在 Google SecOps 平台中配置转发器

支持范围：

Google SecOps SIEM

注意： 转发器已弃用。转发器组件将逐步从 Google SecOps 平台中淘汰，并将于 2027 年 1 月终止服务 (EOL)。2026 年 4 月 1 日：新的 Google SecOps 客户无法使用转发器组件。2027 年 1 月 1 日：转发器正式停用。我们不会再发布任何补丁（包括安全补丁）。2027 年 4 月 1 日：不再允许从转发器组件中提取数据。 Google 建议使用 Bindplane for Google SecOps 作为日志收集的主要解决方案。如需了解详情，请参阅将 Bindplane 与 Google SecOps 搭配使用。

注意：如果转发器配置文件不是使用 Google Security Operations 界面或 Management API 创建的，则无法使用 Google SecOps 界面进行管理。您需要使用 Google SecOps 界面或 Forwarder Management API 重新创建这些配置，才能利用转发器管理功能。

本页面介绍了如何使用 Google SecOps 界面 (UI) 创建、管理和下载转发器配置。

转发器配置过程分为两个步骤：

1. 添加转发器配置：这会为您的配置建立框架。
2. 添加收集器配置：这会定义转发器将注入的数据源。如果没有至少一个收集器，转发器将没有任何数据可供处理。

添加一个或多个收集器后，转发器配置即告完成。然后，您可以下载该配置，并将其部署到安装了转发器软件的机器或设备上。

如需了解如何安装和配置 Google SecOps 转发器、系统要求以及配置设置的详细信息，请参阅安装和配置转发器。

添加转发器配置

您可以克隆一个或多个现有转发器，而不是添加新转发器。如需了解详情，请参阅克隆转发器。

如需添加新的转发器，请按以下步骤操作：

1. 在导航栏中，依次前往设置 > 数据管理 > 转发器。
2. 点击添加新转发器。
3. 在转发器名称字段中，输入一个名称。
4. 可选：展开配置值部分并指定值。如需了解配置设置，请参阅确定配置。

5. 点击提交。

   系统会添加转发器，并显示添加收集器配置窗口。

添加收集器配置

您可以向现有转发器添加一个或多个收集器。如需向转发器添加新的收集器，请按照以下步骤操作：

1. 在导航栏中，依次前往设置 > 数据管理 > 转发器。
2. 在转发器页面上，找到所需的转发器。如果转发器列表很长，请使用搜索字段。
3. 将指针悬停在要为其添加收集器的转发器上。系统会显示 展开菜单图标。
4. 点击 展开菜单图标。
5. 选择添加新收集器。
6. 在收集器名称字段中，输入一个名称。

7. 点击日志类型字段以查看日志类型列表，然后执行以下操作之一：

   • 如果您没有看到所需的日志类型，请开始在框中输入其名称，以查看更多建议。如需查看受支持日志类型的完整列表，请参阅受支持的数据集。
   • 从列表中选择日志类型。

8. 可选：展开配置值部分并指定值。如需了解配置设置，请参阅确定配置。

9. 可选：展开高级设置部分，然后指定以下任一项：

   • 每个批次的秒数上限：批次之间的秒数。默认值为 10。
   • 每个批次的字节数上限：在转发器批量上传之前已排队的字节数。最小值为 204800 bytes，即 200 KB。 最大值为 1048576 bytes，即 1MB。默认值为 1,048,576 bytes，即 1MB。

10. 推荐：磁盘缓冲区：点击切换开关，将其切换到开启位置，以便为收集器启用磁盘缓冲。如需详细了解磁盘缓冲，请参阅磁盘缓冲。启用后，您可以指定以下设置：

    • 目录路径：写入文件的目录路径。
    • 缓冲文件的大小上限（以字节为单位）：将积压的消息缓冲到磁盘之前，收集器使用的磁盘大小上限。默认值为 1,073,741,824。最多可以有 4,294,967,296 个账号。

11. 可选：替换时区：点击切换开关，将其切换到开启位置，然后从时区列表中选择自定义时区，以替换日志的默认时区。 仅当原始日志在源处不包含正确的时区时，才需启用此设置。在启用此设置之前，请确保日志具有一致的时间戳。

    所选时区会在 Google SecOps 的服务器端应用。转发器会忽略此设置，即使生成的配置文件包含此设置也是如此。

12. 点击收集器类型字段，然后选择收集器类型。每种收集器类型都有自己的设置，您可以进行配置。如需详细了解收集器类型及其设置，请参阅确定配置。

13. 点击提交。

下载配置文件

下载转发器配置文件至少需要一个收集器。如果您尝试下载没有收集器的转发器，则会收到错误消息。

对于 Google SecOps 实例中列出的任何转发器，只要它至少有一个收集器，您就可以下载其转发器配置文件 (.conf)、身份验证文件 (_auth.conf) 或同时下载这两个文件。下载文件后，将其部署到 Google SecOps 转发器所在的 Windows 或 Linux 系统上。

如需下载转发器配置文件，请执行以下操作：

1. 在导航栏中，依次前往设置 > 数据管理 > 转发器。
2. 在转发器页面上，找到所需的转发器。如果转发器列表很长，请使用搜索字段。
3. 将指针悬停在要下载配置文件的转发器上。系统会显示 展开菜单图标。
4. 点击 展开菜单图标。
5. 选择下载。

6. 在下载转发器配置对话框中，执行以下操作之一：

   • 如需下载转发器配置文件，请点击 .conf 文件类型旁边的下载图标。
   • 如需下载转发器身份验证文件，请点击 _auth.conf 文件类型旁边的下载图标。
   • 如需下载这两个文件，请点击全部下载。

管理转发器

本部分介绍了如何查看和管理转发器。

列出 Google SecOps 实例中的转发器

1. 在导航栏中，依次前往设置 > 数据管理 > 转发器。
2. 可选：点击名称或上次更新时间列，对列表进行排序。

（可选）使用搜索字段来缩小列表中的结果范围。

克隆转发器

通过克隆，您可以创建一个或多个转发器配置的副本。

如需克隆转发器配置，请按以下步骤操作：

1. 在“转发器”页面上，选中要克隆的每个转发器对应的复选框。
2. 点击 展开菜单图标。
3. 选择克隆。
4. 点击克隆。系统会添加每个转发器配置的副本。

修改转发器配置

1. 在导航栏中，依次前往设置 > 数据管理 > 转发器。
2. 将指针悬停在要修改其配置的转发器上。系统会显示 展开菜单图标。
3. 点击 展开菜单图标。
4. 选择修改转发器配置。
5. 对配置进行更改。如需了解详情，请参阅添加转发器过程中的配置步骤。
6. 点击更新。
7. 重启转发器，使更改生效。

删除转发器

1. 在“转发器”页面上，选中要删除的每个转发器对应的复选框。
2. 点击 展开菜单图标。
3. 选择删除。
4. 在“删除转发器”对话框中，点击删除。

管理收集器

本部分介绍了如何查看和管理收集器。

列出 Google SecOps 实例中的收集器

1. 在导航栏中，依次前往设置 > 数据管理 > 转发器。
2. 点击名称列标题旁边的展开箭头。这会展开所有转发器，每个转发器最多显示五个收集器。
3. 如果转发器有五个以上的收集器，请点击查看所有收集器链接。

修改收集器配置

1. 在导航栏中，依次前往设置 > 数据管理 > 转发器。
2. 点击要修改其收集器的转发器的 展开箭头。
3. 如果有超过 5 个收集器，请点击查看所有收集器链接。
4. 将指针悬停在要修改其配置的收集器上。系统会显示修改选项。
5. 点击修改。
6. 对配置进行更改。如需了解详情，请参阅添加收集器过程中的配置步骤。
7. 点击更新。

删除收集器

1. 在导航栏中，依次前往设置 > 数据管理 > 转发器。该页面会显示转发器列表。

2. 点击要删除收集器的转发器的展开箭头。

3. 如果有超过 5 个收集器，请点击查看所有收集器链接。

4. 将指针悬停在要修改其配置的收集器上。系统会显示删除选项。

5. 点击删除。

6. 如需确认，请在“删除收集器”对话框中点击删除。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。