Folgen Für kleine, gezielte Abrufe führen Sie eine UDM-Suche durch und rufen dieselbe Suche über die Google SecOps API auf, um JSON zu erhalten. Für Rohprotokolle im Originalformat kopiert die Data Export API Protokolle für einen bestimmten Zeitraum und Protokolltyp in einen Cloud Storage-Bucket, den Sie besitzen. Der Export der Benutzeroberfläche erzeugt eine tabellenkalkulationsähnliche Datei, die von LogTotal heute nicht gelesen wird.
Google SecOps bewahrt standardmäßig ein Jahr Daten im Google-Maßstab auf und ist zunehmend der erste Anlaufpunkt für Sicherheitsteams. Prime Core hat 20.031 Erkennungsregeln für Google SecOps, die auf 663 MITRE ATT&CK-Techniken abgebildet sind. Im Folgenden erfahren Sie, wie Sie Daten extrahieren, bereinigen und kostenlos in LogTotal untersuchen können.
Bevor Sie beginnen
Rohprotokolle oder UDM-Ereignisse? Google SecOps behält beides: die roh aufgenommenen Protokolle und die normalisierten UDM-Ereignisse. Wenn die Rohprotokolle Syslog oder JSON sind, sind sie in der Regel die bessere Eingabe für LogTotal. UDM-JSON funktioniert auch.
Berechtigungen. Der Zugriff wird über IAM-Rollen auf der SecOps-Instanz gewährt. Ein Datenexport benötigt außerdem die Berechtigung zum Erstellen von Exporten und einen Bucket, in den das SecOps-Dienstkonto schreiben kann.
Aufbewahrung. Standardaufbewahrung beträgt 12 Monate.
Protokolltypen. Jeder Feed hat ein Protokolltyp-Label, wie zum Beispiel WINEVTLOG für Windows-Ereignisprotokolle. Notieren Sie sich die, die Sie benötigen, bevor Sie exportieren.
Die Schritte folgen der Google-Dokumentation vom Oktober 2026. Endpunkte unterscheiden sich je nach Region und API-Version, daher sollten Sie diese mit Ihrer Instanz abgleichen.
Option 1: UDM-Suche über die API
Schreiben Sie die Suche zuerst in der Benutzeroberfläche, zum Beispiel principal.hostname = „web-03“, und überprüfen Sie die Ergebnisse. Führen Sie sie dann mit einem Zeitrahmen über die API aus:
TOKEN=$(gcloud auth print-access-token)
curl -sS -H "Authorization: Bearer $TOKEN"
"https://<region>-chronicle.googleapis.com/v1alpha/projects/<project>/locations/<region>/instances/<instance-id>:udmSearch?query=principal.hostname="web-03"&timeRange.startTime=2026-10-19T00:00:00Z&timeRange.endTime=2026-10-20T00:00:00Z&limit=10000"
| jq -c '.events[]' > secops_web03_1019.jsonl
Option 2: Rohprotokolle mit der Data Export API
Für größere Zeitfenster oder wenn Sie Protokolle genau so haben möchten, wie sie eingegangen sind:
- Erstellen Sie einen Cloud Storage-Bucket und geben Sie dem SecOps-Dienstkonto Schreibzugriff darauf.
- Erstellen Sie einen Datenexport für Ihren Zeitrahmen und Protokolltyp und verweisen Sie auf den Bucket.
- Überwachen Sie den Export, bis er abgeschlossen ist.
- Laden Sie die Dateien herunter:
gcloud storage cp -r gs://my-secops-export/<export-path>/ ./secops-export/
Die Dateien enthalten die ursprünglichen Protokollzeilen für diesen Protokolltyp. Entpacken Sie sie bei Bedarf und laden Sie sie dann hoch.
Option 3: Protokolle über die Google SecOps UI exportieren
Für schnelle Untersuchungen oder kleinere Protokollmuster können Sie Suchergebnisse direkt aus der Google SecOps-Oberfläche exportieren, ohne die API zu verwenden.
- Suche öffnen. Melden Sie sich bei Google SecOps an und navigieren Sie zu Untersuchung > Suche.
- Führen Sie eine Suche durch. Geben Sie eine UDM-Abfrage ein, zum Beispiel principal.hostname = „web-03“, oder durchsuchen Sie Rohprotokolle. Legen Sie den Zeitrahmen fest und klicken Sie auf Suche ausführen.
- Ergebnisse überprüfen. Überprüfen Sie die passenden Ereignisse. Für UDM-Suchen verwenden Sie den Spalten-Manager, um die Felder auszuwählen, die Sie exportieren möchten.
- Laden Sie die Protokolle herunter.
- UDM-Ereignisse: Klicken Sie in der Ereignistabelle auf Herunterladen und wählen Sie Download als CSV. Sie können auch auswählen Download als CSV (mit Rohprotokollen) um die ursprünglichen Protokolleinträge einzuschließen.
- Rohprotokolle: Klicken Sie in der Tabelle der Rohprotokollergebnisse auf Mehr > Download als CSV.
- Datei speichern. Google SecOps lädt die Ergebnisse als CSV-Datei herunter.
Einschränkungen. UI-Exporte verwenden CSV anstelle von JSON oder JSONL, was LogTotal derzeit nicht unterstützt. Rohprotokollabfragen sind auf 10.000 Ergebnisse pro Abfrage begrenzt. Für größere Exporte den Zeitrahmen eingrenzen oder die Data Export API verwenden. Um die exportierten Daten in LogTotal zu analysieren, extrahieren Sie die ursprünglichen Protokolleinträge in ein unterstütztes Rohprotokollformat oder verwenden Sie die oben beschriebenen API-Exportmethoden.
Schritt 3: Hochladen, bereinigen und in LogTotal überprüfen
- Hochladen. Öffnen Sie logtotal.com und ziehen Sie die Datei hinein.
- Bereinigen.
- Überprüfen.
Wenn etwas schiefgeht
| Symptom | Wahrscheinliche Ursache | Fix |
|---|---|---|
| 403 oder Berechtigung verweigert | Fehlende IAM-Rolle auf der Instanz | Fragen Sie nach API-Zugriff auf das SecOps-Projekt |
| Export kann nicht schreiben | Das SecOps-Dienstkonto kann nicht in den Bucket schreiben | Geben Sie Schreibzugriff |
| Suchergebnisse bleiben aus | Ergebnislimit | Eingrenzen des Zeitrahmens oder Verwendung der Data Export API |
| 404 von der API | Falsche Region oder Instanz-ID in der URL | Kopieren Sie sie aus Ihren Instanzeinstellungen |
| Rohprotokolle fehlen für einige Quellen | Einige Protokolltypen bewahren weniger Rohdetails auf | Stattdessen UDM-Ereignisse exportieren |
FAQ
Ist Chronicle dasselbe?
Ja. Google SecOps ist der aktuelle Name; viele Dokumente und APIs sagen immer noch Chronicle.
UDM oder roh: Was sollte ich hochladen?
Roh, wenn es sich um Syslog oder JSON handelt, da LogTotal sieht, was die Quelle tatsächlich gesendet hat. UDM ist eine gute Alternative und praktisch, wenn Sie die Normalisierung benötigen.
