Google SecOps (Chronicle)からログをエクスポートする方法

小さな、ターゲットを絞った取得には、UDM検索を実行し、Google SecOps APIを通じて同じ検索を呼び出してJSONを取得します。元の形式での生ログには、データエクスポート APIが、指定された時間範囲とログタイプのログを所有するCloud Storageバケットにコピーします。UIのエクスポートは、今日ではLogTotalが読み取らないスプレッドシート形式のファイルを生成します。

Google SecOpsはデフォルトで1年間のデータをGoogleのスケールで保持し、セキュリティチームが最初に参照する場所になる傾向があります。Prime CoreはGoogle SecOps向けに20,031個の検出ルールを持ち、663のMITRE ATT&CKテクニックにマッピングされています。以下に、データを取得し、サニタイズし、無料でLogTotalで調査する方法を示します。

無料で始める

始める前に

生ログまたはUDMイベント？ Google SecOpsは両方を保持します：取り込まれたままの生ログと正規化されたUDMイベント。生ログがsyslogやJSONの場合、通常はLogTotalへの入力として優れています。UDM JSONも使えます。

権限。 アクセスはSecOpsインスタンスへのIAMロールによって付与されます。データエクスポートには、エクスポートの作成とSecOpsサービスアカウントが書き込み可能なバケットへの権限も必要です。

保持。 標準の保持期間は12か月です。 

ログタイプ。 各フィードには、WindowsイベントログのWINEVTLOGのようなログタイプラベルがあります。エクスポートする前に必要なものを確認してください。

手順はGoogleのドキュメントに従っており、2026年10月に確認されました。エンドポイントは地域とAPIバージョンによって異なるので、自分のインスタンスに対してチェックしてください。

オプション 1: API経由のUDM検索

最初にUIで検索を作成します（例：principal.hostname = “web-03″）、結果を確認します。次に、APIを通じて時間範囲を設定して実行します：

TOKEN=$(gcloud auth print-access-token)

curl -sS -H "Authorization: Bearer $TOKEN" 
  "https://<region>-chronicle.googleapis.com/v1alpha/projects/<project>/locations/<region>/instances/<instance-id>:udmSearch?query=principal.hostname="web-03"&timeRange.startTime=2026-10-19T00:00:00Z&timeRange.endTime=2026-10-20T00:00:00Z&limit=10000" 
  | jq -c '.events[]' > secops_web03_1019.jsonl

オプション 2: Data Export APIによる生ログ

より大きなウィンドウ、または到着したとおりのログが欲しい場合：

1. Cloud Storageバケットを作成し、SecOpsサービスアカウントに書き込みアクセスを付与します。
2. 時間範囲とログタイプに対してデータエクスポートを作成し、バケットを指します。
3. エクスポートが完了するまでポーリングします。
4. ファイルをダウンロードします：

gcloud storage cp -r gs://my-secops-export/<export-path>/ ./secops-export/

ファイルはそのログタイプの元のログ行を保持しています。必要に応じて解凍し、アップロードします。

オプション 3: Google SecOps UIを通じたログエクスポート

迅速な調査や小規模なログサンプルの場合、APIを使用せずにGoogle SecOpsインターフェースから検索結果を直接エクスポートできます。

1. 検索を開く。 Google SecOpsにサインインし、次に進む: Investigation > Search.
2. 検索を実行する。 UDMクエリを入力します。例 principal.hostname = “web-03”、または生ログを検索します。時間範囲を設定してクリック 検索を実行.
3. 結果を確認します。 一致するイベントを確認してください。UDM検索の場合、エクスポートしたいフィールドを選択するためにカラムマネージャを使用します。
4. ログをダウンロードします。
   • UDMイベント: イベントテーブルで、クリック ダウンロード して CSVでダウンロードを選択します。また、 CSVでダウンロード (生ログ付き) を選択して、元のログエントリを含めることもできます。
   • 生ログ: 生ログ結果テーブルで、クリック 詳細 > CSVでダウンロード.
5. ファイルを保存。 Google SecOpsは結果をCSVファイルとしてダウンロードします。

制限。 UIエクスポートはCSVしか使用せず、JSONやJSONLは使用しません。LogTotalは現在それをサポートしていません。生ログ検索はクエリごとに10,000件の結果に制限されています。大規模なエクスポートの場合、時間範囲を狭めるか、データエクスポートAPIを使用します。LogTotalでエクスポートしたデータを分析するには、対応する生ログ形式に元のログエントリを抽出するか、上記のAPIエクスポート方法を使用します。

ステップ3: LogTotalにアップロード、サニタイズおよびレビュー

1. アップロード。 開く logtotal.com し、ファイルをドロップします。 
2. サニタイズ。 
3. レビュー。 

問題が発生した場合