Transferencia de registros de Google Cloud

Se admite en los siguientes sistemas operativos:

En esta página, se describe cómo habilitar y deshabilitar Google Cloud la transferencia de datos en Google Security Operations. Esto te permite almacenar, buscar y examinar la información de seguridad agregada de tu empresa, que se remonta a meses o más, de acuerdo con tu período de retención de datos.

Descripción general

Existen dos opciones para enviar datos de Google Cloud a Google SecOps. Elegir la opción correcta depende del tipo de registro.

Opción 1: Transferencia directa

Se puede configurar un filtro especial de Cloud Logging en Google Cloud para enviar tipos de registros específicos a Google SecOps en tiempo real. Estos registros los generan los servicios de Google Cloud . Los registros se recopilan a partir del momento en que se configura el filtro. No se incluyen los registros generados antes de la configuración. Este reenvío en tiempo real se aplica a Cloud Logging, los metadatos de recursos de Cloud y los resultados de Security Command Center Premium.

Usa este método para los registros de gran volumen, como los de flujo de VPC y DNS. Esta ruta de acceso está optimizada para la velocidad y no requiere configuración adicional en la consola de Google Cloud .

Google Security Operations solo ingiere los tipos de registros admitidos. Entre los tipos de registros disponibles, se incluyen los siguientes:

  • Registros de auditoría de Cloud
  • Cloud NAT
  • Cloud DNS
  • Cloud Next Generation Firewall
  • Sistema de detección de intrusiones de Cloud
  • Cloud Load Balancing
  • Cloud SQL
  • Registros de eventos de Windows
  • Syslog de Linux
  • Linux Sysmon
  • Zeek
  • Google Kubernetes Engine
  • Daemon de auditoría (auditd)
  • Apigee
  • Google Cloud Fraud Defense
  • Registros de Cloud Run (GCP_RUN)
  • Google Cloud Casos de abuso
  • Google Cloud Detección de amenazas avanzada de DNS (GCP_DNS_ATD)
  • Registros de Model Armor

Para obtener detalles sobre los filtros de registros específicos y más detalles de transferencia, consulta Exporta registros de Google Cloud a Google SecOps.

También puedes enviar metadatos de activo Google Cloud que se usan para el enriquecimiento del contexto. Para obtener más detalles, consulta Exporta metadatos de activos de Google Cloud a Google SecOps.

Opción 2: Google Cloud Almacenamiento

Cloud Logging puede enrutar registros a Cloud Storage por Google SecOps de forma programada.

Usa esta opción si necesitas filtrar los registros antes de que lleguen a Google SecOps. Esto te permite aplicar filtros de exclusión de expresiones regulares para que solo los registros relevantes para la seguridad se contabilicen en tu cuota, lo que puede ayudarte a ahorrar costos.

Para obtener detalles sobre cómo configurar Cloud Storage para Google SecOps, consulta Administración de feeds: Cloud Storage.

Antes de comenzar

Antes de transferir datos de Google Cloud a una instancia de Google SecOps, debes asegurarte de tener los permisos adecuados.

Permisos necesarios

Otorga uno de los siguientes roles de Identity and Access Management (IAM) a nivel de la organización para acceder a la sección de Google SecOps, según tu objetivo:

  • Para configurar, habilitar o modificar la transferencia, haz lo siguiente:
    • Administrador del servicio de Chronicle (roles/chroniclesm.admin): Se requiere para realizar todas las actividades de configuración y habilitación.
  • Para ver solo el estado de transferencia, sigue estos pasos:
    • Visualizador del servicio de Chronicle (roles/chroniclesm.viewer): Te permite ver el estado de la transferencia, pero no otorga permisos para habilitarla ni modificarla.

Permisos adicionales

Según el tipo de datos que planees transferir o verificar, es posible que también necesites lo siguiente:

  • Editor administrador del centro de seguridad (roles/securitycenter.adminEditor): Es obligatorio si planeas habilitar la transferencia de metadatos de recursos de Cloud.
  • Visualizador de roles de la organización (roles/iam.organizationRoleViewer): Es necesario para ver los roles de IAM predeterminados o personalizados a nivel de la organización.

Requisitos previos

Otorga roles de IAM

Puedes otorgar los roles de IAM necesarios con la consola de Google Cloud o con gcloud CLI.

Para otorgar roles de IAM con la consola de Google Cloud , completa los siguientes pasos:

  1. Accede a la organización de Google Cloud a la que deseas conectarte y ve a la pantalla de IAM con Productos > IAM y administración > IAM.

  2. En la pantalla IAM, selecciona el usuario y haz clic en Editar miembro.

  3. En la pantalla Editar permisos, haz clic en Agregar otro rol y busca Google SecOps para encontrar los roles de IAM.

  4. Una vez que hayas asignado los roles, haz clic en Guardar.

Para otorgar roles de IAM con Google Cloud CLI, completa los siguientes pasos:

  1. Ejecuta gcloud init para verificar que accediste a la organización y al proyecto correctos.

  2. Ejecuta los siguientes comandos correspondientes a los roles específicos que necesitas otorgar:

    • Para otorgar el rol de administrador del servicio de Chronicle, haz lo siguiente:

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/chroniclesm.admin

      Reemplaza lo siguiente:

      • ORGANIZATION_ID: Es el ID de organización numérico.
      • USER_EMAIL: la dirección de correo electrónico del usuario.

    • Para otorgar el rol de visualizador de servicios de Chronicle, haz lo siguiente:

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/chroniclesm.viewer

    • Para otorgar el rol de Editor administrador del centro de seguridad, haz lo siguiente:

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/securitycenter.adminEditor

    • Para otorgar el rol de visualizador de roles de la organización, haz lo siguiente:

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/iam.organizationRoleViewer

Habilita la transferencia directa desde Google Cloud

Los pasos para habilitar la transferencia directa desde Google Cloud varían según la propiedad del proyecto al que está vinculada tu instancia de Google SecOps.

Después de configurar la transferencia directa, tus datos de Google Cloud se envían a Google SecOps. Puedes usar las funciones de análisis de Google SecOps para investigar problemas relacionados con la seguridad.

Configura la transferencia cuando el proyecto es propiedad del cliente

Sigue estos pasos si eres propietario del proyecto Google Cloud .

Puedes configurar la transferencia directa desde varias organizaciones con la misma página de configuración a nivel del proyecto. Sigue estos pasos para crear una configuración nueva y editar una existente.

Cuando migras una instancia existente de Google SecOps para que se vincule a un proyecto de tu propiedad, y si se configuró la transferencia directa antes de la migración, también se migra la configuración de la transferencia directa.

  1. Ve a la página Google SecOps > Configuración de transferencia en la consola de Google Cloud .
    Ve a la página de Google SecOps
  2. Selecciona el proyecto vinculado a tu instancia de Google SecOps.

  3. En el menú Organización, selecciona la organización desde la que se exportarán los registros. En el menú, se muestran las organizaciones a las que tienes permiso para acceder. La lista puede incluir organizaciones que no estén vinculadas a la instancia de Google SecOps. No puedes configurar una organización que envíe datos a una instancia diferente de Google SecOps.

    Seleccionar una organización

  4. En la sección Configuración de transferencia de Google Cloud, haz clic en el botón de activación Enviando datos a Google Security Operations para habilitar el envío de registros a Google SecOps.

  5. Selecciona una o más de las siguientes opciones para definir el tipo de datos que se envían a Google SecOps:

  6. En la sección Configuración del filtro de exportación del cliente, configura los filtros de exportación para personalizar los datos de Cloud Logging que se envían a Google SecOps. Consulta los tipos de registros deGoogle Cloud admitidos para la exportación.

  7. Para transferir registros de una organización adicional a la misma instancia de Google SecOps, selecciona la organización en el menú Organización y, luego, repite los pasos para definir el tipo de datos que se exportarán y los filtros de exportación. Verás varias organizaciones en el menú Organización.

  8. Para exportar datos de Sensitive Data Protection (antes llamados datos de Cloud Data Loss Prevention) a Google SecOps, consulta Exporta datos de Sensitive Data Protection.

Configura la transferencia para un proyecto administrado por Google

Si Google Cloud es propietario del proyecto, haz lo siguiente para configurar la transferencia directa desde tu organización de Google Cloud a tu instancia de Google SecOps:

  1. Ve a la pestaña Google SecOps > Descripción general > Transferencia en la consola de Google Cloud . Ir a la pestaña Ingestión de Google SecOps
  2. Haz clic en el botón Administrar la configuración de transferencia de la organización.
  3. Si aparece el mensaje Page not viewable for projects, selecciona una organización y haz clic en Seleccionar.
  4. Ingresa tu código de acceso único en el campo Código de acceso único de Google SecOps.
  5. Marca la casilla etiquetada como Doy mi consentimiento a los términos y condiciones del uso que hace Google SecOps de mis Google Cloud datos.
  6. Haz clic en Conectar Google SecOps.
  7. Ve a la pestaña Configuración global de la transferencia de la organización.

  8. Para seleccionar el tipo de datos que se enviarán, habilita una o más de las siguientes opciones:

  9. Ve a la pestaña Exportar la configuración de filtros.

  10. En la sección Configuración del filtro de exportación del cliente, configura los filtros de exportación para personalizar los datos de Cloud Logging que se envían a Google SecOps. Consulta los tipos de registros deGoogle Cloud admitidos para la exportación.

  11. Para exportar datos de Sensitive Data Protection (antes llamados datos de Cloud Data Loss Prevention) a Google SecOps, consulta Exporta datos de Sensitive Data Protection.

Exporta registros de Google Cloud

Después de habilitar Cloud Logging, puedes exportar datos de registro para los tipos de registro deGoogle Cloud compatibles a tu instancia de Google SecOps.

Para exportar los registros de Google Cloud a Google SecOps, cambia el botón de activación Habilitar registros de Cloud a Habilitado.

Tipos de registros admitidos para la exportación

Puedes personalizar el filtro de exportación de los registros para exportarlos a Google SecOps. Incluye o excluye tipos de registros agregando o quitando filtros de exportación compatibles, que se indican en esta sección.

Puedes exportar los siguientes Google Cloud tipos de registros a tu instancia de Google SecOps. La siguiente lista se organiza por tipo de registro y la etiqueta de transferencia de Google SecOps correspondiente:

  • Registros de auditoría de Cloud (GCP_CLOUDAUDIT):

    Esto incluye los registros de actividad del administrador, acceso a los datos, eventos del sistema, Transparencia de acceso y política denegada.

    • log_id("cloudaudit.googleapis.com/activity") (exportado por el filtro predeterminado)
    • log_id("cloudaudit.googleapis.com/system_event") (exportado por el filtro predeterminado)
    • log_id("cloudaudit.googleapis.com/policy")
    • log_id("cloudaudit.googleapis.com/access_transparency")

  • Registros de Cloud NAT (GCP_CLOUD_NAT):

    • log_id("compute.googleapis.com/nat_flows")

  • Registros de Cloud DNS (GCP_DNS):

    • log_id("dns.googleapis.com/dns_queries") (se exporta con el filtro predeterminado)

  • Registro de reglas de la política de firewall (GCP_FIREWALL):

    • log_id("compute.googleapis.com/firewall")

  • GCP_IDS:

    • log_id("ids.googleapis.com/threat")
    • log_id("ids.googleapis.com/traffic")

  • GCP_LOADBALANCING:

    Esto incluye los registros de Google Cloud Armor y Cloud Load Balancing (tanto externos como internos).

    • log_id("requests")
    • log_id("loadbalancing.googleapis.com/requests")
    • log_id("loadbalancing.googleapis.com/external_regional_requests")

  • GCP_CLOUDSQL:

    • log_id("cloudsql.googleapis.com/mysql-general.log")
    • log_id("cloudsql.googleapis.com/mysql.err")
    • log_id("cloudsql.googleapis.com/postgres.log")
    • log_id("cloudsql.googleapis.com/sqlagent.out")
    • log_id("cloudsql.googleapis.com/sqlserver.err")

  • GCP_VPC_FLOW:

    • log_id("compute.googleapis.com/vpc_flows") (solo para las regiones de EE.UU. y la UE)
    • log_id("networkmanagement.googleapis.com/vpc_flows")

  • NIX_SYSTEM:

    • log_id("syslog")
    • log_id("authlog")
    • log_id("securelog")
    • log_id("osconfig.googleapis.com/patch_job")

  • LINUX_SYSMON:

    • log_id("sysmon.raw")

  • WINEVTLOG:

    • log_id("winevt.raw")
    • log_id("windows_event_log")

  • BRO_JSON:

    • log_id("zeek_json_streaming_conn")
    • log_id("zeek_json_streaming_dhcp")
    • log_id("zeek_json_streaming_dns")
    • log_id("zeek_json_streaming_http")
    • log_id("zeek_json_streaming_ssh")
    • log_id("zeek_json_streaming_ssl")

  • KUBERNETES_NODE:

    • log_id("events")
    • log_id("stdout")
    • log_id("stderr")

  • AUDITD:

    • log_id("audit_log")

  • GCP_APIGEE_X:

    • log_id("apigee.googleapis.com/ingress_instance")
    • log_id("apigee.googleapis.com")
    • log_id("apigee-logs")
    • log_id("apigee")
    • logName =~ "^projects/[\w\-]+/logs/apigee[\w\-\.]*$"

  • GCP_RECAPTCHA_ENTERPRISE (Google Cloud Fraud Defense):

    • log_id("recaptchaenterprise.googleapis.com/assessment")
    • log_id("recaptchaenterprise.googleapis.com/annotation")

  • GCP_RUN:

    • log_id("run.googleapis.com/stderr")
    • log_id("run.googleapis.com/stdout")
    • log_id("run.googleapis.com/requests")
    • log_id("run.googleapis.com/varlog/system")

  • GCP_NGFW_ENTERPRISE:

    • log_id("networksecurity.googleapis.com/firewall_threat")

  • GCP_ABUSE_EVENTS:

    • log_id("abuseevent.googleapis.com/abuse_events")

  • GCP_DNS_ATD

    • log_id("networksecurity.googleapis.com/dns_threat_events")

  • Registros de Model Armor (GCP_MODEL_ARMOR):

    Esto incluye registros de operaciones de limpieza (selección de instrucciones y respuestas) y operaciones de plantillas (creación y actualizaciones).

    • log_id("modelarmor.googleapis.com/sanitize_operations")
    • log_id("modelarmor.googleapis.com/templates")

Personaliza la configuración de filtros de exportación

De forma predeterminada, tus registros de auditoría de Cloud (actividad del administrador y evento del sistema) y los registros de Cloud DNS se envían a tu instancia de Google SecOps. Sin embargo, puedes personalizar el filtro de exportación para incluir o excluir tipos específicos de registros.

Los filtros están sujetos a una longitud máxima de 20,000 caracteres. Ten en cuenta que los filtros demasiado complejos, en especial aquellos con muchas condiciones AND o OR anidadas, podrían rechazarse incluso si están dentro del límite de caracteres. Simplificar los filtros puede ayudarte a evitar el rechazo. Además, todos los elementos dentro del filtro deben tener un alcance explícito para los tipos de registros admitidos. Debes usar log_id() o logName para hacer referencia a los tipos de registros que se indican en la sección Tipos de registros admitidos para la exportación.

Para definir un filtro personalizado para tus registros, haz lo siguiente:

  1. Identifica los registros de tu filtro personalizado con la herramienta de permisos de registro.

  2. En la sección Filtro de registro generado de forma automática que sigue a la herramienta de alcance de registros, copia el código del filtro de registro personalizado generado.

  3. Ve a la página Google SecOps en la Google Cloud consola y selecciona un proyecto.
    Ve a la página de Google SecOps

  4. Inicia el Explorador de registros con el vínculo de la pestaña Configuración del filtro de exportación.

  5. Copia tu consulta nueva en el campo Consulta y haz clic en Ejecutar consulta para probarla.

  6. Copia tu nueva consulta en el campo Consulta del Explorador de registros y, luego, haz clic en Ejecutar consulta para probarla.

  7. Verifica que los registros coincidentes que se muestran en el Explorador de registros sean exactamente los que deseas exportar a Google SecOps. Cuando el filtro esté listo, cópialo en la sección Configuración del filtro de exportación personalizado de Google SecOps.

  8. Regresa a la sección Configuración del filtro de exportación personalizado en la página Google SecOps.

  9. Haz clic en el ícono de Editar en el campo Filtro de exportación y, luego, pega el filtro copiado en el campo.

  10. Haz clic en Guardar.

    • Si aparece el siguiente mensaje de error: "El filtro proporcionado puede permitir tipos de registros no compatibles", es posible que se haya incluido un tipo de registro no compatible en el filtro de exportación. Quita el tipo de registro no compatible del filtro de exportación. Solo se incluyen los tipos de registros que se indican en Google Cloud tipos de registros admitidos para la exportación.

    • Si se guarda correctamente, el nuevo filtro personalizado funcionará con todos los registros nuevos que se exporten a tu instancia de Google SecOps.

    • Opcional: Para restablecer el filtro de exportación a la versión predeterminada, guarda una copia de tu filtro personalizado y, luego, haz clic en Restablecer a la configuración predeterminada.

Ajusta los filtros de los Registros de auditoría de Cloud

Los registros de acceso a los datos que escriben los Registros de auditoría de Cloud pueden producir un gran volumen de datos sin mucho valor para la detección de amenazas. Si eliges enviar estos registros a Google SecOps, debes filtrar los registros que se generan por actividades de rutina.

El siguiente filtro de exportación captura los registros de acceso a los datos y excluye los eventos de gran volumen, como las operaciones de lectura y lista de Cloud Storage y Cloud SQL:

( log_id("cloudaudit.googleapis.com/data_access")
  AND NOT protoPayload.methodName =~ "^storage\.(buckets|objects)\.(get|list)$"
  AND NOT protoPayload.request.cmd = "select"
  AND NOT protoPayload.methodName =~ "^google\.spanner\.v1\.Spanner\.(ExecuteStreamingSql|BeginTransaction|Commit)$" )

Para obtener más información sobre cómo ajustar los registros de acceso a los datos que generan los Registros de auditoría de Cloud, consulta Administra el volumen de los registros de auditoría de acceso a los datos.

Ejemplos de filtros de exportación

En los siguientes ejemplos de filtros de exportación, se ilustra cómo puedes incluir o excluir ciertos tipos de registros de la exportación a tu instancia de Google SecOps.

Ejemplo de filtro de exportación: Incluye tipos de registros adicionales

El siguiente filtro de exportación exporta los registros de Transparencia de acceso, además de los registros predeterminados:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
log_id("cloudaudit.googleapis.com/access_transparency")

Ejemplo de filtro de exportación: Incluye registros adicionales de un proyecto específico

El siguiente filtro de exportación exporta los registros de Transparencia de acceso de un proyecto específico, además de los registros predeterminados:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
logName = "projects/my-project-id/logs/cloudaudit.googleapis.com%2Faccess_transparency"

Ejemplo de filtro de exportación: Incluye registros adicionales de una carpeta específica

El siguiente filtro de exportación exporta los registros de Transparencia de acceso de una carpeta específica, además de los registros predeterminados:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
logName = "folders/my-folder-id/logs/cloudaudit.googleapis.com%2Faccess_transparency"

Ejemplo de filtro de exportación: Excluye los registros de un proyecto específico

El siguiente filtro de exportación exporta los registros predeterminados de toda la organización de Google Cloud , con la excepción de un proyecto específico:

(log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event")) AND
(NOT logName =~ "^projects/my-project-id/logs/.*$")

Exporta Google Cloud metadatos de activos

Puedes exportar los metadatos de tus recursos de Google Cloud desde Cloud Asset Inventory a Google SecOps. Estos metadatos de recursos se extraen de tu Cloud Asset Inventory y constan de información sobre tus recursos, identidades y activos, incluidos los siguientes:

  • Entorno
  • Ubicación
  • Zona
  • Modelos de hardware
  • Relaciones de control de acceso entre recursos e identidades

Los siguientes tipos de metadatos de activo de Google Cloud se exportarán a tu instancia de Google SecOps:

  • GCP_BIGQUERY_CONTEXT
  • GCP_COMPUTE_CONTEXT
  • GCP_IAM_CONTEXT
  • GCP_IAM_ANALYSIS
  • GCP_STORAGE_CONTEXT
  • GCP_CLOUD_FUNCTIONS_CONTEXT
  • GCP_SQL_CONTEXT
  • GCP_NETWORK_CONNECTIVITY_CONTEXT
  • GCP_RESOURCE_MANAGER_CONTEXT

A continuación, se muestran ejemplos de metadatos de activo de Google Cloud :

  • Nombre de la aplicación: Google-iamSample/0.1
  • Nombre del proyecto: projects/my-project

Para exportar los metadatos de los recursos de Google Cloud a Google SecOps, establece el botón de activación Metadatos de recursos de Cloud en Habilitado.

Para obtener más información sobre cómo exportar registros de contexto específicos y transferirlos a Google SecOps, consulta Configuración y transferencia predeterminadas del analizador y busca "contexto" o "análisis".

Exporta los hallazgos de Security Command Center

Puedes exportar los resultados de Event Threat Detection de Security Command Center Premium y todos los demás resultados a Google SecOps.

Google SecOps admite las siguientes clases de hallazgos de Security Command Center:

  • ERROR
  • MISCONFIGURATION
  • OBSERVATION
  • POSITIVE_VALIDATION
  • POSTURE_VIOLATION
  • THREAT
  • TOXIC_COMBINATION
  • UNSPECIFIED
  • VULNERABILITY

Para obtener más información sobre los hallazgos de ETD, consulta Descripción general de Event Threat Detection.

Para exportar tus resultados de Security Command Center Premium a Google SecOps, establece el botón de activación Resultados de Security Command Center Premium en Habilitado. Debes tener habilitado Security Command Center Premium a nivel de la organización para exportar tus hallazgos de Premium a Google SecOps.

Soluciona problemas de los hallazgos de Security Command Center

La transferencia de registros deGoogle Cloud se detiene si se realizan cambios en la licencia de Security Command Center Premium de tu organización. Esto puede ocurrir cuando se cambia a un nivel inferior de Security Command Center, después de que vence una prueba o debido a otras modificaciones de la licencia, lo que hace que Google SecOps inhabilite automáticamente la transferencia de registros de Google Cloud . El impacto es un cese inmediato de la transferencia de registros desde las fuentes de Google Cloud configuradas, lo que genera una brecha de visibilidad. Ten en cuenta que los registros generados mientras la transferencia está inhabilitada no se pueden recopilar de forma retroactiva. Para resolver este problema y reanudar la transferencia de registros, debes volver a habilitar de forma manual la exportación de registros de Google Cloud en la configuración de Google Cloud y asegurarte de aplicar los filtros de exportación pertinentes:

  1. Navega a Configuración de SIEM en tu instancia de Google SecOps.
  2. En el menú de la izquierda, selecciona Transferencia de GCP.
  3. Revisa la lista de fuentes de registros de tus proyectos, carpetas o de la organización de Google Cloud .
  4. Vuelve a cambiar cualquiera de las fuentes inhabilitadas a Habilitar.
  5. Espera unos minutos para que se restablezca la conexión. Para verificar que se reanudó la transferencia, busca registros nuevos en Search.

Exporta datos de Sensitive Data Protection

Puedes exportar tus datos de Sensitive Data Protection a Google SecOps.

Para transferir los metadatos de los recursos de Sensitive Data Protection (DLP_CONTEXT), haz lo siguiente:

  1. Habilita la transferencia de datos de Google Cloud completando la sección anterior de este documento.
  2. Configura Sensitive Data Protection para crear perfiles de datos.
  3. Establece la configuración de análisis para publicar perfiles de datos en Google SecOps.

Consulta la documentación de Sensitive Data Protection para obtener información detallada sobre cómo crear perfiles de datos para los datos de BigQuery.

Inhabilita la transferencia de datos de Google Cloud

Los pasos para inhabilitar la transferencia directa de datos desde Google Cloud varían según la configuración de Google SecOps. Elige una de estas opciones:

  • Si tu instancia de Google SecOps está vinculada a un proyecto que posees y administras, sigue estos pasos:

    1. Selecciona el proyecto vinculado a tu instancia de Google SecOps.
    2. En la consola de Google Cloud , ve a la pestaña Transferencia en Google SecOps.
      Ve a la página de Google SecOps
    3. En el menú Organización, selecciona la organización desde la que se exportan los registros.
    4. Establece el botón de activación Enviar datos a Google Security Operations en Inhabilitado.
    5. Si configuraste la exportación de datos desde varias organizaciones y también quieres inhabilitarlas, sigue estos pasos para cada organización.

  • Si tu instancia de Google SecOps está vinculada a un proyecto que Google Cloud posee y administra, sigue estos pasos:

    1. Ve a la página Google SecOps > Ingestion en la consola de Google Cloud .
      Ve a la página de Google SecOps
    2. En el menú de recursos, selecciona la organización que está vinculada a tu instancia de Google SecOps y de la que transfieres datos.
    3. Marca la casilla de verificación etiquetada como Quiero desconectar Google SecOps y dejar de enviar Google Cloud registros a Google SecOps.
    4. Haz clic en Desconectar Google SecOps.

Controla la tasa de transferencia

Cuando la tasa de transferencia de datos de un usuario alcanza un umbral determinado, Google Security Operations restringe la tasa de transferencia de los feeds de datos nuevos para evitar que una fuente con una tasa de transferencia alta afecte la tasa de transferencia de otra fuente de datos. En este caso, hay una demora, pero no se pierden datos. El volumen de transferencia y el historial de uso del arrendatario determinan el umbral.

Para solicitar un aumento del límite de frecuencia, comunícate con la Atención al cliente de Cloud.

Soluciona problemas

  • Si faltan las relaciones entre los recursos y las identidades en tu instancia de Google SecOps, inhabilita y, luego, vuelve a habilitar la transferencia directa de datos de registro a Google SecOps.
  • Los metadatos de los recursos deGoogle Cloud se transfieren de forma periódica a Google SecOps. Espera varias horas para que los cambios aparezcan en la IU y las APIs de Google SecOps.

  • Cuando agregas un tipo de registro al filtro de exportación, es posible que veas este mensaje: "El filtro proporcionado puede permitir tipos de registros no compatibles".

    Solución alternativa: Solo incluye los tipos de registros en el filtro de exportación que aparecen en la siguiente lista: Tipos de registros deGoogle Cloud admitidos para la exportación.

¿Qué sigue?

  • Abre tu instancia de Google SecOps con la URL específica del cliente que te proporcionó tu representante de Google SecOps.
  • Obtén más información sobre Google SecOps.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.