Como Exportar Logs do Google SecOps (Chronicle)

Para pequenas extrações direcionadas, execute uma busca UDM e chame a mesma busca através da Google SecOps API para obter JSON. Para logs brutos no formato original, a API de Exportação de Dados copia logs para um intervalo de tempo e tipo de log em um bucket de Armazenamento em Nuvem que você possui. A exportação da interface de usuário produz um arquivo estilo planilha que o LogTotal não lê hoje.

Por padrão, o Google SecOps mantém um ano de dados na escala do Google, e é cada vez mais onde as equipes de segurança olham primeiro. Prime Core tem 20.031 regras de detecção para Google SecOps, mapeadas para 663 técnicas MITRE ATT&CK. Abaixo está como extrair dados, sanitizá-los e investigá-los gratuitamente no LogTotal.

Comece Gratuitamente

Antes de começar

Logs brutos ou eventos UDM? Google SecOps mantém ambos: os logs brutos conforme ingeridos e eventos UDM normalizados. Quando os logs brutos são syslog ou JSON, eles geralmente são a melhor entrada para o LogTotal. O JSON UDM também funciona.

Permissões. O acesso é concedido através de papéis IAM na instância do SecOps. Uma exportação de dados também precisa de permissão para criar exportações e um bucket ao qual a conta de serviço do SecOps possa escrever.

Retenção. A retenção padrão é de 12 meses. 

Tipos de log. Cada feed tem um rótulo de tipo de log, como WINEVTLOG para logs de eventos do Windows. Anote os que você precisa antes de exportar.

As etapas seguem a documentação do Google, verificada em outubro de 2026. Os endpoints diferem por região e versão de API, então verifique-os com sua instância.

Opção 1: Busca UDM através da API

Escreva primeiro a busca na interface de usuário, por exemplo, principal.hostname = “web-03”, e verifique os resultados. Em seguida, execute através da API com um intervalo de tempo:

TOKEN=$(gcloud auth print-access-token)

curl -sS -H "Authorization: Bearer $TOKEN" 
  "https://<region>-chronicle.googleapis.com/v1alpha/projects/<project>/locations/<region>/instances/<instance-id>:udmSearch?query=principal.hostname="web-03"&timeRange.startTime=2026-10-19T00:00:00Z&timeRange.endTime=2026-10-20T00:00:00Z&limit=10000" 
  | jq -c '.events[]' > secops_web03_1019.jsonl

Opção 2: Logs brutos com a API de Exportação de Dados

Para janelas maiores, ou quando você quer logs exatamente como chegaram:

1. Crie um bucket de Armazenamento em Nuvem e dê acesso de escrita à conta de serviço do SecOps.
2. Crie uma exportação de dados para seu intervalo de tempo e tipo de log, apontando para o bucket.
3. Monitore a exportação até que termine.
4. Baixe os arquivos:

gcloud storage cp -r gs://my-secops-export/<export-path>/ ./secops-export/

Os arquivos contêm as linhas de log originais para esse tipo de log. Descompacte-os, se necessário, depois faça o upload.

Opção 3: Exporte logs através da interface do usuário do Google SecOps

Para investigações rápidas ou amostras menores de logs, você pode exportar resultados de busca diretamente pela interface do Google SecOps sem usar a API.

1. Abra a Busca. Faça login no Google SecOps e navegue até Investigation > Search.
2. Execute uma busca. Insira uma query UDM, por exemplo principal.hostname = “web-03”, ou busque logs brutos. Defina o intervalo de tempo e clique Executar Busca.
3. Revisar resultados. Verifique os eventos correspondentes. Para buscas UDM, use o Gerenciador de Colunas para selecionar os campos que você deseja exportar.
4. Baixar os logs.
   • Eventos UDM: Na tabela de Eventos, clique Baixar e selecione Baixar como CSV. Você também pode selecionar Baixar como CSV (com logs brutos) para incluir as entradas de log originais.
   • Logs brutos: Na tabela de resultados de Logs Brutos, clique Mais > Baixar como CSV.
5. Salvar o arquivo. Google SecOps baixa os resultados como um arquivo CSV.

Limitações. As exportações da interface de usuário usam CSV ao invés de JSON ou JSONL, que o LogTotal não suporta atualmente. As buscas de logs brutos são limitadas a 10.000 resultados por query. Para exportações maiores, reduza o intervalo de tempo ou use a API de Exportação de Dados. Para analisar os dados exportados no LogTotal, extraia as entradas de log originais em um formato de log bruto suportado ou use os métodos de exportação da API descritos acima.

Passo 3: Carregar, sanitizar e revisar no LogTotal

1. Carregar. Abra logtotal.com e solte o arquivo. 
2. Sanitizar. 
3. Revisar. 

Quando algo dá errado