O Google Security Operations carrega os registos dos clientes, normaliza os dados e deteta alertas de segurança. Oferece funcionalidades de self-service para
carregamento de dados, deteção de ameaças, alertas e gestão de registos.
O Google SecOps também pode receber alertas de outros sistemas SIEM e analisá-los.
Carregamento de registos do Google SecOps
O serviço de carregamento do Google SecOps funciona como uma porta de entrada para todos os dados.
O Google SecOps carrega dados através dos seguintes sistemas:
Encaminhadores: agentes remotos instalados em pontos finais do cliente que enviam dados para o serviço de carregamento do Google SecOps. Para ver detalhes sobre como instalar encaminhadores do Linux e Windows, consulte o artigo Instale e configure o encaminhador.
Agente do Bindplane: o agente do Bindplane recolhe registos de várias origens e envia-os para o Google SecOps. Pode gerir este agente
através da consola de gestão do Bindplane OP opcional. Para mais informações,
consulte o artigo Use o agente Bindplane.
APIs de carregamento: o Google SecOps fornece APIs de carregamento públicas que lhe permitem enviar dados diretamente. Para mais informações, consulte a
API Ingestion.
Feeds de dados: os feeds de dados extraem dados de localizações externas estáticas (como o Amazon S3) e APIs de terceiros (como o Okta). Estes feeds de dados enviam registos diretamente para o serviço de carregamento do Google SecOps. Para mais informações,
consulte a documentação de gestão de feeds.
Os feeds de dados suportam linhas de registo com um tamanho máximo de 4 MB.
Os analisadores convertem registos de sistemas de clientes
num modelo de dados unificado (UDM). Os sistemas a jusante no Google SecOps usam o UDM para oferecer capacidades adicionais, incluindo regras e pesquisa do UDM. O Google SecOps pode carregar registos e alertas, mas só suporta alertas de evento único. Pode usar a pesquisa UDM para encontrar alertas do Google SecOps carregados e incorporados.
Compreenda o processo de carregamento do Google SecOps
O Google SecOps suporta os seguintes tipos de carregamento de dados:
Registos não processados
O Google SecOps carrega registos não processados através de encaminhadores, da API de carregamento, de feeds de dados ou diretamente a partir de Google Cloud.
Alertas de outros sistemas SIEM
O Google SecOps pode carregar alertas de outros sistemas SIEM, EDRs ou sistemas de emissão de pedidos, da seguinte forma:
Receba alertas através dos
conetores
do Google SecOps ou dos
webhooks do Google SecOps.
Ingerir os eventos associados a cada alerta e criar uma deteção correspondente.
Processar os eventos carregados e as deteções.
Pode criar regras do motor de deteção para identificar padrões nos eventos carregados e gerar deteções adicionais.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-20 UTC."],[[["\u003cp\u003eGoogle Security Operations SIEM ingests and normalizes logs from various sources, including customer endpoints, APIs, and Google Cloud, to detect security alerts.\u003c/p\u003e\n"],["\u003cp\u003eData can be ingested through multiple methods such as forwarders, BindPlane agents, Ingestion APIs, direct data pulling from Google Cloud, and data feeds from external locations and third party APIs.\u003c/p\u003e\n"],["\u003cp\u003eGoogle Security Operations SIEM can also ingest single-event alerts from other SIEM systems, EDRs, or ticketing systems through Google Security Operations SOAR connectors or webhooks.\u003c/p\u003e\n"],["\u003cp\u003eIngested data is processed by Google Security Operations SIEM parsers, converting it into a Unified Data Model (UDM) for further analysis and the application of rules for pattern identification.\u003c/p\u003e\n"],["\u003cp\u003eLarge files for ingestion, 5-10GB or larger can cause significant delays in the ingestion process, and Data feeds have a maximum log line size of 4MB.\u003c/p\u003e\n"]]],[],null,["# Google SecOps data ingestion\n============================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n\nGoogle Security Operations ingests customer logs, normalizes the data, and detects\nsecurity alerts. It provides self-service features for\ndata ingestion, threat detection, alerts, and case management.\nGoogle SecOps can also receive alerts from other SIEM systems and\nanalyze them.\n| **Note:** Large files (5-10 GB or larger) can significantly delay data ingestion.\n\nGoogle SecOps log ingestion\n---------------------------\n\nThe Google SecOps ingestion service acts as a gateway for all data.\n\nGoogle SecOps ingests data using the following systems:\n\n- **Forwarders** : Remote agents installed on customer\n endpoints that send data to the Google SecOps ingestion\n service. For details about how to install Linux and Windows\n forwarders, see [Install and configure the\n forwarder](/chronicle/docs/install/forwarder-linux).\n\n- **Bindplane agent** : The Bindplane agent collects logs from various sources\n and sends them to Google SecOps. You can manage this agent\n using the optional Bindplane OP Management console. For more information,\n see [Use the Bindplane\n agent](/chronicle/docs/ingestion/use-bindplane-agent).\n\n- **Ingestion APIs** : Google SecOps provides public ingestion APIs,\n that let you send data directly. For more information, see the\n [Ingestion API](/chronicle/docs/reference/ingestion-api).\n\n- **Google Cloud** : Google SecOps retrieves data directly from\n your Google Cloud organization. For more information, see [Ingest Google Cloud\n data to\n Google SecOps](/chronicle/docs/ingestion/cloud/ingest-gcp-logs).\n\n- **Data feeds** : Data feeds retrieve data from static external locations (such as Amazon S3) and\n third-party APIs (such as Okta). These data feeds send logs directly to\n the Google SecOps ingestion service. For more information,\n see the [feed management\n documentation](/chronicle/docs/administration/feed-management).\n\n Data feeds support log lines up to 4 MB in size.\n\n| **Note:** Google SecOps recommends using UTC or ISO 8601 formats for log timestamps.\n\nParsers convert logs from customer systems\ninto a Unified Data Model (UDM). Downstream systems within\nGoogle SecOps use the UDM to provide additional capabilities,\nincluding rules and UDM search. Google SecOps can ingest both\nlogs and alerts, but supports only single-event alerts. You can use UDM search\nto find both ingested and\nbuilt-in Google SecOps alerts.\n\nUnderstand Google SecOps ingestion process\n------------------------------------------\n\nGoogle SecOps supports the following types of data ingestion:\n\n### Raw logs\n\nGoogle SecOps ingests raw logs using forwarders, the ingestion\nAPI, data feeds, or directly from Google Cloud.\n\n### Alerts from other SIEM systems\n\nGoogle SecOps can ingest alerts from other SIEM systems, EDRs, or\nticketing systems, as follows:\n\n1. Receive alerts using Google SecOps [connectors](/chronicle/docs/soar/ingest/connectors/ingest-your-data-connectors) or Google SecOps [webhooks](/chronicle/docs/soar/ingest/webhooks/setting-up-a-webhook).\n2. Ingest the events associated with each alert and create a corresponding detection.\n3. Process both the ingested events and detections.\n\nYou can create detection engine rules to identify patterns in the ingested\nevents and generate additional detections.\n| **Note:** Detection engine rules don't identify patterns in alerts ingested from Google SecOps.\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]