Configura i forwarder nella piattaforma Google SecOps

Supportata in:

Questa pagina descrive come creare, gestire e scaricare le configurazioni dei forwarder utilizzando l'interfaccia utente (UI) di Google SecOps.

La configurazione dell'agente di inoltro è una procedura in due passaggi:

  1. Aggiungi la configurazione dell'agente di inoltro: stabilisce il framework per la configurazione.
  2. Aggiungi la configurazione del raccoglitore: definisce l'origine dei dati che verranno importati dal forwarder. Senza almeno un raccoglitore, il forwarder non ha dati con cui lavorare.

Dopo aver aggiunto uno o più raccoglitori, la configurazione del forwarder è completa. Puoi quindi scaricarlo ed eseguirne il deployment su una macchina o un dispositivo su cui è installato il software del forwarder.

Per informazioni su come installare e configurare il forwarder di Google SecOps, sui requisiti di sistema e sui dettagli delle impostazioni di configurazione, consulta Installa e configura il forwarder.

Aggiungi configurazione dell'agente di inoltro

Anziché aggiungere un nuovo forwarder, puoi clonare uno o più forwarder esistenti. Per maggiori dettagli, vedi Clona i forwarder.

Per aggiungere un nuovo server di inoltro, segui questi passaggi:

  1. Nella barra di navigazione, vai a Impostazioni > Gestione dei dati > Forwarder.
  2. Fai clic su Aggiungi nuovo server di inoltro.
  3. Nel campo Nome agente di inoltro, digita un nome.
  4. (Facoltativo) Espandi la sezione Valori di configurazione e specifica i valori. Per informazioni sulle impostazioni di configurazione, consulta Determina la configurazione.

  5. Fai clic su Invia.

    Il forwarder viene aggiunto e viene visualizzata la finestra Add collector configuration (Aggiungi configurazione raccoglitore).

Aggiungi configurazione del raccoglitore

Puoi aggiungere uno o più raccoglitori a un forwarder esistente. Per aggiungere un nuovo raccoglitore a un forwarder, segui questi passaggi:

  1. Nella barra di navigazione, vai a Impostazioni > Gestione dei dati > Forwarder.
  2. Nella pagina Forwarders (Inoltri), trova l'inoltro che ti interessa. Se l'elenco degli agenti di inoltro è lungo, utilizza il campo Cerca.
  3. Tieni il puntatore sul forwarder per cui vuoi aggiungere un raccoglitore. Viene visualizzata l'icona del menu Espandi .
  4. Fai clic sull' icona del menu Espandi.
  5. Seleziona Aggiungi nuovo raccoglitore.
  6. Nel campo Nome raccoglitore, digita un nome.

  7. Fai clic sul campo Tipo di log per visualizzare un elenco di tipi di log ed esegui una delle seguenti operazioni:

    • Se non vedi il tipo di log che ti interessa, inizia a digitarne il nome nella casella per visualizzare altri suggerimenti. Per un elenco completo dei tipi di log supportati, consulta Set di dati supportati.
    • Seleziona un tipo di log dall'elenco.

  8. (Facoltativo) Espandi la sezione Valori di configurazione e specifica i valori. Per informazioni sulle impostazioni di configurazione, consulta Determina la configurazione.

  9. (Facoltativo) Espandi la sezione Impostazioni avanzate e specifica una delle seguenti opzioni:

    • Numero massimo di secondi per batch: il numero di secondi tra i batch. Il valore predefinito è 10.
    • Byte massimi per batch: il numero di byte in coda prima del caricamento collettivo del forwarder. Il valore minimo è 204800 bytes, ovvero 200 KB. Il valore massimo è 1048576 bytes, ovvero 1MB. Il valore predefinito è 1,048,576 bytes, ovvero 1MB.

  10. Consigliato: Buffer del disco: fai clic sul pulsante di attivazione/disattivazione per abilitare il buffering del disco per il raccoglitore. Per i dettagli sul buffering su disco, consulta Buffering su disco. Se l'opzione è abilitata, puoi specificare le seguenti impostazioni:

    • Percorso della directory: il percorso della directory per i file scritti.
    • Dimensioni massime dei file memorizzati nella cache (in byte): le dimensioni massime del disco utilizzate dal raccoglitore prima che i messaggi arretrati vengano memorizzati nel buffer sul disco. Il valore predefinito è 1,073,741,824. Il numero massimo è 4,294,967,296.

  11. (Facoltativo) Override timezone (Sostituisci fuso orario): fai clic sul pulsante di attivazione/disattivazione per sostituire il fuso orario predefinito dei log selezionandone uno personalizzato dall'elenco Timezone (Fuso orario). Solo se i log non elaborati non includono il fuso orario corretto all'origine. Prima di abilitare questa impostazione, assicurati che i log abbiano timestamp coerenti.

    Il fuso orario selezionato viene applicato sul lato server in Google SecOps. Il forwarder ignora questa impostazione, anche se è contenuta nel file di configurazione generato.

  12. Fai clic sul campo Tipo di raccoglitore e seleziona un tipo di raccoglitore. Ogni tipo di raccoglitore ha le proprie impostazioni che puoi configurare. Per maggiori dettagli sui tipi di raccoglitore e sulle relative impostazioni, consulta Determina la configurazione.

  13. Fai clic su Invia.

Scarica i file di configurazione

Per scaricare i file di configurazione del forwarder è necessario almeno un raccoglitore. Se provi a scaricare un forwarder senza un raccoglitore, ricevi un errore.

Puoi scaricare il file di configurazione del forwarder (.conf), il file di autenticazione (_auth.conf) o entrambi per qualsiasi forwarder elencato nella tua istanza di Google SecOps, a condizione che abbia almeno un raccoglitore. Dopo aver scaricato i file, eseguine il deployment sul sistema Windows o Linux in cui si trova il forwarder di Google SecOps.

Per scaricare i file di configurazione dell'agente di inoltro:

  1. Nella barra di navigazione, vai a Impostazioni > Gestione dei dati > Forwarder.
  2. Nella pagina Forwarders (Inoltri), trova l'inoltro che ti interessa. Se l'elenco degli agenti di inoltro è lungo, utilizza il campo Cerca.
  3. Tieni il puntatore del mouse sull'agente di inoltro per cui vuoi scaricare i file di configurazione. Viene visualizzata l'icona del menu Espandi .
  4. Fai clic sull' icona del menu Espandi.
  5. Seleziona Scarica.

  6. Nella finestra di dialogo Scarica configurazione dell'agente di inoltro, esegui una delle seguenti operazioni:

    • Per scaricare il file di configurazione dell'agente di inoltro, fai clic sull'icona di download accanto al tipo di file .conf.
    • Per scaricare il file di autenticazione dell'agente di inoltro, fai clic sull'icona di download accanto al tipo di file _auth.conf.
    • Per scaricare entrambi i file, fai clic su Scarica tutto.

Gestisci i forwarder

Questa sezione descrive come visualizzare e gestire gli agenti di inoltro.

Elenca i forwarder in un'istanza Google SecOps

  1. Nella barra di navigazione, vai a Impostazioni > Gestione dei dati > Forwarder.
  2. (Facoltativo) Ordina l'elenco facendo clic sulla colonna Nome o Ultimo aggiornamento.

Se vuoi, utilizza il campo di ricerca per restringere i risultati nell'elenco.

Clona gli agenti di inoltro

La clonazione consente di creare una copia di una o più configurazioni dei forwarder.

Per clonare una configurazione del forwarder, segui questi passaggi:

  1. Nella pagina Forwarders (Forwarder), seleziona la casella di controllo per ogni forwarder che vuoi clonare.
  2. Fai clic sull' icona del menu Espandi.
  3. Seleziona Clona.
  4. Fai clic su Clona. Viene aggiunta una copia di ogni configurazione dell'agente di inoltro.

Modifica una configurazione dell'agente di inoltro

  1. Nella barra di navigazione, vai a Impostazioni > Gestione dei dati > Forwarder.
  2. Tieni il puntatore del mouse sopra l'agente di inoltro di cui vuoi modificare la configurazione. Viene visualizzata l'icona del menu Espandi .
  3. Fai clic sull' icona del menu Espandi.
  4. Seleziona Modifica configurazione dell'agente di inoltro.
  5. Apporta le modifiche alla configurazione. Per saperne di più, consulta i passaggi di configurazione nella procedura per aggiungere agenti di inoltro.
  6. Fai clic su Aggiorna.
  7. Riavvia il forwarder per applicare le modifiche.

Elimina agenti di inoltro

  1. Nella pagina Forwarders (Inoltratori), seleziona la casella di controllo per ogni inoltratore che vuoi eliminare.
  2. Fai clic sull' icona del menu Espandi.
  3. Seleziona Elimina.
  4. Nella finestra di dialogo Elimina agente di inoltro, fai clic su Elimina.

Gestisci i raccoglitori

Questa sezione descrive come visualizzare e gestire i raccoglitori.

Elenca i raccoglitori in un'istanza Google SecOps

  1. Nella barra di navigazione, vai a Impostazioni > Gestione dei dati > Forwarder.
  2. Fai clic sulla freccia di espansione accanto all'intestazione della colonna Nome. In questo modo vengono espansi tutti gli agenti di inoltro e vengono visualizzati fino a cinque raccoglitori per ogni agente di inoltro.
  3. Se un forwarder ha più di cinque raccoglitori, fai clic sul link Visualizza tutti i raccoglitori.

Modifica una configurazione del raccoglitore

  1. Nella barra di navigazione, vai a Impostazioni > Gestione dei dati > Forwarder.
  2. Fai clic sulla freccia di espansione del forwarder per cui vuoi modificare un raccoglitore.
  3. Se sono presenti più di cinque raccoglitori, fai clic sul link Visualizza tutti i raccoglitori.
  4. Tieni il puntatore sul raccoglitore per cui vuoi modificare la configurazione. Viene visualizzata l'opzione Modifica.
  5. Fai clic su Modifica.
  6. Apporta le modifiche alla configurazione. Per saperne di più, consulta i passaggi di configurazione nella procedura per l'aggiunta di raccoglitori.
  7. Fai clic su Aggiorna.

Elimina un raccoglitore

  1. Nella barra di navigazione, vai a Impostazioni > Gestione dei dati > Forwarder. La pagina mostra l'elenco degli agenti di inoltro.

  2. Fai clic sulla freccia di espansione del forwarder per cui vuoi eliminare un raccoglitore.

  3. Se sono presenti più di cinque raccoglitori, fai clic sul link Visualizza tutti i raccoglitori.

  4. Tieni il puntatore sul raccoglitore per cui vuoi modificare la configurazione. Viene visualizzata l'opzione Elimina.

  5. Fai clic su Elimina.

  6. Per confermare, fai clic su Elimina nella finestra di dialogo Elimina raccoglitore.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.