Configura i forwarder nella piattaforma Google SecOps

Supportato in:

Google SecOps SIEM

Attenzione: il forwarder è deprecato. Il componente di inoltro verrà ritirato gradualmente dalla piattaforma Google SecOps e raggiungerà la fine del ciclo di vita a gennaio 2027. 1° aprile 2026: i nuovi clienti di Google SecOps non possono utilizzare il componente di inoltro. 1° gennaio 2027: il forwarder non è più supportato. Non verranno rilasciate ulteriori patch, incluse quelle di sicurezza. 1° aprile 2027: non è più consentito l'importazione di dati dal componente di inoltro. Google consiglia di utilizzare Bindplane per Google SecOps come soluzione principale per la raccolta dei log. Per maggiori informazioni, vedi Utilizzare Bindplane con Google SecOps.

Nota :i file di configurazione del forwarder non creati con l'interfaccia utente di Google Security Operations o con l'API di gestione del forwarder non possono essere gestiti con l'interfaccia utente di Google SecOps. Devi ricreare queste configurazioni utilizzando l'UI di Google SecOps o l'API di gestione dei forwarder per sfruttare le funzionalità di gestione dei forwarder.

Questa pagina descrive come creare, gestire e scaricare le configurazioni di inoltro utilizzando l'interfaccia utente (UI) di Google SecOps.

La configurazione dell'agente di inoltro è una procedura in due passaggi:

1. Aggiungi la configurazione dell'agente di inoltro: definisce il framework per la configurazione.
2. Aggiungi la configurazione dell'agente di raccolta: definisce l'origine dei dati che verranno acquisiti dall'agente di inoltro. Senza almeno un agente di raccolta, l'agente di inoltro non ha dati da elaborare.

Una volta aggiunto uno o più raccoglitori, la configurazione del forwarder è completa. Puoi quindi scaricarlo ed eseguirne il deployment su una macchina o un dispositivo su cui è installato il software di inoltro.

Per informazioni su come installare e configurare il forwarder Google SecOps, sui requisiti di sistema e sui dettagli delle impostazioni di configurazione, consulta Installare e configurare il forwarder.

Aggiungi configurazione dell'agente di inoltro

Anziché aggiungere un nuovo inoltratore, puoi clonare uno o più inoltratori esistenti. Per maggiori dettagli, vedi Clonare gli inoltri.

Per aggiungere un nuovo spedizioniere:

1. Nella barra di navigazione, fai clic su Impostazioni.
2. Nella sezione Impostazioni, fai clic su Forwarder.
3. Fai clic su Aggiungi nuovo spedizioniere.
4. Nel campo Nome forwarder, digita un nome.

5. (Facoltativo) Espandi la sezione Valori di configurazione e specifica i valori. Per informazioni sulle impostazioni di configurazione, consulta Determinare la configurazione.

6. Fai clic su Invia.

   L'agente di inoltro viene aggiunto e viene visualizzata la finestra Aggiungi configurazione dell'agente di raccolta.

Aggiungi configurazione del raccoglitore

Puoi aggiungere uno o più raccoglitori a un forwarder esistente. Per aggiungere un nuovo agente di raccolta a un agente di inoltro, segui questi passaggi:

1. Nella barra di navigazione, fai clic su Impostazioni.
2. In Impostazioni, fai clic su Forwarder.
3. Nella pagina Spedizionieri, trova lo spedizioniere che ti interessa. Se l'elenco dei forwarder è lungo, utilizza il campo Cerca.
4. Tieni il puntatore sopra l'inoltratore per cui vuoi aggiungere un raccoglitore. Viene visualizzata l'icona del menu espandibile .
5. Fai clic sull'icona del menu espandi .
6. Seleziona Aggiungi nuovo raccoglitore.
7. Nel campo Nome del raccoglitore, digita un nome.

8. Fai clic sul campo Tipo di log per visualizzare un elenco di tipi di log ed esegui una delle seguenti operazioni:

   • Se non vedi il tipo di log che ti interessa, inizia a digitarne il nome nella casella per visualizzare altri suggerimenti. Per un elenco completo dei tipi di log supportati, vedi Set di dati supportati.
   • Seleziona un tipo di log dall'elenco.

9. (Facoltativo) Espandi la sezione Valori di configurazione e specifica i valori. Per informazioni sulle impostazioni di configurazione, consulta Determinare la configurazione.

10. (Facoltativo) Espandi la sezione Impostazioni avanzate e specifica una delle seguenti opzioni:

    • Numero massimo di secondi per batch:il numero di secondi tra i batch. Il valore predefinito è 10.
    • Byte massimi per batch:il numero di byte in coda prima del caricamento in batch del forwarder. Il valore minimo è 204800 bytes, ovvero 200 KB. Il valore massimo è 1048576 bytes, ovvero 1MB. Il valore predefinito è 1,048,576 bytes, ovvero 1MB.

11. Consigliato: Buffer del disco:fai clic sul pulsante di attivazione/disattivazione per attivare il buffering del disco per l'agente di raccolta. Per informazioni dettagliate sul buffering del disco, vedi Buffering del disco. Se l'opzione è abilitata, puoi specificare le seguenti impostazioni:

    • Directory path (Percorso della directory): il percorso della directory per i file scritti.
    • Dimensioni massime dei file memorizzati nel buffer (in byte): le dimensioni massime del disco utilizzate dall'agente di raccolta prima che i messaggi arretrati vengano memorizzati nel buffer sul disco. Il valore predefinito è 1,073,741,824. Il valore massimo è 4,294,967,296.

12. (Facoltativo) Override timezone (Ignora fuso orario): fai clic sul pulsante di attivazione/disattivazione per ignorare il fuso orario predefinito per i log selezionandone uno personalizzato dall'elenco Timezone (Fuso orario). solo se i log non includono il fuso orario corretto all'origine. Prima di abilitarla, assicurati che i log abbiano timestamp coerenti.

    Il fuso orario selezionato viene applicato lato server in Google SecOps. Il forwarder ignora questa impostazione, anche se il file di configurazione generato la contiene.

13. Fai clic sul campo Tipo di raccoglitore e seleziona un tipo di raccoglitore. Ogni tipo di agente di raccolta ha le proprie impostazioni che puoi configurare. Per maggiori dettagli sui tipi di raccoglitore e sulle relative impostazioni, vedi Determinare la configurazione.

14. Fai clic su Invia.

Scarica i file di configurazione

Il download dei file di configurazione dell'agente di inoltro richiede almeno un agente di raccolta. Se provi a scaricare un agente di inoltro senza un agente di raccolta, ricevi un errore.

Puoi scaricare il file di configurazione dell'agente di inoltro (.conf), il file di autenticazione (_auth.conf) o entrambi per qualsiasi agente di inoltro elencato nella tua istanza Google SecOps, purché abbia almeno un agente di raccolta. Dopo aver scaricato i file, esegui il deployment sul sistema Windows o Linux in cui si trova il forwarder Google SecOps.

Per scaricare i file di configurazione dell'agente di inoltro:

1. Nella barra di navigazione, fai clic su Impostazioni.
2. In Impostazioni, fai clic su Forwarder. La pagina mostra l'elenco dei forwarder.

3. Nella pagina Spedizionieri, trova lo spedizioniere che ti interessa. Se l'elenco dei forwarder è lungo, utilizza il campo Cerca.

4. Tieni il puntatore sopra l'agente di inoltro per cui vuoi scaricare i file di configurazione. Viene visualizzata l'icona del menu espandibile .

5. Fai clic sull'icona del menu espandi .

6. Seleziona Scarica.

7. Nella finestra di dialogo Scarica configurazione dell'agente di inoltro, procedi in uno dei seguenti modi:

   • Per scaricare il file di configurazione dell'agente di inoltro, fai clic sull'icona di download accanto al tipo di file .conf.
   • Per scaricare il file di autenticazione del corriere, fai clic sull'icona di download accanto al tipo di file _auth.conf.
   • Per scaricare entrambi i file, fai clic su Scarica tutto.

Gestire gli spedizionieri

Questa sezione descrive come visualizzare e gestire gli inoltratori.

Elenca i forwarder in un'istanza Google SecOps

1. Nella barra di navigazione, fai clic su Impostazioni.
2. In Impostazioni, fai clic su Forwarder. La pagina mostra l'elenco dei forwarder.
3. (Facoltativo) Ordina l'elenco facendo clic sulla colonna Nome o Ultimo aggiornamento.

Se vuoi, utilizza il campo di ricerca per restringere i risultati nell'elenco.

Clona gli agenti di inoltro

La clonazione consente di creare una copia di una o più configurazioni di forwarder.

Per clonare una configurazione di inoltro:

1. Nella pagina Inoltratori, seleziona la casella di controllo per ogni inoltratore da clonare.

2. Fai clic sull'icona del menu espandi .

3. Seleziona Clona.

4. Fai clic su Clona. Viene aggiunta una copia di ogni configurazione di inoltro.

Modificare una configurazione dell'agente di inoltro

1. Nella barra di navigazione, fai clic su Impostazioni.
2. In Impostazioni, fai clic su Forwarder. La pagina mostra l'elenco dei forwarder.

3. Tieni il puntatore sopra il forwarder di cui vuoi modificare la configurazione. Viene visualizzata l'icona del menu espandibile .

4. Fai clic sull'icona del menu espandi .

5. Seleziona Modifica configurazione dell'agente di inoltro.

6. Apporta le modifiche alla configurazione. Per saperne di più, consulta i passaggi di configurazione nella procedura per aggiungere inoltratori.

7. Fai clic su Aggiorna.

8. Riavvia il forwarder affinché le modifiche abbiano effetto.

Elimina gli agenti di inoltro

1. Nella pagina Forwarder, seleziona la casella di controllo per ogni forwarder da eliminare.

2. Fai clic sull'icona del menu espandi .

3. Seleziona Elimina.

4. Nella finestra di dialogo Elimina inoltro, fai clic su Elimina.

Gestisci raccoglitori

Questa sezione descrive come visualizzare e gestire i raccoglitori.

Elenca i raccoglitori in un'istanza Google SecOps

1. Nella barra di navigazione, fai clic su Impostazioni.
2. In Impostazioni, fai clic su Forwarder. La pagina mostra l'elenco dei forwarder.
3. Fai clic sulla freccia di espansione accanto all'intestazione della colonna Nome. In questo modo vengono espansi tutti gli agenti di inoltro, mostrando fino a cinque raccoglitori per ciascuno.
4. Se un trasportatore ha più di cinque incaricati del ritiro, fai clic sul link Visualizza tutti gli incaricati del ritiro.

Modificare una configurazione dell'agente di raccolta

1. Nella barra di navigazione, fai clic su Impostazioni.
2. In Impostazioni, fai clic su Forwarder. La pagina mostra l'elenco dei forwarder.

3. Fai clic sulla freccia di espansione dell'agente di inoltro per cui vuoi modificare un agente di raccolta.

4. Se ci sono più di cinque collezionisti, fai clic sul link Visualizza tutti i collezionisti.

5. Tieni il puntatore sopra l'agente di raccolta per il quale vuoi modificare la configurazione. Viene visualizzata l'opzione Modifica.

6. Fai clic su Modifica.

7. Apporta le modifiche alla configurazione. Per saperne di più, consulta i passaggi di configurazione nella procedura per aggiungere raccoglitori.

8. Fai clic su Aggiorna.

Eliminare un agente di raccolta

1. Nella barra di navigazione, fai clic su Impostazioni.
2. In Impostazioni, fai clic su Forwarder. La pagina mostra l'elenco dei forwarder.

3. Fai clic sulla freccia di espansione dell'agente di inoltro per cui vuoi eliminare un agente di raccolta.

4. Se ci sono più di cinque collezionisti, fai clic sul link Visualizza tutti i collezionisti.

5. Tieni il puntatore sopra l'agente di raccolta per il quale vuoi modificare la configurazione. Viene visualizzata l'opzione Elimina.

6. Fai clic su Elimina.

7. Per confermare, fai clic su Elimina nella finestra di dialogo Elimina raccoglitore.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.