Configura los reenvíos en la plataforma de Google SecOps

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

Precaución: El reenvío está obsoleto. El componente de reenvío se está eliminando gradualmente de la plataforma de Google SecOps y llegará al final de su ciclo de vida (EOL) en enero de 2027. 1 de abril de 2026: Los clientes nuevos de Google SecOps no pueden usar el componente de reenvío. 1 de enero de 2027: El reenviador dejará de EOL oficialmente. No se lanzarán más parches, incluidos los de seguridad. 1 de abril de 2027: Ya no se permitirá la transferencia de datos desde el componente de reenvío. Google recomienda usar Bindplane para Google SecOps como la solución principal para la recopilación de registros. Para obtener más información, consulta Usa Bindplane con Google SecOps.

Nota: Los archivos de configuración del reenvío que no se crearon con la IU de Google Security Operations o la API de administración del reenvío no se pueden administrar con la IU de Google SecOps. Deberás volver a crear esos parámetros de configuración con la IU de Google SecOps o la API de administración de reenvío para aprovechar las funciones de administración de reenvío.

En esta página, se describe cómo crear, administrar y descargar la configuración de reenvío con la interfaz de usuario (IU) de Google SecOps.

La configuración del reenviador es un proceso de dos pasos:

1. Agrega la configuración del reenvío: Esto establece el marco de trabajo para tu configuración.
2. Agrega la configuración del recopilador: Define la fuente de datos que el reenviador transferirá. Sin al menos un recopilador, el reenviador no tiene datos con los que trabajar.

Una vez que agregues uno o más recopiladores, se completará la configuración del reenviador. Luego, puedes descargarlo e implementarlo en una máquina o un dispositivo que tenga instalado el software de reenvío.

Para obtener información sobre cómo instalar y configurar el reenviador de Google SecOps, los requisitos del sistema y los detalles sobre la configuración, consulta Instala y configura el reenviador.

Agregar la configuración del reenvío

En lugar de agregar un reenvío nuevo, puedes clonar uno o más reenvíos existentes. Para obtener más información, consulta Clonación de reenvío.

Para agregar un nuevo reenviador, sigue estos pasos:

1. En la barra de navegación, haz clic en Configuración.
2. En Configuración, haz clic en Reenviadores.
3. Haz clic en Agregar nuevo reenvío.
4. En el campo Nombre del reenviador, escribe un nombre.

5. Opcional: Expande la sección Valores de configuración y especifica los valores. Para obtener información sobre la configuración, consulta Cómo determinar la configuración.

6. Haz clic en Enviar.

   Se agregará el retransmisor y aparecerá la ventana Add collector configuration.

Agrega la configuración del recopilador

Puedes agregar uno o más recopiladores a un reenviador existente. Para agregar un nuevo recopilador a un reenvío, sigue estos pasos:

1. En la barra de navegación, haz clic en Configuración.
2. En Configuración, haz clic en Reenviadores.
3. En la página Forwarders, busca el forwarder que deseas. Si la lista de servidores de reenvío es larga, usa el campo Buscar.
4. Mantén el puntero sobre el retransmisor para el que deseas agregar un recopilador. Se muestra el ícono de menú desplegable.
5. Haz clic en el ícono de menú desplegable .
6. Selecciona Agregar nuevo recopilador.
7. En el campo Nombre del recopilador, escribe un nombre.

8. Haz clic en el campo Tipo de registro para ver una lista de tipos de registros y realiza una de las siguientes acciones:

   • Si no ves el tipo de registro que deseas, comienza a escribir su nombre en el cuadro para ver más sugerencias. Para obtener una lista completa de los tipos de registros admitidos, consulta Conjuntos de datos admitidos.
   • Selecciona un tipo de registro de la lista.

9. Opcional: Expande la sección Valores de configuración y especifica los valores. Para obtener información sobre la configuración, consulta Cómo determinar la configuración.

10. Opcional: Expande la sección Configuración avanzada y especifica cualquiera de los siguientes parámetros:

    • Cantidad máxima de segundos por lote: Es la cantidad de segundos entre lotes. El valor predeterminado 10.
    • Cantidad máxima de bytes por lote: Es la cantidad de bytes en cola antes de la carga por lotes del reenviador. El mínimo es 204800 bytes, que es 200 KB. El máximo es 1048576 bytes, que es 1MB. El valor predeterminado es 1,048,576 bytes, que es 1MB.

11. Recomendado: Búfer de disco: Haz clic en el botón de activación para habilitar el búfer de disco para el recopilador. Para obtener detalles sobre el almacenamiento en búfer de disco, consulta Almacenamiento en búfer de disco. Cuando está habilitado, puedes especificar los siguientes parámetros de configuración:

    • Ruta de acceso del directorio: Es la ruta de acceso del directorio de los archivos escritos.
    • Tamaño máximo del archivo en la memoria intermedia (en bytes): Es el tamaño máximo del disco que usa el recopilador antes de que los mensajes pendientes se almacenen en el disco. El valor predeterminado es 1,073,741,824. El máximo es 4,294,967,296.

12. Opcional: Anular zona horaria: Haz clic en el botón de activación para anular la zona horaria predeterminada de tus registros. Para ello, selecciona una zona horaria personalizada en la lista Zona horaria. Solo si tus registros sin procesar no incluyen la zona horaria correcta en la fuente. Antes de habilitarlo, asegúrate de que los registros tengan marcas de tiempo coherentes.

    La zona horaria seleccionada se aplica en el servidor de Google SecOps. El reenvío ignora este parámetro de configuración, incluso si el archivo de configuración generado lo contiene.

13. Haz clic en el campo Tipo de recopilador y selecciona un tipo de recopilador. Cada tipo de recopilador tiene su propia configuración que puedes establecer. Para obtener detalles sobre los tipos de recopiladores y su configuración, consulta Cómo determinar la configuración.

14. Haz clic en Enviar.

Descarga archivos de configuración

Para descargar los archivos de configuración del reenviador, se requiere al menos un recopilador. Si intentas descargar un reenvío sin un recopilador, recibirás un error.

Puedes descargar el archivo de configuración del reenvío (.conf), el archivo de autenticación (_auth.conf) o ambos para cualquier reenvío que aparezca en tu instancia de Google SecOps, siempre que tenga al menos un recopilador. Después de descargar los archivos, impleméntalos en el sistema Windows o Linux en el que reside el retransmisor de Google SecOps.

Para descargar los archivos de configuración del reenviador, haz lo siguiente:

1. En la barra de navegación, haz clic en Configuración.
2. En Configuración, haz clic en Reenviadores. En la página, se muestra la lista de reenvío.

3. En la página Forwarders, busca el forwarder que deseas. Si la lista de servidores de reenvío es larga, usa el campo Buscar.

4. Mantén el puntero sobre el reenviador para el que deseas descargar los archivos de configuración. Se muestra el ícono de menú desplegable.

5. Haz clic en el ícono de menú desplegable .

6. Selecciona Descargar.

7. En el cuadro de diálogo Descargar configuración del reenvío, realiza una de las siguientes acciones:

   • Para descargar el archivo de configuración del reenvío, haz clic en el ícono de descarga junto al tipo de archivo .conf.
   • Para descargar el archivo de autenticación del reenvío, haz clic en el ícono de descarga junto al tipo de archivo _auth.conf.
   • Para descargar ambos archivos, haz clic en Descargar todo.

Administrar reenvíos

En esta sección, se describe cómo ver y administrar los reenvíos.

Enumera los reenvíos en una instancia de Google SecOps

1. En la barra de navegación, haz clic en Configuración.
2. En Configuración, haz clic en Reenviadores. En la página, se muestra la lista de reenvío.
3. Opcional: Para ordenar la lista, haz clic en la columna Nombre o Última actualización.

De manera opcional, usa el campo de búsqueda para reducir los resultados en la lista.

Clona reenviadores

La clonación te permite crear una copia de una o más configuraciones de reenvío.

Para clonar una configuración de reenvío, sigue estos pasos:

1. En la página Forwarders, selecciona la casilla de verificación de cada reenviador que quieras clonar.

2. Haz clic en el ícono de menú desplegable .

3. Selecciona Clonar.

4. Haz clic en Clonar. Se agrega una copia de cada configuración de reenvío.

Cómo editar la configuración de un reenviador

1. En la barra de navegación, haz clic en Configuración.
2. En Configuración, haz clic en Reenviadores. En la página, se muestra la lista de reenvío.

3. Mantén el puntero sobre el reenviador para el que deseas editar la configuración. Se muestra el ícono de menú desplegable.

4. Haz clic en el ícono de menú desplegable .

5. Selecciona Editar la configuración del reenvío.

6. Realiza los cambios en la configuración. Para obtener más información, consulta los pasos de configuración en el procedimiento para agregar reenviadores.

7. Haz clic en Actualizar

8. Reinicia el reenvío para que se apliquen los cambios.

Borra los reenvíos

1. En la página Reenviadores, selecciona la casilla de verificación de cada reenviador que deseas borrar.

2. Haz clic en el ícono de menú desplegable .

3. Selecciona Borrar.

4. En el diálogo Delete Forwarder, haz clic en Delete.

Administra recopiladores

En esta sección, se describe cómo ver y administrar recopiladores.

Enumera los recopiladores en una instancia de Google SecOps

1. En la barra de navegación, haz clic en Configuración.
2. En Configuración, haz clic en Reenviadores. En la página, se muestra la lista de reenvío.
3. Haz clic en la flecha de expansión junto al encabezado de la columna Nombre. Se expandirán todos los reenvíadores y se mostrarán hasta cinco recopiladores para cada uno.
4. Si un remitente tiene más de cinco recolectores, haz clic en el vínculo Ver todos los recolectores.

Cómo editar la configuración de un recopilador

1. En la barra de navegación, haz clic en Configuración.
2. En Configuración, haz clic en Reenviadores. En la página, se muestra la lista de reenvío.

3. Haz clic en la flecha de expansión del reenviador para el que deseas editar un recopilador.

4. Si hay más de cinco, haz clic en el vínculo Ver todos los coleccionistas.

5. Mantén el puntero sobre el recopilador para el que deseas editar la configuración. Aparecerá la opción Editar.

6. Haz clic en Editar.

7. Realiza los cambios en la configuración. Para obtener más información, consulta los pasos de configuración en el procedimiento para agregar recopiladores.

8. Haz clic en Actualizar.

Cómo borrar un recopilador

1. En la barra de navegación, haz clic en Configuración.
2. En Configuración, haz clic en Reenviadores. En la página, se muestra la lista de reenvío.

3. Haz clic en la flecha del expansor del reenviador para el que deseas borrar un recopilador.

4. Si hay más de cinco, haz clic en el vínculo Ver todos los coleccionistas.

5. Mantén el puntero sobre el recopilador para el que deseas editar la configuración. Aparecerá la opción Borrar.

6. Haz clic en Borrar.

7. Para confirmar, haz clic en Borrar en el diálogo Borrar recopilador.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.