Exporter des événements de journaux vers Google Security Operations pour surveiller les risques internes

Éditions compatibles avec cette fonctionnalité : Frontline Plus ; Enterprise Standard et Enterprise Plus ; Education Standard et Education Plus. Comparer votre édition

Vous pouvez exporter vos événements de journaux Google Workspace vers Google Security Operations (Google SecOps), une plate-forme d'analyse de la sécurité qui aide votre organisation à détecter les menaces de sécurité, à les examiner et à y répondre. Pour exporter des événements de journaux vers Google SecOps, vous devez associer Google Workspace à Google SecOps dans la console d'administration Google.

Une fois que vous vous êtes connecté à Google SecOps, vos événements de journaux sont exportés en continu vers Google SecOps, où vous pouvez gérer les risques internes. Pour gérer les risques, vous utilisez des règles qui génèrent des détections et des alertes, ce qui vous aide à identifier les comportements à risque des utilisateurs et les anomalies liées à l'accès aux données et à leur exfiltration. En savoir plus sur Google SecOps

Après avoir exporté les événements de journaux

Une fois vos données exportées vers Google SecOps, vous pouvez vous connecter à votre compte Google SecOps pour effectuer les actions suivantes :

• Recherchez n'importe quel élément dans vos événements de journaux, comme des noms d'utilisateur, des adresses IP ou des événements de connexion.
• Consulter toutes les alertes et tous les indicateurs de compromission qui affectent votre organisation.
• Analyser les alertes.

Avant de commencer

• Assurez-vous de disposer d'un compte Google SecOps. Si vous avez besoin d'un compte, contactez un spécialiste des ventes Google Cloud.
• Vous devez disposer des droits de super-administrateur pour associer Google Workspace à Google SecOps.

Se connecter à Google SecOps pour exporter des événements de journaux

1. Dans la console d'administration Google, accédez à Menu  Rapports Intégrations de données (ou Exportation BigQuery pour les administrateurs Education, ce qui ouvre la page "Intégrations de données").

   Accéder à la page "Intégrations de données"

   Vous devez disposer du droit d'administrateur Rapports.

2. Accédez à Exportation Google Security Operations, puis cliquez sur Modifier .
3. Suivez les instructions pour ces étapes :
   1. Copiez le numéro client sur la page Profil de votre organisation.
   2. Accédez à Google Security Operations, puis cliquez sur Paramètres Google Workspace. Saisissez votre numéro client Google Workspace, puis cliquez sur Générer un jeton.
   3. Copiez le jeton et votre ID d'instance Google Security Operations. (Votre ID d'instance est identique à votre numéro client.)
   4. Revenez à la page Se connecter à Google Security Operations dans la console d'administration, puis saisissez le jeton et l'ID d'instance.
4. Cliquez sur Se connecter.

L'exportation des données vers Google SecOps peut prendre jusqu'à 24 heures. Les événements de journaux de votre organisation sont ensuite exportés en continu vers Google SecOps.

Si vous recevez un message indiquant qu'une connexion n'a pas pu être établie, vérifiez d'abord que le jeton Google SecOps et l'ID d'instance sont corrects. Si tel est le cas, réessayez de vous connecter à Google SecOps au bout de quelques minutes. Si vous ne parvenez toujours pas à vous connecter, contactez l'assistance Google Workspace.

Se déconnecter de Google SecOps

Si vous ne souhaitez plus exporter d'événements de journaux vers Google SecOps, vous pouvez dissocier le compte Google Workspace de votre organisation de Google SecOps.

Remarque : Lorsque vous vous déconnectez de Google SecOps, vos événements de journaux ne sont pas automatiquement supprimés de Google SecOps. Supprimez les événements de journaux à l'aide de Google SecOps.

1. Dans la console d'administration Google, accédez à Menu  Rapports Intégrations de données (ou Exportation BigQuery pour les administrateurs Education, ce qui ouvre la page "Intégrations de données").

   Accéder à la page "Intégrations de données"

   Vous devez disposer du droit d'administrateur Rapports.

2. Accédez à Exportation Google Security Operations, puis cliquez sur Se déconnecter de Google Security Operations.

Questions fréquentes