Articles tagués: #incident-response

Ce que les journaux d'audit Google Workspace ne disent pas : 6 mois de conservation, délais, plafonds d'export, CSV contre API Reports, trous liés aux licences.

Une compromission de messagerie fictive dans Google Workspace, analysée par les journaux : connexion AiTM, OAuth, filtre caché, fraude et vol Drive.

Checklist de la première heure pour un compte Google Workspace compromis : préserver les journaux, couper sessions et jetons, retirer transferts et filtres.

Super-admin Google Workspace compromis : événements du journal Admin pour nouveaux admins, rôles, SSO, délégation, routage du courrier et règles de conformité.

Enquêter sur une application OAuth suspecte dans Google Workspace : événements authorize et activity, scopes Gmail et Drive, révocation et blocage.

Retrouver la règle de transfert Gmail ou le filtre caché laissé par un pirate dans une boîte Workspace : événements, paramètres à exporter, quoi supprimer.

Enquêter sur une connexion suspecte Google Workspace : is_suspicious, ASN d'hébergeurs, nouveaux pays, voyage impossible, rafales d'échecs, 2SV et récupération.

Pas à pas : chargez vos exports d'audit Google Workspace dans un analyseur gratuit côté navigateur, lisez verdict et preuves, bâtissez la chronologie, remédiez.

Exporter les journaux d'audit Google Workspace pour une enquête : CSV de la console, API Reports (activities.list), rapports GAM, paramètres Gmail et limites.

Savoir si un compte Google Workspace a été compromis : quels journaux d'audit extraire, les événements qui comptent, comment les corréler et quoi écarter.