Cómo Exportar Registros desde Google SecOps (Chronicle)

Para extracciones pequeñas y dirigidas, ejecute una búsqueda UDM y llame a la misma búsqueda a través de la API de Google SecOps para obtener JSON. Para registros brutos en su formato original, la API de Exportación de Datos copia registros para un rango de tiempo y tipo de registro en un bucket de Cloud Storage que usted posee. La exportación de la interfaz de usuario produce un archivo tipo hoja de cálculo que LogTotal no lee actualmente.

Google SecOps mantiene un año de datos por defecto a la escala de Google, y es cada vez más el primer lugar donde los equipos de seguridad buscan. Prime Core tiene 20,031 reglas de detección para Google SecOps, mapeadas a 663 técnicas de MITRE ATT&CK. A continuación se muestra cómo extraer datos, sanitizarlos e investigarlos gratis en LogTotal.

Comience gratis

Antes de empezar

¿Registros brutos o eventos UDM? Google SecOps conserva ambos: los registros brutos como se ingresaron, y los eventos UDM normalizados. Cuando los registros brutos son syslog o JSON, generalmente son la mejor entrada para LogTotal. UDM JSON también funciona.

Permisos. El acceso se otorga a través de roles de IAM en la instancia de SecOps. Una exportación de datos también necesita permiso para crear exportaciones y un bucket al que la cuenta de servicio de SecOps pueda escribir.

Retención. La retención estándar es de 12 meses. 

Tipos de registro. Cada fuente tiene una etiqueta de tipo de registro, como WINEVTLOG para registros de eventos de Windows. Considere las que necesite antes de exportar.

Los pasos siguen la documentación de Google, verificada en octubre de 2026. Los puntos finales difieren según la región y la versión de la API, así que compárelos con su instancia.

Opción 1: Búsqueda UDM a través de la API

Escriba la búsqueda primero en la interfaz de usuario, por ejemplo, principal.hostname = «web-03», y verifique los resultados. Luego ejecútela a través de la API con un rango de tiempo:

TOKEN=$(gcloud auth print-access-token)

curl -sS -H "Authorization: Bearer $TOKEN" 
  "https://<region>-chronicle.googleapis.com/v1alpha/projects/<project>/locations/<region>/instances/<instance-id>:udmSearch?query=principal.hostname="web-03"&timeRange.startTime=2026-10-19T00:00:00Z&timeRange.endTime=2026-10-20T00:00:00Z&limit=10000" 
  | jq -c '.events[]' > secops_web03_1019.jsonl

Opción 2: Registros brutos con la API de Exportación de Datos

Para ventanas más grandes, o cuando desee registros exactamente como llegaron:

1. Cree un bucket de Cloud Storage y dé acceso de escritura a la cuenta de servicio de SecOps.
2. Cree una exportación de datos para su rango de tiempo y tipo de registro, apuntando al bucket.
3. Encueste la exportación hasta que finalice.
4. Descargue los archivos:

gcloud storage cp -r gs://my-secops-export/<export-path>/ ./secops-export/

Los archivos contienen las líneas de registro originales para ese tipo de registro. Descomprímalos si es necesario, luego cargue.

Opción 3: Exportar registros a través de la interfaz de usuario de Google SecOps

Para investigaciones rápidas o muestras de registros más pequeñas, puede exportar resultados de búsqueda directamente desde la interfaz de Google SecOps sin usar la API.

1. Abrir Búsqueda. Inicie sesión en Google SecOps y navegue a Investigación > Búsqueda.
2. Ejecute una búsqueda. Ingrese una consulta UDM, por ejemplo principal.hostname = «web-03», o busque registros brutos. Establezca el rango de tiempo y haga clic en Ejecutar Búsqueda.
3. Revise los resultados. Verifique los eventos coincidentes. Para las búsquedas UDM, use el Administrador de Columnas para seleccionar los campos que desea exportar.
4. Descargar los registros.
   • Eventos UDM: En la tabla de Eventos, haga clic en Descargar y seleccione Descargar como CSV. También puede seleccionar Descargar como CSV (con registros brutos) para incluir las entradas de registro originales.
   • Registros brutos: En la tabla de resultados de Registros Brutos, haga clic en Más > Descargar como CSV.
5. Guarde el archivo. Google SecOps descarga los resultados como un archivo CSV.

Limitaciones. Las exportaciones de la interfaz de usuario utilizan CSV en lugar de JSON o JSONL, que actualmente LogTotal no admite. Las búsquedas de registros brutos están limitadas a 10,000 resultados por consulta. Para exportaciones más grandes, reduzca el rango de tiempo o use la API de Exportación de Datos. Para analizar los datos exportados en LogTotal, extraiga las entradas de registro originales en un formato de registro bruto compatible o use los métodos de exportación de API descritos antes.

Paso 3: Cargue, sanitice y revise en LogTotal

1. Cargar. Abra logtotal.com y suelte el archivo. 
2. Sanitizar. 
3. Revisar. 

Cuando algo sale mal