Verifica el estado de la transferencia de datos

Se admite en los siguientes sistemas operativos:

Esta guía está dirigida a los ingenieros de seguridad que desean supervisar el estado de la transferencia de datos y solucionar problemas en Google Security Operations. En ella, se explica cómo usar el Centro de estado, configurar alertas de Cloud Monitoring para hacer un seguimiento del estado de las fuentes de datos y los analizadores, y usar la supervisión de host silencioso (SHM) para detectar posibles detenciones del recopilador.

El uso de estos flujos de trabajo de supervisión te ayuda a identificar, diagnosticar y corregir problemas de la canalización de datos, y a distinguir entre los problemas que puede solucionar el usuario (viables) y los que requieren asistencia (no viables). Una configuración exitosa garantiza un flujo de datos confiable, lo que es fundamental para las operaciones de seguridad y el análisis eficaces.

Casos de uso habituales

En esta sección, se describen los casos de uso comunes para el monitoreo de la transferencia de datos.

Verificación de estado proactiva

  • Objetivo: Revisar el estado y el funcionamiento de todas las fuentes de datos configuradas
  • Valor: Detecta posibles problemas de transferencia antes de que afecten la visibilidad de la seguridad.

Respuesta a la alerta

  • Objetivo: Investigar y corregir un problema de la fuente de datos o del analizador sintáctico marcado por una alerta automática
  • Valor: Minimiza la pérdida o las demoras de datos, y garantiza que los datos estén disponibles para la detección y respuesta oportunas ante amenazas.

Terminología clave

  • Centro de estado: Es el panel central de Google SecOps para supervisar el estado y el funcionamiento de todas las fuentes de datos y los analizadores configurados.
  • Cloud Monitoring: Google Cloud Servicio que se usa para crear políticas de alertas basadas en métricas, incluidas las de la incorporación de Google SecOps.
  • Supervisión de hosts silenciosos: Es un método de supervisión para identificar los hosts de tu entorno que se han silenciado.
  • Problema práctico: Es un problema de transferencia que, por lo general, puedes resolver por tu cuenta a través de cambios en la configuración (por ejemplo, actualizar las credenciales).
  • Problema no procesable: Es un problema de transferencia que requiere asistencia del equipo de Atención al cliente de Google para resolverse (por ejemplo, un error interno del sistema).
  • Analizador: Es un componente que normaliza los datos de registro sin procesar en la estructura del modelo de datos unificado (UDM).

Antes de comenzar

Asegúrate de tener los roles y permisos de Identity and Access Management (IAM) necesarios para acceder a la instancia de Google SecOps, ver el Centro de estado y configurar alertas en Cloud Monitoring.

Supervisa la transferencia de datos

En esta sección, se detallan varios métodos para supervisar la transferencia de datos.

Supervisa con el Centro de estado

Usa el Centro de estado para supervisar el estado general de los datos de un vistazo y ver el estado de salud principal de cada feed, fuente de datos y tipo de registro. Esto te ayuda a identificar fuentes y analizadores irregulares y con errores sin necesidad de configurar alertas externas personalizadas.

  1. En el menú de navegación lateral de Google SecOps, haz clic en Centro de estado.
  2. Revisa los widgets de número grande para Fuentes con errores y Analizadores con errores para identificar los componentes que requieren atención inmediata.
  3. Inspecciona la tabla Estado por fuente de datos. Consulta la columna Latest Issue Details para ver las descripciones de los errores, como Config credential issue o Normalization issue.
  4. Haz clic en los vínculos Editar fuente de datos o Editar analizador que se proporcionan en la tabla para navegar directamente a las páginas de configuración respectivas para la corrección.
  5. Verifica las marcas de tiempo, como Last Event Time y Last Ingested, para comprobar que los datos se hayan transferido según lo previsto.
  6. Después de aplicar una corrección, supervisa el Centro de estado para la fuente de datos o el analizador específicos y asegúrate de que la corrección se haya realizado correctamente.

Configura alertas de transferencia automáticas

Configura la supervisión para activar alertas cuando los valores de la transferencia alcancen ciertos niveles predefinidos. Esto te permite integrar notificaciones por correo electrónico en los flujos de trabajo existentes para corregir de forma proactiva los feeds dañados o detectar fuentes de registro silenciosas.

  1. En Health Hub, haz clic en el vínculo Configurar alertas, que te dirige a la interfaz de Monitoring.
  2. Crea una política de alertas:
    • Selecciona métricas: Elige métricas en Chronicle Collector > Ingestion, como Total ingested log count o Total ingested log size.
    • Agrega filtros para collector_id o log_type para limitar el alcance de la alerta a fuentes específicas.
  3. Para detectar los remitentes silenciosos, selecciona Ausencia de métrica como el tipo de condición. Configúralo para que active una alerta si los registros dejan de fluir durante un período especificado (por ejemplo, 60 minutos).

Soluciona problemas

En esta sección, se detallan varios métodos para solucionar problemas relacionados con la transferencia de datos.

Problemas comunes

  • Latencia de la canalización: Un retraso significativo entre la fecha y hora del último evento y la fecha y hora de la última incorporación indica una posible latencia. El Centro de estado expone el percentil 95th de este delta. Los valores altos sugieren latencia en la canalización, mientras que los valores normales podrían significar que la fuente envía datos históricos.
  • Aumentos o disminuciones repentinos en la transferencia: El sistema usa la estandarización del puntaje Z para marcar anomalías. Se marca una disminución si las diferencias estandarizadas diarias y semanales son inferiores a -1.645.
  • Errores de análisis: Se activa una alerta si la proporción de errores del analizador en relación con el total de eventos transferidos aumenta en 5 puntos porcentuales o más en comparación con el día anterior. Investiga la configuración del analizador con el vínculo en Health Hub.

Para obtener más información sobre las formas de identificar problemas de análisis y transferencia de datos, consulta Cómo identificar y analizar problemas de análisis y transferencia de datos.

Latencia, cuota de servicio y límites

  • Actualización de datos: La información de los paneles Centro de estado y Ingesta de datos se actualiza aproximadamente cada 15 minutos.

Corrección de errores

Para obtener una lista completa de los mensajes de error y las soluciones, consulta Soluciona problemas de la transferencia de datos.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.