请求预构建日志类型及创建自定义日志类型

支持范围：

本文档介绍了可帮助您处理现有 Google Security Operations 解析器未处理的日志数据的选项。在这种情况下，Google SecOps 支持创建日志类型，以便进行解析和注入。

您可以从以下日志类型中进行选择：

预构建的日志类型

此路径适用于您希望作为平台标准贡献的格式，以便所有 Google SecOps 客户都能使用。

如果日志类型仅供租户内部使用，我们建议使用自定义日志类型（即使产品是商业产品）。

如有需要，您可以向 Google SecOps 团队发送请求，以便将预构建日志类型添加到平台：

操作项 流程和时间安排
请求新日志类型 请与您的 Google 客户经理或支持代表联系，提交申请。获得批准后，所有 Google SecOps 客户都可以使用新的预构建日志类型。
请求新的预构建解析器 Google 会将新的预构建解析器请求作为新功能请求进行管理，并将其纳入产品待办事项清单。

自定义日志类型

对于速度和隐私至关重要的专有或租户专用日志，建议采用此路径。

  • 建议：如果格式仅供租户内部使用，即使来源产品是商业产品，也请使用自定义日志类型。

  • 所有权：由贵组织创建并全代管式。

  • 解析器要求：您必须在内部配置相应的自定义解析器。

  • 可用性：自定义日志类型和解析器在创建大约 10 分钟后仅供您的组织使用。

如需了解相应的预构建解析器和自定义解析器，请参阅管理预构建解析器和自定义解析器。

创建自定义日志类型

如需创建自定义日志类型，请执行以下操作：

  1. 依次前往设置 > 数据管理 > 可用日志类型。如果您使用的是仅限 SIEM 的平台，请依次前往设置 > 可用日志类型。您可以使用搜索功能查看可用的日志类型。

  2. 点击创建自定义日志类型。

  3. 在自行创建自定义日志类型下，输入日志类型的详细信息。

    例如，如需为 Azure Key Vault 日志记录创建自定义日志类型，请完成以下操作：

    • 在供应商/产品字段中，输入 Azure Key Vault logging。

    • 在日志类型字段中，输入 AZURE_KEYVAULT_LOGGING。

  4. 点击创建日志类型。请注意，_CUSTOM 后缀会添加到日志类型中。

  5. 请等待 10 分钟，确保所有组件中都提供了新的日志类型，然后再使用该类型创建 Feed。

自定义日志类型限制如下：

  • 总计：400

  • 每日：25

  • 每小时：8

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。