Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

监控 SOAR 活动

支持的平台：

Google SecOps SOAR

本指南面向安全管理员和安全分析师，他们需要监控 Google Security Operations 平台 SOAR 侧的用户活动，以进行审核和合规性检查。本文介绍了不同 API 版本如何记录操作，以及在何处查找这些审核日志。了解这些日志有助于确保责任落实到位，并提供系统内所采取行动的清晰轨迹。

准备工作

在开始之前，请确保您拥有访问审核日志所需的权限，如下所示：

如需在 Google SecOps SOAR 设置中查看审核日志，您需要在 Identity and Access Management (IAM) 权限组中拥有包含 SettingsId 权限的角色。
如需在 Google Cloud 控制台的日志浏览器中查看日志，您需要拥有适当的 IAM 角色才能访问 Cloud Logging，例如 roles/logging.viewer。

主要术语

审核日志：Google SecOps 中的事件记录，可提供操作的审核跟踪记录。
旧版 SOAR API：指 Google SecOps 中使用的旧版 API 框架，有时使用 Swagger 进行记录。
Chronicle API：指基于 Google Cloud 基础架构构建的现代 API。
Cloud Logging： Google Cloud 中存储 Google SecOps 审核日志的集中式日志记录服务。您可以通过 Google Cloud 控制台中的日志浏览器访问这些日志。

了解不同 API 的审核日志记录

Google SecOps 会根据用户活动是使用旧版 SOAR API 还是 Chronicle API 执行的，以不同的方式记录用户活动。

旧版 API 审核日志

通过旧版 SOAR API 执行的操作具有特定的审核行为：

经过审核的操作：仅记录涉及更改或数据导出的操作。其中包括：
- 正在创建
- 编辑
- 正在删除
- 导出数据
未经审核的操作：在旧版 API 框架中，ReadOnly/GET API 调用不会经过审核。

您可以在 Google SecOps 平台中的审核页面上访问这些旧版审核日志。

Chronicle API 审核日志

在完成 SOAR 权限迁移到 Cloud IAM（作为 SOAR 迁移到 Google Cloud的第 2 阶段）后，您可以在 Google Cloud 中查看 SOAR 审核日志。这些数据包括 Google SecOps 中的任何用户操作，以及对新版 Chronicle API 的调用。在 2026 年 11 月 30 日之前对旧版 SOAR API 进行的任何调用都将保留在 Google SecOps 平台的审核页面上，作为旧版 API 审核日志供您访问。

使用 Chronicle API 进行的所有 API 调用都会自动接受审核。这些审核日志可在 Google Cloud 项目中的 Cloud Logging 中查看。如需详细了解如何迁移和访问这些日志，请参阅迁移 SOAR 审核日志。

访问审核日志

访问审核日志的方法取决于您要查找的是旧版 SOAR API 的日志还是 Chronicle API 的日志。

访问旧版 API 审核日志

您可以在 Google SecOps 平台的审核页面上查看和过滤使用旧版 API 执行的操作的审核记录。

如需打开审核页面，请依次前往设置 > SOAR 设置 > 高级 > 审核。

查看关键用户活动指标

审核页面会显示以下关键用户活动指标：

常见活动
常用分辨率
最活跃用户
最活跃地址
最常用浏览器

查看和过滤活动列表

在审核页面中，您可以按用户、数量或群组过滤活动列表，以查找特定活动。

如需查看活动详情，请按以下步骤操作：

如需打开包含更多信息的活动详情侧边抽屉，请点击任意行中的查看更多。此视图包含以下信息：
- 时间：活动时间。
- 用户：执行活动的用户。
- 模块：受影响的系统模块。
- 活动类型：执行的操作。
- 地址：活动来源的 IP 地址。
- 浏览器：执行相应活动所用的浏览器。
- 屏幕尺寸：用于相应活动的屏幕分辨率。
如需查看新活动值或之前活动值中的信息，请点击所需的活动值。
如需查看新活动值和之前活动的值，请点击相关活动行，然后点击相应切换开关，将其切换到“开启”位置。

您可以在 JSON 查看器中并排查看新活动值和之前活动值，以便更高效地进行调查。

在 Cloud Logging 中访问 Chronicle API 审核日志

打开 Google Cloud 控制台。
在导航菜单中，依次前往 Logging > Logs Explorer。
如需过滤 Google SecOps 审核日志，请在查询构建器中使用查询。例如，您可以按 resource.type="audited_resource" 和服务名称进行过滤。 Chronicle API 审核日志的查询示例：
```
resource.type="audited_resource"
protoPayload.serviceName="chronicle.googleapis.com"
```
执行查询以查看 Chronicle API 生成的审核日志。

问题排查

本部分提供了有关监控用户活动时常见问题的指南。

延迟和限制

Cloud Logging 中的审核日志通常会在几分钟内提供，但延迟时间可能会有所不同。

错误修正

如果您在访问日志时遇到问题，请参阅下表：

问题	说明	修复
没有权限	您收到一条错误消息，指出您无权查看日志。	请与您的管理员联系，验证您是否拥有 `roles/logging.viewer` IAM 角色或同等角色。
找不到日志	预期的审核日志未显示在 Logs Explorer 中。	验证查询中的时间范围和过滤条件。请确保您正在查找正确 API 类型（旧版 SOAR API 与 Chronicle API）的日志。查看迁移 SOAR 审核日志指南，确认日志位置。