События журнала Диска

Чтобы искать события в журнале, сначала выберите источник данных. Затем добавьте один или несколько фильтров.

1. В консоли администратора Google нажмите на значок меню Отчеты Аудит и анализ События журнала Диска.

   Перейти в раздел "События журнала Диска"

   Требуется право администратора Аудит и анализ.

2. Чтобы отфильтровать события, произошедшие до или после определенной даты, для параметра Дата выберите значение До или После. По умолчанию отображаются события за последние семь дней. Можно выбрать другую дату или нажать , чтобы удалить фильтр дат.

3. Нажмите Добавить фильтр выберите атрибут. Например, чтобы отфильтровать события по определенному типу, выберите Событие.
4. Выберите оператор выберите значение нажмите Применить.
   • Если нужно создать несколько фильтров результатов поиска, повторите этот шаг.
   • Если нужно добавить оператор поиска, над элементом Добавить фильтр выберите И или ИЛИ.
5. Нажмите Поиск. Примечание. С помощью вкладки Фильтр можно включить простые пары параметров и значений, чтобы отфильтровать результаты поиска. Кроме того, вы можете использовать вкладку Конструктор условий, на которой фильтры представлены в виде условий с операторами И/ИЛИ.

Чтобы выполнить поиск в инструменте "Анализ безопасности", сначала выберите источник данных. Затем добавьте одно или несколько условий поиска. Для каждого условия выберите атрибут, оператор и значение.

1. В консоли администратора Google нажмите на значок меню Безопасность Центр безопасности Инструмент "Анализ безопасности".

   Перейти в раздел "Анализ безопасности"

   У вас должны быть права администратора с доступом к центру безопасности.

2. Нажмите Источник данных и выберите События журнала Диска.

3. Чтобы отфильтровать события, произошедшие до или после определенной даты, для параметра Дата выберите значение До или После. По умолчанию отображаются события за последние семь дней. Можно выбрать другую дату или нажать , чтобы удалить фильтр дат.

4. Нажмите Добавить условие.
   Совет. Вы можете указать одно или несколько условий или использовать вложенные запросы. Подробнее о том, как использовать вложенные запросы при поиске…
5. Нажмите Атрибут выберите нужный вариант. Например, чтобы отфильтровать события по определенному типу, выберите Событие.
   Полный список атрибутов приведен в разделе Описания атрибутов ниже.
6. Выберите оператор.
7. Введите значение или выберите его в списке.
8. Если вы хотите добавить другие условия поиска, повторите описанные выше действия.
9. Нажмите Поиск.
   Результаты поиска в инструменте "Анализ безопасности" показываются в таблице в нижней части страницы.
10. Если вам нужно сохранить анализ, нажмите "Сохранить" введите название и описание нажмите Сохранить.

Примечания

• На вкладке Конструктор условий фильтры представлены в виде условий с операторами И/ИЛИ. На вкладке Фильтр можно выбрать простые пары параметров и значений, чтобы отфильтровать результаты поиска.
• Если пользователь был переименован, поиск не даст результатов для его прежнего имени. Например, если OldName@example.com заменили на NewName@example.com, в результатах поиска не будет событий, связанных с пользователем OldName@example.com.
• Поиск выполняется только по письмам, которые ещё не были удалены из корзины.

Примечания

• Для каждого события сообщается не обо всех атрибутах из списка ниже.
• Приведенный ниже список не является исчерпывающим и может периодически меняться. Больше о событиях журнала Диска можно узнать на сайте Google Workspace Admin SDK в статье о событиях аудита действий на Диске.

Примечание. Если пользователь был переименован, поиск по его прежнему имени не даст результатов. Например, если OldName@example.com заменить на NewName@example.com, в результатах поиска не будет событий, связанных с пользователем OldName@example.com.

1. Откройте журнал событий, как описано в разделе Как искать события журнала.
2. Нажмите Добавить фильтр Доступ выберите Доступно за пределами домена.
3. Нажмите Поиск.

Если вы отключите предоставление внешнего доступа к файлам, документ, отправленный группе, которая открыта для внешних пользователей, будет помечен в журнале как Доступно за пределами домена. Однако получить к нему доступ внешние участники группы не смогут. Эта пометка в журнале отобразится, даже если в группе нет внешних участников.

1. В консоли администратора Google нажмите на значок меню Безопасность Центр безопасности Инструмент "Анализ безопасности".

   Перейти в раздел "Анализ безопасности"

   У вас должны быть права администратора с доступом к центру безопасности.

2. Нажмите Источник данных выберите События журнала Диска.
3. Нажмите Добавить условие.
4. Нажмите Атрибут выберите Доступ.
5. Нажмите Содержит выберите Равно.
6. Нажмите Доступ выберите Доступно за пределами домена.
7. Нажмите Поиск.
   Результаты поиска в инструменте "Анализ безопасности" показываются в таблице в нижней части страницы.

Если вы отключите предоставление внешнего доступа к файлам, документ, отправленный группе, которая открыта для внешних пользователей, будет помечен в журнале как Доступно за пределами домена. Однако получить к нему доступ внешние участники группы не смогут. Эта пометка в журнале отобразится, даже если в группе нет внешних участников.

Сведения об автоматическом удалении файлов Диском и очистке корзины записываются в журнал.

Когда пользователь копирует файл, для нового файла регистрируются события Создание и Копирование, а для исходного – Источник скопирован.

Когда внешний пользователь копирует файл во внешнее расположение, в вашей организации не регистрируются события Создание и Копирование, потому что новый файл является внешним. Однако в ваших журналах для исходного файла фиксируется событие Источник скопирован, у которого параметр Тип копирования имеет значение Внешний. Чтобы отслеживать случаи, когда данные копируются из организации, вы можете просматривать события Источник скопирован с типом копирования Внешний.

События печати не записываются, если пользователь печатает файл в формате Google Документов, Таблиц, Презентаций, Рисунков или Форм.

Если при печати файлов пользователь использует приложение "Диск" для устройств Apple или Android, то событие Печать может быть зарегистрировано в журнале как Скачивание.

Большинство событий скачивания регистрируется, в том числе когда файлы копируются между Диском и локальным устройством с помощью приложения "Google Диск для компьютеров".

Некоторые действия просмотра регистрируются как скачивания:

• предварительный просмотр файла в приложении "Диск" на мобильном устройстве;
• предварительный просмотр файла, например PDF, который нельзя открыть напрямую в Документах или другом приложении Google;
• отправка по электронной почте прикрепленного файла из приложения Google, например Документов.

В журнале не регистрируются следующие действия:

• скачивание данных из Google Архиватора (смотрите события журнала Архиватора);
• скачивание данных в офлайн-кеш браузера;
• скачивание фотографий из Google Фото, их просмотр и синхронизация;
• отправка из Gmail письма с прикрепленным файлом с Диска.

События синхронизации содержимого объекта (доступны для обработки после 1 июля 2024 года) регистрируются в следующих случаях:

• Файл на Диске синхронизируется с файлом на локальном устройстве с помощью Диска для компьютеров. Кроме того, такие события регистрируются как события скачивания.
• Файл на устройстве синхронизируется для офлайн-режима, включая постоянную синхронизацию с онлайн-версией. События синхронизации содержимого объекта с мобильным приложением Диска (Android и iOS) могут регистрироваться как события скачивания.

Событие "Содержимое объекта предварительно загружено" указывает, что приложение Google извлекло данные Диска, но не показывает их пользователю в настоящий момент. Например, при просмотре файла на Диске может быть выполнена предзагрузка соседних файлов. Контент будет доступен для пользователя, если понадобится позже.

Доступ к файлам от имени пользователей можно получить через приложение, использующее один из Google Workspace API, например Google Drive API или Google Sheets API. Эти действия регистрируются не как скачивание или просмотр, а как событие Доступ к содержимому объекта. Событие Gemini Доступ к содержимому объекта записывается, только когда доступ не связан с открытием файла в веб-версии Диска.

События доступа к контенту элементов не регистрируются, когда пользователь просматривает или открывает файл в веб-версии Диска, приложении "Диск для компьютеров" или на Диске для мобильных устройств.

Просмотр файлов с использованием параметров /htmlview, /embed, /revisions и других специальных URL теперь регистрируется как событие Просмотр.

События Получен доступ к URL регистрируются, когда скрипт Apps Script обращается к URL, в том числе если скрипт запускается с панели управления Apps Script, выполняется как дополнение или как пользовательская функция в Таблицах. Когда пользователь нажимает на ссылку в файле, событие Получен доступ к URL не регистрируется.

Регистрируемые атрибуты зависят от того, как был запущен скрипт и кто является его владельцем:

• Когда скрипт выполняется как пользовательская функция, идентификатор документа и другие связанные с документом атрибуты указывают на лист, на котором была вызвана функция.
• В других случаях эти атрибуты не регистрируются.
• Идентификатор скрипта регистрируется, если скрипт Apps Script принадлежит вашей организации.

Вызов функции импорта в Таблицы, которая получает доступ к URL, регистрируется как событие URL для импорта в Таблицы. Событие регистрируется, когда пользователь открывает таблицу или когда ее содержимое изменяется при автоматическом обновлении.

Некоторые события связаны с пользователями, общими папками или общими дисками за пределами вашей организации, например если сотрудник организации делится файлом с внешним пользователем. Если при событии право собственности для объекта переходит от одной организации к другой, они обе регистрируют событие.

Примеры событий, которые регистрируют обе организации:

• Объект на Диске, принадлежащий сотруднику вашей организации, переносится на внешний общий диск.
• Объект на Диске, принадлежащий внешнему пользователю, переносится на общий диск, который принадлежит вашей организации.
• Пользователь копирует файл в организацию или из нее. Организация, которая получает файл, регистрирует название скопированного файла, а не исходное.

Примеры событий, которые регистрирует ваша организация, но не регистрирует внешний домен:

• К объекту на Диске, который принадлежит пользователю в вашей организации, получает доступ внешний пользователь.
• К объекту на Диске, который принадлежит пользователю в вашей организации, получает доступ группа, в которой разрешены внешние пользователи, даже если таких пользователей в ней нет.
• Внешний пользователь просматривает, редактирует, скачивает, печатает или удаляет объект на Диске, принадлежащий вашей организации.
• Внешний пользователь загружает файл на общий диск, принадлежащий вашей организации.

События, обратные перечисленным выше, регистрируются внешним доменом, но не вашей организацией.

Для анонимных пользователей (которые не вошли в аккаунт Google) регистрируются действия редактирования, скачивания и просмотра.

Действия, выполненные внешними пользователями, регистрируются как анонимные, за исключением случаев, когда к объекту был предоставлен доступ явным образом (как отдельному пользователю или участнику определенной группы).

Администратор может запретить анонимный и внешний доступ, настроив правила общего доступа для организации или правила доверия.

Когда файлы копируются между Диском и локальным устройством с помощью Диска для компьютеров, регистрируются события Скачивание и Содержимое объекта синхронизировано.

Когда пользователь выполняет поиск на Диске или в общедоступных Drive API, действие регистрируется как событие поиска объекта выполнен. Сохраняется информация о результатах поиска и поисковый запрос.

Вы можете выбрать, какие столбцы данных будут отображаться в результатах поиска.

1. В правой верхней части таблицы с результатами поиска нажмите на значок "Управление столбцами" .
2. Если нужно удалить отображаемые столбцы, нажмите "Удалить" .
3. Если нужно добавить столбцы, рядом с надписью Добавить столбец нажмите на стрелку вниз и выберите вариант в списке.
   При необходимости повторите действия.
4. Чтобы изменить порядок столбцов, перетащите их названия.
5. Нажмите Сохранить.

Результаты поиска можно экспортировать в таблицу Google или CSV-файл.

1. В верхней части таблицы результатов поиска нажмите Экспортировать все.
2. Введите название нажмите Экспорт.
   Экспортированные данные будут показаны под таблицей с результатами поиска в разделе Результаты выполнения действия "Экспорт".
3. Чтобы посмотреть экспортированные данные, нажмите на название файла.
   Эти данные откроются в Таблицах.

На экспорт накладываются различные ограничения:

• Ограничение на объем экспорта результатов: 100 000 строк.
• Эта функция доступна в версиях Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus и Cloud Identity Premium. Сравнение версий

  Если у вас есть инструмент "Анализ безопасности", всего можно экспортировать не более 30 млн строк.

Подробнее о том, как экспортировать результаты поиска…

Подробная информация приведена в статье Задержки при обновлении отчетов и сроки хранения данных.

• Вы можете настроить оповещения на основе данных о событиях журнала, используя правила создания отчетов. Подробнее о том, как создавать и настраивать правила оповещения.
• Эта функция доступна в версиях Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus и Cloud Identity Premium. Сравнение версий

  Чтобы эффективнее предотвращать, выявлять и исправлять проблемы с безопасностью, вы можете автоматизировать действия в инструменте "Анализ безопасности" и настроить оповещения с помощью правил активности. Для каждого правила нужно задать условия и указать действия, которые следует выполнять при соблюдении этих условий. Подробнее о том, как создавать правила активности…

Эта функция доступна в версиях Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus и Cloud Identity Premium. Сравнение версий

Результаты поиска, полученные с помощью инструмента "Анализ безопасности", можно использовать для разных целей. Например, сообщения, найденные при поиске по событиям журнала Gmail, можно удалять, отправлять в карантин или помещать в папки "Входящие" пользователей. Подробнее о том, какие действия можно выполнять с результатами поиска…

Чтобы посмотреть список операций анализа, которые вам принадлежат или к которым вам предоставили доступ, нажмите на значок "Посмотреть список операций анализа" . В списке указаны названия, описания и владельцы анализов, а также дата их последнего изменения.

На странице со списком можно выполнять действия с любыми вашими операциями анализа, например удалять их. Для этого установите флажок рядом с нужной операцией и нажмите Действия.

Примечание. Вы можете просматривать сохраненные конфигурации анализа в разделе Быстрый доступ над списком операций.

Войдите в систему как суперадминистратор и нажмите на значок "Настройки" . В этом меню можно выполнить следующие действия:

• Изменить часовой пояс для анализов. Он применяется ко всем условиям и результатам поиска.
• Включить или отключить параметр Запросить проверку. Подробные сведения о нем можно найти в статье Как включить обязательную проверку массовых действий.
• Включить или отключить параметр Просмотр контента. С его помощью вы можете предоставить администраторам право просматривать содержимое.
• Включить или отключить параметр Включить обоснование действия.

Подробнее о том, как задавать настройки анализа…

Чтобы сохранить параметры поиска или поделиться ими с другими пользователями, вы можете создать и сохранить анализ, а затем предоставить к нему доступ, копировать или удалить его.

Подробнее о том, как сохранять результаты анализа и предоставлять к ним доступ…