Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

监控 SOAR 活动

支持范围：

Google SecOps SOAR

本指南适用于需要监控 Google Security Operations 平台 SOAR 端的用户活动以进行审核和合规性检查的安全管理员和安全分析师。其中介绍了不同 API 版本如何记录操作，以及在哪里可以找到这些审计日志。了解这些日志有助于确保问责制，并提供系统内所执行操作的清晰跟踪记录。

准备工作

在开始之前，请确保您拥有访问审计日志所需的权限，如下所示：

如需在 Google SecOps 设置中查看审核日志，您需要一个在 Identity and Access Management (IAM) 权限组中包含 SettingsId 权限的角色。
如需在 Google Cloud 控制台的 Logs Explorer 中查看日志，您需要拥有访问 Cloud Logging 的适当 IAM 角色，例如 roles/logging.viewer。

主要术语

审计日志：Google SecOps 中的事件记录，提供操作的审计跟踪记录。
旧版 SOAR API：指 Google SecOps 中使用的旧版 API 框架，有时使用 Swagger 进行记录。
Chronicle API：指基于 Google Cloud 基础架构构建的现代 API。
Cloud Logging： Google Cloud 中的中心化日志记录服务，用于存储 Google SecOps 审计日志。您可以通过 Google Cloud 控制台中的 Logs Explorer 访问该日志。

了解不同 API 的审计日志记录

Google SecOps 会根据操作是使用旧版 SOAR API 还是 Chronicle API 执行的，以不同的方式记录用户活动。

旧版 API 审计日志

通过旧版 SOAR API 执行的操作具有特定的审核行为：

审核的操作：系统仅记录涉及更改或数据导出的操作。其中包括：
- 正在创建
- 编辑
- 正在删除
- 导出数据
未经审核的操作：在旧版 API 框架中，ReadOnly/GET API 调用不会受到审核。

这些旧版审计日志可在 Google SecOps 平台的审计页面中访问。

Chronicle API 审计日志

在迁移的第一阶段之后，SOAR 审计日志仍会存储在 Google SecOps 平台的审核页面上。完成将 SOAR 迁移到 Google Cloud的第 2 阶段（启用 Google Cloud IAM 并通过 Chronicle API 路由 API 调用）后，SOAR 审计日志便会显示在 Google Cloud 项目的 Cloud Audit Logs 中。这些操作包括 Google SecOps 中的用户操作以及对 Chronicle API 的调用。在 2027 年 3 月 31 日之前，对旧版 SOAR API 的任何调用仍可在 Google SecOps 平台的审核页面上作为旧版 API 审计日志进行访问。

系统会自动审核使用 Chronicle API 进行的所有 API 调用。这些审核日志可在 Google Cloud 项目的 Cloud Logging 中找到。如需详细了解如何迁移和访问这些日志，请参阅对 SOAR 操作日志和 Cloud Audit Logs 的影响。

访问审核日志

访问审计日志的方法取决于您要查找的是旧版 SOAR API 还是 Chronicle API 的审计日志。

访问旧版 API 审计日志

您可以在 Google SecOps 平台的审核页面上查看和过滤使用旧版 API 执行的操作的审核记录。

如需打开审核页面，请依次前往设置 > 管理 > 审核。

查看关键用户活动指标

审核页面会显示以下关键用户活动指标：

常见活动
常用分辨率
最活跃用户
最活跃地址
最常用浏览器

查看和过滤活动列表

在审核页面中，您可以按用户、计数或群组过滤活动列表，以查找特定活动。

如需查看活动详情，请按以下步骤操作：

如需打开活动详情侧边栏以查看更多信息，请点击任意行上的查看更多。此视图包含以下信息：
- 时间：活动发生的时间。
- 用户：执行活动的用户。
- 模块：受影响的系统模块。
- 活动类型：执行的操作。
- 地址：活动来源 IP 地址。
- 浏览器：用于执行相应活动的浏览器。
- 屏幕尺寸：活动使用的屏幕分辨率。
如需查看新活动值或之前的活动值中的信息，请点击所需的活动值。
如需查看新活动的值和之前活动的值，请点击相关活动行，然后点击切换开关，将其切换到“开启”位置。

您可以在 JSON 查看器中并排查看新活动的值和之前活动的值，以便更高效地进行调查。

在 Cloud Logging 中访问 Chronicle API 审计日志

打开 Google Cloud 控制台。
在导航菜单中，依次前往 Logging > Logs Explorer。
如需过滤 Google SecOps 审计日志，请在查询构建器中使用查询。例如，您可以按 resource.type="audited_resource" 和服务名称进行过滤。Chronicle API 审计日志的示例查询：
```
resource.type="audited_resource"
protoPayload.serviceName="chronicle.googleapis.com"
```
执行查询以查看 Chronicle API 生成的审计日志。

问题排查

本部分提供了有关监控用户活动时常见问题的指导。

延迟时间和限制

Cloud Logging 中的审计日志通常会在几分钟内提供，但延迟时间可能会有所不同。

错误修复

如果您在访问日志时遇到问题，请参阅下表：

问题	说明	修复
没有权限	您收到一条错误消息，指出您无权查看日志。	请与您的管理员联系，确认您是否拥有 `roles/logging.viewer` IAM 角色或等效角色。
找不到日志	预期的审计日志未显示在Logs Explorer中。	验证查询中的时间范围和过滤条件。确保您查找的是正确 API 类型（旧版 SOAR API 与 Chronicle API）的日志。请参阅对 SOAR 操作日志和 Cloud Audit Logs 的影响，确认日志位置。