Como Exportar Logs de Auditoria do Google Workspace

No console do administrador do Google, Relatórios → Auditoria e investigação contém os logs (Login, Admin, Drive, OAuth e mais), e cada um pode ser exportado de lá. Para JSON, use a API de Relatórios do Admin SDK, método activities.list. Para uso único, você nem precisa de código: a página de referência da API tem um painel “Try this method” que executa a chamada como você. A maioria dos dados de auditoria do Workspace é mantida por seis meses.

Os logs de auditoria do Workspace mostram quem entrou de onde, quais aplicativos de terceiros obtiveram acesso a e-mails e arquivos, e quais documentos foram subitamente compartilhados com o mundo exterior. O Prime Core possui {N} regras de detecção para dados do Google Workspace, mapeadas para {M} técnicas MITRE ATT&CK. Entre elas: abuso de contas na nuvem (T1078.004), concessões maliciosas de OAuth (T1528) e encaminhamento de e-mail para endereços externos (T1114.003).

Comece Gratuitamente

Antes de começar

Permissões. Um super administrador, ou uma função de administrador com o privilégio de Relatórios.

Escolha o log correto. Na API, cada log é um applicationName: login, admin, drive, token (concessões OAuth), user_accounts, saml, groups e outros. Logs de mensagens do Gmail não fazem parte desta API. Para esses, use a Pesquisa de Log de E-mail no console do administrador, ou a exportação para BigQuery se a sua edição tiver.

Retenção e atraso. A maioria dos logs de auditoria remonta a cerca de seis meses. Novos eventos podem levar de minutos a horas para aparecer, dependendo do log.

Um pequeno script em Python

Para exportações repetitivas, uma conta de serviço com delegação de domínio amplo personifica um administrador. É necessário google-api-python-client e google-auth:

import json

from google.oauth2 import service_account

from googleapiclient.discovery import build


creds = service_account.Credentials.from_service_account_file(

    "sa.json",

    scopes=["https://www.googleapis.com/auth/admin.reports.audit.readonly"],

    subject="admin@example.com",

)

svc = build("admin", "reports_v1", credentials=creds)


with open("workspace_login_1019.jsonl", "w") as out:

    req = svc.activities().list(

        userKey="all", applicationName="login",

        startTime="2026-10-19T00:00:00Z", endTime="2026-10-20T00:00:00Z",

        maxResults=1000,

    )

    while req is not None:

        resp = req.execute()

        for item in resp.get("items", []):

            out.write(json.dumps(item) + "n")

        req = svc.activities().list_next(req, resp)

A delegação de domínio amplo é poderosa. Conceda-lhe apenas este escopo de leitura, mantenha o arquivo de chave fora de discos compartilhados e remova a delegação quando terminar. Execute o script uma vez por applicationName que você precisa.

O que procurar

Faça upload, sanitize e revise no LogTotal

1. Upload. Abra logtotal.com e insira o arquivo .jsonl.
2. Sanitize. 
3. Revise. 

Quando dá errado