Comment exporter des journaux depuis Google SecOps (Chronicle)

Pour de petites extractions ciblées, exécutez une recherche UDM et appelez la même recherche via l’API Google SecOps pour obtenir du JSON. Pour les journaux bruts dans leur format d’origine, l’API Data Export copie les journaux pour une plage de temps et un type de journal dans un bucket Cloud Storage que vous possédez. L’exportation de l’interface utilisateur produit un fichier de style tableur que LogTotal ne lit pas aujourd’hui.

Google SecOps conserve un an de données par défaut à l’échelle de Google, et c’est de plus en plus là que les équipes de sécurité cherchent en premier. Prime Core dispose de 20 031 règles de détection pour Google SecOps, mappées sur 663 techniques MITRE ATT&CK. Voici comment obtenir des données, les assainir et les enquêter gratuitement dans LogTotal.

Commencer gratuitement

Avant de commencer

Journaux bruts ou événements UDM ? Google SecOps conserve les deux : les journaux bruts tels qu’ingérés et les événements UDM normalisés. Lorsque les journaux bruts sont en syslog ou JSON, ils sont généralement meilleurs pour LogTotal. UDM JSON fonctionne aussi.

Permissions. L’accès est accordé par des rôles IAM sur l’instance SecOps. Une exportation de données nécessite également l’autorisation de créer des exportations et un bucket vers lequel le compte de service SecOps peut écrire.

Rétention. La rétention standard est de 12 mois. 

Types de journaux. Chaque flux a une étiquette de type de journal, comme WINEVTLOG pour les journaux d’événements Windows. Notez ceux dont vous avez besoin avant d’exporter.

Les étapes suivent la documentation de Google, vérifiée en octobre 2026. Les points de terminaison varient selon la région et la version de l’API, vérifiez-les par rapport à votre instance.

Option 1 : Recherche UDM via l’API

Rédigez d’abord la recherche dans l’interface utilisateur, par exemple principal.hostname = « web-03 », et vérifiez les résultats. Exécutez ensuite via l’API avec une plage de temps :

TOKEN=$(gcloud auth print-access-token)

curl -sS -H "Authorization: Bearer $TOKEN" 
  "https://<region>-chronicle.googleapis.com/v1alpha/projects/<project>/locations/<region>/instances/<instance-id>:udmSearch?query=principal.hostname="web-03"&timeRange.startTime=2026-10-19T00:00:00Z&timeRange.endTime=2026-10-20T00:00:00Z&limit=10000" 
  | jq -c '.events[]' > secops_web03_1019.jsonl

Option 2 : Journaux bruts avec l’API Data Export

Pour des fenêtres plus grandes, ou lorsque vous souhaitez les journaux tels qu’ils sont arrivés :

1. Créez un bucket Cloud Storage et donnez au compte de service SecOps un accès en écriture.
2. Créez un export de données pour votre plage de temps et type de journal, pointant vers le bucket.
3. Interroger l’exportation jusqu’à ce qu’elle se termine.
4. Téléchargez les fichiers :

gcloud storage cp -r gs://my-secops-export/<export-path>/ ./secops-export/

Les fichiers contiennent les lignes de journaux d’origine pour ce type de journal. Décompressez-les si nécessaire, puis téléchargez-les.

Option 3 : Exportez des journaux via l’interface Google SecOps

Pour des enquêtes rapides ou des échantillons de journaux plus petits, vous pouvez exporter les résultats de recherche directement depuis l’interface Google SecOps sans utiliser l’API.

1. Ouvrez la recherche. Connectez-vous à Google SecOps et naviguez vers Investigation > Recherche.
2. Effectuez une recherche. Entrez une requête UDM, par exemple principal.hostname = « web-03 », ou recherchez des journaux bruts. Définissez la plage de temps et cliquez sur Exécuter la recherche.
3. Examinez les résultats. Vérifiez les événements correspondants. Pour les recherches UDM, utilisez le Gestionnaire de colonnes pour sélectionner les champs que vous souhaitez exporter.
4. Téléchargez les journaux.
   • Événements UDM : Dans le tableau des événements, cliquez sur Télécharger et sélectionnez Télécharger en tant que CSV. Vous pouvez également sélectionner Télécharger en tant que CSV (avec journaux bruts) pour inclure les entrées de journal d’origine.
   • Journaux bruts : Dans le tableau des résultats des journaux bruts, cliquez sur Plus > Télécharger en tant que CSV.
5. Enregistrez le fichier. Google SecOps télécharge les résultats sous forme de fichier CSV.

Limitations. Les exports de l’interface utilisent CSV plutôt que JSON ou JSONL, que LogTotal ne prend pas en charge actuellement. Les recherches de journaux bruts sont limitées à 10 000 résultats par requête. Pour des exports plus grands, réduisez la plage temporelle ou utilisez l’API Data Export. Pour analyser les données exportées dans LogTotal, extrayez les entrées de journal d’origine dans un format de journal brut pris en charge ou utilisez les méthodes d’exportation d’API décrites ci-dessus.

Étape 3 : Téléchargez, assainissez et examinez dans LogTotal

1. Téléchargez. Ouvrez logtotal.com et déposez le fichier. 
2. Assainir. 
3. Examinez. 

Quand ça tourne mal