Exporter les journaux vers Chronicle pour surveiller les risques internes

Éditions compatibles avec cette fonctionnalité : Enterprise Standard et Enterprise Plus, Comparer votre édition

Vous pouvez exporter vos journaux d'audit Google Workspace vers Google Chronicle, une plate-forme d'analyse de la sécurité cloud native qui aide votre organisation à détecter, analyser et contrer les menaces de sécurité. Pour exporter des journaux vers Chronicle, vous devez utiliser la console d'administration Google pour connecter Google Workspace à Chronicle. 

Une fois que vous êtes connecté à Chronicle, vos journaux d'audit sont exportés en continu vers Chronicle, où vous pouvez gérer les risques internes. Pour gérer les risques, vous utilisez des règles qui génèrent des détections et des alertes, ce qui vous aide à identifier les comportements à risque des utilisateurs et les anomalies liées à l'accès aux données et à leur exfiltration.En savoir plus sur Chronicle

Après avoir exporté les journaux

Une fois vos données exportées vers Chronicle, vous pouvez vous connecter à votre compte Chronicle pour:

• Rechercher n'importe quel élément dans les données de vos journaux, comme des noms d'utilisateur, des adresses IP ou des événements de connexion.
• Consulter toutes les alertes et tous les indicateurs de compromission qui affectent votre organisation. 
• Analyser les alertes.

Avant de commencer

• Assurez-vous de disposer d'un compte Google Chronicle. Si vous avez besoin d'un compte, contactez un spécialiste des ventes Google Cloud.
• Vous devez disposer de droits de super-administrateur pour connecter Google Workspace à Chronicle.

Se connecter à Chronicle pour exporter les journaux

1. Connectez-vous à votre Console d'administration Google.

   Connectez-vous avec un compte disposant de droits de super-administrateur (ne se terminant pas par @gmail.com).

2. Dans la console d'administration, accédez à Menu  Création de rapportsIntégrations de données.
3. Dans la fiche Exportation Chronicle, cliquez sur Se connecter à Chronicle.
4. Sur la page Se connecter à Chronicle, suivez les instructions à l'écran :
   1. Accédez à la page Profil de votre organisation dans la console d'administration, puis copiez votre numéro client.
   2. Accédez à Chronicle, puis à Settings > Google Workspace Attach (Paramètres > Connecter). Saisissez votre numéro client Google Workspace, puis cliquez sur Generate Token (Générer un jeton).
   3. Sur la page Google Workspace Attach, copiez votre jeton et votre ID d'instance Chronicle. Notez que votre ID d'instance Chronicle est identique à votre numéro client Chronicle.
   4. Revenez à la page Se connecter à Chronicle dans la console d'administration, puis saisissez le jeton et l'ID d'instance Chronicle.
5. Cliquez sur Se connecter.

Une fois la connexion à Chronicle établie, il peut se passer 24 heures avant l'exportation des journaux vers Chronicle. Ensuite, les journaux d'audit de votre organisation sont exportés en continu vers Chronicle. 

Si un message indique que la connexion n'a pas pu être établie, vérifiez d'abord que le jeton Chronicle et l'ID d'instance sont corrects. Si c'est le cas, essayez de vous reconnecter à Chronicle après quelques minutes. Si vous ne parvenez toujours pas à vous connecter, contactez l'assistance Google Workspace.

Se déconnecter de Chronicle

Si vous ne souhaitez plus exporter les journaux d'audit vers Chronicle,  vous pouvez dissocier le compte Google Workspace de votre organisation de Chronicle. 

Remarque:Si vous déconnectez Google Workspace de Chronicle, vos journaux d'audit ne sont pas automatiquement supprimés de Chronicle. Pour supprimer les journaux, vous pouvez utiliser Chronicle.

1. Connectez-vous à votre Console d'administration Google.

   Connectez-vous avec un compte disposant de droits de super-administrateur (ne se terminant pas par @gmail.com).

2. Dans la console d'administration, accédez à Menu  Création de rapportsIntégrations de données.
3. Dans la fiche Exportation Chronicle, cliquez sur Se déconnecter de Chronicle.

Questions fréquentes

Ouvrir la section  |  Tout réduire

Quels journaux d'audit sont exportés vers Chronicle ?

Les données de journaux suivantes sont compatibles :

• Comptes
• Les administrateurs
• Agenda
• Chat
• Chrome
• Classroom
• Data Studio
• Appareils
• Drive
• Gmail
• Groups for Business
• Gestion de Jamboard (pour les kiosques)
• Connexion
• Meet
• OAuth
• Règles
• SAML

Puis-je sélectionner les journaux d'audit à exporter vers Chronicle ?

Non, tous les journaux compatibles sont exportés vers Chronicle.

Quand puis-je utiliser les données d'audit une fois qu'elles sont consignées dans la console d'administration Google ?

Une fois qu'un journal d'audit est créé, ses données sont transmises à Chronicle.

Remarque:Pour en savoir plus sur le délai qui peut s'écouler avant que les données des événements de journaux soient disponibles, consultez Conservation des données et temps de latence.

Les journaux historiques créés avant ma connexion à Chronicle sont-ils également exportés ?

Non, seuls les journaux d'audit créés dans la console d'administration après votre connexion à Chronicle sont exportés.

Les journaux exportés sont-ils convertis dans un format différent dans Chronicle ?

Oui, Chronicle convertit tous les journaux exportés au format UDM (Unified Data Format), ce qui permet à Chronicle d'exécuter des requêtes et des règles complexes sur vos données.

Quelles règles puis-je utiliser dans Chronicle pour effectuer la gestion des risques ?

Chronicle fournit des règles prédéfinies, appelées ensembles de règles Chronicle, que vous pouvez activer individuellement pour détecter les menaces qui pèsent sur votre organisation. Ces règles génèrent des détections, dont certaines peuvent être des alertes, avec des scores de risque. Les ensembles de règles Google Workspace dans Chronicle vous aident à enquêter sur les risques internes et l'exfiltration de données. En savoir plus sur les jeux de règles

L'exportation des données des journaux vers Chronicle est-elle payante ?

Si vous utilisez la fonctionnalité d'exportation, les tarifs et les conditions d'utilisation standards de Chronicle s'appliquent.Pour en savoir plus, contactez votre conseiller commercial.

La fonctionnalité d'exportation Chronicle est-elle couverte par les conditions d'utilisation de Google Workspace ?

Non. La fonctionnalité d'exportation Chronicle est couverte par le Contrat de services SecOps.