Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Analiza la actividad del feed con Cloud Logging

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

Esta guía ayuda a los ingenieros y administradores de seguridad a supervisar, depurar y solucionar problemas relacionados con los feeds y las canalizaciones de transferencia dentro del SIEM de Google SecOps. Para obtener una descripción general más amplia de la supervisión de la transferencia de datos, consulta Verifica el estado de la transferencia de datos y Soluciona problemas relacionados con la transferencia de datos. En esta guía, se explica cómo enviar, ver y consultar los registros de actividad de la transferencia de datos y los feeds en Cloud Logging. Con Cloud Logging, puedes diagnosticar problemas con la entrega de registros, como registros faltantes, retrasados o con errores, y reducir el tiempo necesario para resolver anomalías de transferencia. Esta visibilidad de los mecanismos de transferencia basados en la extracción y la inserción también te permite usar Gemini Cloud Assist para investigar el registro y la telemetría de métricas.

Antes de comenzar

Para obtener los permisos necesarios para ver los registros, pídele a tu administrador que te otorgue uno de los siguientes roles de Identity and Access Management (IAM) en tu proyecto:
- Visor de registros (roles/logging.viewer)
- Visor de registros privados (roles/logging.privateLogViewer)
Si quieres obtener más información para otorgar roles, consulta Administra el acceso.
Comprende las implicaciones de costos. Cloud Logging es un servicio facturable. Hay un nivel gratuito disponible como parte del Google Cloud Programa gratuito. Para obtener más información, consulta los precios de Observability deGoogle Cloud .

Terminología clave

chronicle-siem: Es la etiqueta del espacio de nombres para los registros asociados con el ecosistema de Google SecOps.
chronicle.googleapis.com/ingestion_activity: Es el ID del registro para el flujo de registros relacionado específicamente con las canalizaciones de transferencia de datos de Google SecOps.
storage_transfer_job: Es el tipo de recurso para los registros de feeds estáticos que usan el Servicio de transferencia de almacenamiento (STS).
storagetransfer.googleapis.com/transfer_activity: Es el ID de registro de los registros de actividad de STS.

Descripción general del análisis de la actividad del feed

El análisis de la actividad del feed en Cloud Logging implica varios pasos clave:

Accede al Explorador de registros: Navega al Explorador de registros en la consola de Google Cloud y selecciona el proyecto Google Cloud correcto. Para obtener más información, consulta la documentación de la interfaz del Explorador de registros.
Consultar registros: Crea consultas para filtrar registros según varios parámetros, como intervalos de tiempo, espacios de nombres, IDs de registro, mecanismos de transferencia, IDs de feed o IDs de recopilador. Para conocer las reglas de sintaxis, consulta Lenguaje de consulta de Logging. En esta guía, se proporcionan ejemplos de situaciones de filtrado comunes.
Investiga tipos de feeds específicos: Aprende a consultar registros de feeds con diferentes métodos de transferencia, incluidos los que utilizan el Servicio de transferencia de almacenamiento (STS), que tienen formatos de registro únicos.
Usa herramientas de la consola: Aprovecha las funciones integradas de la consola de Google SecOps, como Depurar con registros y Gemini Cloud Assist, para optimizar el proceso de análisis y depuración.
Comprende el esquema de registros: Consulta la referencia del esquema para comprender los campos y los tipos de datos dentro de las cargas útiles de registros, lo que ayuda con el análisis y la solución de problemas más profundos.

En las siguientes secciones, se proporciona información detallada para ayudarte a supervisar de manera eficaz el estado de tus canalizaciones de transferencia de datos, depurar problemas y solucionar errores.

Cómo ver y consultar los registros de actividad del feed

Para ver los registros de actividad del feed y realizar consultas sobre ellos, haz lo siguiente:

Navega a la página Explorador de registros en la consola de Google Cloud .
Selecciona el proyecto Google Cloud asociado con tu instancia de Google SecOps.
Ingresa una expresión de consulta en el panel Consulta para filtrar los registros.
Haz clic en Ejecutar consulta.

En las siguientes secciones, se muestran ejemplos de consultas para situaciones comunes.

Filtrar por espacio de nombres de Google SecOps

Para recuperar todos los registros asociados con el ecosistema de Google SecOps, usa la siguiente consulta:

labels.namespace="chronicle-siem"

Filtrar por transmisión del registro de actividad de transferencia

Para aislar los registros relacionados específicamente con las canalizaciones de transferencia de datos, usa la siguiente consulta:

log_id("chronicle.googleapis.com/ingestion_activity")

Filtrar por mecanismo de transferencia

Para segmentar los registros de un mecanismo de transferencia específico, como las APIs de terceros, usa el campo labels.ingestion_mechanism en tu consulta:

labels.ingestion_mechanism="Third Party API"

Filtrar por ID de feed o ID de recopilador

Para ver los registros de un feed o recopilador de transferencia específicos, usa los campos labels.feed_id o labels.collector_id. Para obtener información sobre cómo configurar feeds, consulta Administra feeds de datos y Descripción general de los feeds de datos. Para los recopiladores, consulta Transferencia y análisis de registros:

labels.feed_id="FEED_ID"

Reemplaza FEED_ID por el identificador único de tu feed.

labels.collector_id="COLLECTOR_ID"

Reemplaza COLLECTOR_ID por el identificador único de tu recopilador.

Visualiza los registros del Servicio de transferencia de almacenamiento

Los registros de los feeds estáticos que usan el Servicio de transferencia de almacenamiento (STS) se enrutan desde el entorno del arrendatario a tu proyecto Google Cloud y usan un tipo de recurso y un nombre de registro diferentes. Para obtener información general sobre el STS, consulta la documentación del Servicio de transferencia de almacenamiento.

Meta: Ver el registro de actividad de STS.
Acción: Ejecuta la siguiente consulta: none resource.type="storage_transfer_job" AND log_id("storagetransfer.googleapis.com/transfer_activity")
Falla prevista: La búsqueda con log_id("chronicle.googleapis.com/ingestion_activity") no mostrará registros para estos feeds estáticos.
Paso correctivo: Usa resource.type="storage_transfer_job" y el STS específico log_id.

Excluye registros específicos con el enrutador de registros

Tienes control total y detallado sobre qué registros de actividad del feed se enrutan a Cloud Logging. Si configuras filtros de exclusión en tu proyecto Google Cloud , puedes dejar de recibir registros específicos, como los de un ID de feed en particular.

Para crear un filtro de exclusión y dejar de recibir registros específicos, haz lo siguiente:

En la consola de Google Cloud , selecciona tu proyecto.
En el cuadro de búsqueda, busca Enrutador de registros.
En la lista Receptores del enrutador de registros, haz clic en el menú Más (tres puntos) junto al receptor _Default y, luego, selecciona Editar receptor.
En la página Editar receptor, ve a la sección Elige registros para filtrar fuera del receptor (opcional) y agrega exclusiones según sea necesario.

Por ejemplo, para filtrar los registros del Servicio de transferencia de almacenamiento (STS), agrega un filtro de exclusión y proporciona la siguiente expresión de filtro:

resource.type="storage_transfer_job"

Si tienes problemas y quieres inhabilitar por completo el registro de actividad de todos los feeds, puedes abrir un caso de asistencia y solicitar esta acción. Google SecOps puede inhabilitar el registro por completo, pero esta es una acción de "todo o nada", ya que inhabilita por completo los registros de todos los feeds de tu cuenta, en lugar de líneas o feeds específicos.

Usa herramientas de la consola para depurar feeds

Google SecOps proporciona integraciones de la consola para acceder a los registros de actividad:

Pregúntale a Gemini Cloud Assist: En la página Feeds, selecciona Pregúntale a Gemini Cloud Assist para abrir el panel de chat. Puedes hacer preguntas sobre los volúmenes y los errores de tu feed. Para obtener más información, consulta la Descripción general de Gemini en Google SecOps.
Depurar con registros: En la página Administración de feeds, abre el menú de acciones de un feed específico y selecciona Depurar con registros. Esta opción también está disponible en la página Ver feed. Se abrirá el Explorador de registros en una pestaña nueva, con el ID del feed seleccionado como filtro previo.

Referencia del esquema de registro

Los registros de actividad del feed usan una estructura de carga útil JSON unificada.

Campos del registro de actividad de transferencia

Campo	Tipo de datos	Descripción
`request_start_time`	`string`	Es la marca de tiempo (RFC 3339) en la que se inició la actividad.
`activity_duration`	`string`	Duración total transcurrida de la actividad (p.ej., "1.500 s").
`transfer_id`	`string`	Es el identificador único de un archivo específico o de una operación de transferencia de datos.
`feed_id`	`string`	Es el identificador único del feed de transferencia de Google SecOps.
`collector_id`	`string`	Es el identificador único del recopilador que ejecuta la transferencia.
`log_type`	`string`	Es el formato de los registros que se transfieren (p.ej., `DUO`, `OFFICE_365`). Para obtener una lista de cadenas de formato, consulta Analizadores predeterminados compatibles.
`file`	`string`	Nombre del archivo procesado o del contenedor de blobs (para fuentes basadas en archivos).
`request_urls`	`array of strings`	Son las URLs de destino que se usan para extraer o transferir datos (para las fuentes basadas en la API).
`http_status_code`	`integer`	Es el código de estado HTTP que se recibe de las operaciones de recuperación de la API.
`bytes_transferred`	`integer`	Cantidad de bytes sin procesar que se transfirieron correctamente durante la actividad.
`record_count`	`integer`	Cantidad de entradas de registro individuales procesadas, extraídas o analizadas.
`activity`	`string`	Nombre de la tarea que se ejecuta (p.ej., `File Processing`, `File Transfer`).
`details`	`string`	Son los metadatos o detalles adicionales de la actividad de transferencia.
`error_details`	`object`	Es información detallada sobre el error si la actividad falló. Consulta Campos de detalles del error.

Campos de detalles del error

Campo	Tipo de datos	Descripción
`error_message`	`string`	Explicación del error legible por humanos.
`error_code`	`string`	Es el código o identificador de error (admite códigos numéricos y cadenas descriptivas).
`error_type`	`string`	Clasificación o categoría del error.
`is_retriable`	`boolean`	Indica si se puede volver a intentar la operación que causó el error.

Ejemplos de cargas útiles de registros

Ejemplo de registro de actividad de transferencia correcta

{
  "request_start_time": "2026-06-30T19:00:00Z",
  "activity_duration": "0.500s",
  "transfer_id": "transfer-12345",
  "feed_id": "feed-998877",
  "collector_id": "collector-abcd",
  "log_type": "WORKDAY_AUDIT",
  "file": "audit_log_2026_06_30.json",
  "request_urls": [
    "https://api.workday.com/ccx/v1/tenant/logs"
  ],
  "http_status_code": 200,
  "bytes_transferred": 4512000,
  "record_count": 12500,
  "activity": "File Processing",
  "details": "Successfully processed and validated 12500 records from Workday."
}

Ejemplo de registro de actividad de transferencia con errores

{
  "request_start_time": "2026-06-30T19:05:00Z",
  "activity_duration": "1.200s",
  "transfer_id": "transfer-12346",
  "feed_id": "feed-998877",
  "collector_id": "collector-abcd",
  "log_type": "WORKDAY_AUDIT",
  "request_urls": [
    "https://api.workday.com/ccx/v1/tenant/logs"
  ],
  "http_status_code": 401,
  "bytes_transferred": 0,
  "record_count": 0,
  "activity": "File Transfer",
  "details": "Authorization failure during API request.",
  "error_details": {
    "error_message": "Invalid API token or credential expired.",
    "error_code": "401",
    "error_type": "AUTHORIZATION_ERROR",
    "is_retriable": true
  }
}

Soluciona problemas

En esta sección, se describen las limitaciones y los problemas comunes.

Limitaciones

Campos del Servicio de transferencia de almacenamiento (STS): Los registros de los feeds estáticos que se enrutan desde el STS usan el tipo de recurso storage_transfer_job y el nombre de registro storagetransfer.googleapis.com/transfer_activity en lugar de chronicle.googleapis.com/ingestion_activity.
Correlación de telemetría: Los campos de alta cardinalidad, como feed_id, se incluyen como etiquetas de metadatos en los registros en lugar de etiquetas de recursos en la definición del recurso supervisado. Las capacidades de correlación de Gemini Cloud Assist que usan etiquetas de metadatos están sujetas a una evaluación continua.

Corrección de errores

Descripción del problema	Corregir
Faltan registros para los feeds estáticos en las búsquedas estándar	Asegúrate de realizar la consulta con el tipo de recurso específico de STS `storage_transfer_job` y el ID de registro `storagetransfer.googleapis.com/transfer_activity`. Consulta Visualiza los registros del Servicio de transferencia de almacenamiento.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.