OpenTelemetry Netflow Receiver-Logs erfassen

Unterstützt in:

Google SecOps SIEM

Hinweis :Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für den technischen Support von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.
Wenn diese Funktion in Ihrer Umgebung nicht sichtbar ist, lesen Sie den Hilfeartikel Vorschaufunktionen verwalten oder wenden Sie sich an Ihren Systemadministrator.

In diesem Dokument wird beschrieben, wie Sie OpenTelemetry Netflow Receiver-Logs mit Google Cloud Storage V2 in Google Security Operations aufnehmen.

Der OpenTelemetry Netflow Receiver ist eine Open-Source-Komponente, die auf Netflow-, sflow- und IPFIX-UDP-Traffic wartet und ihn in OpenTelemetry-Logdatensätze konvertiert. Dies ermöglicht die Überwachung und Analyse des Netzwerkverkehrs, einschließlich Protokollidentifizierung, Analyse des Trafficvolumens, Verfolgung der Portnutzung und Byte-/Paketstatistiken.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

• Eine Google SecOps-Instanz
• Ein GCP-Projekt mit aktivierter Cloud Storage API
• Berechtigungen zum Erstellen und Verwalten von GCS-Buckets
• Berechtigungen zum Verwalten von IAM-Richtlinien für GCS-Buckets
• Berechtigungen zum Erstellen von Cloud Run-Diensten, Pub/Sub-Themen und Cloud Scheduler-Jobs
• Netzwerkgeräte, die NetFlow-, sFlow- oder IPFIX-Daten senden können
• Zugriff zum Konfigurieren der Exporteinstellungen für Netzwerkgeräte

Google Cloud Storage-Bucket erstellen

1. Gehen Sie zur Google Cloud Console.
2. Wählen Sie Ihr Projekt aus oder erstellen Sie ein neues.
3. Rufen Sie im Navigationsmenü Cloud Storage > Buckets auf.
4. Klicken Sie auf Bucket erstellen.

5. Geben Sie die folgenden Konfigurationsdetails an:

   Einstellung	Wert
   Bucket benennen	Geben Sie einen global eindeutigen Namen ein, z. B. netflow-logs-bucket.
   Standorttyp	Wählen Sie die Option aus, die am besten zu Ihren Anforderungen passt (Region, Dual-Region, Multi-Region).
   Standort	Wählen Sie den Speicherort aus, z. B. us-central1.
   Speicherklasse	Standard (empfohlen für Logs, auf die häufig zugegriffen wird)
   Zugriffskontrolle	Einheitlich (empfohlen)
   Schutztools	Optional: Objektversionierung oder Aufbewahrungsrichtlinie aktivieren

6. Klicken Sie auf Erstellen.

Dienstkonto für Cloud Run-Funktion erstellen

Für die Cloud Run-Funktion ist ein Dienstkonto mit Berechtigungen zum Schreiben in den GCS-Bucket und zum Aufrufen durch Pub/Sub erforderlich.

Dienstkonto erstellen

1. Wechseln Sie in der GCP Console zu IAM und Verwaltung > Dienstkonten.
2. Klicken Sie auf Dienstkonto erstellen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie netflow-collector-sa ein.
   • Beschreibung des Dienstkontos: Geben Sie Service account for Cloud Run function to collect netflow logs ein.
4. Klicken Sie auf Erstellen und fortfahren.
5. Fügen Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen die folgenden Rollen hinzu:
   1. Klicken Sie auf Rolle auswählen.
   2. Suchen Sie nach Storage Object Admin und wählen Sie die Rolle aus.
   3. Klicken Sie auf + Weitere Rolle hinzufügen.
   4. Suchen Sie nach Cloud Run Invoker und wählen Sie die Rolle aus.
   5. Klicken Sie auf + Weitere Rolle hinzufügen.
   6. Suchen Sie nach Cloud Functions Invoker und wählen Sie die Rolle aus.
6. Klicken Sie auf Weiter.
7. Klicken Sie auf Fertig.

Diese Rollen sind für Folgendes erforderlich:

• Storage-Objekt-Administrator: Protokolle in GCS-Bucket schreiben und Statusdateien verwalten
• Cloud Run Invoker: Pub/Sub darf die Funktion aufrufen.
• Cloud Functions-Invoker: Funktionsaufruf zulassen

IAM-Berechtigungen für GCS-Bucket erteilen

Gewähren Sie dem Dienstkonto Schreibberechtigungen für den GCS-Bucket:

1. Rufen Sie Cloud Storage > Buckets auf.
2. Klicken Sie auf den Namen Ihres Buckets (z. B. netflow-logs-bucket).
3. Wechseln Sie zum Tab Berechtigungen.
4. Klicken Sie auf Zugriff erlauben.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • Hauptkonten hinzufügen: Geben Sie die E-Mail-Adresse des Dienstkontos ein (z. B. netflow-collector-sa@PROJECT_ID.iam.gserviceaccount.com).
   • Rollen zuweisen: Wählen Sie Storage Object Admin aus.
6. Klicken Sie auf Speichern.

Pub/Sub-Thema erstellen

Erstellen Sie ein Pub/Sub-Thema, in dem Cloud Scheduler veröffentlicht und das von der Cloud Run-Funktion abonniert wird.

1. Rufen Sie in der GCP Console Pub/Sub > Themen auf.
2. Klicken Sie auf Thema erstellen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Themen-ID: Geben Sie netflow-trigger ein.
   • Übernehmen Sie die anderen Einstellungen.
4. Klicken Sie auf Erstellen.

Cloud Run-Funktion zum Erfassen von NetFlow-Logs erstellen

Die Cloud Run-Funktion führt einen OpenTelemetry Collector aus, der Netflow-Daten empfängt und in GCS exportiert.

1. Rufen Sie in der GCP Console Cloud Run auf.
2. Klicken Sie auf Dienst erstellen.
3. Wählen Sie Funktion aus, um eine Funktion mit einem Inline-Editor zu erstellen.

4. Geben Sie im Abschnitt Konfigurieren die folgenden Konfigurationsdetails an:

   Einstellung	Wert
   Dienstname	netflow-collector
   Region	Wählen Sie die Region aus, die Ihrem GCS-Bucket entspricht (z. B. us-central1).
   Laufzeit	Wählen Sie Python 3.12 oder höher aus.

5. Im Abschnitt Trigger (optional):

   1. Klicken Sie auf + Trigger hinzufügen.
   2. Wählen Sie Cloud Pub/Sub aus.
   3. Wählen Sie unter Cloud Pub/Sub-Thema auswählen das Pub/Sub-Thema netflow-trigger aus.
   4. Klicken Sie auf Speichern.

6. Im Abschnitt Authentifizierung:

   1. Wählen Sie Authentifizierung erforderlich aus.
   2. Weitere Informationen finden Sie unter Identity and Access Management (IAM).
   Hinweis :Pub/Sub übernimmt die Authentifizierung beim Aufrufen der Funktion automatisch.

7. Scrollen Sie nach unten und maximieren Sie Container, Netzwerk, Sicherheit.

8. Rufen Sie den Tab Sicherheit auf:

   • Dienstkonto: Wählen Sie das Dienstkonto netflow-collector-sa aus.

9. Rufen Sie den Tab Container auf:

   1. Klicken Sie auf Variablen und Secrets.
   2. Klicken Sie für jede Umgebungsvariable auf + Variable hinzufügen:

   Variablenname	Beispielwert	Beschreibung
   GCS_BUCKET	netflow-logs-bucket	Name des GCS-Buckets
   GCS_PREFIX	netflow	Präfix für Logdateien
   NETFLOW_PORT	2055	Port für NetFlow-Empfänger
   NETFLOW_SCHEME	netflow	Schematyp: NetFlow, sFlow oder IPFIX
   NETFLOW_SOCKETS	4	Anzahl der UDP-Sockets
   NETFLOW_WORKERS	8	Anzahl der Decoder-Worker

10. Scrollen Sie im Bereich Variablen und Secrets nach unten zu Anfragen:

    • Zeitlimit für die Anfrage: Geben Sie 600 Sekunden (10 Minuten) ein.

11. Gehen Sie zum Tab Einstellungen:

    • Im Abschnitt Ressourcen:
      • Arbeitsspeicher: Wählen Sie 1 GiB oder höher aus.
      • CPU: Wählen Sie 2 aus.

12. Im Abschnitt Versionsskalierung:

    • Mindestanzahl von Instanzen: Geben Sie 1 ein.
    • Maximale Anzahl von Instanzen: Geben Sie 10 ein.

13. Klicken Sie auf Erstellen.

14. Warten Sie, bis der Dienst erstellt wurde (1–2 Minuten).

15. Nachdem der Dienst erstellt wurde, wird automatisch der Inline-Code-Editor geöffnet.

Funktionscode hinzufügen

1. Geben Sie main in das Feld Einstiegspunkt ein.

2. Erstellen Sie im Inline-Code-Editor drei Dateien:

   • main.py:

   import functions_framework
   from google.cloud import storage
   import json
   import os
   import subprocess
   import tempfile
   import signal
   import time
   from datetime import datetime, timezone
   
   # Initialize Storage client
   storage_client = storage.Client()
   
   # Environment variables
   GCS_BUCKET = os.environ.get('GCS_BUCKET')
   GCS_PREFIX = os.environ.get('GCS_PREFIX', 'netflow')
   NETFLOW_PORT = os.environ.get('NETFLOW_PORT', '2055')
   NETFLOW_SCHEME = os.environ.get('NETFLOW_SCHEME', 'netflow')
   NETFLOW_SOCKETS = os.environ.get('NETFLOW_SOCKETS', '4')
   NETFLOW_WORKERS = os.environ.get('NETFLOW_WORKERS', '8')
   
   # Global process handle
   collector_process = None
   
   def create_collector_config():
     """Create OpenTelemetry Collector configuration."""
     timestamp = datetime.now(timezone.utc).strftime('%Y%m%d_%H%M%S')
     file_path = f"/tmp/netflow_{timestamp}.ndjson"
   
     config = {
       'receivers': {
         'netflow': {
           'scheme': NETFLOW_SCHEME,
           'hostname': '0.0.0.0',
           'port': int(NETFLOW_PORT),
           'sockets': int(NETFLOW_SOCKETS),
           'workers': int(NETFLOW_WORKERS),
           'queue_size': 5000
         }
       },
       'processors': {
         'batch': {
           'timeout': '10s',
           'send_batch_size': 1000
         }
       },
       'exporters': {
         'file': {
           'path': file_path,
           'format': 'json'
         }
       },
       'service': {
         'pipelines': {
           'logs': {
             'receivers': ['netflow'],
             'processors': ['batch'],
             'exporters': ['file']
           }
         },
         'telemetry': {
           'logs': {
             'level': 'info'
           }
         }
       }
     }
   
     config_path = '/tmp/otel-config.yaml'
     with open(config_path, 'w') as f:
       import yaml
       yaml.dump(config, f)
   
     return config_path, file_path
   
   def upload_to_gcs(file_path):
     """Upload netflow logs to GCS."""
     if not os.path.exists(file_path) or os.path.getsize(file_path) == 0:
       print(f"No data to upload from {file_path}")
       return
   
     bucket = storage_client.bucket(GCS_BUCKET)
     timestamp = datetime.now(timezone.utc).strftime('%Y%m%d_%H%M%S')
     object_key = f"{GCS_PREFIX}/netflow_{timestamp}.ndjson"
     blob = bucket.blob(object_key)
   
     blob.upload_from_filename(file_path, content_type='application/x-ndjson')
     print(f"Uploaded {os.path.getsize(file_path)} bytes to gs://{GCS_BUCKET}/{object_key}")
   
   def signal_handler(signum, frame):
     """Handle shutdown signals."""
     global collector_process
     if collector_process:
       print("Shutting down collector...")
       collector_process.terminate()
       collector_process.wait(timeout=10)
   
   @functions_framework.cloud_event
   def main(cloud_event):
     """
     Cloud Run function to run OpenTelemetry Collector for netflow collection.
   
     Args:
       cloud_event: CloudEvent object containing Pub/Sub message
     """
     global collector_process
   
     if not GCS_BUCKET:
       print('Error: GCS_BUCKET environment variable not set')
       return
   
     try:
       # Set up signal handlers
       signal.signal(signal.SIGTERM, signal_handler)
       signal.signal(signal.SIGINT, signal_handler)
   
       # Create collector configuration
       config_path, file_path = create_collector_config()
       print(f"Created collector config at {config_path}")
       print(f"Netflow receiver listening on {NETFLOW_SCHEME}://0.0.0.0:{NETFLOW_PORT}")
   
       # Start OpenTelemetry Collector
       collector_process = subprocess.Popen(
         ['/otelcol-contrib', '--config', config_path],
         stdout=subprocess.PIPE,
         stderr=subprocess.PIPE,
         text=True
       )
   
       print(f"Started OpenTelemetry Collector (PID: {collector_process.pid})")
   
       # Run for collection period (e.g., 5 minutes)
       collection_time = 300
       print(f"Collecting netflow data for {collection_time} seconds...")
   
       start_time = time.time()
       while time.time() - start_time < collection_time:
         if collector_process.poll() is not None:
           stdout, stderr = collector_process.communicate()
           print(f"Collector exited unexpectedly")
           print(f"STDOUT: {stdout}")
           print(f"STDERR: {stderr}")
           break
         time.sleep(10)
   
       # Stop collector
       if collector_process.poll() is None:
         print("Stopping collector...")
         collector_process.terminate()
         collector_process.wait(timeout=10)
   
       # Upload collected data
       upload_to_gcs(file_path)
   
       # Cleanup
       if os.path.exists(file_path):
         os.remove(file_path)
       if os.path.exists(config_path):
         os.remove(config_path)
   
       print("Netflow collection completed successfully")
   
     except Exception as e:
       print(f'Error during netflow collection: {str(e)}')
       if collector_process and collector_process.poll() is None:
         collector_process.terminate()
       raise
   

   • requirements.txt:

   functions-framework==3.*
   google-cloud-storage==2.*
   PyYAML==6.*
   

   • Dockerfile:

   FROM python:3.12-slim
   
   # Install OpenTelemetry Collector Contrib
   RUN apt-get update && apt-get install -y wget && \
     wget https://github.com/open-telemetry/opentelemetry-collector-releases/releases/download/v0.144.0/otelcol-contrib_0.144.0_linux_amd64.deb && \
     dpkg -i otelcol-contrib_0.144.0_linux_amd64.deb && \
     rm otelcol-contrib_0.144.0_linux_amd64.deb && \
     apt-get clean
   
   # Set working directory
   WORKDIR /app
   
   # Copy requirements and install
   COPY requirements.txt .
   RUN pip install --no-cache-dir -r requirements.txt
   
   # Copy function code
   COPY main.py .
   
   # Expose netflow port
   EXPOSE 2055/udp
   
   # Run function
   CMD ["functions-framework", "--target=main", "--port=8080"]
   

3. Klicken Sie auf Bereitstellen, um die Funktion zu speichern und bereitzustellen.

4. Warten Sie, bis die Bereitstellung abgeschlossen ist (3–5 Minuten).

Hinweis :Die Funktion führt einen OpenTelemetry Collector aus, der auf Netflow-Daten wartet und sie in GCS exportiert.

Netzwerkgeräte so konfigurieren, dass NetFlow-Daten gesendet werden

Konfigurieren Sie Ihre Netzwerkgeräte (Router, Switches, Firewalls) so, dass NetFlow-, sFlow- oder IPFIX-Daten in die Cloud Run-Funktion exportiert werden.

Externe IP-Adresse der Cloud Run-Funktion abrufen

1. Rufen Sie in der GCP Console Cloud Run > Dienste auf.
2. Klicken Sie auf den Funktionsnamen netflow-collector.
3. Kopieren Sie die URL, die oben angezeigt wird (z. B. https://netflow-collector-xxxxx-uc.a.run.app).
4. Extrahieren Sie den Hostnamen aus der URL.

5. Verwenden Sie nslookup oder dig, um die IP-Adresse aufzulösen:

   nslookup netflow-collector-xxxxx-uc.a.run.app
   

Hinweis :Cloud Run-Dienste verwenden dynamische IPs. Für Produktionsbereitstellungen sollten Sie einen Cloud Load Balancer mit einer statischen IP-Adresse verwenden oder den Collector in Compute Engine bereitstellen.

• Beispiel: NetFlow-Konfiguration für Cisco-Router

    ! Configure netflow exporter
    flow exporter OTEL-EXPORTER
    destination <CLOUD_RUN_IP>
    transport udp 2055
    source <INTERFACE>
    export-protocol netflow-v9
  
    ! Configure flow monitor
    flow monitor OTEL-MONITOR
    exporter OTEL-EXPORTER
    record netflow ipv4 original-input
  
    ! Apply to interface
    interface GigabitEthernet0/0
    ip flow monitor OTEL-MONITOR input
    ip flow monitor OTEL-MONITOR output
  

• Beispiel: Generische NetFlow-Konfiguration

  Konfigurieren Sie für die meisten Netzwerkgeräte die folgenden Einstellungen:

  • NetFlow-Version: NetFlow v5, v9 oder IPFIX
  • Collector-IP: IP-Adresse der Cloud Run-Funktion
  • Collector-Port: 2055 (oder konfigurierter Port)
  • Protokoll: UDP
  • Aktives Zeitlimit: 60 Sekunden (empfohlen)
  • Zeitüberschreitung bei Inaktivität: 15 Sekunden (empfohlen)

Cloud Scheduler-Job erstellen

Cloud Scheduler veröffentlicht in regelmäßigen Abständen Nachrichten im Pub/Sub-Thema und löst so die Cloud Run-Funktion aus.

1. Rufen Sie in der GCP Console Cloud Scheduler auf.
2. Klicken Sie auf Job erstellen.

3. Geben Sie die folgenden Konfigurationsdetails an:

   Einstellung	Wert
   Name	netflow-collector-hourly
   Region	Dieselbe Region wie die Cloud Run-Funktion auswählen
   Frequenz	0 * * * * (stündlich zur vollen Stunde)
   Zeitzone	Zeitzone auswählen (UTC empfohlen)
   Zieltyp	Pub/Sub
   Thema	Wählen Sie das Pub/Sub-Thema netflow-trigger aus.
   Inhalt der Nachricht	{} (leeres JSON-Objekt)

4. Klicken Sie auf Erstellen.

Optionen für die Häufigkeit des Zeitplans

Wählen Sie die Häufigkeit basierend auf dem Logvolumen und den Latenzanforderungen aus:

Häufigkeit	Cron-Ausdruck	Anwendungsfall
Alle 5 Minuten	*/5 * * * *	Hohes Volumen, niedrige Latenz
Alle 15 Minuten	*/15 * * * *	Mittleres Suchvolumen
Stündlich	0 * * * *	Standard (empfohlen)
Alle 6 Stunden	0 */6 * * *	Geringes Volumen, Batchverarbeitung

Integration testen

1. Suchen Sie in der Cloud Scheduler-Konsole nach dem Job netflow-collector-hourly.
2. Klicken Sie auf Ausführung erzwingen, um den Job manuell auszulösen.
3. Warten Sie einige Sekunden.
4. Rufen Sie Cloud Run > Dienste auf.
5. Klicken Sie auf den Funktionsnamen netflow-collector.
6. Klicken Sie auf den Tab Logs.

7. Prüfen Sie, ob die Funktion erfolgreich ausgeführt wurde. Darauf sollten Sie achten:

   Started OpenTelemetry Collector (PID: ...)
   Netflow receiver listening on netflow://0.0.0.0:2055
   Collecting netflow data for 300 seconds...
   Uploaded ... bytes to gs://netflow-logs-bucket/netflow/netflow_YYYYMMDD_HHMMSS.ndjson
   Netflow collection completed successfully
   

8. Rufen Sie Cloud Storage > Buckets auf.

9. Klicken Sie auf den Bucket-Namen netflow-logs-bucket.

10. Wechseln Sie zum Präfixordner netflow/.

11. Prüfen Sie, ob eine neue .ndjson-Datei mit dem aktuellen Zeitstempel erstellt wurde.

Wenn in den Logs Fehler angezeigt werden:

• Collector wurde unerwartet beendet: Konfiguration des NetFlow-Empfängers prüfen
• Keine Daten zum Hochladen: Prüfen Sie, ob Netzwerkgeräte NetFlow-Daten an die richtige IP-Adresse und den richtigen Port senden.
• Berechtigung verweigert: Prüfen, ob das Dienstkonto die Rolle „Storage-Objekt-Administrator“ hat
• Fehler beim Binden des Ports: Prüfen Sie, ob Port 2055 bereits verwendet wird.

Google SecOps-Dienstkonto abrufen

Google SecOps verwendet ein eindeutiges Dienstkonto, um Daten aus Ihrem GCS-Bucket zu lesen. Sie müssen diesem Dienstkonto Zugriff auf Ihren Bucket gewähren.

E‑Mail-Adresse des Dienstkontos abrufen

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. OpenTelemetry Netflow Logs.
5. Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
6. Wählen Sie NETFLOW_OTEL als Log type (Protokolltyp) aus.

7. Klicken Sie auf Dienstkonto abrufen. Eine eindeutige E‑Mail-Adresse für das Dienstkonto wird angezeigt. Beispiel:

   [e-mail]
   

8. Kopieren Sie diese E‑Mail-Adresse für den nächsten Schritt.

   Hinweis: Jede Google SecOps-Instanz hat ein eindeutiges Dienstkonto. Verwenden Sie keine Dienstkonten aus anderer Dokumentation oder Beispielen.

9. Klicken Sie auf Weiter.

10. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Storage-Bucket-URL: Geben Sie den GCS-Bucket-URI mit dem Präfixpfad ein:

      gs://netflow-logs-bucket/netflow/
      

    Hinweis: Fügen Sie immer den abschließenden Schrägstrich (/) am Ende des URI ein.

    • Option zum Löschen der Quelle: Wählen Sie die gewünschte Option zum Löschen aus:

      • Nie: Löscht nach Übertragungen nie Dateien (empfohlen für Tests).
      • Übertragene Dateien löschen: Dateien werden nach der erfolgreichen Übertragung gelöscht.

      • Übertragene Dateien und leere Verzeichnisse löschen: Löscht Dateien und leere Verzeichnisse nach der erfolgreichen Übertragung.

        Hinweis :Wenn Sie eine Löschoption auswählen, muss das Dienstkonto die Rolle Storage-Objekt-Administrator anstelle von Storage-Objekt-Betrachter haben. Aktualisieren Sie die IAM-Berechtigungen entsprechend.

    • Höchstalter der Datei: Dateien einbeziehen, die in den letzten Tagen geändert wurden (Standardwert: 180 Tage)

    • Asset-Namespace: Der Asset-Namespace

    • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll

11. Klicken Sie auf Weiter.

12. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Dem Google SecOps-Dienstkonto IAM-Berechtigungen gewähren

Das Google SecOps-Dienstkonto benötigt die Rolle Storage Object Viewer für Ihren GCS-Bucket.

1. Rufen Sie Cloud Storage > Buckets auf.
2. Klicken Sie auf den Bucket-Namen netflow-logs-bucket.
3. Wechseln Sie zum Tab Berechtigungen.
4. Klicken Sie auf Zugriff erlauben.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • Hauptkonten hinzufügen: Fügen Sie die E‑Mail-Adresse des Google SecOps-Dienstkontos ein.
   • Rollen zuweisen: Wählen Sie Storage Object Viewer aus.
6. Klicken Sie auf Speichern.

Hinweis :Wenn Sie die Löschoption „Übertragene Dateien löschen“ oder „Übertragene Dateien und leere Verzeichnisse löschen“ verwenden möchten, weisen Sie die Rolle Storage Object Admin anstelle von Storage Object Viewer zu.

UDM-Zuordnungstabelle

In der folgenden Tabelle sehen Sie, wie OpenTelemetry Netflow Receiver-Logfelder Google SecOps UDM-Feldern zugeordnet werden:

OpenTelemetry-Feld	UDM-Feld	Beschreibung
source.address	principal.ip	Quell-IP-Adresse
source.port	principal.port	Quellportnummer
destination.address	target.ip	IP-Adresse des Ziels
destination.port	target.port	Zielportnummer
network.transport	network.ip_protocol	Transportprotokoll (TCP, UDP)
network.type	network.ip_version	IP-Version (ipv4, ipv6)
flow.io.bytes	network.sent_bytes	Übertragene Byte insgesamt
flow.io.packets	network.sent_packets	Gesamtzahl der übertragenen Pakete
flow.type	metadata.product_log_id	Flow-Typ (NETFLOW_V5, NETFLOW_V9, SFLOW_5, IPFIX)
flow.start	metadata.event_timestamp	Beginn des Ablaufs
flow.end	network.session_duration	Ende des Ablaufs
flow.sampler_address	intermediary.ip	IP-Adresse des Netflow-Exporters
flow.tcp_flags	network.tcp_flags	TCP-Flags
flow.io.bytes	event.idm.read_only_udm.network.sent_bytes	Aus dem Änderungsprotokoll zugeordnet
source.port	event.idm.read_only_udm.principal.port	Aus dem Änderungsprotokoll zugeordnet
destination.port	event.idm.read_only_udm.target.port	Aus dem Änderungsprotokoll zugeordnet
network.transport	event.idm.read_only_udm.network.ip_protocol	Aus dem Änderungsprotokoll zugeordnet
network.type	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
flow.sequence_num	event.idm.read_only_udm.network.session_id	Aus dem Änderungsprotokoll zugeordnet
flow.sampler_address	event.idm.read_only_udm.observer.ip	Aus dem Änderungsprotokoll zugeordnet
flow.type	event.idm.read_only_udm.metadata.product_event_type	Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten