Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Forwarder installieren und konfigurieren

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie den Google Security Operations-Forwarder auf Linux- und Windows-Systemen mit Docker installieren und konfigurieren.

Der Forwarder ist eine Softwarekomponente, die Sie auf einem Computer oder Gerät, z. B. einem Server, in Ihrem Netzwerk installieren können. Er erfasst Logdaten und leitet sie an Ihre Google SecOps-Instanz weiter.

Mit dem Forwarder können Sie Logs direkt aus Ihrer Umgebung an Google SecOps senden, ohne dass Cloud-Buckets oder APIs von Drittanbietern für nicht unterstützte Logtypen erforderlich sind. Der Forwarder ist eine sofort einsatzbereite Lösung, die eine manuelle Integration in die Ingestion API überflüssig macht.

Google SecOps stellt einen Docker-Container für die sichere Bereitstellung von Forwardern bereit. Sie können den Docker-Container entweder auf physischen oder virtuellen Maschinen ausführen und verwalten.

Systemanforderungen

Die folgenden Empfehlungen sind allgemeiner Natur. Wenn Sie Empfehlungen für Ihr System benötigen, wenden Sie sich an den Google SecOps-Support.

Linux-System

Der Forwarder wird auf verschiedenen Linux-Distributionen wie Debian, Ubuntu, Red Hat und Suse unterstützt. Für eine optimale Leistung ist die Docker-Version 20.10.21 oder höher erforderlich.

RAM: Für jeden erfassten Datentyp, den Google SecOps für die Aufnahme akzeptiert, ist 1 GB RAM erforderlich. Wenn Sie beispielsweise vier verschiedene Collectors angeben, benötigen Sie 4 GB RAM, um Daten für alle vier zu erfassen.
CPU: Zwei CPUs reichen aus,um bis zu 10.000 Ereignisse pro Sekunde (EPS) für alle Datentypen zu verarbeiten. Wenn Sie davon ausgehen,dass Ihr Forwarder mehr als 10.000 EPS verarbeitet, weisen Sie vier bis sechs CPUs zu.
Laufwerk: 20 GB Speicherplatz werden empfohlen, unabhängig davon, wie viele Daten der Forwarder verarbeitet.

Windows-System

Der Forwarder wird unter Microsoft Windows Server 2022 unterstützt. Für eine optimale Leistung ist die Docker-Version 20.10.21 oder höher erforderlich.

RAM: Für jeden erfassten Datentyp, den Google SecOps für die Aufnahme akzeptiert, sind 1,5 GB RAM erforderlich. Wenn Sie beispielsweise vier verschiedene Collectors angeben, benötigen Sie 6 GB RAM, um Daten für alle vier zu erfassen.
CPU: Zwei CPUs reichen aus,um bis zu 10.000 Ereignisse pro Sekunde (EPS) für alle Datentypen zu verarbeiten. Wenn Sie davon ausgehen,dass Ihr Forwarder mehr als 10.000 EPS verarbeitet, weisen Sie vier bis sechs CPUs zu.
Laufwerk: 20 GB Speicherplatz werden empfohlen, unabhängig davon, wie viele Daten der Forwarder verarbeitet.

Hinweis

Bevor Sie mit der Implementierung des Forwarders beginnen, sollten Sie Folgendes beachten.

Google-IP-Adressbereiche

Beim Konfigurieren des Weiterleitungssystems müssen Sie möglicherweise Firewalleinstellungen anpassen, die die Angabe von IP-Adressbereichen beinhalten. Die von Google APIs und Google-Diensten verwendeten Standarddomain-IP-Bereiche werden dynamisch zugewiesen und ändern sich häufig. Weitere Informationen finden Sie unter Google-IP-Adressbereiche abrufen.

Firewallkonfiguration prüfen

Wenn der Weiterleitungscontainer hinter einer Firewall oder einem authentifizierten Proxy ausgeführt wird, gewähren Sie ausgehenden Zugriff auf die folgenden Hosts:

Verbindungstyp	Ziel	Port
TCP	`malachiteingestion-pa.googleapis.com`	443
TCP	`asia-northeast1-malachiteingestion-pa.googleapis.com`	443
TCP	`asia-south1-malachiteingestion-pa.googleapis.com`	443
TCP	`asia-southeast1-malachiteingestion-pa.googleapis.com`	443
TCP	`australia-southeast1-malachiteingestion-pa.googleapis.com`	443
TCP	`eu-chronicle.googleapis.com`	443
TCP	`europe-malachiteingestion-pa.googleapis.com`	443
TCP	`europe-west2-malachiteingestion-pa.googleapis.com`	443
TCP	`europe-west3-malachiteingestion-pa.googleapis.com`	443
TCP	`europe-west6-malachiteingestion-pa.googleapis.com`	443
TCP	`europe-west9-malachiteingestion-pa.googleapis.com`	443
TCP	`europe-west12-malachiteingestion-pa.googleapis.com`	443
TCP	`me-central1-malachiteingestion-pa.googleapis.com`	443
TCP	`me-central2-malachiteingestion-pa.googleapis.com`	443
TCP	`me-west1-malachiteingestion-pa.googleapis.com`	443
TCP	`northamerica-northeast2-malachiteingestion-pa.googleapis.com`	443
TCP	`southamerica-east1-malachiteingestion-pa.googleapis.com`	443
TCP	`accounts.google.com`	443
TCP	`gcr.io`	443
TCP	`cloud.google.com/artifact-registry`	443
TCP	`oauth2.googleapis.com`	443
TCP	`www.googleapis.com`	443
TCP	`storage.googleapis.com`	443

Implementierung planen

Bevor Sie mit der Konfiguration des Forwarders beginnen, sollten Sie die Implementierung planen. So können Sie Ihre Datenquellen und Konfigurationsattribute an Ihren Sicherheitszielen, Infrastrukturfunktionen und Skalierbarkeitsanforderungen ausrichten.

Aufzunehmende Daten bestimmen

Wählen Sie aus den folgenden Optionen die relevantesten Datenquellen für Ihren Forwarder aus:

Splunk: Ideal, wenn Sie Splunk bereits für die Logverwaltung verwenden.
Syslog: Vielseitig einsetzbar für System- und Anwendungsprotokolle von verschiedenen Geräten.
Datei: Flexibel für die Aufnahme beliebiger Logdateien.
Paket: Bietet tiefe Einblicke in das Netzwerk, indem Rohdaten erfasst werden.
Kafka: Ideal für die Aggregation großer Mengen von Echtzeit-Logs aus verteilten Systemen.
WebProxy: Ideal für Einblicke in den Webtraffic und das Nutzerverhalten.

Beschränkung

Datenfeeds haben eine maximale Protokollzeilengröße von 4 MB.

Konfiguration bestimmen

Bevor Sie den Forwarder installieren, sollten Sie die folgenden wichtigen Attribute festlegen, um eine erfolgreiche Implementierung zu gewährleisten.

Datenkompression

Durch die Daten- oder Logkomprimierung wird der Netzwerkbandbreitenverbrauch beim Übertragen von Logs an Google SecOps reduziert. Dies kann jedoch zu einer höheren CPU-Auslastung führen. Das optimale Gleichgewicht zwischen Bandbreiteneinsparungen und CPU-Auslastung hängt von mehreren Faktoren ab, z. B. vom Logtyp, der Komprimierbarkeit der Daten, den verfügbaren CPU-Ressourcen und den Einschränkungen der Netzwerkbandbreite.

Textbasierte Logs lassen sich beispielsweise in der Regel gut komprimieren und können bei geringer CPU-Auslastung erhebliche Bandbreiteneinsparungen ermöglichen. Verschlüsselte oder binäre Daten lassen sich dagegen möglicherweise nicht effizient komprimieren und können zu einer höheren CPU-Auslastung führen.

Standardmäßig ist die Logkomprimierung deaktiviert. Wägen Sie die Vor- und Nachteile anhand Ihrer spezifischen Umgebung und der Art Ihrer Logdaten ab.

Laufwerkspufferung

Es wird empfohlen, die Laufwerkszwischenspeicherung zu aktivieren. Mit der Laufwerkszwischenspeicherung können Sie zurückgestellte Nachrichten auf dem Laufwerk statt im Arbeitsspeicher zwischenspeichern. So werden Datenverluste bei Abstürzen des Forwarders oder Hosts vermieden. Das Aktivieren der Laufwerkszwischenspeicherung kann sich jedoch auf die Leistung auswirken.

Wenn die Laufwerkpufferung deaktiviert ist, weist der Forwarder jedem Logtyp (z. B. pro Connector) 1 GB Arbeitsspeicher (RAM) zu. Der maximal zulässige Arbeitsspeicher für die Laufwerkpufferung beträgt 4 GB.

Filter für reguläre Ausdrücke

Mit Filtern für reguläre Ausdrücke können Sie Muster anhand von Rohprotokolldaten mithilfe der RE2-Syntax auswerten. Jeder Filter muss einen regulären Ausdruck enthalten und kann optional das Verhalten bei einer Übereinstimmung definieren.

Beliebige Labels

Mit Labels werden benutzerdefinierte Metadaten mithilfe von Schlüssel/Wert-Paaren an Logs angehängt. Sie können Labels für einen gesamten Forwarder oder innerhalb eines bestimmten Collectors des Forwarders konfigurieren. Wenn beide vorhanden sind, überschreiben Labels auf Collector-Ebene Labels auf Forwarder-Ebene, wenn sich Schlüssel überschneiden.

Namespaces

Sie können Namespace-Labels verwenden, um Logs aus verschiedenen Netzwerksegmenten zu identifizieren und überlappende IP-Adressen zu entschärfen. Sie können ein Namespace-Label für einen gesamten Forwarder oder innerhalb eines bestimmten Collectors des Forwarders konfigurieren. Wenn beide vorhanden sind, überschreibt der Namespace auf Collector-Ebene den Namespace auf Forwarder-Ebene.

Logtyp

Google SecOps unterstützt eine Vielzahl von Logtypen. Eine umfassende Liste finden Sie unter Unterstützte Datasets.

Optionen für Load Balancing und Hochverfügbarkeit

Load Balancing wird nur für den Syslog-Sammlungstyp unterstützt.

Der Forwarder kann in Umgebungen bereitgestellt werden, in denen ein Layer-4-Load-Balancer zwischen der Datenquelle und den Forwarder-Instanzen installiert ist. So können Sie die Logerfassung auf mehrere Forwarder verteilen und die Zuverlässigkeit erhöhen, indem Logs im Falle eines Fehlers an einen anderen Forwarder weitergeleitet werden.

Der Forwarder hat einen integrierten HTTP-Server, der auf Systemdiagnosen von Load Balancern reagiert und Logverluste beim Starten und Herunterfahren verhindert. Sie können die Optionen für den HTTP-Server, das Load Balancing und die Hochverfügbarkeit konfigurieren, um Zeitlimits und Statuscodes für Systemdiagnosen anzugeben. Diese Konfiguration ist sowohl mit containerbasierten Bereitstellungen als auch mit Load Balancern kompatibel.

Einstellung	Beschreibung
Zeitüberschreitung mit Kulanzzeitraum	Die Zeitspanne, in der neue Verbindungen akzeptiert werden, nachdem der Forwarder als Antwort auf eine Systemdiagnose den Status `unready` zurückgegeben hat. Dies ist auch die Zeit, die zwischen dem Empfang eines Signals zum Beenden und dem tatsächlichen Beginn des Herunterfahrens des Servers gewartet werden muss. So hat der Load Balancer Zeit, den Weiterleiter aus dem Pool zu entfernen. Gültige Werte sind in Sekunden angegeben. Wenn Sie beispielsweise 10 Sekunden angeben möchten, geben Sie `10.` ein. Dezimalwerte sind nicht zulässig. Standardwert: 15 Sekunden
Drain-Zeitlimit	Die Zeit, die der Forwarder wartet, bis aktive Verbindungen von selbst geschlossen werden, bevor sie vom Server geschlossen werden. Wenn Sie beispielsweise 5 Sekunden angeben möchten, geben Sie `5.` ein. Dezimalwerte sind nicht zulässig. Standardwert: 10 Sekunden
Port	Die Portnummer, die der HTTP-Server für Systemdiagnosen vom Load Balancer überwacht. Der Wert muss zwischen 1.024 und 65.535 liegen. Standard: 8080
IP-Adresse oder Hostname	Die IP-Adresse oder ein Hostname, der in eine IP-Adresse aufgelöst werden kann, auf die der Server warten soll. Standard: 0.0.0.0 (das lokale System)
Zeitüberschreitung beim Lesen	Wird zum Optimieren des HTTP-Servers verwendet. In der Regel muss die Standardeinstellung nicht geändert werden. Die maximal zulässige Zeit zum Lesen der gesamten Anfrage, sowohl des Headers als auch des Textes. Sie können sowohl das Feld Zeitlimit für Lesevorgänge als auch das Feld Zeitlimit für das Lesen von Headern festlegen. Standard: 3 Sekunden
Zeitüberschreitung beim Lesen des Headers	Wird zum Optimieren des HTTP-Servers verwendet. In der Regel muss die Standardeinstellung nicht geändert werden. Die maximal zulässige Zeit zum Lesen von Anfrageheadern. Die Lesefrist der Verbindung wird nach dem Lesen des Headers zurückgesetzt. Standard: 3 Sekunden
Zeitlimit für Schreibvorgänge	Wird zum Optimieren des HTTP-Servers verwendet. In der Regel muss die Standardeinstellung nicht geändert werden. Die maximal zulässige Zeit zum Senden einer Antwort. Er wird zurückgesetzt, wenn ein neuer Anfrageheader gelesen wird. Standard: 3 Sekunden
Zeitüberschreitung bei Inaktivität	Wird zum Optimieren des HTTP-Servers verwendet. In der Regel muss die Standardeinstellung nicht geändert werden. Die maximale Wartezeit auf die nächste Anfrage, wenn inaktive Verbindungen aktiviert sind. Wenn das Feld Inaktivitätszeitlimit auf null gesetzt ist, wird der Wert des Felds Lesezeitlimit verwendet. Wenn beide null sind, wird das Feld Zeitlimit für das Lesen des Headers verwendet. Standard: 3 Sekunden
Verfügbare Statuscodes	Der Statuscode, den der Forwarder zurückgibt, wenn eine Aktivitätsprüfung empfangen wird und der Forwarder verfügbar ist. Container-Planer und -Orchestratoren senden häufig Aktivitätsprüfungen. Standard: 204
Statuscode „Bereit“	Der Statuscode, den die Weiterleitung zurückgibt, wenn sie in einer der folgenden Situationen bereit ist, Traffic zu akzeptieren: Eine Bereitschaftsprüfung wird von einem Container-Planer oder -Orchestrator empfangen. Eine Systemdiagnose wird von einem Load Balancer empfangen. Standard: 204
Statuscode „Nicht bereit“	Der Statuscode, den der Forwarder zurückgibt, wenn er nicht bereit ist, Traffic zu akzeptieren. Standard: 503

Schritt 1: Forwarder-Konfiguration definieren

Für jeden bereitgestellten Forwarder ist eine Forwarder-Konfigurationsdatei erforderlich. In einer Forwarder-Konfigurationsdatei werden die Einstellungen für die Übertragung der Daten an Ihre Google SecOps-Instanz angegeben. Wir empfehlen, für jeden Host eine neue Konfigurationsdatei zu generieren, um die mit den einzelnen Hosts verknüpften Collectors klar voneinander zu unterscheiden.

Google Cloud passt diese Konfigurationsdateien mit spezifischen Metadaten für jede Weiterleitungsinstanz an. Sie können diese Dateien an Ihre spezifischen Anforderungen anpassen und Details zu den Logtypen einfügen, die Sie aufnehmen möchten.

Sie können eine Konfigurationsdatei für den Forwarder entweder über die Benutzeroberfläche, die API oder manuell erstellen.

Die Benutzeroberfläche bietet eine grafische Oberfläche zum Konfigurieren von Weiterleitungen und ist die empfohlene Methode zum Erstellen einer Weiterleitungskonfiguration. Dies ist die einfachste Methode für den Einstieg und erfordert keine Programmierung. Informationen zum Herunterladen der Konfigurationsdatei über die Google SecOps-Benutzeroberfläche finden Sie unter Forwarder-Konfigurationen über die Google SecOps-Benutzeroberfläche verwalten.
Die API bietet eine programmatische Möglichkeit, Weiterleitungen zu konfigurieren. Informationen zum programmatischen Herunterladen der Forwarder-Konfiguration finden Sie unter Forwarder Management API.
Sie können die Konfigurationsdatei manuell erstellen und die Konfigurationsoptionen hinzufügen. Wir empfehlen, die Konfigurationsdatei über die Benutzeroberfläche zu generieren, um die Genauigkeit zu gewährleisten und potenzielle Fehler zu minimieren. Informationen zum manuellen Generieren der Datei finden Sie unter Konfigurationsdatei für Weiterleitung manuell verwalten.

Schritt 2: Docker installieren

In diesem Abschnitt wird beschrieben, wie Sie Docker auf Ihrem System installieren.

Docker-Authentifizierung mit Artifact Registry

Im Rahmen der Docker-Installation müssen Sie Docker authentifizieren. Sie können Docker mit der Google Cloud CLI authentifizieren oder, wenn Sie die Google Cloud CLI nicht installieren können, ein neues JSON-Dienstkonto in der VM erstellen.

Methode 1: Google Cloud CLI verwenden

Führen Sie den folgenden Befehl aus, um Docker zu authentifizieren:

gcloud auth configure-docker gcr.io

Methode 2: Neues Dienstkonto-JSON auf der virtuellen Maschine (VM) erstellen und herunterladen

Verwenden Sie diese Methode, wenn Sie die Google Cloud CLI (Command Line Interface) nicht installieren können.

Führen Sie den folgenden Befehl aus, um Docker zu authentifizieren:

cat key.json | docker login -u _json_key --password-stdin https://gcr.io

Weitere Informationen zu zusätzlichen Methoden für die Docker-Authentifizierung finden Sie unter Authentifizierung bei Artifact Registry für Docker konfigurieren.

Linux-System

Docker ist Open Source und die gesamte erforderliche Dokumentation ist in der Open-Source-Docker-Community verfügbar. Eine Anleitung zur Docker-Installation finden Sie unter Docker Engine installieren.

Führen Sie den folgenden Befehl aus, um zu prüfen, ob Docker ordnungsgemäß auf Ihrem System installiert ist (erfordert erhöhte Berechtigungen):

   docker ps

Die folgende Antwort zeigt, dass Docker ordnungsgemäß installiert wurde:

CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES

Windows-System

Starten Sie Windows PowerShell mit Administratorberechtigungen und prüfen Sie die Netzwerkverbindung zu Google Cloud . Gehen Sie dazu so vor:

Klicken Sie auf Start.
Geben Sie PowerShell ein und klicken Sie mit der rechten Maustaste auf Windows PowerShell.
Klicken Sie auf Als Administrator ausführen.

Führen Sie dazu diesen Befehl aus:

C:\> test-netconnection <host> -port <port>

Die Befehlsausgabe gibt an, dass der Status von TcpTestSucceeded true ist.

Beispiel:

C:\> test-netconnection malachiteingestion-pa.googleapis.com -port 443
ComputerName     :  malachiteingestion-pa.googleapis.com
RemoteAddress    : 198.51.100.1
RemotePort       : 443
InterfaceAlias   : Ethernet
SourceAddress    : 203.0.113.1
TcpTestSucceeded : True

So installieren Sie Docker auf Ihrem Windows-Server:

Aktivieren Sie das Microsoft Windows-Container-Feature:

Install-WindowsFeature containers -Restart

Führen Sie den folgenden Befehl im PowerShell-Administratormodus aus, um Docker CE zu installieren:

Invoke-WebRequest -UseBasicParsing "https://raw.githubusercontent.com/microsoft/Windows-Containers/Main/helpful_tools/Install-DockerCE/install-docker-ce.ps1" -o install-docker-ce.ps1

.\install-docker-ce.ps1

Testen Sie die Docker-Befehlszeile, indem Sie den Befehl docker ps ausführen, der eine Liste der laufenden Container zurückgibt. Wenn Docker nicht richtig installiert ist, wird ein Fehler angezeigt.

Weitere Informationen finden Sie unter Erste Schritte: Windows für Container vorbereiten.

Installieren Sie für Unternehmensbereitstellungen die Mirantis Container Runtime, auch bekannt als Docker EE.

Schritt 3: Weiterleitung installieren

In diesem Abschnitt wird beschrieben, wie Sie den Forwarder mithilfe eines Docker-Containers installieren.

Schritt 3a: Konfigurationsdateien in das Forwarder-Verzeichnis verschieben

Der erste Schritt bei der Installation des Forwarders besteht darin, die erforderlichen Konfigurationsdateien im dafür vorgesehenen Forwarder-Verzeichnis abzulegen.

Linux-System

So platzieren Sie die Konfigurationsdateien im Forwarder-Verzeichnis:

Stellen Sie über das Terminal eine Verbindung zum Linux-Forwarder-Host her.
Wechseln Sie in das Basisverzeichnis, in dem der Docker-Container ausgeführt wird.
Erstellen Sie ein Verzeichnis zum Speichern der Konfigurationsdateien des Forwarders.
```
  mkdir /opt/chronicle/'CONFIG'
```
Sie können den Verzeichnisnamen CONFIG durch einen beliebigen Namen ersetzen. Achten Sie darauf, dass Sie beim Ausführen des Befehls docker run denselben Verzeichnisnamen verwenden.
Wechseln Sie das Verzeichnis.
```
  cd /opt/chronicle/config
```
Prüfen Sie nach der Übertragung der Dateien, ob sich die Konfigurationsdateien im Verzeichnis /opt/chronicle/config befinden.
```
  ls -l
```

Windows-System

Erstellen Sie einen Ordner C:\config und legen Sie die Konfigurationsdateien darin ab. Sie können den Ordnernamen config durch einen beliebigen Namen ersetzen. Achten Sie darauf, dass Sie beim Ausführen des Befehls docker run denselben Ordnernamen verwenden.

Schritt 3b: Forwarder ausführen

Nachdem die Konfigurationsdateien im dafür vorgesehenen Forwarder-Verzeichnis abgelegt wurden, können Sie den Forwarder starten oder auf die aktuelle Version des Google SecOps-Containers upgraden.

Wenn Sie ein Upgrade des Containers durchführen, bereinigen Sie alle vorherigen Docker-Ausführungen mit den folgenden Befehlen.

      docker stop 'cfps'

      docker rm 'cfps'

Im Beispiel lautet der Name des Docker-Containers cfps.

So starten Sie den Forwarder zum ersten Mal oder aktualisieren auf die aktuelle Version des Google SecOps-Containers:

Rufen Sie das neueste Docker-Image von Google Cloudab:

Linux-System:

docker pull gcr.io/chronicle-container/cf_production_stable

Windows-System:

docker pull gcr.io/chronicle-container/cf_production_stable_windows

Starten Sie den Forwarder aus dem Docker-Container:

Linux-System:

  docker run \
  --detach \
  --name cfps \
  --restart=always \
  --log-opt max-size=100m \
  --log-opt max-file=10 \
  --net=host \
  -v /opt/chronicle/config:/opt/chronicle/external \
  gcr.io/chronicle-container/cf_production_stable

(Optional für das Linux-System) Wenn Sie den Forwarder aus dem Docker-Container starten, können Sie ein bestimmtes Unterverzeichnis aus /var/log/ bereitstellen.
Wenn Sie ein bestimmtes Unterverzeichnis bereitstellen möchten, fügen Sie dem Befehl die folgende Zeile hinzu und ersetzen Sie den Platzhalter <parser-name> durch den Namen des Verzeichnisses auf dem Hostsystem, aus dem Logs erfasst werden sollen:

  -v /var/log/<parser-name>:/opt/chronicle/edr \

Linux-System (einschließlich der Option, ein bestimmtes Unterverzeichnis bereitzustellen):

`docker run \
--detach \
--name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v /opt/chronicle/config:/opt/chronicle/external \
-v /var/log/<parser-name>:/opt/chronicle/edr \
gcr.io/chronicle-container/cf_production_stable`

Windows-System:

  docker run `
    --detach `
    --name cfps `
    --restart=always `
    --log-opt max-size=100m `
    --log-opt max-file=10 `
    -p 0.0.0.0:10515-10520:10515-10520/udp `
    -v C:\config\:C:/opt/chronicle/external `
    gcr.io/chronicle-container/cf_production_stable_windows

Die --log-opt-Optionen sind seit Docker 1.13 verfügbar. Diese Optionen begrenzen die Größe der Container-Logdateien und müssen verwendet werden, solange die von Ihnen verwendete Docker-Version sie unterstützt.

Forwarder verwalten

In den folgenden Abschnitten finden Sie Informationen zum Verwalten des Weiterleitungstools.

Weiterleitungslogs ansehen

Führen Sie den folgenden Befehl aus, um die Forwarder-Logs aufzurufen:
```
docker logs cfps
```
Führen Sie den folgenden Befehl aus, um den Pfad der Datei aufzurufen, in der die Logs gespeichert sind:
```
docker inspect --format='{{.LogPath}}' CONTAINER_NAME
```
Führen Sie den folgenden Befehl aus, um die Live-Logs aufzurufen:
```
docker logs cfps -f
```
Führen Sie den folgenden Befehl aus, um die Logs in einer Datei zu speichern:
```
docker logs cfps &> logs.txt
```

Forwarder deinstallieren

Mit den folgenden Docker-Befehlen können Sie den Forwarder beenden, deinstallieren oder entfernen.

Führen Sie den folgenden Befehl aus, um den Forwarder-Container zu beenden oder zu deinstallieren:
```
docker stop cfps
```
Führen Sie den folgenden Befehl aus, um den Forwarder-Container zu entfernen:
```
docker rm cfps
```

Forwarder aktualisieren

Der Forwarder besteht aus zwei Komponenten, die jeweils wie folgt aktualisiert werden:

Forwarder Bundle: Diese Komponente wird automatisch aktualisiert, sodass kein Neustart erforderlich ist.
Docker-Image des Forwarders: Aktualisierungen dieser Komponente werden manuell durchgeführt. Sie müssen die aktuelle Forwarder-Instanz beenden und eine neue starten, wie in Schritt 3b beschrieben.

Anleitungen zur Aufnahme von Weiterleitungen für bestimmte Datasets

Informationen dazu, wie ein bestimmtes Dataset mithilfe von Weiterleitungen aufgenommen wird, finden Sie hier:

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten