Gérer les pipelines de traitement des données

Compatible avec :

Ce document aide les ingénieurs en sécurité à configurer et à gérer des pipelines de traitement de données dans Google SecOps pour filtrer les événements, transformer les champs ou masquer les valeurs sensibles avant l'ingestion. Cette fonctionnalité permet de contrôler de manière robuste et avant l'analyse le processus d'ingestion des données. En suivant les méthodes recommandées dans ce guide, vous pouvez optimiser la compatibilité des données, réduire les coûts et protéger les informations sensibles dans Google SecOps.

Le traitement des données simplifie la gestion des journaux grâce aux actions principales suivantes :

  • Filtrer : réduisez le bruit et les coûts en n'ingérant que les événements pertinents.
  • Transformer : modifiez les formats de données, analysez les champs et enrichissez les journaux pour une meilleure utilisation.
  • Redact : protégez les informations sensibles en masquant ou en supprimant les valeurs sensibles avant le stockage.

Le schéma suivant illustre le flux de vos données vers Google SecOps et la façon dont le système traite ces données :

Pipelines de traitement des données

Vous pouvez configurer le traitement des données pour les flux de données sur site et dans le cloud à l'aide de la console de gestion Bindplane ou directement à l'aide des API Google SecOps Data Pipeline publiques.

Cas d'utilisation courants

Voici quelques exemples de cas d'utilisation pour le traitement des données :

  • Supprimez les paires clé-valeur vides des journaux bruts.
  • Masquer les données sensibles.
  • Ajoutez des étiquettes d'ingestion à partir du contenu du journal brut.
  • Dans les environnements multi-instances, appliquez des étiquettes d'ingestion aux données de journal d'ingestion directe pour identifier l'instance de flux source (par exemple,Google Cloud Workspace).
  • Filtrez les données Palo Alto Cortex par valeurs de champ.
  • Réduisez les données SentinelOne par catégorie.
  • Extrayez les informations sur l'hôte des flux et des journaux d'ingestion directe, puis mappez-les au champ ingestion_source pour Cloud Monitoring.

Terminologie clé

Le traitement des données utilise les éléments suivants :

  • Flux : flux de données spécifique, défini par le type de journal et la source d'ingestion (comme un flux ou une API), qui sert d'entrée à un pipeline de traitement des données.
  • Nœud de processeur : composant d'un pipeline qui contient un ou plusieurs processeurs, tels que des actions de filtrage, de transformation ou d'occultation. Ces processeurs manipulent les données de manière séquentielle lorsqu'elles passent par le nœud.
  • Destination : point de terminaison du pipeline de traitement des données, généralement l'instance Google SecOps où les données traitées sont envoyées pour l'ingestion et l'analyse finales.

Avant de commencer

Avant de commencer à configurer des pipelines de traitement de données, lisez les exigences suivantes :

  • Impact sur l'analyseur et l'UDM : les pipelines de traitement des données modifient les données de journaux brutes avant qu'elles n'atteignent les analyseurs Google SecOps. Ces modifications peuvent affecter la façon dont les analyseurs interprètent les journaux et les convertissent au format Unified Data Model (UDM). Avant d'activer un pipeline pour un flux ou un type de journal, vérifiez que vos règles de filtrage, de transformation ou d'occultation ne modifient pas involontairement les données d'une manière qui empêche les analyseurs de générer des événements UDM corrects.

  • Compatibilité avec l'API : le traitement des données est compatible avec les flux push en appelant l'API Chronicle. Les filtres configurés dans le gestionnaire de traitement des données (DPM) sont appliqués une fois que les données ont été reçues par l'API d'ingestion Chronicle. Par conséquent, ces filtres n'empêchent pas les clients d'atteindre les quotas et limites de l'API Ingestion, tels que les limites de l'API importPushLog, car ces limites sont évaluées avant le filtrage DPM. Pour gérer efficacement les limites de l'API Ingestion et ne pas les dépasser, les clients doivent implémenter le filtrage au niveau de la source de données elle-même plutôt que de s'appuyer sur les filtres DPM.

  • Visibilité des données : les données ingérées à partir des redirecteurs et de Bindplane sont taguées avec un collectorID distinct des flux d'ingestion directe. Pour assurer une visibilité complète des journaux, vous devez sélectionner toutes les méthodes d'ingestion lorsque vous interrogez des sources de données ou référencer explicitement le collectorID approprié lorsque vous interagissez avec l'API.

  • Configuration de la console Bindplane : si vous prévoyez d'utiliser la console Bindplane pour la configuration et la gestion, procédez comme suit :

    1. Dans la console Google SecOps, attribuez l'un des rôles suivants à l'utilisateur ou au compte de service que vous utiliserez pour configurer l'intégration BindPlane :

      • Un rôle personnalisé doté des autorisations suivantes :

        • chronicle.logProcessingPipelines.associateStreams
        • chronicle.logProcessingPipelines.create
        • chronicle.logProcessingPipelines.delete
        • chronicle.logProcessingPipelines.dissociateStreams
        • chronicle.logProcessingPipelines.fetchAssociatedPipeline
        • chronicle.logProcessingPipelines.fetchSampleLogsByStreams
        • chronicle.logProcessingPipelines.get
        • chronicle.logProcessingPipelines.list
        • chronicle.logProcessingPipelines.testPipeline
        • chronicle.logProcessingPipelines.update
        • chronicle.logTypes.get
        • chronicle.logTypes.list
        • chronicle.feeds.get
        • chronicle.feeds.list
        • chronicle.logs.list
        • chronicle.parsers.list : cette autorisation n'est requise que si vous utilisez l'action Valider l'analyseur SecOps de BindPlane.
        • chronicle.parsers.runParser : cette autorisation n'est requise que si vous utilisez l'action Valider l'analyseur SecOps de BindPlane.

        Nous vous recommandons d'utiliser un rôle personnalisé avec les autorisations requises spécifiées.

        Pour en savoir plus, consultez Créer et gérer des rôles personnalisés et Configurer le contrôle des accès aux fonctionnalités à l'aide d'IAM.

      • Le rôle prédéfini Administrateur de l'API Chronicle (roles/chronicle.admin).

        Pour en savoir plus, consultez Attribuer le rôle d'administrateur IAM de projet dans un projet dédié.

    2. Installez la console du serveur BindPlane. Pour les solutions SaaS ou sur site, consultez Installer la console du serveur BindPlane. Assurez-vous d'installer la dernière version de BindPlane (ou la version 1.96.4 ou ultérieure de BindPlane).

    3. Dans la console BindPlane, connectez une instance de destination Google SecOps à votre projet BindPlane. Pour en savoir plus, consultez Se connecter à une instance Google SecOps.

Se connecter à une instance Google SecOps

Avant de commencer, vérifiez que vous disposez des autorisations d'administrateur de projet Bindplane pour accéder à la page Intégrations de projet.

L'instance Google SecOps sert de destination pour la sortie de vos données.

Pour vous connecter à une instance Google SecOps à l'aide de la console Bindplane Server, procédez comme suit :

  1. Dans la console du serveur Bindplane, cliquez sur Menu, puis sélectionnez Paramètres du projet.
  2. Sur la page Paramètres du projet, accédez à la fiche Intégrations, puis cliquez sur Se connecter à Google SecOps pour ouvrir la fenêtre Modifier l'intégration.

  3. Saisissez les détails de l'instance de destination Google SecOps.
    Cette instance ingère les données traitées (résultat du traitement de vos données) comme suit :

    Champ Description
    Région Région de votre instance Google SecOps.
    Pour trouver l'instance dans la console Google Cloud , accédez à Sécurité > Détections et contrôles > Google Security Operations > Détails de l'instance.
    Numéro client Numéro client de votre instance Google SecOps.

    Dans la console Google SecOps, accédez à Paramètres > Administration > Profil > Détails de l'organisation.
    Google Cloud numéro de projet Google Cloud Numéro de projet de votre instance Google SecOps.

    Pour trouver le numéro de projet dans la console Google SecOps, accédez à Paramètres > Administration > Profil > Détails de l'organisation.
    Identifiants Les identifiants du compte de service sont la valeur JSON requise pour s'authentifier et accéder aux API Google SecOps Data Pipeline. Obtenez cette valeur JSON à partir du fichier d'identifiants du compte de service Google.

    Le compte de service doit se trouver dans le même projet Google Cloud que votre instance Google SecOps et nécessite les droits du rôle Administrateur de l'API Chronicle (roles/chronicle.admin) ou un rôle personnalisé avec les autorisations requises (voir Prérequis).

    Pour savoir comment créer un compte de service et télécharger le fichier JSON, consultez Créer et supprimer des clés de compte de service.

    Les déploiements Bindplane Cloud sont également compatibles avec la fédération d'identité de charge de travail (WIF) pour l'authentification. WIF n'est pas compatible avec les déploiements BindPlane auto-hébergés. Pour en savoir plus, consultez Connecter l'intégration Google SecOps avec l'authentification WIF.

  4. Cliquez sur Se connecter. Si vos informations de connexion sont correctes et que vous parvenez à vous connecter à Google SecOps, voici ce qui se passe :

    • Une connexion à l'instance Google SecOps s'ouvre.
    • La première fois que vous vous connectez, l'onglet Pipelines SecOps s'affiche dans la console BindPlane.
    • La console Bindplane affiche toutes les données traitées que vous avez précédemment configurées pour cette instance à l'aide de l'API. Le système convertit certains processeurs que vous avez configurés à l'aide de l'API en processeurs Bindplane et en affiche d'autres dans leur format OTTL (OpenTelemetry Transformation Language) brut. Vous pouvez utiliser la console Bindplane pour modifier les pipelines et les processeurs précédemment configurés à l'aide de l'API.

  5. Une fois que vous avez créé une connexion à une instance Google SecOps, vous pouvez configurer le traitement des données.

Configurer le traitement des données à l'aide de la console Bindplane

Cette section explique comment provisionner et déployer un nouveau pipeline de traitement des journaux dans Google SecOps à l'aide de la console Bindplane. Vous pouvez également utiliser la console BindPlane pour gérer les pipelines précédemment configurés à l'aide de l'API.

Créer un pipeline Google SecOps

Un pipeline Google SecOps est un conteneur qui vous permet de configurer un conteneur de traitement des données. Pour créer un conteneur de pipeline Google SecOps, procédez comme suit :

  1. Dans la console BindPlane, cliquez sur l'onglet Pipelines SecOps pour ouvrir la page Pipelines SecOps.
  2. Cliquez sur Créer un pipeline SecOps.

  3. Saisissez un nom de pipeline SecOps et une description.

  4. Cliquez sur Créer. Le nouveau conteneur de pipeline s'affiche sur la page Pipelines SecOps.

  5. Configurez les flux et les processeurs du conteneur de traitement des données dans ce conteneur.

Configurer un conteneur de traitement des données

Un conteneur de traitement des données définit les flux à ingérer et les processeurs à appliquer avant que les données n'atteignent la destination.

Configurez les flux et les nœuds de processeur sur la fiche de configuration du pipeline.

Pour configurer un conteneur de traitement des données, procédez comme suit :

  1. Si vous ne l'avez pas déjà fait, créez un pipeline Google SecOps.
  2. Dans la console BindPlane, cliquez sur l'onglet Pipelines SecOps pour ouvrir la page Pipelines SecOps.
  3. Sélectionnez le pipeline Google SecOps dans lequel vous souhaitez configurer le nouveau conteneur de traitement des données.

  4. Sur la fiche de configuration Pipeline :

    1. Ajoutez un flux.
    2. Configurez le nœud du processeur. Pour ajouter un processeur à l'aide de la console BindPlane, consultez Configurer des processeurs.

  5. Une fois ces configurations terminées, consultez Déployer le traitement des données pour commencer à traiter les données.

Ajouter un flux

Pour ajouter un flux, procédez comme suit :

  1. Dans la fiche de configuration Pipeline, cliquez sur add Ajouter un flux pour ouvrir la fenêtre Ajouter un flux.

  2. Dans la fenêtre Ajouter un flux, saisissez les informations suivantes :

    Champ Description
    Type de journal Sélectionnez le type de journal des données à ingérer. Exemple :CrowdStrike Falcon (CS_EDR)
    Remarque : Une icône Avertissement Avertissement indique que le type de journal est déjà configuré dans un autre flux (dans ce pipeline ou dans un autre pipeline de votre instance Google SecOps).

    Pour utiliser un type de journal non disponible, vous devez d'abord le supprimer de l'autre configuration de flux.

    Pour savoir comment trouver la configuration de flux dans laquelle le type de journal est configuré, consultez Filtrer les configurations de pipeline SecOps.
    Méthode d'ingestion Sélectionnez la méthode d'ingestion à utiliser pour ingérer les données du type de journal sélectionné. Ces méthodes d'ingestion ont déjà été définies pour votre instance Google SecOps.

    Vous devez sélectionner l'une des options suivantes :

    • Toutes les méthodes d'ingestion : inclut toutes les méthodes d'ingestion pour le type de journal sélectionné. Si vous sélectionnez cette option, vous ne pourrez pas ajouter de flux ultérieurs utilisant des méthodes d'ingestion spécifiques pour ce même type de journal. Exception : vous pouvez sélectionner d'autres méthodes d'ingestion spécifiques non configurées pour ce type de journal dans d'autres flux.
    • Méthode d'ingestion spécifique, telle que Cloud Native Ingestion, Feed, Modern Chronicle Ingestion API ou Workspace Ingestion.
    Flux Si vous sélectionnez Feed comme méthode d'ingestion, un champ suivant s'affiche avec la liste des flux disponibles dans Paramètres > Gestion des données > Flux dans votre instance Google SecOps pour le type de journal sélectionné. Vous devez sélectionner le flux approprié pour terminer la configuration. Pour afficher et gérer vos flux disponibles, accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.

  3. Cliquez sur Ajouter un flux pour enregistrer le nouveau flux.Le nouveau flux de données apparaît immédiatement sur la fiche de configuration du pipeline. Le flux est automatiquement connecté au nœud du processeur et à la destination Google SecOps.

Filtrer les configurations de pipeline SecOps

La barre de recherche de la page Pipelines SecOps vous permet de filtrer et de localiser vos pipelines Google SecOps (conteneurs de traitement des données) en fonction de plusieurs éléments de configuration. Vous pouvez filtrer les pipelines en recherchant des critères spécifiques, tels que le type de journal, la méthode d'ingestion ou le nom du flux.

Utilisez la syntaxe suivante pour filtrer :

  • logType:value
  • ingestionMethod:value
  • feed:value

Par exemple, pour identifier les configurations de flux contenant un type de journal spécifique, saisissez logtype: dans la barre de recherche, puis sélectionnez le type de journal dans la liste qui s'affiche.

Configurer des processeurs

Un conteneur de traitement des données comporte un nœud de processeur, qui contient un ou plusieurs processeurs. Chaque processeur manipule les données du flux de manière séquentielle :

  1. Le premier processeur traite les données de flux brutes.
  2. Le résultat du premier processeur devient immédiatement l'entrée du processeur suivant dans la séquence.
  3. Cette séquence se poursuit pour tous les processeurs suivants, dans l'ordre exact où ils apparaissent dans le volet Processeurs, la sortie de l'un devenant l'entrée du suivant.
  4. Configurez le nœud du processeur en ajoutant, supprimant ou modifiant la séquence d'un ou de plusieurs processeurs.

Exigences lors de la configuration du processeur Unroll

  • Le processeur Unroll ne peut pas fonctionner directement sur des chaînes brutes. Il nécessite une représentation d'objet interne structurée, telle qu'un fichier JSON, XML ou CSV analysé.
  • Vous devez placer un processeur Transform correspondant avant le processeur Unroll dans votre pipeline pour analyser la charge utile du journal brut avant de la dérouler.
  • Exemple JSON : pour analyser une chaîne de charge utile JSON brute avant de dérouler les éléments du tableau, insérez un processeur de transformation avec l'instruction OTTL : set(body, ParseJSON(body)).
  • Autres formats : des étapes de transformation de pré-analyse similaires sont requises pour les données de journaux au format CSV, XML ou YAML.

Le tableau suivant liste les processeurs :

Type de processeur Capacité
Filtre Filtrer par condition
Filtre Filtrer par état HTTP
Filtre Filtrer par nom de métrique
Filtre Filtrer par expression régulière
Filtre Filtrer par gravité
Occultation Masquer les données sensibles
Transformer Ajouter des champs
Transformer Coalesce
Transformer Concat
Transformer Copier le champ
Transformer Supprimer des champs
Transformer Marshal
Transformer Déplacer le champ
Transformer Analyser le fichier CSV
Transformer Analyser le JSON
Transformer Analyser la clé-valeur
Transformer Analyser les champs de gravité
Transformer Analyse du code temporel
Transformer Analyser avec une expression régulière
Transformer Parse XML
Transformer renommer les champs ;
Transformer Code temporel de réécriture
Transformer Diviser
Transformer Transformer
Dérouler Division d'événements
Divise une tranche de journaux en plusieurs événements de journaux individuels
Ajouter un processeur

Pour ajouter un processeur, procédez comme suit :

  1. Dans la fiche de configuration Pipeline, cliquez sur le nœud Processeur pour ouvrir la fenêtre Modifier les processeurs. La fenêtre Modifier les processeurs est divisée en plusieurs volets, organisés par flux de données :

    • Entrée (ou données sources) : données de journal de flux entrantes récentes (avant traitement)
    • Configuration (ou liste des processeurs) : processeurs et leurs configurations
    • Sortie (ou résultats) : données de journal des résultats sortants récents (après traitement)

    Si le pipeline a déjà été déployé, le système affiche les données de journaux entrantes récentes (avant traitement) et les données de journaux sortantes récentes (après traitement) dans les volets.

  2. Cliquez sur Ajouter un processeur pour afficher la liste des processeurs. Pour plus de commodité, la liste des processeurs est regroupée par type de processeur. Pour organiser la liste et ajouter vos propres bundles, sélectionnez un ou plusieurs processeurs, puis cliquez sur Ajouter des bundles de processeurs.

  3. Dans la liste des processeurs, sélectionnez un processeur à ajouter.

  4. Configurez le processeur selon vos besoins.

  5. Cliquez sur Enregistrer pour enregistrer la configuration du processeur dans le nœud Processeur.

Le système teste immédiatement la nouvelle configuration en traitant un nouvel échantillon des données de flux entrantes (du volet Entrée) et affiche les données sortantes obtenues dans le volet Sortie.

Déployer un pipeline de traitement des données

Une fois les configurations du flux et du processeur terminées, vous devez déployer le pipeline pour commencer à traiter les données :

  1. Cliquez sur Lancer le déploiement. Le traitement des données est alors immédiatement activé, et l'infrastructure de Google commence à traiter les données conformément à votre configuration. Si le déploiement réussit, le numéro de version du conteneur de traitement des données est incrémenté et affiché à côté de l'name du conteneur.

Configurer le traitement des données à l'aide de méthodes d'API

Au lieu de la console BindPlane, vous pouvez utiliser les méthodes de pipeline de données Google SecOps pour gérer vos données traitées. Ces méthodes de pipeline de données incluent la création, la mise à jour, la suppression et l'affichage des pipelines, ainsi que l'association de flux et de types de journaux aux pipelines.

Pour utiliser les exemples de cette section, procédez comme suit :

  • Remplacez les paramètres spécifiques au client (par exemple, les URL et les ID de flux) par des paramètres adaptés à votre propre environnement.
  • Insérez votre propre authentification. Dans cette section, les jetons de support sont masqués par ******.

Lister tous les pipelines d'une instance Google SecOps spécifique

La commande suivante liste tous les pipelines qui existent dans une instance Google SecOps spécifique :

curl --location 'https://abc.def.googleapis.com/v123/'\
'projects/projectabc-byop/locations/us/'\
'instances/aaaa1aa1-111a-11a1-1111-11111a1aa1aa/'\
'logProcessingPipelines' \
--header 'Authorization: Bearer ******'

Créer un pipeline de base avec un seul processeur

Pour créer un pipeline de base avec un seul processeur de transformation qui effectue un upsert de la valeur d'une étiquette d'ingestion personnalisée, et lui associer trois sources, procédez comme suit :

  1. Exécutez la commande suivante :

    curl --location 'https://abc.def.googleapis.com/v123/projects/projectabc-byop/locations/us/instances/aaaa1aa1-111a-11a1-1111-11111a1aa1aa/logProcessingPipelines' \
--header 'Content-Type: application/json' \
--header 'Authorization: Bearer ******' \
--data '{
    "displayName": "Example Pipeline",
    "description": "My description",
    "processors": [
        {
            "transformProcessor": {
                "statements": [
                    "set(attributes[\"labels.myLabel.value\"], \"myValue\")"
                ]
            }
        }
    ]
}'

  2. Dans la réponse, copiez la valeur du champ name.

  3. Exécutez la commande suivante pour associer trois flux (type de journal, type de journal avec ID de collecteur et flux) au pipeline. Utilisez la valeur du champ name comme valeur {pipelineName}.

    curl --location 'https://abc.def.googleapis.com/v123/{pipelineName}:associateStreams' \
    --header 'Content-Type: application/json' \
--header 'Authorization: Bearer ******' \
--data '{
    "streams": [
        {
            "logType": "MICROSOFT_SENTINEL"
        },
        {
            "logType": "A10_LOAD_BALANCER",
            "collectorId": "dddddddd-dddd-dddd-dddd-dddddddddddd"
        },
        {
            "feed": "1a1a1a1a-1a1a-1a1a-1a1a-1a1a1a1a1a1a"
        }
    ]
}'

Créer un pipeline avec trois processeurs

Un pipeline utilise les processeurs suivants :

  • Filtre : filtre les journaux qui correspondent à une condition basée sur les étiquettes d'ingestion.
  • Transform : effectue un upsert de la valeur de l'espace de noms.
  • Masquage : masque les adresses e-mail et les numéros de sécurité sociale des données de journaux en fonction de modèles d'expressions régulières personnalisés.

Pour créer un pipeline et lui associer trois sources, procédez comme suit :

  1. Exécutez la commande suivante :

    curl --location 'https://abc.def.googleapis.com/v123/projects/projectabc-byop/locations/us/instances/aaaa1aa1-111a-11a1-1111-11111a1aa1aa/logProcessingPipelines' \
--header 'Content-Type: application/json' \
--header 'Authorization: Bearer ******' \
--data-raw '{
    "displayName": "My Pipeline 2",
    "description": "My description 2",
    "processors": [
        {
            "filterProcessor": {
                "logConditions": [
                    "attributes[\"labels.log_source.value\"] == \"myLogSourceToFilterOut\""
                ]
            }
        },
        {
            "transformProcessor": {
                "statements": [
                    "set(attributes[\"environment_namespace\"], \"myValue\")"
                ]
            }
        },
        {
            "redactProcessor": {
                "blockedValues": [
                    "\\b\\d{3}[- ]\\d{2}[- ]\\d{4}\\b",
                    "\\b[a-zA-Z0-9._/\\+\\-—|]+@[A-Za-z0-9\\-—|]+\\.[a-zA-Z|]{2,6}\\b"
                ],
                "allowAllKeys": true
            }
        }
    ]
}'

  2. Dans la réponse, copiez la valeur du champ name.

  3. Exécutez la commande suivante pour associer trois flux (type de journal, type de journal avec ID de collecteur et flux) au pipeline. Utilisez la valeur du champ name comme valeur {pipelineName}. 

    curl --location 'https://abc.def.googleapis.com/v123/{pipelineName}:associateStreams' \
    --header 'Content-Type: application/json' \
--header 'Authorization: Bearer ******' \
--data '{
    "streams": [
        {
            "logType": "MICROSOFT_SENTINEL"
        },
        {
            "logType": "A10_LOAD_BALANCER",
            "collectorId": "dddddddd-dddd-dddd-dddd-dddddddddddd"
        },
        {
            "feed": "1a1a1a1a-1a1a-1a1a-1a1a-1a1a1a1a1a1a"
        }
    ]
}'

Dépannage

Cette section décrit les performances attendues et fournit des solutions en libre-service pour les problèmes courants.

Latence et limites

Si vous configurez un agent à l'aide de l'API Ingestion, les délais d'accusé de réception peuvent être plus longs pour les pipelines Google SecOps à faible volume.

Les latences moyennes peuvent passer de 700 ms à 2 secondes. Augmentez les délais avant expiration et la mémoire si nécessaire. Le temps d'accusé de réception diminue lorsque le débit de données dépasse 4 Mo.

Validation et test

Vous pouvez afficher les détails du traitement des données depuis la console Google SecOps :

Afficher toutes les configurations de traitement des données

  1. Dans la console Google SecOps, accédez à Paramètres > Gestion des données > Traitement des données, où vous pouvez afficher tous vos pipelines configurés.
  2. Dans la barre de recherche Pipelines de données entrants, recherchez le pipeline que vous avez créé. Vous pouvez effectuer une recherche par éléments, tels que le nom du pipeline ou les composants. Les résultats de recherche affichent les processeurs du pipeline et un résumé de sa configuration.
  3. À partir du récapitulatif du pipeline, vous pouvez effectuer l'une des actions suivantes :
    • Vérifiez les configurations du processeur.
    • Copier les détails de la configuration.
    • Cliquez sur Ouvrir dans BindPlane pour accéder au pipeline et le gérer directement dans la console BindPlane.

Afficher les flux configurés

Pour afficher les flux configurés dans votre système, procédez comme suit :

  1. Dans la console Google SecOps, accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux. La page Flux affiche tous les flux que vous avez configurés dans votre système.
  2. Pointez sur chaque ligne pour afficher le menu ⋮ Plus, qui vous permet d'afficher les détails du flux, de le modifier, de le désactiver ou de le supprimer.
  3. Cliquez sur Afficher les détails pour afficher la fenêtre des détails.
  4. Cliquez sur Ouvrir dans Bindplane pour ouvrir la configuration du flux dans la console Bindplane.

Afficher les détails du traitement des données pour les types de journaux disponibles

Pour afficher les détails du traitement des données sur la page Types de journaux disponibles, où vous pouvez voir tous les types de journaux disponibles, procédez comme suit :

  1. Dans la console Google SecOps, accédez à Paramètres > Gestion des données > Types de journaux disponibles. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Types de journaux disponibles. La page principale affiche tous vos types de journaux.
  2. Pointez sur chaque ligne de flux pour afficher le menu more_vert Plus. Ce menu vous permet d'afficher, de modifier, de désactiver ou de supprimer les détails du flux.
  3. Cliquez sur Afficher le traitement des données pour afficher la configuration du flux.
  4. Cliquez sur Ouvrir dans Bindplane pour ouvrir la configuration de ce processeur dans la console Bindplane.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.