Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

监控 SOAR 活动

支持范围：

Google SecOps SOAR

本指南适用于需要监控 Google Security Operations 平台 SOAR 端的用户活动以进行审核和合规性检查的安全管理员和安全分析师。其中介绍了不同 API 版本如何记录操作，以及在哪里可以找到这些审核日志。了解这些日志有助于确保问责制，并提供系统内所执行操作的清晰跟踪记录。

准备工作

在开始之前，请确保您拥有访问审核日志所需的权限，如下所示：

如需在 Google SecOps SOAR 设置中查看审核日志，您需要一个在 Identity and Access Management (IAM) 权限组中包含 SettingsId 权限的角色。
如需在 Google Cloud 控制台的 Logs Explorer 中查看日志，您需要拥有访问 Cloud Logging 的适当 IAM 角色，例如 roles/logging.viewer。

主要术语

审核日志：Google SecOps 中的事件记录，提供操作的审核跟踪记录。
旧版 SOAR API：指 Google SecOps 中使用的旧版 API 框架，有时使用 Swagger 进行记录。
Chronicle API：指基于 Google Cloud 基础架构构建的现代 API。
Cloud Logging： Google Cloud 中的中心化日志记录服务，用于存储 Google SecOps 审核日志。您可以通过 Google Cloud 控制台中的 Logs Explorer 访问该日志。

了解不同 API 的审核日志记录

Google SecOps 会根据操作是使用旧版 SOAR API 还是 Chronicle API 执行的，以不同的方式记录用户活动。

旧版 API 审核日志

通过旧版 SOAR API 执行的操作具有特定的审核行为：

审核的操作：系统仅记录涉及更改或数据导出的操作。其中包括：
- 正在创建
- 编辑
- 正在删除
- 导出数据
未经审核的操作：在旧版 API 框架中，ReadOnly/GET API 调用不会受到审核。

您可以在 Google SecOps 平台的审核页面中访问这些旧版审核日志。

Chronicle API 审核日志

在将 SOAR 迁移到 Google Cloud的第 2 阶段中，将 SOAR 权限迁移到 Cloud IAM 后，SOAR 审核日志将在 Google Cloud 中提供。这包括 Google SecOps 中的任何用户操作以及对现代 Chronicle API 的调用。在 2027 年 3 月 31 日之前，对旧版 SOAR API 的任何调用都将继续作为旧版 API 审核日志，显示在 Google SecOps 平台的审核页面上。

使用 Chronicle API 进行的所有 API 调用都会自动接受审核。这些审核日志可在 Google Cloud 项目的 Cloud Logging 中找到。如需详细了解如何迁移和访问这些日志，请参阅迁移 SOAR 审核日志。

访问审核日志

访问审核日志的方法取决于您要查找的是旧版 SOAR API 还是 Chronicle API 的日志。

访问旧版 API 审核日志

您可以在 Google SecOps 平台的审核页面上查看和过滤使用旧版 API 执行的操作的审核记录。

如需打开审核页面，请依次前往设置 > SOAR 设置 > 高级 > 审核。

查看关键用户活动指标

审核页面会显示以下关键用户活动指标：

常见活动
常用分辨率
最活跃用户
最活跃地址
最常用浏览器

查看和过滤活动列表

在审核页面中，您可以按用户、计数或群组过滤活动列表，以查找特定活动。

如需查看活动详情，请按以下步骤操作：

如需打开活动详情侧边栏以查看更多信息，请点击任意行上的查看更多。此视图包含以下信息：
- 时间：活动发生的时间。
- 用户：执行活动的用户。
- 模块：受影响的系统模块。
- 活动类型：执行的操作。
- 地址：活动来源的 IP 地址。
- 浏览器：执行活动时使用的浏览器。
- 屏幕尺寸：活动使用的屏幕分辨率。
如需查看新活动值或之前的活动值中的信息，请点击所需的活动值。
如需查看新活动值和之前活动的值，请点击相关活动行，然后点击切换开关，将其切换到“开启”位置。

您可以在 JSON 查看器中并排查看新活动的值和之前活动的值，以便更高效地进行调查。

在 Cloud Logging 中访问 Chronicle API 审核日志

打开 Google Cloud 控制台。
在导航菜单中，依次前往 Logging > Logs Explorer。
如需过滤 Google SecOps 审核日志，请在查询构建器中使用查询。例如，您可以按 resource.type="audited_resource" 和服务名称进行过滤。Chronicle API 审核日志的示例查询：
```
resource.type="audited_resource"
protoPayload.serviceName="chronicle.googleapis.com"
```
执行查询以查看 Chronicle API 生成的审核日志。

问题排查

本部分针对监控用户活动时的常见问题提供指导。

延迟时间和限制

Cloud Logging 中的审核日志通常会在几分钟内生成，但延迟时间可能会有所不同。

错误修复

如果您在访问日志时遇到问题，请参阅下表：

问题	说明	修复
没有权限	您收到一条错误消息，指出您无权查看日志。	请与您的管理员联系，确认您是否拥有 `roles/logging.viewer` IAM 角色或等效角色。
找不到日志	预期的审核日志未显示在 Logs Explorer 中。	验证查询中的时间范围和过滤条件。确保您查找的是正确 API 类型（旧版 SOAR API 与 Chronicle API）的日志。请参阅迁移 SOAR 审核日志指南，确认日志位置。