Jak eksportować logi z Google SecOps (Chronicle)

W przypadku małych, celowanych zapytań uruchom wyszukiwanie UDM i wywołaj to samo wyszukiwanie przez Google SecOps API, aby uzyskać JSON. W przypadku surowych logów w ich oryginalnym formacie, Data Export API kopiuje logi dla określonego przedziału czasowego i typu logu do wiadra Cloud Storage, które posiadasz. Eksportowanie przez UI tworzy plik w formacie arkusza kalkulacyjnego, którego LogTotal dzisiaj nie obsługuje.

Google SecOps zachowuje rok danych domyślnie w skali Google i coraz częściej to tam zespoły ds. bezpieczeństwa szukają w pierwszej kolejności. Prime Core ma 20,031 reguł wykrywania dla Google SecOps, zmapowanych do 663 technik MITRE ATT&CK. Poniżej przedstawiamy, jak uzyskać dane, oczyścić je i bezpłatnie zbadać w LogTotal.

Rozpocznij za darmo

Zanim zaczniesz

Surowe logi czy wydarzenia UDM? Google SecOps zachowuje oba: surowe logi po wczytaniu oraz znormalizowane wydarzenia UDM. Kiedy surowe logi są w formacie syslog lub JSON, zazwyczaj są lepszym wejściem dla LogTotal. UDM JSON też działa.

Uprawnienia. Dostęp przyznaje się przez role IAM na instancji SecOps. Eksport danych również wymaga zgody na tworzenie eksportów i wiadra, do którego konto usługi SecOps może zapisywać.

Przechowywanie. Standardowy czas przechowywania to 12 miesięcy. 

Typy logów. Każdy kanał ma etykietę typu logu, na przykład WINEVTLOG dla logów zdarzeń systemu Windows. Zanotuj te, których potrzebujesz przed eksportem.

Kroki są zgodne z dokumentacją Google, sprawdzone w październiku 2026. Punkty końcowe różnią się w zależności od regionu i wersji API, więc sprawdź je w swojej instancji.

Opcja 1: Wyszukiwanie UDM przez API

Najpierw napisz wyszukiwanie w UI, na przykład principal.hostname = „web-03” i sprawdź wyniki. Następnie uruchom je przez API z okresem czasowym:

TOKEN=$(gcloud auth print-access-token)

curl -sS -H "Authorization: Bearer $TOKEN" 
  "https://<region>-chronicle.googleapis.com/v1alpha/projects/<projekt>/locations/<region>/instances/<instance-id>:udmSearch?query=principal.hostname="web-03"&timeRange.startTime=2026-10-19T00:00:00Z&timeRange.endTime=2026-10-20T00:00:00Z&limit=10000" 
  | jq -c '.events[]' > secops_web03_1019.jsonl

Opcja 2: Surowe logi z Data Export API

Dla większych okien czasowych lub gdy chcesz mieć logi dokładnie tak, jak dotarły:

1. Stwórz wiadro Cloud Storage i przyznaj kontu usługi SecOps pozwolenie na zapis.
2. Utwórz eksport danych dla swojego okresu czasowego i typu logów, wskazując na wiadro.
3. Monitoruj eksport aż się zakończy.
4. Pobierz pliki:

gcloud storage cp -r gs://my-secops-export/<ścieżka-eksportu>/ ./secops-export/

Pliki zawierają oryginalne linie logów dla tego typu logu. Rozpakuj je w razie potrzeby, a następnie prześlij.

Opcja 3: Eksport logów przez interfejs Google SecOps

Dla szybkich dochodzeń lub mniejszych próbek logów, możesz eksportować wyniki wyszukiwania bezpośrednio z interfejsu Google SecOps bez użycia API.

1. Otwórz Wyszukiwanie. Zaloguj się do Google SecOps i przejdź do Dochodzenie > Wyszukiwanie.
2. Uruchom wyszukiwanie. Wpisz zapytanie UDM, na przykład principal.hostname = „web-03”, lub przeszukaj surowe logi. Ustaw zakres czasowy i kliknij Uruchom Wyszukiwanie.
3. Przejrzyj wyniki. Sprawdź pasujące zdarzenia. Dla wyszukiwania UDM użyj Menedżera Kolumn, aby wybrać pola, które chcesz eksportować.
4. Pobierz logi.
   • Wydarzenia UDM: W tabeli Zdarzenia kliknij Pobierz i wybierz Pobierz jako CSV. Możesz także wybrać Pobierz jako CSV (z surowymi logami) aby uwzględnić oryginalne wpisy logów.
   • Surowe logi: W tabeli wyników Surowych Logów kliknij Więcej > Pobierz jako CSV.
5. Zapisz plik. Google SecOps pobiera wyniki jako plik CSV.

Ograniczenia. Eksporty UI używają CSV zamiast JSON lub JSONL, które LogTotal obecnie nie obsługuje. Wyszukiwania surowych logów są ograniczone do 10,000 wyników na zapytanie. Dla większych eksportów zawęź zakres czasowy lub użyj Data Export API. Aby analizować wyeksportowane dane w LogTotal, wyodrębnij oryginalne wpisy logów do obsługiwanego formatu surowych logów lub użyj opisanych wyżej metod eksportu API.

Krok 3: Prześlij, oczyść i przejrzyj w LogTotal

1. Prześlij. Otwórz logtotal.com i upuść plik. 
2. Oczyść. 
3. Przejrzyj. 

Gdy coś pójdzie nie tak