Registros de la suite

Los registros de auditoría de Workspace que se comparten con BigQuery incluyen administración, Calendar, dispositivos, Gmail, Drive, inicio de sesión, grupos, tokens de OAuth y SAML. La búsqueda de registros de correo es otra función de la consola de administración y no forma parte de esa exportación. Quien escribe una regla sobre una fuente que no se exporta descubre el hueco cuando la necesita.

Revisa catalogo_de_registros.

El registro de inicio de sesión trae el evento (login_failure, login_success), el tipo de inicio (login_type), el método del desafío (login_challenge_method) y la marca is_suspicious. Una secuencia de fallos seguida de un acceso correcto desde una dirección que no es la habitual de la persona se lee de arriba abajo, siempre por el mismo origen. Filtra inicio_de_sesion por la gerente.

Un fallo aislado es una contraseña mal escrita. Varios seguidos desde otra dirección, con acceso correcto inmediato, es la forma típica del uso de una clave ajena. Cuenta los eventos login_failure de la gerente antes del acceso correcto.

Drive registra eventos como download y change_user_access. En los cuatro minutos siguientes al acceso la misma cuenta descarga varios documentos desde la misma dirección. La cantidad y los nombres sirven para priorizar la revisión y para decidir quién debe ser avisado.

Tienes tres fallos, un acceso marcado como sospechoso, un evento de reenvío de correo hacia fuera del dominio y cuatro descargas. No tienes confirmación de la persona, ni su ubicación real ese día, ni el contenido de los documentos. La nota debe dar al responsable la información y no una sentencia.