Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

セルフマネージド BigQuery プロジェクトにエクスポートする

以下でサポートされています。

Google SecOps

Google Security Operations では、統合データモデル（UDM）データを、お客様が所有、管理するセルフマネージドプロジェクトにエクスポートできます。独自の Google Cloud プロジェクトを Google SecOps インスタンスにリンクし、Google が管理する設定に依存することなく、IAM 権限を個別に管理できます。[SIEM 設定] > [データエクスポート] を選択して、Bring Your Own BigQuery（BYOBQ）機能を有効にして構成することもできます。

Google SecOps は、次のカテゴリのデータを BigQuery プロジェクトにエクスポートします。

udm_events: UDM スキーマに正規化されたログデータ。
udm_events_aggregates: 正規化されたイベントの各時間で集計されたデータ。
entity_graph: エンティティグラフには、コンテキストデータ、派生データ、グローバルコンテキストの 3 つのディメンションがあります。コンテキストデータと派生データ、およびグローバルコンテキストデータの一部は、UDM として書き込まれ、保存されるデータです。
rule_detections: Google SecOps で実行されるルールによって返される検出結果。
ioc_matches: UDM イベントに対して検出された IOC マッチ。
ingestion_metrics: 取り込みと正規化のパイプラインに関連する指標（デフォルトでエクスポートされます）。
udm_enum_value_to_name_mapping: 列挙値を UDM フィールド名にマッピングします（デフォルトでエクスポートされます）。
entity_enum_value_to_name_mapping: 列挙値をエンティティフィールド名にマッピングします（デフォルトでエクスポートされます）。

保持期間

既存のお客様の場合、設定した保持期間によって、BigQuery のエクスポートされたデータが Google が管理するプロジェクトに保持される期間が決まります。

保持期間は、最も古いエクスポートされたレコードの日付から始まります。各データソースに個別の保持期間を構成できます。最大保持期間は、Google SecOps のデフォルトのログ保持期間と一致します。

保持期間が指定されていない場合、デフォルトの動作では、クリーンアップやパージを行わずにデータのエクスポートを継続し、保持期間を制限します。

この場合、保持期間を [無制限] に設定できます。

[SIEM 設定] > [データエクスポート] をクリックします。
[データのエクスポート] テーブルの [保持期間] 列で、該当するデータタイプのリストから [無制限] を選択します。

必要に応じてオブジェクトを削除するには、 Google Cloud ストレージバケットでオブジェクトライフサイクルルールを設定します。

既存のお客様のデータ移行

既存のお客様の場合、既存の Google マネージドプロジェクトのデータはセルフマネージドプロジェクトに移行されません。データは移行されないため、データは 2 つの別々のプロジェクトに配置されます。セルフマネージドプロジェクトの有効化日を含む期間にわたってデータをクエリするには、次のいずれかを行う必要があります。

両方のプロジェクトのデータを結合する単一のクエリを使用する。
それぞれのプロジェクトで 2 つの個別のクエリを実行します。1 つはセルフマネージドプロジェクトの有効化日より前のデータ用、もう 1 つは有効化日より後のデータ用です。Google 管理プロジェクトの保持期間が終了すると、そのデータは削除されます。それ以降は、 Google Cloudプロジェクト内のデータのみをクエリできます。

データのエクスポートに必要な権限

BigQuery データにアクセスするには、BigQuery 内でクエリを実行します。アクセスが必要なユーザーに次の IAM ロールを割り当てます。

BigQuery データ閲覧者（roles/bigquery.dataViewer）
BigQuery ジョブユーザー（roles/bigquery.jobUser）
ストレージオブジェクト閲覧者（roles/storage.objectViewer）データセットレベルでロールを割り当てることもできます。詳細については、BigQuery の IAM ロールと権限をご覧ください。

セルフマネージドプロジェクトへの BigQuery データエクスポートを開始する

データをエクスポートする Google Cloud プロジェクトを作成します。詳細については、Google SecOps 用に Google Cloud プロジェクトを構成するをご覧ください。

注: セルフマネージドプロジェクトは、Google SecOps インスタンスにリンクされている必要があります。この機能を有効にすると、Google が管理するプロジェクトに戻すことはできません。
セルフマネージドプロジェクトを Google SecOps インスタンスにリンクして、Google SecOps とセルフマネージドプロジェクト間の接続を確立します。詳細については、Google Security Operations を Google Cloud サービスにリンクするをご覧ください。Bring Your Own BigQuery（BYOBQ）機能を有効にして構成するには、[SIEM Settings] > [Data Export] を選択します。
データがセルフマネージドプロジェクトにエクスポートされていることを確認するには、BigQuery の datalake データセットの下にあるテーブルを確認します。

BigQuery テーブルに保存されている Google SecOps データに対してアドホッククエリを作成できます。BigQuery と統合された他のサードパーティツールを使用して、より高度な分析を作成することもできます。

エクスポートを有効にするためにセルフマネージド Google Cloud プロジェクトに作成されたすべてのリソース（Cloud Storage バケットや BigQuery テーブルなど）は、Google SecOps と同じリージョンにあります。

BigQuery のクエリ時に Unrecognized name: <field_name> at [<some_number>:<some_number>] のようなエラーが発生した場合は、アクセスしようとしているフィールドがデータセットに存在しないことを意味します。これは、エクスポートプロセス中にスキーマが動的に生成されるためです。

BigQuery の Google SecOps データの詳細については、BigQuery の Google SecOps データをご覧ください。