O Google Security Operations ingere registros de clientes, normaliza os dados e detecta alertas de segurança. Ele oferece recursos de autoatendimento para
ingestão de dados, detecção de ameaças, alertas e gerenciamento de casos.
O Google SecOps também pode receber alertas de outros sistemas SIEM e analisá-los.
Ingestão de registros do Google SecOps
O serviço de ingestão do Google SecOps atua como um gateway para todos os dados.
O Google SecOps ingere dados usando os seguintes sistemas:
Encaminhadores: agentes remotos instalados em endpoints do cliente que enviam dados para o serviço de ingestão do Google SecOps. Para detalhes sobre como instalar encaminhadores do Linux e do Windows, consulte Instalar e configurar o encaminhador.
Agente do Bindplane: coleta registros de várias fontes
e os envia para o Google SecOps. É possível gerenciar esse agente usando o console de gerenciamento do Bindplane OP, que é opcional. Para mais informações,
consulte Usar o agente
Bindplane.
APIs de ingestão: o Google SecOps oferece APIs públicas de ingestão que permitem enviar dados diretamente. Para mais informações, consulte a
API de ingestão.
Google Cloud: o Google SecOps recupera dados diretamente da sua organização do Google Cloud . Para mais informações, consulte Ingerir dados Google Cloudno Google SecOps.
Feeds de dados: recuperam dados de locais externos estáticos (como o Amazon S3) e APIs de terceiros (como o Okta). Esses feeds enviam registros diretamente para o serviço de ingestão do Google SecOps. Para mais informações, consulte a documentação sobre gerenciamento de feeds.
Os feeds de dados são compatíveis com linhas de registro de até 4 MB.
Os analisadores convertem registros dos sistemas dos clientes em um modelo de dados unificado (UDM). Os sistemas downstream no Google SecOps usam o UDM para oferecer recursos adicionais, incluindo regras e pesquisa do UDM. O Google SecOps pode ingerir registros e alertas, mas só é compatível com alertas de evento único. Você pode usar a pesquisa da UDM para encontrar alertas ingeridos e integrados do Google SecOps.
Entender o processo de ingestão do Google SecOps
O Google SecOps é compatível com os seguintes tipos de ingestão de dados:
Registros brutos
O Google SecOps ingere registros brutos usando encaminhadores, a API de ingestão, feeds de dados ou diretamente de Google Cloud.
Alertas de outros sistemas SIEM
O Google SecOps pode ingerir alertas de outros sistemas SIEM, EDRs ou sistemas de
tickets, da seguinte forma:
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-09-02 UTC."],[[["\u003cp\u003eGoogle Security Operations SIEM ingests and normalizes logs from various sources, including customer endpoints, APIs, and Google Cloud, to detect security alerts.\u003c/p\u003e\n"],["\u003cp\u003eData can be ingested through multiple methods such as forwarders, BindPlane agents, Ingestion APIs, direct data pulling from Google Cloud, and data feeds from external locations and third party APIs.\u003c/p\u003e\n"],["\u003cp\u003eGoogle Security Operations SIEM can also ingest single-event alerts from other SIEM systems, EDRs, or ticketing systems through Google Security Operations SOAR connectors or webhooks.\u003c/p\u003e\n"],["\u003cp\u003eIngested data is processed by Google Security Operations SIEM parsers, converting it into a Unified Data Model (UDM) for further analysis and the application of rules for pattern identification.\u003c/p\u003e\n"],["\u003cp\u003eLarge files for ingestion, 5-10GB or larger can cause significant delays in the ingestion process, and Data feeds have a maximum log line size of 4MB.\u003c/p\u003e\n"]]],[],null,["# Google SecOps data ingestion\n============================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n\nGoogle Security Operations ingests customer logs, normalizes the data, and detects\nsecurity alerts. It provides self-service features for\ndata ingestion, threat detection, alerts, and case management.\nGoogle SecOps can also receive alerts from other SIEM systems and\nanalyze them.\n| **Note:** Large files (5-10 GB or larger) can significantly delay data ingestion.\n\nGoogle SecOps log ingestion\n---------------------------\n\nThe Google SecOps ingestion service acts as a gateway for all data.\n\nGoogle SecOps ingests data using the following systems:\n\n- **Forwarders** : Remote agents installed on customer\n endpoints that send data to the Google SecOps ingestion\n service. For details about how to install Linux and Windows\n forwarders, see [Install and configure the\n forwarder](/chronicle/docs/install/forwarder-linux).\n\n- **Bindplane agent** : The Bindplane agent collects logs from various sources\n and sends them to Google SecOps. You can manage this agent\n using the optional Bindplane OP Management console. For more information,\n see [Use the Bindplane\n agent](/chronicle/docs/ingestion/use-bindplane-agent).\n\n- **Ingestion APIs** : Google SecOps provides public ingestion APIs,\n that let you send data directly. For more information, see the\n [Ingestion API](/chronicle/docs/reference/ingestion-api).\n\n- **Google Cloud** : Google SecOps retrieves data directly from\n your Google Cloud organization. For more information, see [Ingest Google Cloud\n data to\n Google SecOps](/chronicle/docs/ingestion/cloud/ingest-gcp-logs).\n\n- **Data feeds** : Data feeds retrieve data from static external locations (such as Amazon S3) and\n third-party APIs (such as Okta). These data feeds send logs directly to\n the Google SecOps ingestion service. For more information,\n see the [feed management\n documentation](/chronicle/docs/administration/feed-management).\n\n Data feeds support log lines up to 4 MB in size.\n\n| **Note:** Google SecOps recommends using UTC or ISO 8601 formats for log timestamps.\n\nParsers convert logs from customer systems\ninto a Unified Data Model (UDM). Downstream systems within\nGoogle SecOps use the UDM to provide additional capabilities,\nincluding rules and UDM search. Google SecOps can ingest both\nlogs and alerts, but supports only single-event alerts. You can use UDM search\nto find both ingested and\nbuilt-in Google SecOps alerts.\n\nUnderstand Google SecOps ingestion process\n------------------------------------------\n\nGoogle SecOps supports the following types of data ingestion:\n\n### Raw logs\n\nGoogle SecOps ingests raw logs using forwarders, the ingestion\nAPI, data feeds, or directly from Google Cloud.\n\n### Alerts from other SIEM systems\n\nGoogle SecOps can ingest alerts from other SIEM systems, EDRs, or\nticketing systems, as follows:\n\n1. Receive alerts using Google SecOps [connectors](/chronicle/docs/soar/ingest/connectors/ingest-your-data-connectors) or Google SecOps [webhooks](/chronicle/docs/soar/ingest/webhooks/setting-up-a-webhook).\n2. Ingest the events associated with each alert and create a corresponding detection.\n3. Process both the ingested events and detections.\n\nYou can create detection engine rules to identify patterns in the ingested\nevents and generate additional detections.\n| **Note:** Detection engine rules don't identify patterns in alerts ingested from Google SecOps.\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
