Google SecOps(Chronicle)에서 로그를 내보내는 방법

작고 목표 지향적인 데이터를 가져오려면 UDM 검색을 실행하고 동일한 검색을 Google SecOps API를 통해 호출하여 JSON을 가져옵니다. 원본 형식의 원시 로그는 데이터 내보내기 API가 소유한 클라우드 저장소 버킷에 로그 유형과 시간 범위를 복사합니다. UI의 내보내기는 오늘날 LogTotal이 읽지 않는 스프레드시트 스타일 파일을 생성합니다.

Google SecOps는 기본적으로 Google 규모에서 1년간의 데이터를 유지하며, 이는 점점 더 보안 팀이 가장 먼저 찾는 곳이 되고 있습니다. Prime Core가 Google SecOps용으로 설정한 20,031의 탐지 규칙은 663개의 MITRE ATT&CK 기술에 매핑되어 있습니다. 아래는 데이터를 내보내고, 정제하며, 무료로 LogTotal에서 조사하는 방법입니다.

무료로 시작하기

시작하기 전에

원시 로그 또는 UDM 이벤트? Google SecOps는 처리된 원시 로그와 정규화된 UDM 이벤트를 모두 유지합니다. 원시 로그가 syslog나 JSON 형식일 때 이는 보통 LogTotal에 더 좋은 입력입니다. UDM JSON도 작동합니다.

권한. 액세스는 SecOps 인스턴스에서 IAM 역할을 통해 부여됩니다. 데이터 내보내기는 내보내기를 생성할 권한과 SecOps 서비스 계정이 쓸 수 있는 버킷도 필요합니다.

보존. 표준 보존 기간은 12개월입니다. 

로그 유형. 각 피드는 Windows 이벤트 로그용 WINEVTLOG와 같은 로그 유형 레이블을 가지고 있습니다. 내보내기 전에 필요한 것들을 메모하세요.

단계는 2026년 10월에 확인한 Google 문서를 따릅니다. 엔드포인트는 지역 및 API 버전에 따라 다르니 인스턴스와 비교하세요.

옵션 1: API를 통한 UDM 검색

UI에서 먼저 검색을 작성하고, 예를 들어 principal.hostname = “web-03” 그리고 결과를 확인합니다. 그런 다음 시간 범위를 지정하여 API를 통해 실행하세요:

TOKEN=$(gcloud auth print-access-token)

curl -sS -H "Authorization: Bearer $TOKEN" 
  "https://<region>-chronicle.googleapis.com/v1alpha/projects/<project>/locations/<region>/instances/<instance-id>:udmSearch?query=principal.hostname="web-03"&timeRange.startTime=2026-10-19T00:00:00Z&timeRange.endTime=2026-10-20T00:00:00Z&limit=10000" 
  | jq -c '.events[]' > secops_web03_1019.jsonl

옵션 2: 데이터 내보내기 API를 통한 원시 로그

더 큰 창이 필요하거나 로그를 도착한 그대로 원할 때:

1. 클라우드 스토리지 버킷을 만들고 해당 SecOps 서비스 계정에 쓰기 권한을 부여하세요.
2. 버킷을 가리키며 시간 범위와 로그 유형에 대한 데이터 내보내기를 생성하세요.
3. 내보내기가 완료될 때까지 폴링하세요.
4. 파일을 다운로드하세요:

gcloud storage cp -r gs://my-secops-export/<export-path>/ ./secops-export/

파일에는 해당 로그 유형의 원본 로그 라인이 포함됩니다. 필요한 경우 압축을 풀고 업로드하세요.

옵션 3: Google SecOps UI를 통한 로그 내보내기

빠른 조사나 작은 로그 샘플의 경우 API를 사용하지 않고 Google SecOps 인터페이스에서 검색 결과를 직접 내보낼 수 있습니다.

1. 검색 열기. Google SecOps에 로그인하여 탐색합니다 조사 > 검색.
2. 검색을 실행합니다. UDM 쿼리를 입력하거나, 예를 들어 principal.hostname = “web-03”또는 원시 로그를 검색합니다. 시간 범위를 설정하고 클릭하세요 검색 실행.
3. 결과 검토. 일치하는 이벤트를 확인합니다. UDM 검색의 경우, 내보낼 필드를 선택하기 위해 컬럼 매니저를 사용하세요.
4. 로그 다운로드.
   • UDM 이벤트: 이벤트 테이블에서 클릭 다운로드 그리고 선택 CSV로 다운로드. 또한 선택할 수 있습니다 원시 로그와 함께 CSV로 다운로드 원본 로그 항목을 포함합니다.
   • 원시 로그: 원시 로그 결과 테이블에서 클릭 더보기 > CSV로 다운로드.
5. 파일 저장. Google SecOps는 결과를 CSV 파일로 다운로드합니다.

제한 사항. UI 내보내기는 JSON이나 JSONL이 아닌 CSV를 사용하므로 LogTotal이 현재 지원하지 않습니다. 원시 로그 검색은 쿼리당 10,000 결과로 제한됩니다. 더 큰 내보내기를 위해서는 시간 범위를 좁히거나 데이터 내보내기 API를 사용하세요. LogTotal에서 내보낸 데이터를 분석하려면 원본 로그 항목을 지원되는 원시 로그 형식으로 추출하거나 위에서 설명한 API 내보내기 방법을 사용하세요.

3단계: LogTotal에서 업로드, 정제 및 검토

1. 업로드. 열기 logtotal.com 및 파일을 드롭하세요. 
2. 정제. 
3. 검토. 

문제가 발생했을 때