如何从 Google 安全操作（Chronicle）导出日志

对于小型、有目标的提取，运行UDM搜索，并通过Google SecOps API调用相同的搜索以获取JSON。对于原始格式的原始日志，数据导出API将特定时间范围和日志类型的日志复制到您拥有的云存储桶中。UI的导出会生成一个LogTotal当前无法读取的电子表格样式文件。

Google SecOps默认在Google规模上保留一年的数据，日益成为安全团队首选的查看目标。Prime Core为Google SecOps提供了20,031条检测规则，映射到663种MITRE ATT&CK技术。下面是如何提取数据、净化数据，并在LogTotal中免费调查的步骤。

免费开始

在您开始之前

原始日志还是UDM事件？ Google SecOps同时保留：被摄取的原始日志和标准化的UDM事件。当原始日志是syslog或JSON时，它们通常是LogTotal的更佳输入。UDM JSON也可以使用。

权限。 需要通过SecOps实例上的IAM角色授予访问权限。数据导出还需要有权创建导出，并使用SecOps服务帐户可写的存储桶。

保留。 标准保留期为12个月。 

日志类型。 每个馈送都有日志类型标签，例如WINEVTLOG表示Windows事件日志。在导出之前，请记录您需要的那些。

步骤遵循Google的文档，截至2026年10月检查。端点因地区和API版本而异，因此请根据您的实例进行检查。

选项1：通过API进行UDM搜索

首先在UI中编写搜索，例如principal.hostname = “web-03″，并检查结果。然后通过API运行，指定一个时间范围：

TOKEN=$(gcloud auth print-access-token)

curl -sS -H "Authorization: Bearer $TOKEN" 
  "https://<region>-chronicle.googleapis.com/v1alpha/projects/<project>/locations/<region>/instances/<instance-id>:udmSearch?query=principal.hostname="web-03"&timeRange.startTime=2026-10-19T00:00:00Z&timeRange.endTime=2026-10-20T00:00:00Z&limit=10000" 
  | jq -c '.events[]' > secops_web03_1019.jsonl

选项2：使用数据导出API导出原始日志

对于更大的窗口，或需要准确获取日志到达时的状态：

1. 创建一个云存储桶，并授予SecOps服务帐户写入权限。
2. 为您的时间范围和日志类型创建数据导出，并指向存储桶。
3. 轮询导出直到完成。
4. 下载文件：

gcloud storage cp -r gs://my-secops-export/<export-path>/ ./secops-export/

文件包含该日志类型的原始日志行。如有需要，解压缩，然后上传。

选项3：通过Google SecOps UI导出日志

对于快速调查或较小的日志样本，您可以直接从Google SecOps接口导出搜索结果，而无需使用API。

1. 打开搜索。 登录Google SecOps并导航到 调查 > 搜索.
2. 运行搜索。 输入UDM查询，例如 principal.hostname = “web-03”，或搜索原始日志。设置时间范围并点击 运行搜索.
3. 查看结果。 检查匹配的事件。对于UDM搜索，使用列管理器选择要导出的字段。
4. 下载日志。
   • UDM 事件： 在事件表中，点击 下载 并选择 下载为CSV。您也可以选择 下载为CSV（含原始日志） 以包含原始日志条目。
   • 原始日志： 在原始日志结果表中，点击 更多 > 下载为CSV.
5. 保存文件。 Google SecOps将结果下载为CSV文件。

限制。 UI导出使用CSV而不是JSON或JSONL，LogTotal目前不支持。原始日志搜索每个查询结果限制为10,000条。对于更大的导出，请缩小时间范围或使用数据导出API。要在LogTotal中分析导出的数据，请将原始日志条目提取到支持的原始日志格式中，或使用上述API导出方法。

步骤3：在LogTotal中上传、净化和审查

1. 上传。 打开 logtotal.com 并拖放文件。 
2. 净化。 
3. 审查。 

出现错误时