セルフマネージド BigQuery プロジェクトにエクスポートする

以下でサポートされています。

Google Security Operations では、統合データモデル（UDM）データを、お客様が所有、管理するセルフマネージド プロジェクトにエクスポートできます。独自の Google Cloud プロジェクトを Google SecOps インスタンスにリンクし、Google が管理する設定に依存することなく、IAM 権限を個別に管理できます。Bring Your Own BigQuery（BYOBQ）機能を有効にして構成するには、[設定] > [データ マネジメント] > [データ エクスポート] を選択します。

Google SecOps は、次のカテゴリのデータを BigQuery プロジェクトにエクスポートします。

  • udm_events: UDM スキーマに正規化されたログデータ。
  • udm_events_aggregates: 正規化されたイベントの 1 時間ごとに要約された集計データ。
  • entity_graph: エンティティ グラフには、コンテキスト データ、派生データ、グローバル コンテキストの 3 つのディメンションがあります。コンテキスト データと派生データのすべて、およびグローバル コンテキスト データの一部は、UDM として書き込まれ、保存されるデータです。
  • rule_detections: Google SecOps で実行されるルールによって返された検出結果。
  • ioc_matches: UDM イベントに対して検出された IOC 一致。
  • ingestion_metrics: 取り込みパイプラインと正規化パイプラインに関連する指標（デフォルトでエクスポートされます）。
  • udm_enum_value_to_name_mapping: 列挙値を UDM フィールド名にマッピングします（デフォルトでエクスポートされます）。
  • entity_enum_value_to_name_mapping: 列挙値をエンティティ フィールド名にマッピングします（デフォルトでエクスポートされます）。

保持期間

既存のお客様の場合、設定した保持期間によって、BigQuery のエクスポートされたデータが Google が管理するプロジェクトに保持される期間が決まります。

保持期間は、最も古いエクスポートされたレコードの日付から始まります。データソースごとに個別の保持期間を構成できます。最大保持期間は、Google SecOps のデフォルトのログ保持期間と同じです。

保持期間が指定されていない場合、デフォルトの動作では、クリーンアップやパージを行わずにデータのエクスポートを継続し、保持期間を制限します。

この場合、保持期間を [無制限] に設定できます。

  • [設定] > [データ マネジメント] > [データ エクスポート] をクリックします。
  • [データのエクスポート] テーブルの [保持期間] 列で、関連するデータタイプのリストから [無制限] を選択します。

その後、 Google Cloud ストレージ バケットにオブジェクト ライフサイクル ルールを設定して、必要に応じてオブジェクトを削除できます。

既存のお客様のデータ移行

既存のお客様の場合、既存の Google 管理プロジェクトのデータはセルフマネージド プロジェクトに移行されません。データは移行されないため、データは 2 つの別々のプロジェクトに配置されます。セルフマネージド プロジェクトの有効化日を含む期間にわたってデータをクエリするには、次のいずれかを行う必要があります。

  • 両方のプロジェクトのデータを結合する単一のクエリを使用する。
  • それぞれのプロジェクトで 2 つの個別のクエリを実行します。1 つはセルフマネージド プロジェクトの有効化日より前のデータ用、もう 1 つは有効化日以降のデータ用です。Google 管理プロジェクトの保持期間が終了すると、そのデータは削除されます。それ以降は、 Google Cloudプロジェクト内のデータのみをクエリできます。

データのエクスポートに必要な権限

BigQuery データにアクセスするには、BigQuery 自体でクエリを実行します。アクセスが必要なユーザーに次の IAM ロールを割り当てます。

セルフマネージド プロジェクトへの BigQuery データ エクスポートを開始する

  1. データをエクスポートする Google Cloud プロジェクトを作成します。詳細については、Google SecOps 用に Google Cloud プロジェクトを構成するをご覧ください。

  2. セルフマネージド プロジェクトを Google SecOps インスタンスにリンクして、Google SecOps とセルフマネージド プロジェクト間の接続を確立します。詳細については、Google Security Operations を Google Cloud サービスにリンクするをご覧ください。Bring Your Own BigQuery（BYOBQ）機能を有効にして構成するには、[設定] > [データ管理] > [データ エクスポート] を選択します。

  3. データがセルフマネージド プロジェクトにエクスポートされていることを確認するには、BigQuery の datalake データセットの下にあるテーブルを確認します。

BigQuery テーブルに保存されている Google SecOps データに対してアドホック クエリを作成できます。BigQuery と統合された他のサードパーティ ツールを使用して、より高度な分析を作成することもできます。

エクスポートを有効にするためにセルフマネージド Google Cloud プロジェクトに作成されたすべてのリソース（Cloud Storage バケットや BigQuery テーブルなど）は、Google SecOps と同じリージョンにあります。

BigQuery のクエリ時に Unrecognized name: <field_name> at [<some_number>:<some_number>] のようなエラーが発生した場合は、アクセスしようとしているフィールドがデータセットに存在せず、エクスポート プロセス中にスキーマが動的に生成されていることを意味します。

BigQuery の Google SecOps データの詳細については、BigQuery の Google SecOps データをご覧ください。

次のトピックで説明する API メソッドを使用して、エクスポート構成にアクセスし、BigQuery へのデータの送信方法を管理します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。