Jak eksportować dzienniki audytu Google Cloud

Użyj gcloud logging read z filtrem na cloudaudit.googleapis.com lub uruchom to samo zapytanie w Eksploratorze dzienników i pobierz wyniki jako JSON:

gcloud logging read 'logName:"cloudaudit.googleapis.com" AND timestamp>="2026-10-19T00:00:00Z" AND timestamp<"2026-10-20T00:00:00Z"' 

  --project=my-project --format=json > gcp_audit_1019.json

Dzienniki audytu działań administratora są zawsze włączone i przechowywane przez 400 dni. Dzienniki dostępu do danych są domyślnie wyłączone, z wyjątkiem BigQuery, i przechowywane przez 30 dni po ich włączeniu.

Cloud Audit Logs zapisują, kto zmienił co w Twoich projektach Google Cloud: przyznawane IAM, nowe klucze kont usługowych, zmiany zapory, uruchamianie VM w nietypowych regionach. Prime Core ma 140 reguł wykrywających dla dzienników audytu Google Cloud, mapowanych na 74 techniki MITRE ATT&CK. Są wśród nich: nadużycie konta w chmurze (T1078.004), dodatkowe poświadczenia, takie jak nowe klucze kont usługowych (T1098.001) oraz manipulacja samym logowaniem (T1562.008).

Rozpocznij za darmo

Zanim zaczniesz

Wiedz, których dzienników audytu potrzebujesz.

Jeśli pytanie brzmi „kto odczytał ten zasobnik?” i dzienniki dostępu do danych nigdy nie były włączone, odpowiedzi nie znajdziesz w Cloud Logging.

Uprawnienia. Wizualizator dzienników (roles/logging.viewer) obejmuje działania administratora, wydarzenia systemowe i polityki odrzucone. Dzienniki dostępu do danych wymagają Prywatnego Wizualizatora Dzienników (roles/logging.privateLogViewer).

Zakres. Dzienniki audytu istnieją na poziomie projektu. Działania na poziomie organizacji i folderów mają własne dzienniki. Przeszukuj je używając –organization=<ORG_ID> lub –folder=<FOLDER_ID> zamiast –project.

Opcja 1: Eksplorator Dzienników

W konsoli, otwórz Logging → Logs Explorer, wpisz logName:”cloudaudit.googleapis.com”, ustaw zakres czasowy, uruchom zapytanie, a następnie pobierz wyniki jako JSON. Pobieranie jest ograniczone. Dla większych zakresów, użyj gcloud.

Opcja 2: gcloud logging read

Polecenie na górze to podstawowa forma. Trzy detale oszczędzają czas.

Zawsze umieszczaj okno czasowe w filtrze. Bez warunku na znacznik czasu, gcloud logging read cicho ogranicza się do ostatniego dnia (–freshness domyślnie ustawione na 1d). To zaskakuje niemal każdego.

Zwiększ limit, gdy jest to konieczne. Dodaj –limit=100000 (lub inną odpowiednią wartość) dla dużych okien.

Spłaszcz do przesłania. Wyjście to jedna tablica JSON. Przekształć ją w jeden wpis na linię:

jq -c '.[]' gcp_audit_1019.json > gcp_audit_1019.jsonl

Przydatne węższe filtry:

# Tylko działania administratora

logName="projects/my-project/logs/cloudaudit.googleapis.com/activity"


# nowe klucze kont usługowych

protoPayload.methodName="google.iam.admin.v1.CreateServiceAccountKey"


# wszystko, co zrobiła jedna tożsamość

protoPayload.authenticationInfo.principalEmail="suspicious-sa@my-project.iam.gserviceaccount.com"

Opcja 3: Historia masowa z zlewów

Jeśli Twoja organizacja kieruje dzienniki audytu przez zlew do Cloud Storage lub BigQuery, ta kopia może sięgać dalej niż opisane powyżej zasobniki. Pobierz pliki za pomocą gcloud storage cp lub przeszukuj BigQuery i eksportuj wynik jako JSON.

Co szukać

Przesyłaj, oczyszczaj i przeglądaj w LogTotal

1. Przesyłaj. Otwórz logtotal.com i wrzuć plik .jsonl. 
2. Oczyszczaj. [what gets masked: principal emails, project IDs, IPs, resource names]. Look it over before you continue.
3. Przeglądaj. 

Kiedy coś idzie nie tak