‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

התקנה והגדרה של ה-forwarder

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להתקין ולהגדיר את המעביר של Google Security Operations במערכות Linux ו-Windows באמצעות Docker.

המעביר הוא רכיב תוכנה שאפשר להתקין במכונה או במכשיר, כמו שרת, בתוך הרשת. הוא אוסף נתוני יומן ומעביר אותם למכונה של Google SecOps.

אתם יכולים להשתמש ב-forwarder כדי לשלוח יומנים ישירות מהסביבה שלכם אל Google SecOps, בלי צורך בקטגוריות בענן או בממשקי API של צד שלישי לסוגי יומנים שלא נתמכים. הכלי להעברת נתונים הוא פתרון שמוכן לפריסה, ומייתר את הצורך בשילוב ידני עם Ingestion API.

ב-Google SecOps יש קונטיינר של Docker לפריסה מאובטחת של מעביר. אתם יכולים להריץ ולנהל את קונטיינר Docker במכונות פיזיות או וירטואליות.

דרישות מערכת

אלה המלצות כלליות. כדי לקבל המלצות ספציפיות למערכת שלכם, פנו לתמיכה של Google SecOps.

מערכת Linux

הכלי להעברת נתונים נתמך בהפצות שונות של Linux, כמו Debian,‏ Ubuntu, ‏ Red Hat ו-Suse. כדי ליהנות מביצועים אופטימליים, צריך להשתמש בגרסה 20.10.21 של Docker או בגרסה חדשה יותר.

RAM: נדרש זיכרון RAM בנפח 1GB לכל סוג נתונים שנאסף ונקלט ב-Google SecOps. לדוגמה, אם מציינים ארבעה אוספים שונים, צריך 4GB RAM כדי לאסוף נתונים לכל הארבעה.
מעבד (CPU): שני מעבדים מספיקים כדי לטפל בעד 10,000 אירועים בשנייה (EPS) בכל סוגי הנתונים. אם אתם צופים שהמעביר יטפל ביותר מ-10,000 אירועים לשנייה, הקצו ארבעה עד שישה מעבדים.
דיסק: מומלץ שיהיה מקום פנוי של 20GB בכונן, בלי קשר לכמות הנתונים שהמערכת מטפלת בהם.

מערכת Windows

הכלי להעברת אירועים נתמך ב-Microsoft Windows Server 2022. כדי להשיג ביצועים אופטימליים, צריך להשתמש ב-Docker מגרסה 20.10.21 ואילך.

‫RAM: נדרש זיכרון RAM בנפח 1.5GB לכל סוג נתונים שנאסף ונקלט ב-Google SecOps. לדוגמה, אם אתם מציינים ארבעה אוספים שונים, אתם צריכים 6GB RAM כדי לאסוף נתונים מכל הארבעה.
מעבד (CPU): שני מעבדים מספיקים כדי לטפל בעד 10,000 אירועים בשנייה (EPS) בכל סוגי הנתונים. אם אתם צופים שהמעביר יטפל ביותר מ-10,000 אירועים לשנייה, הקצו ארבעה עד שישה מעבדים.
דיסק: מומלץ שיהיה מקום פנוי של 20GB בדיסק, בלי קשר לכמות הנתונים שה-forwarder מטפל בהם.

לפני שמתחילים

לפני שמתחילים להטמיע את ה-forwarder, חשוב להביא בחשבון את הדברים הבאים.

טווחי כתובות IP של Google

כשמגדירים את ה-forwarder, יכול להיות שצריך לשנות את הגדרות חומת האש, כולל ציון טווחי כתובות IP. טווחי ברירת המחדל של כתובות ה-IP של הדומיינים שמשמשים את ממשקי ה-API והשירותים של Google מוקצים באופן דינמי ומשתנים לעיתים קרובות. מידע נוסף זמין במאמר קבלת טווחי כתובות IP של Google.

אימות ההגדרות של חומת האש

אם מארז ה-forwarder פועל מאחורי חומת אש או שרת proxy מאומת, צריך לתת גישה יוצאת למארחים הבאים:

סוג החיבור	יעד	יציאה
TCP	`malachiteingestion-pa.googleapis.com`	443
TCP	`asia-northeast1-malachiteingestion-pa.googleapis.com`	443
TCP	`asia-south1-malachiteingestion-pa.googleapis.com`	443
TCP	`asia-southeast1-malachiteingestion-pa.googleapis.com`	443
TCP	`australia-southeast1-malachiteingestion-pa.googleapis.com`	443
TCP	`eu-chronicle.googleapis.com`	443
TCP	`europe-malachiteingestion-pa.googleapis.com`	443
TCP	`europe-west2-malachiteingestion-pa.googleapis.com`	443
TCP	`europe-west3-malachiteingestion-pa.googleapis.com`	443
TCP	`europe-west6-malachiteingestion-pa.googleapis.com`	443
TCP	`europe-west9-malachiteingestion-pa.googleapis.com`	443
TCP	`europe-west12-malachiteingestion-pa.googleapis.com`	443
TCP	`me-central1-malachiteingestion-pa.googleapis.com`	443
TCP	`me-central2-malachiteingestion-pa.googleapis.com`	443
TCP	`me-west1-malachiteingestion-pa.googleapis.com`	443
TCP	`northamerica-northeast2-malachiteingestion-pa.googleapis.com`	443
TCP	`southamerica-east1-malachiteingestion-pa.googleapis.com`	443
TCP	`accounts.google.com`	443
TCP	`gcr.io`	443
TCP	`cloud.google.com/artifact-registry`	443
TCP	`oauth2.googleapis.com`	443
TCP	`www.googleapis.com`	443
TCP	`storage.googleapis.com`	443

תכנון ההטמעה

לפני שמתחילים להגדיר את ה-forwarder, צריך לתכנן את ההטמעה. כך תוכלו להתאים את מקורות הנתונים ומאפייני ההגדרות ליעדי האבטחה, ליכולות התשתית ולדרישות המדרגיות שלכם.

הגדרת הנתונים להטמעה

מזהים את מקורות הנתונים הכי רלוונטיים ל-forwarder מבין האפשרויות הבאות:

‫Splunk: מתאים אם אתם כבר משתמשים ב-Splunk לניהול יומנים.
‫Syslog: כלי גמיש ליומני מערכת ויומני אפליקציות ממכשירים שונים.
קובץ: גמיש להטמעה של כל קובץ יומן.
חבילה: מאפשרת לראות לעומק את הרשת על ידי תיעוד של תנועה גולמית.
‫Kafka: מתאים במיוחד לצבירת יומנים בנפח גבוה ובזמן אמת ממערכות מבוזרות.
WebProxy: אידיאלי לקבלת תובנות לגבי תנועה באתר והתנהגות משתמשים.

מגבלה

גודל שורת היומן המקסימלי בפידים של נתונים הוא 4MB.

קביעת ההגדרות האישיות

לפני שמתקינים את ה-forwarder, צריך להגדיר את המאפיינים העיקריים הבאים כדי לוודא שההטמעה תתבצע בהצלחה.

דחיסת נתונים

דחיסת נתונים או יומנים מפחיתה את צריכת רוחב הפס של הרשת כשמעבירים יומנים ל-Google SecOps. עם זאת, יכול להיות שהשימוש במעבד (CPU) יגדל. האיזון האופטימלי בין החיסכון ברוחב הפס לבין השימוש במעבד (CPU) תלוי בכמה גורמים, כמו סוג היומן, יכולת הדחיסה של הנתונים, משאבי המעבד הזמינים והמגבלות של רוחב הפס ברשת.

לדוגמה, בדרך כלל קל לדחוס יומנים מבוססי-טקסט, והם יכולים לחסוך הרבה רוחב פס עם שימוש נמוך במעבד (CPU). לעומת זאת, יכול להיות שנתונים מוצפנים או בינאריים לא יידחסו ביעילות ויגרמו לשימוש גבוה יותר במעבד.

כברירת מחדל, דחיסת היומנים מושבתת. כדאי להעריך את היתרונות והחסרונות בהתאם לסביבה הספציפית שלכם ולאופי של נתוני היומן.

אגירת נתונים בדיסק

מומלץ להפעיל אגירת נתונים בדיסק. אגירת נתונים בדיסק מאפשרת לאגור הודעות בצבר משימות בדיסק במקום בזיכרון, וכך להגן מפני אובדן נתונים במקרה של קריסה של המעביר או המארח. עם זאת, הפעלת אגירת נתונים בדיסק עלולה להשפיע על הביצועים.

אם האפשרות לשמירה במאגר נתונים זמני בדיסק מושבתת, ה-forwarder מקצה זיכרון (RAM) בנפח של 1GB לכל סוג של יומן (לדוגמה, לכל מחבר). הזיכרון המקסימלי המותר לאגירת נתונים בדיסק הוא 4GB.

מסננים של ביטויים רגולריים

מסננים של ביטויים רגולריים מאפשרים לכם להעריך דפוסים מול נתוני יומן גולמיים באמצעות תחביר RE2. כל מסנן חייב לכלול ביטוי רגולרי, ואפשר להגדיר בו את ההתנהגות כשיש התאמה.

תוויות שרירותיות

תוויות משמשות לצירוף מטא-נתונים בהתאמה אישית ליומנים באמצעות צמדי מפתח/ערך. אפשר להגדיר תוויות לכל ה-forwarder או בתוך אוסף ספציפי של ה-forwarder. אם שניהם קיימים, תוויות ברמת האוסף מבטלות תוויות ברמת ה-forwarder אם המפתחות חופפים.

מרחבי שמות

אתם יכולים להשתמש בתוויות של מרחבי שמות כדי לזהות יומנים מקטעי רשת נפרדים, וכדי למנוע התנגשויות בין כתובות IP חופפות. אפשר להגדיר תווית של מרחב שמות לכל ה-forwarder או לאוסף ספציפי ב-forwarder. אם שניהם קיימים, מרחב השמות ברמת ה-collector מבטל את מרחב השמות ברמת ה-forwarder.

סוג יומן הביקורת

‫Google SecOps תומך במגוון סוגי יומנים. לרשימה המלאה של קבוצות הנתונים הנתמכות

אפשרויות לאיזון עומסים וזמינות גבוהה

איזון עומסים נתמך רק בסוג האיסוף syslog.

אפשר לפרוס את ה-forwarder בסביבות שבהן מותקן מאזן עומסים בשכבה 4 בין מקור הנתונים לבין המופעים של ה-forwarder. כך אפשר לפזר את איסוף היומנים בין כמה מעבירים, ולשפר את האמינות על ידי הפניית היומנים למעביר אחר במקרה של כשל.

למערכת להעברת נתונים יש שרת HTTP מובנה שמגיב לבדיקות תקינות ממאזני עומסים, ומונע אובדן של יומנים במהלך ההפעלה והכיבוי. אתם יכולים להגדיר את שרת ה-HTTP, את איזון העומסים ואת אפשרויות הזמינות הגבוהה כדי לציין את משך הזמן הקצוב לתפוגה ואת קודי הסטטוס לבדיקות תקינות. ההגדרה הזו תואמת גם לפריסות מבוססות-קונטיינרים וגם למאזני עומסים.

הגדרה	תיאור
זמן קצוב לתפוגה הדרגתית	משך הזמן שבו חיבורים חדשים מתקבלים אחרי שהמעביר מחזיר סטטוס `unready` בתגובה לבדיקת תקינות. זה גם הזמן שצריך להמתין בין קבלת אות לעצירה לבין תחילת הכיבוי של השרת עצמו. כך למאזן העומסים יש זמן להסיר את ה-forwarder מהמאגר. הערכים התקינים הם בשניות. לדוגמה, כדי לציין 10 שניות, מקלידים `10.` אי אפשר להזין ערכים עשרוניים. ברירת המחדל: 15 שניות
זמן קצוב לניקוז	משך הזמן שהמערכת להעברת אימיילים ממתינה עד שהחיבורים הפעילים ייסגרו מעצמם לפני שהשרת יסגור אותם. לדוגמה, כדי לציין 5 שניות, מקלידים `5.`. אסור להשתמש בערכים עשרוניים. ברירת המחדל: 10 שניות
יציאה	מספר היציאה שבה שרת ה-HTTP מאזין לבדיקות תקינות ממאזן העומסים. הערך צריך להיות בין 1,024 ל-65,535. ברירת המחדל: 8080
כתובת IP או שם מארח	כתובת ה-IP או שם המארח שאפשר לפענח לכתובת IP, שהשרת צריך להאזין לה. ברירת המחדל: 0.0.0.0 (המערכת המקומית)
הזמן הקצוב לתפוגת הקריאה	משמש לכוונון שרת ה-HTTP. בדרך כלל אין צורך לשנות את הגדרת ברירת המחדל. הזמן המקסימלי המותר לקריאת הבקשה כולה, גם הכותרת וגם גוף הטקסט. אפשר להגדיר גם את השדה read timeout וגם את השדה read header timeout. ברירת המחדל: 3 שניות
Read header timeout	משמש לכוונון שרת ה-HTTP. בדרך כלל אין צורך לשנות את הגדרת ברירת המחדל. הזמן המקסימלי המותר לקריאת כותרות של בקשות. מועד הקריאה של החיבור מתאפס אחרי קריאת הכותרת. ברירת המחדל: 3 שניות
זמן קצוב לכתיבה	משמש לכוונון שרת ה-HTTP. בדרך כלל אין צורך לשנות את הגדרת ברירת המחדל. משך הזמן המקסימלי המותר לשליחת תשובה. הוא מתאפס כשנקראת כותרת בקשה חדשה. ברירת המחדל: 3 שניות
זמן קצוב לתפוגה במצב חוסר פעילות	משמש לכוונון שרת ה-HTTP. בדרך כלל אין צורך לשנות את הגדרת ברירת המחדל. משך הזמן המקסימלי להמתנה לבקשה הבאה כשחיבורים ללא פעילות מופעלים. אם השדה idle timeout מוגדר לאפס, המערכת משתמשת בערך של השדה read timeout. אם שניהם אפס, המערכת משתמשת בשדה read header timeout . ברירת המחדל: 3 שניות
קוד סטטוס זמינות	קוד הסטטוס שהמעביר מחזיר כשמתקבלת בדיקת פעילות והמעביר זמין. מתזמנים ומנהלי תזמור של קונטיינרים שולחים לעיתים קרובות בדיקות תקינות. ברירת המחדל: 204
קוד סטטוס "מוכן"	קוד הסטטוס שהמעביר מחזיר כשהוא מוכן לקבל תנועה באחד מהמצבים הבאים: בדיקת מוכנות מתקבלת מתזמן או מתזמר של קונטיינרים. מתקבלת בדיקת תקינות ממאזן עומסים. ברירת המחדל: 204
קוד סטטוס "לא מוכן"	קוד הסטטוס שהמעביר מחזיר כשהוא לא מוכן לקבל תנועה. ברירת המחדל: 503

שלב 1: הגדרת ה-forwarder

לכל שרת העברה שנפרס נדרש קובץ תצורה. בקובץ התצורה של ה-forwarder מצוינות ההגדרות להעברת הנתונים למכונה של Google SecOps. מומלץ ליצור קובץ תצורה חדש לכל מארח כדי לשמור על הבחנה ברורה בין האוספים שמשויכים לכל אחד מהם.

Google Cloud מתאים אישית את קובצי התצורה האלה עם מטא-נתונים ספציפיים לכל מכונה של מעביר. אתם יכולים לשנות את הקבצים האלה בהתאם לדרישות הספציפיות שלכם, ולשלב פרטים על סוגי היומנים שאתם רוצים להטמיע.

אפשר ליצור קובץ תצורה של מעביר (forwarder) דרך ממשק המשתמש, דרך ה-API או באופן ידני.

ממשק המשתמש מספק ממשק גרפי להגדרת מעבירים, וזו השיטה המומלצת ליצירת הגדרת מעביר. זו הדרך הכי קלה להתחיל, והיא לא דורשת תכנות. כדי להוריד את קובץ התצורה באמצעות ממשק המשתמש של Google SecOps, קראו את המאמר ניהול הגדרות של מעבירים באמצעות ממשק המשתמש של Google SecOps.
ה-API מספק דרך פרוגרמטית להגדיר מעבירים. כדי להוריד את הגדרת ה-forwarder באופן פרוגרמטי, ראו Forwarder Management API.
אתם יכולים ליצור את קובץ התצורה באופן ידני ולהוסיף לו את אפשרויות ההגדרה. כדי להבטיח דיוק ולצמצם שגיאות אפשריות, מומלץ להשתמש בשיטת ממשק המשתמש ליצירת קובץ התצורה. כדי ליצור את הקובץ באופן ידני, ראו ניהול ידני של קובץ התצורה של ה-forwarder.

שלב 2: מתקינים את Docker

בקטע הזה מוסבר איך להתקין את Docker במערכת.

אימות של Docker באמצעות Artifact Registry

כחלק מההתקנה של Docker, צריך לאמת את Docker. אתם יכולים לאמת את Docker באמצעות ממשק שורת הפקודה (CLI) של Google Cloud CLI, או אם אתם לא יכולים להתקין את Google Cloud CLI, אתם יכולים ליצור קובץ JSON חדש של חשבון שירות במכונה הווירטואלית.

שיטה ראשונה: שימוש בממשק שורת הפקודה (CLI) של Google Cloud CLI

מריצים את הפקודה הבאה כדי לאמת את Docker:

gcloud auth configure-docker gcr.io

שיטה שנייה: יוצרים ומורידים קובץ JSON חדש של חשבון שירות במכונה הווירטואלית (VM).

השיטה הזו מתאימה אם אתם לא יכולים להתקין את Google Cloud CLI (ממשק שורת הפקודה).

מריצים את הפקודה הבאה כדי לאמת את Docker:

cat key.json | docker login -u _json_key --password-stdin https://gcr.io

למידע נוסף על שיטות נוספות לאימות Docker, ראו הגדרת אימות ל-Artifact Registry בשביל Docker.

מערכת Linux

‫Docker הוא קוד פתוח וכל התיעוד הנדרש זמין בקהילת הקוד הפתוח של Docker. הוראות להתקנת Docker מופיעות במאמר התקנת Docker Engine.

כדי לבדוק אם Docker מותקן כמו שצריך במערכת, מריצים את הפקודה הבאה (נדרשות הרשאות מורחבות):

   docker ps

התגובה הבאה מציינת ש-Docker הותקן כמו שצריך:

CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES

מערכת Windows

מפעילים את Windows PowerShell עם הרשאות אדמין ובודקים את החיבור לרשת של Google Cloud :

לוחצים על התחלה.
מקלידים PowerShell ולוחצים לחיצה ימנית על Windows PowerShell.
לוחצים על הפעלה כמנהל מערכת.

מריצים את הפקודה הבאה:

C:\> test-netconnection <host> -port <port>

פלט הפקודה מציין שהסטטוס של TcpTestSucceeded הוא true.

דוגמה:

C:\> test-netconnection malachiteingestion-pa.googleapis.com -port 443
ComputerName     :  malachiteingestion-pa.googleapis.com
RemoteAddress    : 198.51.100.1
RemotePort       : 443
InterfaceAlias   : Ethernet
SourceAddress    : 203.0.113.1
TcpTestSucceeded : True

כדי להתקין את Docker, מבצעים את הפעולות הבאות בשרת Windows.

מפעילים את התכונה Microsoft Windows container:

Install-WindowsFeature containers -Restart

כדי להתקין את Docker CE, מריצים את הפקודה הבאה במצב אדמין ב-PowerShell:

Invoke-WebRequest -UseBasicParsing "https://raw.githubusercontent.com/microsoft/Windows-Containers/Main/helpful_tools/Install-DockerCE/install-docker-ce.ps1" -o install-docker-ce.ps1

.\install-docker-ce.ps1

כדי לבדוק את ממשק שורת הפקודה של Docker, מריצים את הפקודה docker ps, שמחזירה רשימה של קונטיינרים פעילים. אם Docker לא מותקן כמו שצריך, תוצג הודעת שגיאה.

מידע נוסף זמין במאמר Get started: Prep Windows for containers.

בפריסות ארגוניות, מתקינים את Mirantis Container Runtime, שנקרא גם Docker EE.

‫שלב 3: התקנת ה-forwarder

בקטע הזה מוסבר איך להתקין את ה-forwarder באמצעות קונטיינר של Docker.

שלב 3א: העברת קובצי התצורה לספריית ה-forwarder

השלב הראשון בתהליך ההתקנה של ה-forwarder הוא להציב את קובצי התצורה הנדרשים בספרייה הייעודית של ה-forwarder.

מערכת Linux

כדי להציב את קובצי התצורה בספריית ה-forwarder:

מתחברים למארח של המעביר ב-Linux באמצעות הטרמינל.
משנים את הספרייה לספריית הבית שבה פועל מאגר Docker.
יוצרים ספרייה לאחסון קובצי התצורה של ה-forwarder.
```
  mkdir /opt/chronicle/'CONFIG'
```
אתם יכולים להחליף את שם הספרייה, CONFIG, בכל שם שתרצו. חשוב להשתמש באותו שם ספרייה כשמריצים את הפקודה docker run.
משנים את הספרייה.
```
  cd /opt/chronicle/config
```
אחרי העברת הקבצים, ודאו שקובצי התצורה נמצאים בספרייה /opt/chronicle/config.
```
  ls -l
```

מערכת Windows

יוצרים תיקייה בשם C:\config וממקמים בה את קובצי התצורה. אפשר להחליף את שם התיקייה, config, בכל שם שרוצים. חשוב להשתמש באותו שם תיקייה כשמריצים את הפקודה docker run.

שלב 3ב: מפעילים את ה-forwarder

אחרי ששומרים את קובצי התצורה בספרייה הייעודית של ה-forwarder, אפשר להפעיל את ה-forwarder או לשדרג לגרסה העדכנית של קונטיינר Google SecOps.

אם אתם משדרגים את הקונטיינר, אתם צריכים לנקות את כל ההרצות הקודמות של Docker באמצעות הפקודות הבאות.

      docker stop 'cfps'

      docker rm 'cfps'

בדוגמה, השם של מאגר Docker הוא cfps.

כדי להפעיל את ה-Forwarder בפעם הראשונה או לשדרג לגרסה העדכנית של קונטיינר Google SecOps:

מורידים את קובץ האימג' העדכני של Docker מ- Google Cloud:

מערכת Linux:

docker pull gcr.io/chronicle-container/cf_production_stable

מערכת Windows:

docker pull gcr.io/chronicle-container/cf_production_stable_windows

מפעילים את המעביר ממאגר Docker:

מערכת Linux:

  docker run \
  --detach \
  --name cfps \
  --restart=always \
  --log-opt max-size=100m \
  --log-opt max-file=10 \
  --net=host \
  -v /opt/chronicle/config:/opt/chronicle/external \
  gcr.io/chronicle-container/cf_production_stable

(אופציונלי למערכת Linux) כשמפעילים את ה-forwarder מקונטיינר Docker, אפשר לטעון ספריית משנה ספציפית מ-/var/log/.
כדי לטעון ספריית משנה ספציפית, מוסיפים את השורה הבאה לפקודה ומחליפים את ה-placeholder <parser-name> בשם הספרייה במערכת המארחת שממנה צריך לאסוף את היומנים:

  -v /var/log/<parser-name>:/opt/chronicle/edr \

מערכת Linux (כולל האפשרות לטעון ספריית משנה ספציפית):

`docker run \
--detach \
--name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v /opt/chronicle/config:/opt/chronicle/external \
-v /var/log/<parser-name>:/opt/chronicle/edr \
gcr.io/chronicle-container/cf_production_stable`

מערכת Windows:

  docker run `
    --detach `
    --name cfps `
    --restart=always `
    --log-opt max-size=100m `
    --log-opt max-file=10 `
    -p 0.0.0.0:10515-10520:10515-10520/udp `
    -v C:\config\:C:/opt/chronicle/external `
    gcr.io/chronicle-container/cf_production_stable_windows

האפשרויות של --log-opt זמינות החל מ-Docker 1.13. האפשרויות האלה מגבילות את הגודל של קובצי היומן של הקונטיינר, וצריך להשתמש בהן כל עוד גרסת Docker שבה אתם משתמשים תומכת בהן.

ניהול ה-forwarder

בקטעים הבאים מוסבר איך לנהל את ה-forwarder.

צפייה ביומני ההעברה

כדי להציג את יומני ה-forwarder, מריצים את הפקודה הבאה:
```
docker logs cfps
```
כדי לראות את הנתיב של הקובץ שבו מאוחסנים היומנים, מריצים את הפקודה הבאה:
```
docker inspect --format='{{.LogPath}}' CONTAINER_NAME
```
כדי להציג את היומנים שפועלים בזמן אמת, מריצים את הפקודה הבאה:
```
docker logs cfps -f
```
כדי לשמור את היומנים בקובץ, מריצים את הפקודה הבאה:
```
docker logs cfps &> logs.txt
```

הסרת ההתקנה של המעביר

הפקודות הבאות של Docker עוזרות לעצור, להסיר או למחוק את ה-forwarder.

כדי לעצור או להסיר את הקונטיינר של ה-forwarder, מריצים את הפקודה הבאה:
```
docker stop cfps
```
כדי להסיר את מאגר ה-forwarder, מריצים את הפקודה הבאה:
```
docker rm cfps
```

עדכון ה-forwarder

הכלי להעברת נתונים מורכב משני רכיבים, ולכל אחד מהם יש תהליך עדכון:

חבילת Forwarder: הרכיב הזה מתעדכן באופן אוטומטי, כך שאין צורך להפעיל מחדש.
קובץ אימג' של Docker למעביר: העדכונים לרכיב הזה מתבצעים באופן ידני. תצטרכו לעצור את המכונה הנוכחית של ה-forwarder ולהפעיל מכונה חדשה, כמו שמתואר בשלב 3ב'.

מדריכים להטמעת נתונים באמצעות Forwarder לקבוצות נתונים ספציפיות

כדי ללמוד איך להטמיע קבוצת נתונים מסוימת באמצעות מעבירים, קראו את המאמרים הבאים:

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.