Cloud Logging でフィード アクティビティを分析する

以下でサポートされています。

このガイドは、セキュリティ エンジニアと管理者が Google SecOps SIEM 内の取り込みパイプラインとフィードをモニタリング、デバッグ、トラブルシューティングするのに役立ちます。データの取り込みのモニタリングの概要については、データの取り込みの健全性を確認するとデータの取り込みのトラブルシューティングをご覧ください。このガイドでは、Cloud Logging で取り込みとフィードのアクティビティ ログを送信、表示、クエリする方法について説明します。Cloud Logging を使用すると、ログの欠落、遅延、失敗などのログ配信の問題を診断し、取り込みの異常を解決するために必要な時間を短縮できます。プッシュベースとプルベースの取り込みメカニズムを可視化することで、Gemini Cloud Assist を使用してロギングと指標のテレメトリーを調査することもできます。

始める前に

  • ログを表示するために必要な権限を取得するには、プロジェクトに対する次のいずれかの Identity and Access Management（IAM）ロールを付与するよう管理者に依頼してください。

    • ログビューア（roles/logging.viewer）
    • プライベート ログ閲覧者（roles/logging.privateLogViewer）

    ロールの付与の詳細については、アクセスの管理をご覧ください。

  • 費用への影響を理解します。Cloud Logging は課金対象のサービスです。無料枠は、 Google Cloud 無料プログラムの一部として利用できます。詳細については、Google Cloud のオブザーバビリティの料金をご覧ください。

主な用語

  • chronicle-siem: Google SecOps エコシステムに関連付けられたログの Namespace ラベル。
  • chronicle.googleapis.com/ingestion_activity: Google SecOps データの取り込みパイプラインに固有のログストリームのログ ID。
  • storage_transfer_job: Storage Transfer Service（STS）を使用する静的フィードのログのリソースタイプ。
  • storagetransfer.googleapis.com/transfer_activity: STS アクティビティ ログのログ ID。

フィード アクティビティの分析の概要

Cloud Logging でフィード アクティビティを分析するには、いくつかの重要な手順があります。

  1. ログ エクスプローラへのアクセス: Google Cloud コンソールでログ エクスプローラに移動し、正しい Google Cloud プロジェクトを選択します。詳細については、ログ エクスプローラのインターフェースのドキュメントをご覧ください。
  2. ログのクエリ: 時間範囲、Namespace、ログ ID、取り込みメカニズム、フィード ID、コレクタ ID などのさまざまなパラメータに基づいてログをフィルタするクエリを構築します。構文規則については、Logging のクエリ言語をご覧ください。このガイドでは、一般的なフィルタリング シナリオの例を示します。
  3. 特定のフィードタイプを調査する: Storage Transfer Service（STS）を利用するフィードなど、固有のログ形式を持つさまざまな取り込み方法を使用して、フィードのログをクエリする方法について説明します。
  4. コンソール ツールを使用する: ログを使用したデバッグや Gemini Cloud Assist などの Google SecOps コンソールの組み込み機能を活用して、分析とデバッグのプロセスを効率化します。
  5. ログスキーマを理解する: スキーマ リファレンスを参照して、ログ ペイロード内のフィールドとデータ型を理解します。これにより、より詳細な分析とトラブルシューティングが可能になります。

以降のセクションでは、データ取り込みパイプラインの健全性を効果的にモニタリングし、問題をデバッグして、エラーをトラブルシューティングするのに役立つ詳細情報を提供します。

フィード アクティビティ ログを表示してクエリを実行する

フィード アクティビティ ログを表示してクエリするには、次の操作を行います。

  1. Google Cloud コンソールの [ログ エクスプローラ] ページに移動します。
  2. Google SecOps インスタンスに関連付けられている Google Cloud プロジェクトを選択します。
  3. [クエリ] ペインにクエリ式を入力して、ログをフィルタします。
  4. [クエリを実行] をクリックします。

一般的なシナリオのクエリの例については、次のセクションをご覧ください。

Google SecOps 名前空間でフィルタする

Google SecOps エコシステムに関連付けられているすべてのログを取得するには、次のクエリを使用します。

labels.namespace="chronicle-siem"

取り込みアクティビティ ログストリームでフィルタする

データ取り込みパイプラインに固有のログを分離するには、次のクエリを使用します。

log_id("chronicle.googleapis.com/ingestion_activity")

取り込みメカニズムでフィルタする

サードパーティ API などの特定の取り込みメカニズムのログをターゲットにするには、クエリで labels.ingestion_mechanism フィールドを使用します。

labels.ingestion_mechanism="Third Party API"

フィード ID またはコレクタ ID でフィルタする

特定の取り込みフィードまたはコレクタのログを表示するには、labels.feed_id フィールドまたは labels.collector_id フィールドを使用します。フィードの構成については、データフィードを管理するとデータフィードの概要をご覧ください。コレクタについては、ログの取り込みと解析をご覧ください。

labels.feed_id="FEED_ID"

FEED_ID は、フィードの固有識別子に置き換えます。

labels.collector_id="COLLECTOR_ID"

COLLECTOR_ID は、コレクタの固有識別子に置き換えます。

Storage Transfer Service ログを表示する

Storage Transfer Service（STS）を使用する静的フィードのログは、テナント環境から Google Cloud プロジェクトに転送され、異なるリソースタイプとログ名を使用します。STS の一般的な情報については、Storage Transfer Service のドキュメントをご覧ください。

  • 目標: STS ログ アクティビティを表示します。
    操作: 次のクエリを実行します。 none resource.type="storage_transfer_job" AND log_id("storagetransfer.googleapis.com/transfer_activity")

  • 想定される失敗: log_id("chronicle.googleapis.com/ingestion_activity") で検索しても、これらの静的フィードのログは表示されません。

  • 修正ステップ: resource.type="storage_transfer_job" と特定の STS log_id を使用します。

コンソール ツールを使用してフィードをデバッグする

Google SecOps には、アクティビティ ログにアクセスするためのコンソール統合が用意されています。

  • Gemini Cloud Assist に質問する: [フィード] ページで、[Gemini Cloud Assist に質問する] を選択してチャットペインを開きます。フィードのボリュームやエラーについて質問できます。詳細については、Google SecOps の Gemini の概要をご覧ください。
  • ログでデバッグ: [フィードの管理] ページで、特定のフィードの操作メニューを開き、[ログでデバッグ] を選択します。このオプションは、[フィードを表示] ページからも利用できます。選択したフィード ID で事前フィルタリングされた状態で、新しいタブでログ エクスプローラが開きます。

ログスキーマ リファレンス

フィード アクティビティ ログでは、統一された JSON ペイロード構造が使用されます。

取り込みアクティビティ ログのフィールド

フィールド データ型 説明
request_start_time string アクティビティが開始されたときのタイムスタンプ（RFC 3339）。
activity_duration string アクティビティの合計経過時間（例: 「1.500 秒」）。
transfer_id string 特定のファイルまたはデータ転送オペレーションの一意の識別子。
feed_id string Google SecOps 取り込みフィードの固有識別子。
collector_id string 取り込みを実行するコレクタの固有識別子。
log_type string 取り込まれるログの形式（DUO、OFFICE_365 など）。形式文字列のリストについては、サポートされているデフォルト パーサーをご覧ください。
file string 処理されたファイルまたは Blob コンテナの名前（ファイルベースのソースの場合）。
request_urls array of strings データの取得または転送に使用されるターゲット URL（API ベースのソースの場合）。
http_status_code integer API フェッチ オペレーションから受信した HTTP ステータス コード。
bytes_transferred integer アクティビティ中に正常に転送された未加工バイト数。
record_count integer 処理、取得、解析された個々のログエントリの数。
activity string 実行中のタスクの名前（File Processing、File Transfer など）。
details string 取り込みアクティビティの追加のメタデータまたは詳細。
error_details object アクティビティでエラーが発生した場合のエラーの詳細情報。エラーの詳細フィールドをご覧ください。

エラーの詳細フィールド

フィールド データ型 説明
error_message string エラーの説明（人が読める形式）。
error_code string エラーコードまたは識別子（数値コードと説明文字列コードをサポート）。
error_type string エラーの分類またはカテゴリ。
is_retriable boolean エラーの原因となったオペレーションを再試行できるかどうかを示します。

ログ ペイロードの例

取り込みアクティビティ ログの成功例

{
  "request_start_time": "2026-06-30T19:00:00Z",
  "activity_duration": "0.500s",
  "transfer_id": "transfer-12345",
  "feed_id": "feed-998877",
  "collector_id": "collector-abcd",
  "log_type": "WORKDAY_AUDIT",
  "file": "audit_log_2026_06_30.json",
  "request_urls": [
    "https://api.workday.com/ccx/v1/tenant/logs"
  ],
  "http_status_code": 200,
  "bytes_transferred": 4512000,
  "record_count": 12500,
  "activity": "File Processing",
  "details": "Successfully processed and validated 12500 records from Workday."
}

取り込みに失敗したアクティビティ ログの例

{
  "request_start_time": "2026-06-30T19:05:00Z",
  "activity_duration": "1.200s",
  "transfer_id": "transfer-12346",
  "feed_id": "feed-998877",
  "collector_id": "collector-abcd",
  "log_type": "WORKDAY_AUDIT",
  "request_urls": [
    "https://api.workday.com/ccx/v1/tenant/logs"
  ],
  "http_status_code": 401,
  "bytes_transferred": 0,
  "record_count": 0,
  "activity": "File Transfer",
  "details": "Authorization failure during API request.",
  "error_details": {
    "error_message": "Invalid API token or credential expired.",
    "error_code": "401",
    "error_type": "AUTHORIZATION_ERROR",
    "is_retriable": true
  }
}

トラブルシューティング

このセクションでは、制限事項と一般的な問題について説明します。

制限事項

  • Storage Transfer Service（STS）フィールド: STS から転送された静的フィードのログでは、chronicle.googleapis.com/ingestion_activity ではなく、リソースタイプ storage_transfer_job とログ名 storagetransfer.googleapis.com/transfer_activity が使用されます。
  • テレメトリーの関連付け: feed_id などのカーディナリティの高いフィールドは、モニタリング対象リソース定義のリソースラベルではなく、ログのメタデータ ラベルとして含まれます。メタデータ ラベルを使用する Gemini Cloud Assist の相関関係機能は、継続的に評価されています。

エラーの修復

問題の詳細 修正
標準クエリで静的フィードのログが欠落している STS 固有のリソースタイプ storage_transfer_job とログ ID storagetransfer.googleapis.com/transfer_activity を使用してクエリを実行していることを確認します。Storage Transfer Service ログを表示するをご覧ください。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。