将日志事件导出至 Google Security Operations，以监控内部人员外泄风险

支持此功能的版本：一线员工 Plus 版；企业标准版和企业 Plus 版；教育标准版和教育 Plus 版。 对比版本

您可以将 Google Workspace 日志事件导出到 Google Security Operations (Google SecOps)，这是一个安全分析平台，可帮助贵组织检测、调查和应对安全威胁。如需将日志事件导出到 Google SecOps，您需要使用 Google 管理控制台将 Google Workspace 连接到 Google SecOps。

连接到 Google SecOps 后，您的日志事件会持续导出到 Google SecOps，您可以在其中管理内部人员外泄风险。为了管理风险，您可以使用规则生成检测和提醒，以帮助您识别与数据访问和渗漏相关的有风险的用户行为和异常情况。详细了解 Google SecOps。

导出日志事件后

将数据导出到 Google SecOps 后，您可以登录 Google SecOps 账号执行以下操作：

• 在日志事件中搜索任何元素，例如用户名、IP 地址和登录事件。
• 查看目前影响您组织的所有提醒和失陷指标 (IOC)。
• 分析任何提醒。

准备工作

• 确保您拥有 Google SecOps 账号。如果您需要账号，请联系 Google Cloud 销售专员。
• 您需要拥有超级用户权限才能将 Google Workspace 连接到 Google SecOps。

连接到 Google SecOps 以导出日志事件

1. 在 Google 管理控制台中，依次点击“菜单”图标 报告 数据集成（对于教育机构管理员，请点击 BigQuery Export，这会打开“数据集成”页面）。

   前往“数据集成”

   需要拥有“报告”管理员权限。

2. 前往 Google Security Operations 导出，然后点击“修改”图标 。
3. 请按以下步骤操作：
   1. 从您组织的个人资料页面复制客户 ID。
   2. 前往 Google Security Operations，然后依次点击设置 Google Workspace。输入您的 Google Workspace 客户 ID，然后点击生成令牌。
   3. 复制令牌和 Google Security Operations 实例 ID。（您的实例 ID 与客户 ID 相同。）
   4. 返回管理控制台中的连接到 Google Security Operations 页面，然后输入令牌和实例 ID。
4. 点击连接。

数据最长可能需要 24 小时才能导出到 Google SecOps。之后，您组织的日志事件会持续导出到 Google SecOps。

如果您看到一条消息，提示无法建立连接，请先检查 Google SecOps 令牌和实例 ID 是否正确。如果正确，请在几分钟后尝试再次连接到 Google SecOps。如果您仍然无法连接，请与 Google Workspace 支持团队联系。

断开与 Google SecOps 的连接

如果您不想再将日志事件导出到 Google SecOps，可以断开您组织的 Google Workspace 账号与 Google SecOps 的连接。

注意：断开与 Google SecOps 的连接后，您的日志事件不会自动从 Google SecOps 中删除。使用 Google SecOps 删除日志事件。

1. 在 Google 管理控制台中，依次点击“菜单”图标 报告 数据集成（对于教育机构管理员，请点击 BigQuery Export，这会打开“数据集成”页面）。

   前往“数据集成”

   需要拥有“报告”管理员权限。

2. 前往 Google Security Operations 导出，然后点击断开与 Google Security Operations 的连接。

常见问题解答