Come Esportare i Log da Google SecOps (Chronicle)

Per piccoli prelievi mirati, esegui una ricerca UDM e chiama la stessa ricerca tramite l’API Google SecOps per ottenere JSON. Per i log grezzi nel loro formato originale, l’API Data Export copia i log per un intervallo di tempo e un tipo di log in un bucket Cloud Storage che possiedi. L’esportazione dell’UI produce un file in stile foglio di calcolo che oggi LogTotal non legge.

Google SecOps conserva un anno di dati per impostazione predefinita alla scala di Google, ed è sempre più dove i team di sicurezza guardano per primi. Prime Core ha 20.031 regole di rilevamento per Google SecOps, mappate a 663 tecniche MITRE ATT&CK. Di seguito è spiegato come estrarre dati, sanitizzarli e indagarli gratuitamente in LogTotal.

Inizia gratis

Prima di iniziare

Log grezzi o eventi UDM? Google SecOps conserva entrambi: i log grezzi come acquisiti e gli eventi UDM normalizzati. Quando i log grezzi sono syslog o JSON, sono di solito il miglior input per LogTotal. Anche UDM in JSON funziona.

Permessi. L’accesso è concesso tramite ruoli IAM sull’istanza di SecOps. Anche un’esportazione dati ha bisogno del permesso di creare esportazioni e di un bucket al quale l’account di servizio SecOps può scrivere.

Retenzione. La ritenzione standard è di 12 mesi. 

Tipi di log. Ogni feed ha un’etichetta di tipo di log, come WINEVTLOG per i log degli eventi di Windows. Nota quelli di cui hai bisogno prima di esportare.

I passaggi seguono la documentazione di Google, controllata a ottobre 2026. Gli endpoint differiscono per regione e versione dell’API, quindi controllali rispetto alla tua istanza.

Opzione 1: Ricerca UDM tramite l’API

Scrivi prima la ricerca nell’interfaccia utente, ad esempio principal.hostname = “web-03”, e controlla i risultati. Quindi eseguila tramite l’API con un intervallo di tempo:

TOKEN=$(gcloud auth print-access-token)

curl -sS -H "Authorization: Bearer $TOKEN" 
  "https://-chronicle.googleapis.com/v1alpha/projects//locations//instances/:udmSearch?query=principal.hostname="web-03"&timeRange.startTime=2026-10-19T00:00:00Z&timeRange.endTime=2026-10-20T00:00:00Z&limit=10000" 
  | jq -c '.events[]' > secops_web03_1019.jsonl

Opzione 2: Log grezzi con l’API di esportazione dati

Per finestre più ampie, o quando desideri i log esattamente come sono arrivati:

1. Crea un bucket di Cloud Storage e dai all’account di servizio di SecOps l’accesso in scrittura.
2. Crea un’esportazione dati per il tuo intervallo di tempo e tipo di log, puntando al bucket.
3. Interrogare l’esportazione fino a quando non è terminata.
4. Scarica i file:

gcloud storage cp -r gs://my-secops-export// ./secops-export/

I file contengono le righe di log originali per quel tipo di log. Decomprimili se necessario, quindi caricali.

Opzione 3: Esporta log tramite l’interfaccia utente di Google SecOps

Per indagini rapide o campioni di log più piccoli, puoi esportare direttamente i risultati della ricerca dall’interfaccia di Google SecOps senza usare l’API.

1. Apri Ricerca. Accedi a Google SecOps e naviga su Indagine > Ricerca.
2. Esegui una ricerca. Inserisci una query UDM, ad esempio principal.hostname = “web-03”, oppure cerca nei log grezzi. Imposta l’intervallo di tempo e clicca su Esegui Ricerca.
3. Rivedi i risultati. Controlla gli eventi corrispondenti. Per le ricerche UDM, usa il Gestore di Colonne per selezionare i campi che vuoi esportare.
4. Scarica i log.
   • Eventi UDM: Nella tabella Eventi, fai clic su Scarica e seleziona Scarica come CSV. Puoi anche selezionare Scarica come CSV (con log grezzi) per includere le voci di log originali.
   • Log grezzi: Nella tabella dei risultati dei Log grezzi, fai clic su Altro > Scarica come CSV.
5. Salva il file. Google SecOps scarica i risultati come file CSV.

Limitazioni. Le esportazioni dell’UI usano CSV anziché JSON o JSONL, che attualmente LogTotal non supporta. Le ricerche di log grezzi sono limitate a 10.000 risultati per query. Per esportazioni più grandi, restringi l’intervallo di tempo o usa l’API di esportazione dati. Per analizzare i dati esportati in LogTotal, estrai le voci di log originali in un formato di log grezzo supportato o utilizza i metodi di esportazione API descritti sopra.

Passaggio 3: Carica, sanitizza e rivedi in LogTotal

1. Carica. Apri logtotal.com e carica il file. 
2. Sanitizza. 
3. Recensione. 

Quando qualcosa va storto