Chronicle にログをエクスポートしてインサイダー リスクをモニタリングする

サポート対象エディション: Enterprise Standard、Enterprise Plus。 エディションの比較

Google Workspace の監査ログを、クラウドネイティブのセキュリティ分析プラットフォームである Google Chronicle にエクスポートできます。Google Chronicle を使用して、組織はセキュリティ上の脅威を検出、調査、対応することができます。ログを Chronicle にエクスポートするには、Google 管理コンソールを使用して Google Workspace を Chronicle に接続する必要があります。

Chronicle に接続すると、監査ログが Chronicle に継続的にエクスポートされ、インサイダー リスクを管理できます。リスクを管理するには、検出とアラートを生成するルールを使用します。これにより、データアクセスとデータの引き出しに関連する危険なユーザー行動と異常を特定できます。詳しくは、Chronicle の詳細をご覧ください。

ログのエクスポート後の流れ

データを Chronicle にエクスポートした後、Chronicle アカウントにログインして次のことができます。

• ログデータ内の要素（ユーザー名、IP アドレス、ログイン イベントなど）を検索する。
• 現在組織に影響を与えているすべてのアラートと不正使用インジケーター（IOC）を確認する。
• アラートを分析する。

始める前に

• Google Chronicle アカウントがあることを確認します。アカウントが必要な場合は、Google Cloud セールス スペシャリストまでお問い合わせください。
• Google Workspace を Chronicle に接続するには、特権管理者の権限が必要です。

Chronicle に接続してログをエクスポートする

1. Google 管理コンソールにログインします。

   特権管理者権限のあるアカウント（末尾が @gmail.com でないもの）でログインしてください。

2. 管理コンソールで、メニューアイコン [レポート] [データ統合] に移動します。
3. [Chronicle エクスポート] カードで、[Chronicle に接続] をクリックします。
4. [Chronicle に接続] ページで、画面上の指示に沿って次の操作を行います。
   1. 管理コンソールで組織の [プロフィール] ページに移動し、[お客様 ID] をコピーします。
   2. Chronicle に移動し、[設定] > Google Workspace [接続] に移動します。Google Workspace のお客様 ID を入力し、[トークンを生成] をクリックします。
   3. [Google Workspace の接続] ページで、[トークン] と [Chronicle インスタンス ID] をコピーします（Chronicle インスタンス ID は Chronicle のお客様 ID と同じです）。
   4. 管理コンソールの [Chronicle に接続] ページに戻り、[トークン] と [Chronicle インスタンス ID] を入力します。
5. [Connect] をクリックします。

Chronicle への接続が確立されてから、ログが Chronicle にエクスポートされるまでに最長で 24 時間ほどかかることがあります。その後は、組織の監査ログが継続的に Chronicle にエクスポートされます。

接続を確立できないというメッセージが表示された場合: まず、Chronicle のトークンとインスタンス ID が正しいかどうかを確認します。正しい場合は、数分後に Chronicle にもう一度接続してみてください。それでも接続できない場合は、Google Workspace サポートにお問い合わせください。

Chronicle との接続の解除

Chronicle への監査ログのエクスポートが不要になった場合は、組織の Google Workspace アカウントと Chronicle との接続を解除できます。

注: Google Workspace と Chronicle との接続を解除しても、監査ログは Chronicle から自動的に削除されません。Chronicle を使用してログを削除できます。

1. Google 管理コンソールにログインします。

   特権管理者権限のあるアカウント（末尾が @gmail.com でないもの）でログインしてください。

2. 管理コンソールで、メニューアイコン [レポート] [データ統合] に移動します。
3. [Chronicle エクスポート] カードで、[Chronicle との接続を解除] をクリックします。

よくある質問

セクションを開く  |  すべて閉じる

どの監査ログが Chronicle にエクスポートされますか？

サポートされているログデータは次のとおりです。

• アカウント
• 管理者
• カレンダー
• Chat
• Chrome
• Classroom
• データポータル
• デバイス
• ドライブ
• Gmail
• ビジネス向け Google グループ
• Jamboard 管理（キオスク向け）
• ログイン
• Meet
• OAuth
• ルール
• SAML

Chronicle にエクスポートする監査ログを選択できますか？

いいえ。サポートされているすべてのログが Chronicle にエクスポートされます。

Google 管理コンソールで記録された監査データは、いつ使用できるようになりますか？

監査ログが作成されると、そのデータが Chronicle にストリーミングされます。

注: ログイベントのデータを利用できるようになるまでの所要時間については、データの保持期間とタイムラグをご覧ください。

Chronicle への接続前に作成された履歴ログもエクスポートされますか？

いいえ。Chronicle への接続後に管理コンソールで作成された監査ログのみがエクスポートされます。

エクスポートしたログは Chronicle で別の形式に変換されますか？

はい。Chronicle は、エクスポートされたすべてのログを Unified Data Format（UDM）に変換します。これにより、Chronicle はお客様のデータに対して複雑なクエリとルールを実行できます。

リスク管理を行うために Chronicle でどのルールを使用できますか？

Chronicle には、Chronicle ルールセットと呼ばれる事前構築済みルールが用意されており、組織に対する脅威を検出するために個別に有効にできます。これらのルールによって検出が生成され、その一部はアラートとなる場合もあります。また、リスクスコアも付加されます。Chronicle の Google Workspace ルールセットを使用すると、インサイダー リスクとデータの引き出しを調査できます。詳しくは、ルールセットの詳細をご覧ください。

Chronicle にログデータをエクスポートするのに費用はかかりますか？

エクスポート機能を使用する場合は、Chronicle の標準の利用規約と料金が適用されます。詳しくは、営業担当者にお問い合わせください。

Chronicle のエクスポート機能は Google Workspace の利用規約の対象ですか？

いいえ。Chronicle のエクスポート機能には SecOps サービス契約が適用されます。