Mit Google Security Operations können Sie Insider-Risiken in Google Workspace erkennen. Dazu müssen Sie Ihr Google Workspace-Konto so konfigurieren, dass Daten an Ihre Google SecOps-Instanz weitergeleitet werden.
In diesem Dokument wird beschrieben, wie Sie Direct Ingestion verwenden, um Google Workspace-Aktivitätsprotokolle (WORKSPACE_ACTIVITY) aus den folgenden unterstützten Google-Anwendungstypen in Ihre Google SecOps-Instanz aufzunehmen:
Access Transparency
Konten
Admin-Konsole
Google Kalender
Google Chat
Google Chrome
Classroom
Google Cloud
Access Context Manager
Looker Studio
Gerät
Google Drive
Gmail
Google Groups
Jamboard-Verwaltung
LDAP
Anmeldung
Google Meet
OAuth
Password Vault
Logging von Firewallregeln
SAML
Nutzerkonten
Voice
Hinweise
Führen Sie die folgenden Schritte aus, bevor Sie beginnen:
Kopieren Sie Ihre Google Workspace-Kundennummer aus der Google Workspace-Admin-Konsole.
Google SecOps-Instanz-ID und ‑Token abrufen
So rufen Sie die Instanz-ID und das Token für Google SecOps ab:
Öffnen Sie Ihre Google SecOps-Instanz.
Wählen Sie in der Navigationsleiste die Einstellungen aus.
Klicken Sie auf Google Workspace.
Geben Sie Ihre Google Workspace-Kundennummer ein.
Klicken Sie auf Generate Token (Token generieren).
Kopieren Sie das Token und die ID Ihrer Google SecOps-Instanz (auf derselben Seite).
Google Workspace mit Ihrer Google SecOps-Instanz verknüpfen
So senden Sie Ihre Google Workspace-Daten an Ihre Google SecOps-Instanz:
Öffnen Sie die Google Workspace-Admin-Konsole.
Klicken Sie auf Berichterstellung.
Klicken Sie auf Data Integrations (Datenintegrationen).
Wählen Sie Google SecOps-Export aus und klicken Sie dann auf Mit Google SecOps verbinden. Die Seite Mit Google SecOps verbinden wird geöffnet.
Fügen Sie das aus Ihrem Google SecOps-Konto kopierte Token in das angegebene Feld ein. Klicken Sie auf Verbinden. Für „Audit-Daten in Google SecOps exportieren“ sollte jetzt Ein angezeigt werden. Ihr Google Workspace-Konto ist jetzt mit Ihrer Google SecOps-Instanz verknüpft und Ihre Google Workspace-Daten werden gesendet.
Klicken Sie auf Zu Google SecOps, um Ihre Google SecOps-Instanz zu öffnen und Ihre Google Workspace-Daten über Google SecOps zu überwachen. Weitere Informationen finden Sie im Dashboard für die Datenaufnahme und ‑integrität.
Verbindung zwischen Google Workspace und Google SecOps trennen
So trennen Sie Ihr Google Workspace-Konto von Ihrer Google SecOps-Instanz:
Öffnen Sie die Google Workspace-Admin-Konsole.
Klicken Sie auf Data Integrations (Datenintegrationen).
Klicken Sie im Bereich Google SecOps-Export auf Verbindung zu Google SecOps trennen.
Audit-Daten in Google SecOps exportieren sollte jetzt Aus anzeigen.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-02 (UTC)."],[],[],null,["Send Google Workspace data to Google SecOps \nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n\nYou can use Google Security Operations to detect insider\nrisks in your Google Workspace by configuring your Google Workspace account\nto forward data to your Google SecOps instance.\n\nThis document describes how to use *direct ingestion* to ingest Google Workspace Activity\nlogs (`WORKSPACE_ACTIVITY`) into your Google SecOps instance\nfrom the following supported Google application types:\n\n- Access Transparency\n- Accounts\n- Google Admin console\n- Google Calendar\n- Google Chat\n- Google Chrome\n- Classroom\n- Google Cloud\n- Access Context Manager\n- Looker Studio\n- Device\n- Google Drive\n- Gmail\n- Google Groups\n- Jamboard management\n- LDAP\n- Login\n- Google Meet\n- OAuth\n- Password Vault\n- Firewall Rules Logging\n- SAML\n- User accounts\n- Voice\n\n| **Note:** *Direct ingestion* collects a wider range of workspace data compared to [*other feed methods*](/chronicle/docs/administration/feed-management). For example, other feed methods cannot ingest `gmail` application logs. \n| However, you can still use these *other feed methods* to ingest subsets of Google Workspace data, for example, to ingest `WORKSPACE_USERS` and `WORKSPACE_GROUPS` into your Google SecOps instance. For more information, see [Configure a feed in Google SecOps to ingest\n| Google Workspace logs](/chronicle/docs/ingestion/default-parsers/collect-workspace-logs#configure_a_feed_in_to_ingest_logs).\n\nBefore you begin\n\nComplete the following steps before you begin:\n\n1. If you don't have a Google SecOps instance, create a new one. For more\n information, see [Onboarding and migrating a Google SecOps\n instance](/chronicle/docs/onboard).\n\n2. Copy your Google Workspace Customer ID from the Google Workspace Admin\n console.\n\nObtain your Google SecOps instance ID and token\n\nTo obtain your Google SecOps instance ID and token, complete the following\nsteps from your Google SecOps account:\n\n1. Open your Google SecOps instance.\n2. From the navigation bar, select **Settings**.\n3. Click **Google Workspace**.\n4. Enter your Google Workspace Customer ID.\n5. Click **Generate Token**.\n6. Copy the token and your Google SecOps instance ID (located on the same page).\n\nLink Google Workspace to your Google SecOps instance\n\nTo send your Google Workspace data to your Google SecOps instance,\ncomplete the following steps from the Google Workspace Admin console:\n\n1. Open the Google Workspace Admin console.\n2. Click **Reporting**.\n3. Click **Data Integrations**.\n4. Select **Google SecOps export** , and then click **Connect to\n Google SecOps** . This opens the **Connect to Google SecOps** page.\n5. Paste the token copied from your Google SecOps account into the indicated field. Click **Connect** . Export audit data to Google SecOps should now display *On*. Your Google Workspace account is now linked to your Google SecOps instance and will begin sending your Google Workspace data.\n6. Click **Go to Google SecOps** to open your Google SecOps instance and begin to monitor your Google Workspace data from Google SecOps. For more information, see the [Data Ingestion and Health dashboard](/chronicle/docs/investigation/dashboards-user-guide#data_ingestion_and_health).\n\nDisconnect Google Workspace from Google SecOps\n\nTo disconnect your Google Workspace account from your Google SecOps\ninstance, complete the following steps:\n\n1. Open the Google Workspace Admin console.\n2. Click **Data Integrations**.\n3. In the **Google SecOps export** panel, click **Disconnect from Google SecOps** . **Export audit data to Google SecOps** should now display *Off*.\n\nWhat's next\n\nThe next step is to enable the [Cloud Threats category rules\nsets](/chronicle/docs/detection/cloud-threats-category)\ndesigned to help identify threats using Google Workspace data.\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
