Google Security Operations erfasst Kundenlogs, normalisiert die Daten und erkennt Sicherheitswarnungen. Es bietet Self-Service-Funktionen für die Datenaufnahme, Bedrohungserkennung, Benachrichtigungen und Fallverwaltung.
Google SecOps kann auch Warnungen von anderen SIEM-Systemen empfangen und analysieren.
Google SecOps-Logaufnahme
Der Google SecOps-Aufnahmedienst fungiert als Gateway für alle Daten.
Google SecOps nimmt Daten über die folgenden Systeme auf:
Forwarder: Remote-Agents, die auf Kundenendpunkten installiert sind und Daten an den Google SecOps-Aufnahmedienst senden. Weitere Informationen zum Installieren von Linux- und Windows-Forwardern finden Sie unter Forwarder installieren und konfigurieren.
BindPlane-Agent: Der BindPlane-Agent erfasst Logs aus verschiedenen Quellen und sendet sie an Google SecOps. Sie können diesen Agent mit der optionalen Bindplane OP-Verwaltungskonsole verwalten. Weitere Informationen finden Sie unter Bindplane-Agent verwenden.
Ingestion APIs: Google SecOps bietet öffentliche Ingestion APIs, mit denen Sie Daten direkt senden können. Weitere Informationen finden Sie unter Ingestion API.
Datenfeeds: Datenfeeds rufen Daten von statischen externen Standorten (z. B. Amazon S3) und Drittanbieter-APIs (z. B. Okta) ab. Über diese Datenfeeds werden Protokolle direkt an den Google SecOps-Aufnahmedienst gesendet. Weitere Informationen finden Sie in der Dokumentation zur Feedverwaltung.
Datenfeeds unterstützen Logzeilen mit einer Größe von bis zu 4 MB.
Mit Parsern werden Logs aus Kundensystemen in ein einheitliches Datenmodell (Unified Data Model, UDM) umgewandelt. Downstream-Systeme in Google SecOps verwenden das UDM, um zusätzliche Funktionen bereitzustellen, darunter Regeln und UDM-Suche. Google SecOps kann sowohl Logs als auch Warnungen aufnehmen, unterstützt aber nur Warnungen für einzelne Ereignisse. Mit der UDM-Suche können Sie sowohl nach aufgenommenen als auch nach integrierten Google SecOps-Benachrichtigungen suchen.
Aufnahmeprozess von Google SecOps
Google SecOps unterstützt die folgenden Arten der Datenerfassung:
Rohlogs
Google SecOps erfasst Rohlogs über Forwarder, die Ingestion API, Datenfeeds oder direkt von Google Cloud.
Benachrichtigungen von anderen SIEM-Systemen
Google SecOps kann Warnungen aus anderen SIEM-Systemen, EDRs oder Ticketsystemen aufnehmen:
Die mit jeder Benachrichtigung verknüpften Ereignisse werden aufgenommen und eine entsprechende Erkennung wird erstellt.
Sowohl die aufgenommenen Ereignisse als auch die erkannten Ereignisse verarbeiten
Sie können Regeln für die Erkennungs-Engine erstellen, um Muster in den aufgenommenen Ereignissen zu erkennen und zusätzliche Erkennungen zu generieren.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-02 (UTC)."],[[["\u003cp\u003eGoogle Security Operations SIEM ingests and normalizes logs from various sources, including customer endpoints, APIs, and Google Cloud, to detect security alerts.\u003c/p\u003e\n"],["\u003cp\u003eData can be ingested through multiple methods such as forwarders, BindPlane agents, Ingestion APIs, direct data pulling from Google Cloud, and data feeds from external locations and third party APIs.\u003c/p\u003e\n"],["\u003cp\u003eGoogle Security Operations SIEM can also ingest single-event alerts from other SIEM systems, EDRs, or ticketing systems through Google Security Operations SOAR connectors or webhooks.\u003c/p\u003e\n"],["\u003cp\u003eIngested data is processed by Google Security Operations SIEM parsers, converting it into a Unified Data Model (UDM) for further analysis and the application of rules for pattern identification.\u003c/p\u003e\n"],["\u003cp\u003eLarge files for ingestion, 5-10GB or larger can cause significant delays in the ingestion process, and Data feeds have a maximum log line size of 4MB.\u003c/p\u003e\n"]]],[],null,["# Google SecOps data ingestion\n============================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n\nGoogle Security Operations ingests customer logs, normalizes the data, and detects\nsecurity alerts. It provides self-service features for\ndata ingestion, threat detection, alerts, and case management.\nGoogle SecOps can also receive alerts from other SIEM systems and\nanalyze them.\n| **Note:** Large files (5-10 GB or larger) can significantly delay data ingestion.\n\nGoogle SecOps log ingestion\n---------------------------\n\nThe Google SecOps ingestion service acts as a gateway for all data.\n\nGoogle SecOps ingests data using the following systems:\n\n- **Forwarders** : Remote agents installed on customer\n endpoints that send data to the Google SecOps ingestion\n service. For details about how to install Linux and Windows\n forwarders, see [Install and configure the\n forwarder](/chronicle/docs/install/forwarder-linux).\n\n- **Bindplane agent** : The Bindplane agent collects logs from various sources\n and sends them to Google SecOps. You can manage this agent\n using the optional Bindplane OP Management console. For more information,\n see [Use the Bindplane\n agent](/chronicle/docs/ingestion/use-bindplane-agent).\n\n- **Ingestion APIs** : Google SecOps provides public ingestion APIs,\n that let you send data directly. For more information, see the\n [Ingestion API](/chronicle/docs/reference/ingestion-api).\n\n- **Google Cloud** : Google SecOps retrieves data directly from\n your Google Cloud organization. For more information, see [Ingest Google Cloud\n data to\n Google SecOps](/chronicle/docs/ingestion/cloud/ingest-gcp-logs).\n\n- **Data feeds** : Data feeds retrieve data from static external locations (such as Amazon S3) and\n third-party APIs (such as Okta). These data feeds send logs directly to\n the Google SecOps ingestion service. For more information,\n see the [feed management\n documentation](/chronicle/docs/administration/feed-management).\n\n Data feeds support log lines up to 4 MB in size.\n\n| **Note:** Google SecOps recommends using UTC or ISO 8601 formats for log timestamps.\n\nParsers convert logs from customer systems\ninto a Unified Data Model (UDM). Downstream systems within\nGoogle SecOps use the UDM to provide additional capabilities,\nincluding rules and UDM search. Google SecOps can ingest both\nlogs and alerts, but supports only single-event alerts. You can use UDM search\nto find both ingested and\nbuilt-in Google SecOps alerts.\n\nUnderstand Google SecOps ingestion process\n------------------------------------------\n\nGoogle SecOps supports the following types of data ingestion:\n\n### Raw logs\n\nGoogle SecOps ingests raw logs using forwarders, the ingestion\nAPI, data feeds, or directly from Google Cloud.\n\n### Alerts from other SIEM systems\n\nGoogle SecOps can ingest alerts from other SIEM systems, EDRs, or\nticketing systems, as follows:\n\n1. Receive alerts using Google SecOps [connectors](/chronicle/docs/soar/ingest/connectors/ingest-your-data-connectors) or Google SecOps [webhooks](/chronicle/docs/soar/ingest/webhooks/setting-up-a-webhook).\n2. Ingest the events associated with each alert and create a corresponding detection.\n3. Process both the ingested events and detections.\n\nYou can create detection engine rules to identify patterns in the ingested\nevents and generate additional detections.\n| **Note:** Detection engine rules don't identify patterns in alerts ingested from Google SecOps.\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
