną zawieszone.

Tworzenie reguły związanej z aktywnością

Regułę związaną z aktywnością możesz utworzyć przy użyciu narzędzia do analizy zagrożeń lub na stronie Reguły.

1. Zaloguj się na konto administratora w Konsola administracyjna Google.

   Jeśli nie używasz konta administratora, nie możesz uzyskać dostępu do konsoli administracyjnej.

2. Utwórz regułę (wszystkie wersje Google Workspace):
   
   Na stronie głównej konsoli administracyjnej kliknij Reguły, a następnie Utwórz regułę związaną z aktywnością.
   —LUB—
   Otwórz Raportowanie > Kontrola i analiza zagrożeń > wybierz źródło danych > Utwórz regułę związaną z aktywnością.
   
   Uwaga: użytkownicy wersji premium Google Workspace mogą również otworzyć Zabezpieczenia > Centrum bezpieczeństwa > Narzędzie do analizy zagrożeń i kliknąć Utwórz regułę związaną z aktywnością.
3. Wpisz informacje dotyczące reguły i kliknij Dalej. Należy podać te informacje:
   • Nazwa reguły, np. Udostępnianie danych na zewnątrz.
   • Opis, np. Powiadomienie o udostępnieniu dokumentów poza firmę.
4. Na stronie Warunki określ, kiedy reguła ma się uruchamiać:
   1. Wybierz Źródło danych na potrzeby reguły, np. Zdarzenia z dziennika administratora.
      Uwaga: dostępność źródeł danych zależy od wersji Google Workspace i Twoich uprawnień administratora. Nie możesz dodawać działań dotyczących zdarzeń z dziennika Dysku. Szczegółowe informacje znajdziesz w artykułach Dostęp administratora do reguł związanych z aktywnością i Źródła danych narzędzia do analizy zagrożeń. 
   2. Kliknij kartę Filtr, aby filtrować wyniki wyszukiwania za pomocą prostych parametrów, takich jak Zawiera, Nie zawiera, Równe lub Różne od. 
   3. Aby filtrować wyniki wyszukiwania za pomocą operatorów AND/OR, kliknij kartę Narzędzie do definiowania warunków. Dla każdego warunku wybierz atrybut, operator i wartość.
      
      Aby na przykład skonfigurować warunek, który określa, że zdarzenie to przeniesienie własności dokumentu, jako atrybut wybierz Zdarzenie, jako operator – Równe, a jako wartość – Ustawienia Dokumentów > Przeniesienie własności dokumentu. 
      
      Uwaga: Zdarzenie jest warunkiem wymaganym. Szczegółowe informacje na temat warunków dostępnych w przypadku poszczególnych źródeł danych znajdziesz w artykule Źródła danych narzędzia do analizy zagrożeń.
   4. Aby dodać kolejne warunki, kliknij Dodaj warunek lub Dalej.
5. (Dotyczy tylko wersji Premium) Wybierz opcję:
   • Za każdym razem, gdy występuje zdarzenie – wysyłaj powiadomienia lub podejmuj działania za każdym razem, gdy wystąpi zdarzenie.
   • Jeśli częstotliwość zdarzeń osiągnie określony próg – wybierz opcje, aby uruchamiać powiadomienia lub działania, gdy zdarzenie wystąpi więcej niż określoną liczbę razy w danym przedziale czasu, na przykład jeśli zdarzenie wystąpi więcej niż 10 razy w ciągu 1 godziny.
6. (Dotyczy tylko wersji Premium) Kliknij Dodaj czynność, aby wykonać działanie, gdy wystąpi zdarzenie lub zostanie przekroczony próg. 
   • Możesz na przykład zawiesić konta użytkowników lub wymusić zmianę hasła, gdy wystąpi zdarzenie. 
   • Aby utworzyć dodatkowe działania, kliknij Dodaj czynność.
7. W sekcji Powiadomienie wybierz opcje:
   • Centrum alertów – (zalecane) wyślij alert do Centrum alertów. Alerty zawierają szczegółowe informacje, które pozwalają podjąć odpowiednie działania w przypadku wystąpienia problemów i pomagają je rozwiązywać we współpracy z innymi administratorami w organizacji. 
   • E-mail – wysyłanie powiadomień e-mail do tych osób:
     • Wszyscy superadministratorzy – wysyła e-maile do wszystkich superadministratorów.
     • Dodaj odbiorców e-maila – wysyła e-maile do wybranych administratorów.
   • Częstotliwość powiadomień – maksymalna liczba alertów lub e-maili, które zostaną wysyłane w danym czasie. Użyj tego ustawienia, aby zapobiec nadmiernej liczbie alertów i e-maili dotyczących tego samego zdarzenia.
     • Wszystkie wersje Workspace – podaj próg. Domyślna wartość to Do 5 na godzinę.
     • Wersje premium Workspace – możesz też wybrać opcję Za każdym razem, gdy występuje zdarzenie.
   • Waga – poziom ważności wyświetlany w przypadku wystąpienia zdarzenia. 
8. Wybierz stan reguły. 
   • Aktywna (stan domyślny) – system zbiera dzienniki, a reguły są egzekwowane.
   • Monitorowanie – system gromadzi dzienniki, ale reguły nie są egzekwowane. Użyj tej opcji, aby sprawdzić dzienniki, zanim zaczniesz egzekwować regułę. 
   • Nieaktywna – dzienniki nie są zbierane, a reguła nie jest wymuszana. 
9. Kliknij Dalej.
   Sprawdź szczegóły reguły. W razie potrzeby kliknij Wstecz, aby wprowadzić zmiany.
10. Kliknij Utwórz regułę.

Wyświetlanie i edytowanie reguł związanych z aktywnością

Po utworzeniu reguły związanej z aktywnością możesz otworzyć stronę Reguły, aby wyświetlić ustawienia i zakres reguły, jej warunki oraz czynności wywoływane po osiągnięciu progów.

Na stronie Reguły możesz też wyświetlić listę wszystkich reguł utworzonych przez administratorów w Twojej domenie. Otwórz stronę główną konsoli administracyjnej Google i kliknij Reguły.

Na stronie Reguły administratorzy w domenie mogą wyświetlać reguły utworzone przez innych administratorów, jeśli tylko mają dostęp do źródeł danych poszczególnych reguł i odpowiednie uprawnienia. Na przykład administrator, który ma uprawnienia do wyświetlania zdarzeń z dziennika Dysku, ale nie zdarzeń z dziennika Gmaila, nie zobaczy żadnych reguł dotyczących zdarzeń z dziennika Gmaila.

Na stronie Reguły można też:

• filtrować listę reguł przez kliknięcie Dodaj filtr;
• wyświetlać i edytować ustawienia reguły po kliknięciu jej na liście;
• usuwać reguły;
• tworzyć nowe reguły;
• kliknąć Zbadaj, aby otworzyć narzędzie do analizy zagrożeń i wyświetlić dane zdarzeń z dziennika reguł.

Powiązane artykuły

• Tworzenie reguł i zarządzanie nimi na stronie Reguły
• Tworzenie reguł raportowania i zarządzanie nimi
• Dostęp administratora do reguł związanych z aktywnością