Gestisci le pipeline di trattamento dati

Supportata in:

Questo documento aiuta i security engineer a configurare e gestire le pipeline di trattamento dati in Google SecOps per filtrare gli eventi, trasformare i campi o oscurare i valori sensibili prima dell'importazione. Questa funzionalità fornisce un controllo efficace e pre-analisi sul processo di importazione dati. Seguendo i metodi consigliati in questa guida, puoi ottimizzare la compatibilità dei dati, ridurre i costi e proteggere le informazioni sensibili all'interno di Google SecOps.

Il trattamento dei dati semplifica la gestione dei log tramite le seguenti azioni principali:

  • Filtro: riduci il rumore e i costi importando solo gli eventi pertinenti.
  • Trasformazione: modifica i formati dei dati, analizza i campi e arricchisci i log per una migliore usabilità.
  • Redact: proteggi le informazioni sensibili mascherando o rimuovendo i valori sensibili prima dell'archiviazione.

Il seguente diagramma illustra il flusso dei dati in Google SecOps e il modo in cui il sistema li elabora:

Pipeline di trattamento dati

Puoi configurare il trattamento dei dati per gli stream di dati on-premise e cloud utilizzando la console di gestione Bindplane o direttamente le API Google SecOps Data Pipeline pubbliche.

Casi d'uso comuni

Ecco alcuni esempi di casi d'uso per il trattamento dati:

  • Rimuovi le coppie chiave-valore vuote dai log non elaborati.
  • Oscura i dati sensibili.
  • Aggiungi etichette di importazione dai contenuti dei log non elaborati.
  • In ambienti multi-istanza, applica le etichette di importazione ai dati di log di importazione diretta per identificare l'istanza dello stream di origine (ad esempioGoogle Cloud Workspace).
  • Filtra i dati di Palo Alto Cortex in base ai valori dei campi.
  • Riduci i dati di SentinelOne per categoria.
  • Estrai le informazioni sull'host dai feed e dai log di importazione diretta e mappale al campo ingestion_source per Cloud Monitoring.

Terminologia chiave

Il trattamento dati utilizza i seguenti elementi:

  • Stream: un flusso di dati specifico, definito dal tipo di log e dall'origine di importazione (come un feed o un'API), che funge da input per una pipeline di trattamento dati.
  • Nodo del processore: un componente all'interno di una pipeline che contiene uno o più processori, ad esempio azioni di filtro, trasformazione o oscuramento. Questi processori manipolano i dati in sequenza man mano che passano attraverso il nodo.
  • Destinazione: l'endpoint della pipeline di trattamento dati, in genere l'istanza Google SecOps in cui i dati trattati vengono inviati per l'importazione e l'analisi finali.

Prima di iniziare

Prima di iniziare a configurare le pipeline di trattamento dati, esamina i seguenti requisiti:

  • Impatto su parser e UDM: le pipeline di trattamento dati modificano i dati di log non elaborati prima che raggiungano i parser di Google SecOps. Queste modifiche possono influire sul modo in cui i parser interpretano i log e li convertono nel formato Unified Data Model (UDM). Prima di attivare una pipeline per un feed o un tipo di log, verifica che le regole di filtro, trasformazione o oscuramento non alterino involontariamente i dati in modo da impedire ai parser di generare eventi UDM corretti.

  • Supporto API: il trattamento dati è supportato per i flussi basati su push chiamando l'API Chronicle. I filtri configurati in Data Processing Manager (DPM) vengono applicati dopo che i dati sono stati ricevuti dall'API Chronicle Ingestion. Di conseguenza, questi filtri non impediscono ai clienti di raggiungere le quote e i limiti dell'API Ingestion, come i limiti dell'API importPushLog, perché questi limiti vengono valutati prima che venga applicato il filtro DPM. Per gestire in modo efficace i limiti dell'API Ingestion e rispettarli, i clienti devono implementare i filtri direttamente nell'origine dati, anziché fare affidamento sui filtri DPM.

  • Visibilità dei dati: i dati acquisiti dagli agenti di inoltro e da Bindplane vengono contrassegnati con un collectorID distinto rispetto agli stream di acquisizione diretta. Per supportare la visibilità completa dei log, devi selezionare tutti i metodi di importazione quando esegui query sulle origini dati o fare riferimento esplicitamente al collectorID pertinente quando interagisci con l'API.

  • Configurazione della console Bindplane: se prevedi di utilizzare la console Bindplane per la configurazione e la gestione, completa i seguenti passaggi:

    1. Nella console Google SecOps, concedi uno dei seguenti ruoli all'utente o al account di servizio che utilizzerai per configurare l'integrazione di Bindplane:

      • Un ruolo personalizzato con le seguenti autorizzazioni:

        • chronicle.logProcessingPipelines.associateStreams
        • chronicle.logProcessingPipelines.create
        • chronicle.logProcessingPipelines.delete
        • chronicle.logProcessingPipelines.dissociateStreams
        • chronicle.logProcessingPipelines.fetchAssociatedPipeline
        • chronicle.logProcessingPipelines.fetchSampleLogsByStreams
        • chronicle.logProcessingPipelines.get
        • chronicle.logProcessingPipelines.list
        • chronicle.logProcessingPipelines.testPipeline
        • chronicle.logProcessingPipelines.update
        • chronicle.logTypes.get
        • chronicle.logTypes.list
        • chronicle.feeds.get
        • chronicle.feeds.list
        • chronicle.logs.list
        • chronicle.parsers.list: questa autorizzazione è obbligatoria solo se utilizzi l'azione Convalida parser SecOps di Bindplane.
        • chronicle.parsers.runParser: questa autorizzazione è obbligatoria solo se utilizzi l'azione Convalida parser SecOps di Bindplane.

        Ti consigliamo di utilizzare un ruolo personalizzato con le autorizzazioni richieste specificate.

        Per saperne di più, consulta Crea e gestisci ruoli personalizzati e Configura il controllo dell'accesso alle funzionalità utilizzando IAM.

      • Il ruolo predefinito Chronicle API Admin roles/chronicle.admin.

        Per maggiori dettagli, consulta Assegna il ruolo Amministratore IAM progetto in un progetto dedicato.

    2. Installa la console Bindplane Server. Per SaaS o on-premise, consulta Installare la console Bindplane Server. Assicurati di installare l'ultima versione di Bindplane (o Bindplane versione 1.96.4 o successive).

    3. Nella console Bindplane, connetti un'istanza di destinazione Google SecOps al tuo progetto Bindplane. Per maggiori dettagli, consulta Connettiti a un'istanza Google SecOps.

Connettiti a un'istanza Google SecOps

Prima di iniziare, verifica di disporre delle autorizzazioni di amministratore del progetto Bindplane per accedere alla pagina Integrazioni progetto.

L'istanza Google SecOps funge da destinazione per l'output dei dati.

Per connetterti a un'istanza Google SecOps utilizzando la console Bindplane Server, segui questi passaggi:

  1. Nella console di Bindplane Server, fai clic su Menu e seleziona Impostazioni progetto.
  2. Nella pagina Impostazioni progetto, vai alla scheda Integrazioni e fai clic su Connetti a Google SecOps per aprire la finestra Modifica integrazione.

  3. Inserisci i dettagli dell'istanza di destinazione di Google SecOps.
    Questa istanza acquisisce i dati elaborati (output del trattamento dati) come segue:

    Campo Descrizione
    Regione Regione dell'istanza Google SecOps.
    Per trovare l'istanza nella console Google Cloud , vai a Sicurezza > Rilevamenti e controlli > Google Security Operations > Dettagli istanza.
    ID cliente ID cliente della tua istanza Google SecOps.

    Nella console Google SecOps, vai a Impostazioni > Amministrazione > Profilo > Dettagli organizzazione.
    Google Cloud numero di progetto Google Cloud numero di progetto della tua istanza Google SecOps.

    Per trovare il numero di progetto nella console Google SecOps, vai a Impostazioni > Amministrazione > Profilo > Dettagli organizzazione.
    Credenziali Le credenziali del service account sono il valore JSON richiesto per l'autenticazione e l'accesso alle API della pipeline di dati di Google SecOps. Recupera questo valore JSON dal file delle credenziali dell'account di servizio Google.

    Il service account deve trovarsi nello stesso progetto Google Cloud della tua istanza Google SecOps e richiede i privilegi del ruolo Amministratore API Chronicle (roles/chronicle.admin) o un ruolo personalizzato con le autorizzazioni richieste (consulta i Prerequisiti).

    Per informazioni su come creare un service account e scaricare il file JSON, consulta Crea ed elimina le chiavi dei service account.

    In alternativa, i deployment di Bindplane Cloud supportano la federazione delle identità per i workload (WIF) per l'autenticazione. WIF non è supportato nei deployment Bindplane in hosting autonomo. Per saperne di più, consulta Connetti l'integrazione di Google SecOps con l'autenticazione WIF.

  4. Fai clic su Connetti. Se i dettagli della connessione sono corretti e ti connetti correttamente a Google SecOps, puoi aspettarti quanto segue:

    • Viene aperta una connessione all'istanza Google SecOps.
    • La prima volta che ti connetti, viene visualizzata la scheda SecOps Pipelines nella console Bindplane.
    • La console Bindplane mostra tutti i dati elaborati che hai configurato in precedenza per questa istanza utilizzando l'API. Il sistema converte alcuni processori configurati utilizzando l'API in processori Bindplane e ne visualizza altri nel formato OTTL (OpenTelemetry Transformation Language) non elaborato. Puoi utilizzare la console Bindplane per modificare le pipeline e i processori configurati in precedenza utilizzando l'API.

  5. Dopo aver creato una connessione a un'istanza Google SecOps, puoi configurare il trattamento dei dati.

Configura il trattamento dei dati utilizzando la console Bindplane

Questa sezione descrive come eseguire il provisioning e il deployment di una nuova pipeline di elaborazione dei log in Google SecOps utilizzando la console Bindplane. Puoi anche utilizzare la console Bindplane per gestire le pipeline configurate in precedenza utilizzando l'API.

Crea una nuova pipeline di Google SecOps

Una pipeline di Google SecOps è un container che consente di configurare un container di trattamento dati. Per creare un nuovo container della pipeline Google SecOps, segui questi passaggi:

  1. Nella console Bindplane, fai clic sulla scheda SecOps Pipelines per aprire la pagina SecOps Pipelines.
  2. Fai clic su Crea pipeline SecOps.

  3. Inserisci un nome della pipeline SecOps e una descrizione.

  4. Fai clic su Crea. Puoi visualizzare il nuovo container della pipeline nella pagina Pipeline SecOps.

  5. Configura gli stream e i processori del container di trattamento dati all'interno di questo container.

Configura un container di trattamento dati

Un container di trattamento dati definisce gli stream da importare e i processori da applicare prima che i dati raggiungano la destinazione.

Configura gli stream e i nodi del processore nella scheda di configurazione della pipeline.

Per configurare un container di trattamento dati:

  1. Se non l'hai ancora fatto, crea una nuova pipeline di Google SecOps.
  2. Nella console Bindplane, fai clic sulla scheda SecOps Pipelines per aprire la pagina SecOps Pipelines.
  3. Seleziona la pipeline di Google SecOps in cui vuoi configurare il nuovo container di trattamento dati.

  4. Nella scheda di configurazione Pipeline:

    1. Aggiungi uno stream.
    2. Configura il nodo del processore. Per aggiungere un processore utilizzando la console Bindplane, consulta Configura i processori per i dettagli.

  5. Una volta completate queste configurazioni, consulta Implementa il trattamento dati per iniziare a elaborare i dati.

Aggiungi uno stream

Per aggiungere uno stream:

  1. Nella scheda di configurazione Pipeline, fai clic su add Aggiungi stream per aprire la finestra Aggiungi stream.

  2. Nella finestra Add Stream (Aggiungi stream), inserisci i dettagli per questi campi:

    Campo Descrizione
    Tipo di log Seleziona il tipo di log dei dati da importare. Ad esempio, CrowdStrike Falcon (CS_EDR).
    Nota: un'icona di avviso Avviso indica che il tipo di log è già configurato in un altro stream (in questa pipeline o in un'altra pipeline nell'istanza di Google SecOps).

    Per utilizzare un tipo di log non disponibile, devi prima eliminarlo dall'altra configurazione del flusso.

    Per istruzioni su come trovare la configurazione dello stream in cui è configurato il tipo di log, consulta Filtra le configurazioni della pipeline SecOps.
    Metodo di importazione Seleziona il metodo di importazione da utilizzare per importare i dati per il tipo di log selezionato. Questi metodi di importazione sono stati definiti in precedenza per la tua istanza di Google SecOps.

    Devi selezionare una delle seguenti opzioni:

    • Tutti i metodi di importazione: include tutti i metodi di importazione per il tipo di log selezionato. Se selezioni questa opzione, non potrai aggiungere stream successivi che utilizzano metodi di importazione specifici per lo stesso tipo di log. Eccezione: puoi selezionare altri metodi di importazione specifici non configurati per questo tipo di log in altri stream.
    • Metodo di importazione specifico, ad esempio Cloud Native Ingestion, Feed, Modern Chronicle Ingestion API o Workspace Ingestion.
    Feed Se selezioni Feed come metodo di importazione, viene visualizzato un campo successivo con un elenco dei feed disponibili in Impostazioni > Gestione dei dati > Feed nell'istanza Google SecOps per il tipo di log selezionato. Per completare la configurazione, devi selezionare il feed pertinente. Per visualizzare e gestire i feed disponibili, vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.

  3. Fai clic su Aggiungi stream per salvare il nuovo stream.Il nuovo stream di dati viene visualizzato immediatamente nella scheda di configurazione della pipeline. Lo stream viene connesso automaticamente al nodo del processore e alla destinazione di Google SecOps.

Filtra le configurazioni della pipeline SecOps

La barra di ricerca nella pagina Pipeline SecOps ti consente di filtrare e individuare le pipeline Google SecOps (container di trattamento dati) in base a più elementi di configurazione. Puoi filtrare le pipeline cercando criteri specifici, come tipo di log, metodo di importazione o nome del feed.

Utilizza la seguente sintassi per filtrare:

  • logType:value
  • ingestionMethod:value
  • feed:value

Ad esempio, per identificare le configurazioni di stream che contengono un tipo di log specifico, inserisci logtype: nella barra di ricerca e seleziona il tipo di log dall'elenco risultante.

Configura i processori

Un container di trattamento dati ha un nodo processore, che contiene uno o più processori. Ogni processore manipola i dati dello stream in sequenza:

  1. Il primo processore elabora i dati non elaborati dello stream.
  2. L'output risultante dal primo processore diventa immediatamente l'input per il processore successivo nella sequenza.
  3. Questa sequenza continua per tutti i processori successivi, nell'ordine esatto in cui vengono visualizzati nel riquadro Processori, con l'output di uno che diventa l'input del successivo.
  4. Configura il nodo del processore aggiungendo, rimuovendo o modificando la sequenza di uno o più processori.

Requisiti per la configurazione del processore Unroll

  • Il processore Unroll non può operare direttamente su stringhe non elaborate. Richiede una rappresentazione interna strutturata degli oggetti, ad esempio JSON, XML o CSV analizzati.
  • Devi inserire un processore Transform corrispondente prima del processore Unroll nella pipeline per analizzare il payload dei log non elaborati prima dell'unrolling.
  • Esempio JSON: per analizzare una stringa di payload JSON non elaborata prima di srotolare gli elementi dell'array, inserisci un processore di trasformazione con l'istruzione OTTL: set(body, ParseJSON(body)).
  • Altri formati: sono necessari passaggi di trasformazione di pre-analisi simili per i dati di log formattati come CSV, XML o YAML.

La tabella seguente elenca i processori:

Tipo di processore Capacità
Filtro Filtra per condizione
Filtro Filtra per stato HTTP
Filtro Filtra per nome metrica
Filtro Filtra per espressione regolare
Filtro Filtra per gravità
Oscuramento Oscura i dati sensibili
Trasformazione Aggiungi campi
Trasformazione Coalesce
Trasformazione Concat
Trasformazione Copia campo
Trasformazione Elimina campi
Trasformazione Marshal
Trasformazione Sposta campo
Trasformazione Analizza CSV
Trasformazione Analizza JSON
Trasformazione Analizza coppia chiave-valore
Trasformazione Analizza i campi di gravità
Trasformazione Analizza timestamp
Trasformazione Analizza con regex
Trasformazione Analizza XML
Trasformazione Rinomina i campi
Trasformazione Timestamp di riscrittura
Trasformazione Suddividi
Trasformazione Trasformazione
Unroll Suddivisione degli eventi
Suddivide una sezione di log in più singoli eventi di log
Aggiungi un processore

Per aggiungere un processore, segui questi passaggi:

  1. Nella scheda di configurazione della pipeline, fai clic sul nodo Processore per aprire la finestra Modifica processori. La finestra Modifica processori è divisa in questi riquadri, disposti in base al flusso di dati:

    • Input (o dati di origine): dati di log dello stream in entrata recenti (prima dell'elaborazione)
    • Configurazione (o elenco dei processori): processori e relative configurazioni
    • Output (o risultati): dati dei log dei risultati in uscita recenti (dopo l'elaborazione)

    Se la pipeline è stata implementata in precedenza, il sistema mostra i dati di log in entrata recenti (prima dell'elaborazione) e i dati di log in uscita recenti (dopo l'elaborazione) nei riquadri.

  2. Fai clic su Aggiungi processore per visualizzare l'elenco dei processori. Per praticità, l'elenco dei processori è raggruppato per tipo di processore. Per organizzare l'elenco e aggiungere i tuoi bundle, seleziona uno o più processori e fai clic su Aggiungi nuovi bundle di processori.

  3. Nell'elenco dei processori, seleziona un processore da aggiungere.

  4. Configura il processore in base alle esigenze.

  5. Fai clic su Salva per salvare la configurazione del processore nel nodo Processore.

Il sistema testa immediatamente la nuova configurazione elaborando un nuovo campione dei dati dello stream in entrata (dal riquadro Input) e visualizza i dati in uscita risultanti nel riquadro Output.

Implementa la pipeline di trattamento dati

Una volta completate le configurazioni dello stream e del processore, devi implementare la pipeline per iniziare a elaborare i dati:

  1. Fai clic su Avvia implementazione. In questo modo, il trattamento dati viene attivato immediatamente e l'infrastruttura di Google inizia a elaborare i dati in base alla tua configurazione. Se l'implementazione va a buon fine, il numero di versione del container di trattamento dati viene incrementato e visualizzato accanto al name del container.

Configura il trattamento dati utilizzando i metodi API

In alternativa alla console Bindplane, puoi utilizzare i metodi della pipeline di dati di Google SecOps per gestire i dati elaborati. Questi metodi della pipeline di dati includono la creazione, l'aggiornamento, l'eliminazione e l'elenco delle pipeline, nonché l'associazione di feed e tipi di log alle pipeline.

Per utilizzare gli esempi in questa sezione, segui questi passaggi:

  • Sostituisci i parametri specifici del cliente (ad esempio URL e ID feed) con parametri adatti al tuo ambiente.
  • Inserisci la tua autenticazione. In questa sezione, i token di connessione vengono oscurati con ******.

Elenca tutte le pipeline in un'istanza Google SecOps specifica

Il seguente comando elenca tutte le pipeline esistenti in un'istanza Google SecOps specifica:

curl --location 'https://abc.def.googleapis.com/v123/'\
'projects/projectabc-byop/locations/us/'\
'instances/aaaa1aa1-111a-11a1-1111-11111a1aa1aa/'\
'logProcessingPipelines' \
--header 'Authorization: Bearer ******'

Crea una pipeline di base con un processore

Per creare una pipeline di base con un singolo processore di trasformazione che applica l'upsert al valore di un'etichetta di importazione personalizzata e associarvi tre origini, segui questi passaggi:

  1. Esegui questo comando:

    curl --location 'https://abc.def.googleapis.com/v123/projects/projectabc-byop/locations/us/instances/aaaa1aa1-111a-11a1-1111-11111a1aa1aa/logProcessingPipelines' \
--header 'Content-Type: application/json' \
--header 'Authorization: Bearer ******' \
--data '{
    "displayName": "Example Pipeline",
    "description": "My description",
    "processors": [
        {
            "transformProcessor": {
                "statements": [
                    "set(attributes[\"labels.myLabel.value\"], \"myValue\")"
                ]
            }
        }
    ]
}'

  2. Dalla risposta, copia il valore del campo name.

  3. Esegui questo comando per associare tre stream (tipo di log, tipo di log con ID raccoglitore e feed) alla pipeline. Utilizza il valore del campo name come valore {pipelineName}.

    curl --location 'https://abc.def.googleapis.com/v123/{pipelineName}:associateStreams' \
    --header 'Content-Type: application/json' \
--header 'Authorization: Bearer ******' \
--data '{
    "streams": [
        {
            "logType": "MICROSOFT_SENTINEL"
        },
        {
            "logType": "A10_LOAD_BALANCER",
            "collectorId": "dddddddd-dddd-dddd-dddd-dddddddddddd"
        },
        {
            "feed": "1a1a1a1a-1a1a-1a1a-1a1a-1a1a1a1a1a1a"
        }
    ]
}'

Crea una pipeline con tre processori

Una pipeline utilizza i seguenti processori:

  • Filtro: filtra i log che corrispondono a una condizione in base alle etichette di importazione.
  • Trasforma: applica l'upsert al valore dello spazio dei nomi.
  • Oscuramento: oscura gli indirizzi email e i codici fiscali dai dati di log in base a pattern regex personalizzati.

Per creare una pipeline e associarvi tre origini, segui questi passaggi:

  1. Esegui questo comando:

    curl --location 'https://abc.def.googleapis.com/v123/projects/projectabc-byop/locations/us/instances/aaaa1aa1-111a-11a1-1111-11111a1aa1aa/logProcessingPipelines' \
--header 'Content-Type: application/json' \
--header 'Authorization: Bearer ******' \
--data-raw '{
    "displayName": "My Pipeline 2",
    "description": "My description 2",
    "processors": [
        {
            "filterProcessor": {
                "logConditions": [
                    "attributes[\"labels.log_source.value\"] == \"myLogSourceToFilterOut\""
                ]
            }
        },
        {
            "transformProcessor": {
                "statements": [
                    "set(attributes[\"environment_namespace\"], \"myValue\")"
                ]
            }
        },
        {
            "redactProcessor": {
                "blockedValues": [
                    "\\b\\d{3}[- ]\\d{2}[- ]\\d{4}\\b",
                    "\\b[a-zA-Z0-9._/\\+\\-—|]+@[A-Za-z0-9\\-—|]+\\.[a-zA-Z|]{2,6}\\b"
                ],
                "allowAllKeys": true
            }
        }
    ]
}'

  2. Dalla risposta, copia il valore del campo name.

  3. Esegui questo comando per associare tre stream (tipo di log, tipo di log con ID raccoglitore e feed) alla pipeline. Utilizza il valore del campo name come valore {pipelineName}. 

    curl --location 'https://abc.def.googleapis.com/v123/{pipelineName}:associateStreams' \
    --header 'Content-Type: application/json' \
--header 'Authorization: Bearer ******' \
--data '{
    "streams": [
        {
            "logType": "MICROSOFT_SENTINEL"
        },
        {
            "logType": "A10_LOAD_BALANCER",
            "collectorId": "dddddddd-dddd-dddd-dddd-dddddddddddd"
        },
        {
            "feed": "1a1a1a1a-1a1a-1a1a-1a1a-1a1a1a1a1a1a"
        }
    ]
}'

Risoluzione dei problemi

Questa sezione illustra le aspettative di rendimento e fornisce correzioni self-service per i problemi comuni.

Latenza e limiti

Se configuri un agente utilizzando l'API Ingestion, potresti riscontrare tempi di conferma più lunghi per le pipeline di Google SecOps con volumi ridotti.

Le medie di latenza possono aumentare da 700 ms fino a 2 secondi. Aumenta i periodi di timeout e la memoria in base alle esigenze. Il tempo di conferma diminuisce quando la velocità effettiva dei dati supera i 4 MB.

Convalida e test

Puoi visualizzare i dettagli del trattamento dati dalla console Google SecOps:

Visualizza tutte le configurazioni di trattamento dati

  1. Nella console Google SecOps, vai a Impostazioni > Gestione dei dati > Trattamento dati, dove puoi visualizzare tutte le pipeline configurate.
  2. Nella barra di ricerca Pipeline di dati in entrata, cerca una pipeline che hai creato. Puoi eseguire ricerche in base a elementi, come nome pipeline o componenti. I risultati di ricerca mostrano i processori della pipeline e un riepilogo della sua configurazione.
  3. Dal riepilogo della pipeline, puoi eseguire una delle seguenti azioni:
    • Esamina le configurazioni del processore.
    • Copia i dettagli di configurazione.
    • Fai clic su Apri in Bindplane per accedere alla pipeline e gestirla direttamente dalla console Bindplane.

Visualizza i feed configurati

Per visualizzare i feed configurati nel sistema, segui questi passaggi:

  1. Nella console Google SecOps, vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed. La pagina Feed mostra tutti i feed configurati nel sistema.
  2. Tieni il puntatore su ogni riga per visualizzare il menu ⋮ Altro, dove puoi visualizzare i dettagli del feed, modificarlo, disattivarlo o eliminarlo.
  3. Fai clic su Visualizza dettagli per visualizzare la finestra dei dettagli.
  4. Fai clic su Apri in Bindplane per aprire la configurazione dello stream per quel feed nella console Bindplane.

Visualizza i dettagli del trattamento dati per i tipi di log disponibili

Per visualizzare i dettagli del trattamento dati nella pagina Tipi di log disponibili, dove puoi visualizzare tutti i tipi di log disponibili, segui questi passaggi:

  1. Nella console Google SecOps, vai a Impostazioni > Gestione dei dati > Tipi di log disponibili. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Tipi di log disponibili. La pagina principale mostra tutti i tipi di log.
  2. Tieni premuto il puntatore sopra ogni riga del feed per visualizzare il menu more_vert Altro. Questo menu ti consente di visualizzare, modificare, disattivare o eliminare i dettagli del feed.
  3. Fai clic su Visualizza trattamento dati per visualizzare la configurazione del feed.
  4. Fai clic su Apri in Bindplane per aprire la configurazione del processore nella console Bindplane.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.